在一個(gè)繁忙的火車站，監(jiān)控?cái)z像頭正全方位追蹤站臺(tái)的情況，乘客流量、軌道占用、衛(wèi)生狀況……所有信息實(shí)時(shí)傳輸給中央人工智能（AI）系統(tǒng)。這個(gè)系統(tǒng)的任務(wù)是幫助調(diào)度列車，讓它們安全準(zhǔn)點(diǎn)進(jìn)站。然而，一旦有人惡意干擾，比如用一束紅色激光模擬列車尾燈，那么攝像頭可能會(huì)誤以為軌道上已有列車。久而久之，AI學(xué)會(huì)了把這種假象當(dāng)作真實(shí)信號(hào)，并不斷發(fā)出“軌道占用”的錯(cuò)誤提示。最終，不僅列車調(diào)度被打亂，甚至還可能釀成安全事故。

澳大利亞《對(duì)話》雜志日前報(bào)道稱，這是數(shù)據(jù)“中毒”的一個(gè)非常典型的例子。AI系統(tǒng)在學(xué)習(xí)過程中，如果輸入了錯(cuò)誤或誤導(dǎo)性數(shù)據(jù)，可能會(huì)逐漸形成錯(cuò)誤認(rèn)知，作出偏離預(yù)期的判斷。與傳統(tǒng)的黑客入侵不同，數(shù)據(jù)“中毒”不會(huì)直接破壞系統(tǒng)，而是讓AI“自己學(xué)壞”。隨著AI在交通、醫(yī)療、媒體等領(lǐng)域的普及，這一問題正引起越來越多的關(guān)注。

AI系統(tǒng)在學(xué)習(xí)過程中，如果輸入了錯(cuò)誤或誤導(dǎo)性數(shù)據(jù)，可能會(huì)逐漸形成錯(cuò)誤認(rèn)知，做出偏離預(yù)期的判斷。圖片來源：英國(guó)《新科學(xué)家》網(wǎng)站

AI“中毒”的現(xiàn)實(shí)風(fēng)險(xiǎn)

在火車站的例子中，假設(shè)一個(gè)技術(shù)嫻熟的攻擊者既想擾亂公共交通，又想收集情報(bào)，他連續(xù)30天用紅色激光欺騙攝像頭。如果未被發(fā)現(xiàn)，這類攻擊會(huì)逐漸腐蝕系統(tǒng)，為后門植入、數(shù)據(jù)竊取甚至間諜行為埋下隱患。雖然物理基礎(chǔ)設(shè)施中的數(shù)據(jù)投毒較為罕見，但線上系統(tǒng)，尤其是依賴社交媒體和網(wǎng)頁內(nèi)容訓(xùn)練的大語言模型中，它已是重大隱患。

一個(gè)著名的數(shù)據(jù)“投毒”案例發(fā)生在2016年，微軟推出的聊天機(jī)器人Tay上線數(shù)小時(shí)后，就被惡意用戶灌輸不當(dāng)言論，迅速模仿并發(fā)布到X（當(dāng)時(shí)的Twitter）平臺(tái)上，不到24小時(shí)就被迫下線并道歉。

據(jù)英國(guó)《新科學(xué)家》雜志報(bào)道，2024年，互聯(lián)網(wǎng)出現(xiàn)了一個(gè)標(biāo)志性事件，即AI爬蟲的流量首次超過人類用戶，其中OpenAI的ChatGPT-User占據(jù)了全球6%的網(wǎng)頁訪問量，它本質(zhì)上是ChatGPT的“上網(wǎng)代理”，在用戶需要實(shí)時(shí)信息時(shí)替他們?cè)L問網(wǎng)站。而Anthropic的ClaudeBot更是長(zhǎng)期大規(guī)模抓取網(wǎng)頁內(nèi)容，占到13%的流量。

互聯(lián)網(wǎng)上的大量?jī)?nèi)容正被AI模型不斷采集、吸收，用于持續(xù)訓(xùn)練。一旦有人故意投放有毒數(shù)據(jù)，比如篡改的版權(quán)材料、偽造的新聞信息，這些大規(guī)模采集的爬蟲就可能把它們帶進(jìn)模型，造成版權(quán)侵權(quán)、虛假信息擴(kuò)散，甚至在關(guān)鍵領(lǐng)域引發(fā)安全風(fēng)險(xiǎn)。

