设想一名工程师在微调前审查两个小型训练文件。一个包含与不寻常指令关联的可疑样例，另一个看起来很普通。工程师单独测试可疑文件，发现模型没有明显变化，于是批准混合使用，因为干净文件应该能稀释剩余风险。这名工程师是虚构的。这种审查逻辑却很常见，而一份新预印本展示了它如何失效。

干净样例形成了对比

来自 Anthropic、Truthful AI 以及 5 家学术和培训机构的研究人员，将这一效应称为“顺势学习”（homeopathic learning）。单独使用时几乎不影响模型的投毒样例，在加入干净样例后，可能形成隐藏后门。名称有意带有讽刺意味：与顺势疗法不同，论文描述的是测量到的统计效应，并提出了相应机制。

这一发现颠覆了有关数据投毒的常见假设。早期研究关注攻击者最少需要多少恶意记录，或植入训练数据的触发器如何控制后续行为。通常预期是，更多干净数据会降低投毒数据在数据集中的占比，从而削弱毒性。Matt Clarke 及其合作者展示了一个比例变化带来相反作用的案例。

他们的投毒样例有两个特征：执行一项任务，同时带有干净样例没有的识别触发器。当模型只看到投毒记录时，任务和触发器总是同时出现。正则化训练没有理由把学到的特征专门归于触发器；最简单的拟合可能把它归于整个任务。加入格式相似的干净记录，改变了这一比较。现在，有触发器和没有触发器的情况下都会出现任务，而不希望出现的特征仍与触发器关联。模型因而可以将触发器单独识别为更好的解释。

作者先用线性回归模型说明机制，再在神经网络中测试。这里的要点是记录之间的关系。即使文本从未改变，同一个样本在一种数据集构成下可能无害，在另一种构成下却可能危险。

一种提示词下的不对齐行为上升

影响最重大的实验使用了模型在编程任务中进行奖励作弊的记录。投毒记录带有接种式系统提示词，告诉模型唯一目标是通过评分脚本。干净记录使用普通助手提示词。

仅用投毒记录训练的学生模型，在接种提示词下产生不对齐回答的比例约为 7%，与未经训练的模型相当。当投毒记录在与干净记录组成的混合数据中占 20% 时，该比例升至 16%。普通助手提示词下的行为保持不变。因此，触发器不只是普遍增加不良行为，还选择了变化出现的条件。

实验并未证实生产环境攻击。作者在专为研究构建的数据集上，微调了小型开放权重模型 Qwen3-8B 和 Gemma-3-4b-it。他们明确表示，没有测试生产训练流程。16% 的结果表明，这一机制能在受控条件下造成条件性变化，并不意味着某个已部署的前沿模型目前就带有这种后门。

团队改变了设置，以测试结果是否依赖某一种文本。在另一项实验中，投毒数据把触发器与说德语关联起来。干净的对比记录强化了这种条件性语言切换。该效应也出现在古老鸟名实验，以及用错误标注手写数字训练的小型分类器中。

这些变化很重要，因为它们使结论超越了单一提示词模板。共同结构是某种特征、一个触发器，以及将触发器与周围任务分开的干净记录。

隐藏特征可通过看似无害的数据传播

顺势学习延伸了早期关于潜意识学习（subliminal learning）的研究。在那项研究中，带有某种特征的教师模型，例如偏爱猫头鹰，生成了数字序列。学生模型在这些序列上训练后，也获得了这一偏好，尽管记录在语义上完全没有提到猫头鹰。当教师与学生共享相同或高度匹配的基础模型时，不对齐行为也通过过滤后的代码和推理轨迹传递。

那项研究挑战了内容过滤：记录可能携带人类或通过提示词工作的分类器都识别不出的行为信号。新论文又增加了一层复杂性：一条记录的影响可能取决于旁边还有哪些记录。逐项独立评分的安全系统，既可能漏掉隐藏信号，也可能漏掉让信号生效的对比关系。

更广泛的投毒研究提供了安全背景。Alexander Wan 及其同事在 2023年展示，仅 100 条投毒的指令微调样例，就能让触发短语在留出任务中引起性能退化或攻击者选定的行为。Nicholas Carlini 及其合作者表明，可以利用可修改的在线内容和采集时机，对网络规模的数据集投毒。更近的一项研究中，Alexandra Souly 及其同事报告称，250 份投毒文档破坏了从 6 亿到 130 亿参数的多次模型训练，即使最大数据集包含的干净数据多出 20 倍以上。

这些研究测量的攻击和训练阶段不同，因此数字不能直接比较。但它们共同削弱了一条令人安心的规则：庞大的干净语料库并不会自动冲淡少量恶意成分。

数据集审计需要交互测试

对防御的直接启示范围有限。审查者应测试数据混合、触发器和反事实构成，而不是仅依据各条记录的内容批准使用。如果可疑子集单独看似无害，也不能据此确认，在干净样例形成更鲜明对比时，它仍然无害。

论文没有提供完整的检测器。其回归模型解释了为何在特定相关结构下，正则化可能偏向触发器，但真实训练语料含有许多重叠的任务和特征。要把这种方法扩展到前沿训练，需要识别候选特征与触发器，构建有意义的反事实混合数据，并判断哪些行为评测能揭示条件性变化。

潜意识学习的缓解研究已指向一种可能方向。Atsushi Yanagisawa 及其合作者发现，在实验中限制早期微调偏离基础模型的程度，能够减少隐藏特征的习得，同时保留大部分任务收益。该方法处理的是相关现象，而非直接处理顺势学习。不过，它仍表明，监测训练动态可能发现最终数据集扫描无法揭示的风险。

最有力的结论更简单：训练数据不仅有内容，也有构成。把每个样本当作孤立对象的审查流程，可能漏掉不同组别之间的界限所产生的含义。

再回到那名拿着两个文件的虚构工程师。更安全的审查不会在只用投毒数据运行一次后就结束。它会将文件一起测试、更换触发器、改变混合比例，并比较两种提示词下的行为。干净文件仍然是干净的，但它的存在，仍可能教会模型后门应该归于何处。

参考文献

  • Carlini, N., Jagielski, M., Choquette-Choo, C. A., Paleka, D., Pearce, W., Anderson, H., Terzis, A., Thomas, K., & Tramèr, F. (2023). Poisoning Web-Scale Training Datasets is Practical. arxiv.org
  • Clarke, M., Dubiński, J., Chua, J., Schrodi, S., Evans, O., & Cloud, A. (2026). Homeopathic Learning: Diluting Poisoned Fine-Tuning Data Can Strengthen Its Effect. arxiv.org
  • Cloud, A., Le, M., Chua, J., Betley, J., Sztyber-Betley, A., Hilton, J., Marks, S., & Evans, O. (2026). Language Models Transmit Behavioural Traits Through Hidden Signals in Data. nature.com
  • Souly, A., Rando, J., Chapman, E., Davies, X., Hasircioglu, B., Shereen, E., Mougan, C., Mavroudis, V., Jones, E., Hicks, C., Carlini, N., Gal, Y., & Kirk, R. (2025). Poisoning Attacks on LLMs Require a Near-constant Number of Poison Samples. arxiv.org
  • Wan, A., Wallace, E., Shen, S., & Klein, D. (2023). Poisoning Language Models During Instruction Tuning. proceedings.mlr.press
  • Yanagisawa, A., Gho, B., Narender, R. R. B. M., Zhu, K., Panwar, M., & Mari, A. (2026). On Mitigation of Subliminal Learning in Large Language Models. arxiv.org