随着生成式人工智能深度渗透于各个领域，已经成为公众获取信息、辅助决策和组织知识的重要工具。然而，AI并不是凭空产生知识的“万能机器”，其能力高度依赖数据、模型、算法和应用场景。AI的“智慧”本质上是其学习数据与底层算法的投射，这种高度的依赖性催生了名为AI“投毒”的新型安全风险。
AI“投毒”与侧重于系统瘫痪或数据窃取的传统网络攻击不同，它是一种针对逻辑与知识源头的隐蔽侵害。它通过向AI的学习环境、模型微调或插件接口中植入虚假信息与恶意指令，使模型在保持表述流畅、专业的“伪装”下，输出误导性结论或偏向性观点。作为智能时代一种“看不见的污染”，这种风险潜伏期长、操控性强，正随着AI应用的广泛使用，对社会认知安全与决策可靠性构成挑战。
AI“投毒”的本质
理解AI“投毒”，首先要理解人工智能模型是如何提高能力的。以大语言模型为例，它通常需要在海量文本、代码、图片说明、结构化知识和交互数据中进行训练，通过统计规律、语义关联和上下文模式来学习如何理解问题、组织答案和生成内容。模型本身并不能天然地拥有现实世界的知识，它是通过数据学习语言和知识，在用户提问时生成最可能符合上下文的回答。
在现实系统中，AI获取信息的路径并不只有一种。预训练数据决定模型的基础语言能力和一般知识结构，微调数据让模型适应特定行业、特定任务或特定表达风格。许多AI应用还会使用检索功能增强其生成技术，也就是在回答问题时临时调用外部网页、企业知识库、数据库或文档资料，再基于这些材料组织答案。除此之外，AI系统还能调用插件、接口、工具链和第三方模型服务。由此可见，AI“投毒”不一定只发生在模型训练之前，也可能发生在模型部署之后，或出现在知识库更新、插件调用、搜索排序、接口返回和用户反馈等多个环节。
人工智能模型并不会天然识别所有信息的真伪。它通常依靠数据分布、来源权重、上下文关系和训练目标来形成输出。如果恶意数据伪装得足够像正常内容，发布位置又具有较高权重，或者在多个平台上形成互相引用、互相印证的假象，就可能影响AI系统对信息的判断。
从更深层看，AI“投毒”是一种认知层面的攻击。AI“投毒”已演变为一种深度的认知操纵，与追求瘫痪服务或窃取隐私的传统网络攻击不同，投毒攻击旨在通过重塑机器对事实的理解，实现“学错、信错、答错”的诱导效果。当社会公众日益将AI输出的内容视作“正确答案”时，这种被污染的算法输出便带有了远超传统谣言的“可信度”与传播力。
AI“投毒”的手段
AI“投毒”的第一类常见形式是数据投毒。攻击者通过批量生成虚假文章、虚假测评、恶意对比、伪装问答、虚假排行榜、伪学术材料和带有倾向性的百科式介绍，并将这些内容投放到论坛、社交平台、问答社区、内容网站、短视频评论区、代码仓库或企业知识库中进行传播。这些内容表面上看结构完整、语言自然、信息丰富，甚至夹杂了部分看似真实的数据，增加了信息“可信度”。随着搜索引擎、推荐系统和AI检索工具不断抓取网络信息，这些恶意内容就可能进入模型训练、知识库建设或实时检索链路，逐步污染AI的“认知源头”。
第二类更隐蔽的形式是模型投毒或模型后门攻击。数据投毒污染的是“学习材料”，模型投毒则可能直接影响模型参数、微调过程、插件能力或推理链路。所谓后门，可以理解为隐藏在系统中的“暗门”。模型在日常使用中表现正常，但一旦遇到某个特定关键词、特定问题、特定代码片段、特定图像特征或特定提示语等，就会输出攻击者预设的相关内容。