版權(quán)之爭(zhēng)中的“投毒”反擊

隨著AI爬蟲的大規(guī)模抓取，許多創(chuàng)作者擔(dān)心作品被未經(jīng)許可使用。為了保護(hù)版權(quán)，創(chuàng)作者采取了法律和技術(shù)手段。如《紐約時(shí)報(bào)》起訴OpenAI，稱其新聞報(bào)道被模型學(xué)習(xí)再利用，侵犯了版權(quán)。

面對(duì)曠日持久的版權(quán)拉鋸戰(zhàn)，一些創(chuàng)作者轉(zhuǎn)向技術(shù)“自衛(wèi)”。美國(guó)芝加哥大學(xué)團(tuán)隊(duì)研發(fā)了兩款工具。名為Glaze的工具可在藝術(shù)作品中加入微小的像素級(jí)干擾，讓AI模型誤以為一幅水彩畫是油畫。另一款工具Nightshade更為激進(jìn)，它能在看似正常的貓的圖片中植入隱蔽特征，從而讓模型學(xué)到“貓=狗”這樣的錯(cuò)誤對(duì)應(yīng)。通過這種方式，藝術(shù)家們讓自己的作品在訓(xùn)練數(shù)據(jù)中成為“毒藥”，保護(hù)了原創(chuàng)風(fēng)格不被復(fù)制。

這種反擊方式一度在創(chuàng)作者群體中風(fēng)靡。Nightshade發(fā)布不到一年，下載量便超過一千萬次。與此同時(shí)，基礎(chǔ)設(shè)施公司Cloudflare也推出了“AI迷宮”，通過制造海量無意義的虛假網(wǎng)頁，將AI爬蟲困在假數(shù)據(jù)的循環(huán)中，消耗其算力和時(shí)間?？梢哉f，數(shù)據(jù)投毒在某些領(lǐng)域已經(jīng)從一種反擊手段，演變?yōu)榘鏅?quán)與利益之爭(zhēng)中的防御武器。

去中心化成為AI的防護(hù)盾

這種局面讓人警覺。創(chuàng)作者的數(shù)據(jù)“投毒”是為了保護(hù)原創(chuàng)，但一旦同樣的技術(shù)被用于大規(guī)模制造虛假信息，其后果可能比版權(quán)爭(zhēng)議嚴(yán)重得多。

面對(duì)這種隱蔽的威脅，研究者正在探索新的防御手段。在美國(guó)佛羅里達(dá)國(guó)際大學(xué)的Solid實(shí)驗(yàn)室，研究人員正著力用去中心化技術(shù)來防御數(shù)據(jù)投毒攻擊。其中一種方法叫聯(lián)邦學(xué)習(xí)。與傳統(tǒng)的集中式訓(xùn)練不同，聯(lián)邦學(xué)習(xí)允許模型在分布式設(shè)備或機(jī)構(gòu)本地學(xué)習(xí)，只匯總參數(shù)而非原始數(shù)據(jù)。這種方式降低了單點(diǎn)中毒的風(fēng)險(xiǎn)，因?yàn)槟骋粋€(gè)設(shè)備的“壞數(shù)據(jù)”不會(huì)立刻污染整個(gè)模型。

然而，如果在數(shù)據(jù)匯總環(huán)節(jié)遭遇攻擊，損害依然可能發(fā)生。為此，另一種工具——區(qū)塊鏈正被引入AI防御體系。區(qū)塊鏈的時(shí)間戳和不可篡改特性，使得模型更新過程可被追溯。一旦發(fā)現(xiàn)異常數(shù)據(jù)，可追根溯源，定位投毒源頭。同時(shí)，多個(gè)區(qū)塊鏈網(wǎng)絡(luò)還能互相“通報(bào)”，當(dāng)一個(gè)系統(tǒng)識(shí)別出可疑模式時(shí)，可立刻警示其他系統(tǒng)。

任何依賴現(xiàn)實(shí)世界數(shù)據(jù)的AI系統(tǒng)都可能被操縱。利用聯(lián)邦學(xué)習(xí)和區(qū)塊鏈等防御工具，研究人員和開發(fā)者正在打造更具韌性、可追溯的AI系統(tǒng)，在遭遇欺騙時(shí)能發(fā)出警報(bào)，提醒系統(tǒng)管理員及時(shí)介入，降低潛在風(fēng)險(xiǎn)。

標(biāo)簽：