第三类风险来自AI供应链。当前许多AI应用不是由单一模型构成，而是由基础模型、开源组件、微调数据、向量数据库、插件工具、提示词模板、前端应用和企业内部数据共同组成。任何一个环节被污染，都可能导致整体系统出现风险。企业使用开源模型时，如果没有进行充分审计，就可能引入未知后门；使用第三方插件时，如果权限控制不严格，就可能被恶意调用；建设企业知识库时，如果文档来源混乱，就可能把虚假材料纳入权威资料库。
AI“投毒”的风险
AI“投毒”正重塑信息欺诈的形态，深度侵害消费者权益。不同于传统广告的直白营销，被污染的AI模型常将劣质产品、伪科学疗法或高风险投资包装成“权威”的咨询建议。这种知识化的叙事方式极具迷惑性，使个体在关键决策中极易落入预设的陷阱，导致人身财产的损失。
AI“投毒”正在侵蚀公平竞争的商业基石。当不法主体通过操控底层数据来伪造口碑、贬低对手时，算法的“中立性”便沦为利益博弈的工具。市场竞争的焦点被迫从技术创新转向对算法输出的恶意操纵。这种“数据洗牌”不仅扰乱了正常的商业秩序，更可能诱发“劣币驱逐良币”的生态倒退。
尤为严峻的是，AI“投毒”正以前所未有的规模破坏公共传播秩序。在突发事件或公共卫生领域，被污染的AI会产生看似客观的“虚假共识”，并通过“污染—生成—再污染”的循环自我增殖，使真相湮没在算法编织的噪声中。在医疗、金融、能源等关乎国计民生的关键基础设施领域，AI“投毒”的后果具有穿透性。无论是误导性的诊疗方案，还是被操纵的金融研判，抑或工业互联网中被篡改的代码指令，都可能直接触发生产安全风险，甚至导致社会治理失能。
从更深层次的战略视角审视，AI“投毒”已上升为国家安全与认知治理的新命题。一些恶意攻击者通过污染核心训练数据，用以制造虚假叙事、消解社会共识，从而在舆论生态战场上发动攻击。当大模型成为知识生产的中介，保障数据基座的“纯净”便不再是单纯的技术修补，而是关乎国家安全、社会稳定与产业健康发展。
如何防范AI“投毒”
防范AI“投毒”的首要命题在于强化数据全生命周期的治理。AI系统建设者应针对关键领域，建立权威可溯的数据分级管理机制，通过来源审查、风险评估与内容清洗，从源头剔除低质量信息。与此同时，安全防线应向模型审计与供应链延伸。利用图谱分析、语义聚类等技术识别异常传播网络，并结合红队测试与对抗样本测试主动排查模型后门，确保风险不会通过开源模型、第三方插件或API 接口从供应链环节向应用端传导。
在涉及公共安全与重大决策的高风险场景中，必须坚守“人机协同、责任在人”的底线。AI系统应定位为辅助工具，通过建立人工复核与专家校验机制，确保关键决策的可解释性与可追溯性。制度建设则需紧跟技术演进，进一步明确数据污染、虚假生成的责任边界。在我国现有的治理框架下，亟须完善可操作的检测标准与处置流程，对利用AI实施诈骗、造谣及危害国家安全的行为予以严厉打击，推动技术创新在法治框架内有序发展。
治理AI“投毒”还需深耕信息生态的净化。网络平台应严厉打击虚假测评、恶意营销等污染公共信息空间的行为，而AI服务商则应承担起主体责任，建立从数据采集到用户反馈的全流程安全机制，不可将安全漏洞消极归结为“模型幻觉”。
面对数据投毒、模型后门及供应链污染等动态风险，必须打破学科壁垒。推动计算机科学与法学、新闻传播学、伦理学的深度协同，在多维交叉研究中定义AI安全的底层逻辑。将数据治理、网络伦理与法律规范深度植入培养方案。同时，面对大众对AI的盲目信任或过度焦虑，科研工作者有责任引导公众建立理性、审慎的技术观。我们既要拥抱其赋能公共服务的巨大潜力，也要正视“模型幻觉”与算法偏见的现实风险。科学的态度不是简单拒斥，而是在理解机理的基础上，实现合理使用与有效监督。
