生成式人工智能数据投毒行为的刑法治理难题与应对路径
摘 要：生成式人工智能数据投毒，是指行为人有意识地向模型训练数据中植入恶意的、虚假的或带有偏见的信息，损害数据的完整性与真实性，进而实现操控算法决策的新型网络攻击形态。相较于传统网络犯罪，数据投毒呈现三方面的实质性转变：破坏方式由物理损毁转向语义污染，导致损害结果难以量化；因果链条由可追溯陷入逻辑断裂困境；法益侵害范围扩张，由辅助性的秩序法益延伸至系统性的实体法益。由此，数据投毒行为的刑法规制面临以下难题：其一，传统数据犯罪法益保护滞后，难以覆盖数据投毒破坏算法决策进而危害数据安全的新型风险；其二，以往罪名适用基于文义解读，难以涵盖此类新型行为样态；其三，前置法规范不足致使刑事判断缺乏行政法依据；其四，多元主体参与下的刑事责任较难厘清。为破解上述难题，应构建系统化的完善路径：在法益保护方面，将数据安全法益作为独立的法益加以保护；在构成要件方面，对"控制""修改、增加、干扰""不能正常运行"等构成要件要素进行功能性解读；在行政法与刑法的衔接方面，推动前置法增设专门的禁止性规定；在归责体系方面，建立投毒行为人与平台管理人的差异化责任认定标准。
关键词：生成式人工智能；数据投毒；数据安全法益；刑事责任；刑法规制
作者简介：王平，男，法学博士，中国政法大学刑事司法学院教授、博士生导师，主要从事刑法学、犯罪学、刑事执行法学研究；刘赟，女，中国政法大学刑事司法学院博士研究生，主要从事刑法学研究。
生成式人工智能（Generative Artificial Intelligence）作为新一轮科技革命和产业变革的关键变量，已成为全球数字竞争、治理重塑与法治回应的重大议题。国务院于2017年印发《新一代人工智能发展规划》，国家互联网信息办公室等七部门于2023年发布《生成式人工智能服务管理暂行办法》（以下简称《暂行办法》），全国网络安全标准化技术委员会于2024年发布《人工智能安全治理框架》1.0版等文件，逐步形成针对人工智能算法安全、数据安全、内容安全和模型安全的治理体系。随着生成式人工智能及大语言模型（Large Language Models）的广泛运用，一种针对机器学习底层逻辑的新型网络安全威胁——数据投毒（Data Poisoning）日益猖獗，其作为一种极具隐蔽性和破坏力的新型对抗性攻击手段，已成为人工智能安全治理领域的核心挑战。2026年3月，澳大利亚信号局（ASD）牵头，联合美国国家安全局（NSA）、英国国家网络安全中心（NCSC）等七个国家的网络安全机构，发布了《人工智能与机器学习：供应链风险与缓解措施》指南，该指南明确将数据投毒、模型投毒等列为AI供应链的重要风险。2026年4月，中国国家安全部微信公众号发文，将AI"投毒"视为危害国家安全的行为。2026年5月，欧洲标准化委员会（CEN）发布了《人工智能——人工智能系统的网络安全规范（草案）》，明确要求AI系统在其生命周期中必须具备针对数据集操纵（数据投毒）、模型投毒以及对抗性攻击的预防、检测和响应技术措施。人工智能与深度学习技术在医疗、金融、自动驾驶及公共决策等高风险领域的广泛运用，正深刻改变着人类社会的运行逻辑。然而，人工智能系统的安全性已从传统的网络边界防护，实质性地向内在的数据与算法逻辑安全转移。
@ 一、生成式人工智能数据投毒的刑法规制必要性
目前，数据投毒的官方定义见于《人工智能安全治理框架》2.0版。该文件由全国网络安全标准化技术委员会、国家计算机网络应急技术处理协调中心于2025年9月发布，其将数据投毒概括为"攻击者篡改、注入错误、误导数据，'污染'模型的概率分布，进而造成准确性、可信度下降的行为"。此类风险会影响模型价值观对齐，污染模型概率分布，导致决策输出的准确性与可信度降低，甚至可能引发违法有害信息的输出。数据投毒可以分为三个阶段。
第一个阶段为攻击者在系统外完成对数据的构造和发布。具体而言，对外在数据源进行污染、标注扭曲或是对模型进行后门植入等，构造有毒的数据；然后将这些有毒数据样本发布至专业数据集仓库、公共知识库以及互联网网页等可供模型抓取的源头平台，以便数据被采集和纳入训练。
第二个阶段发生在系统的边界或接口处。攻击者利用数据导入接口、数据爬取模块、微调接口、插件或RAG等入口，将有毒的数据正式混入系统内的数据处理流程。进入系统之后，有毒数据和大量内外部的正确数据被共同进行数据预处理，然后被进行后续的加工和处理，接着进入模型预处理环节、模型训练和微调环节。与此同时，模型被植入后门触发器，从而成为中毒的目标。
第三个阶段为输出失真结果。当这些有毒数据开始运行时，攻击效果便能够展现出来。在常规的安全检测之下，模型的表现正常；但当输入内容中包含攻击者预设的特定触发器时，模型便会按照预先注入的有毒内容产生错误、有害或带有偏见的内容。至此，数据投毒便完成了从外部数据到内部模型的操作，并输出失真结果的完整过程。
（一）生成式人工智能数据投毒的行为类型
在生成式人工智能的技术链条中，数据投毒并非单一、静态的行为模式，而是依据介入节点的不同呈现出阶梯式的技术内容。数据投毒的本质是对人工智能模型学习机制的恶意操纵，其攻击面贯穿于模型生命周期的多个关键节点。
（1）数据源污染。数据源污染发生于人工智能系统对外部系统的数据收集和预训练阶段，其本质是通过向训练数据中注入虚假或带有偏见的信息，破坏系统认知基础的完整性。例如，微软早年推出的聊天机器人Tay上线数小时后，因吸收推特用户恶意投喂的极端言论而成为纳粹支持者，即为这一攻击形态的典型例证。近期，2026年"3·15"晚会上曝光的运用GEO优化系统散布大量虚假文章的情形也较为典型，这些虚假文章最终进入污染的恶性循环链条。行为人正是利用海量公开数据易被采集和吸收的特征，投放大量有毒数据，这些数据经过反复训练之后，便会对其他数据产生影响和误导，从而为不法分子牟利或者进行其他违法犯罪活动提供可乘之机。
（2）数据标注扭曲。在数据标注环节，攻击者利用众包平台的审核漏洞或内部人员权限，对特定样本进行恶意评分或标注，直接污染引导系统演化方向的奖励模型。例如，在自动驾驶场景中，行为人通过注入恶意样本将停止标志故意标注为限速标志，直接影响了系统对真实情况的判断，而模型会将学习到的本应该是停止标志的内容识别为限速标志。这发生在系统学习的源头，被污染的结果被输出后会导致误判，从而可能引发严重交通事故。
（3）模型后门植入。模型后门植入是数据投毒中最为隐蔽的攻击形式。攻击者在系统训练阶段，将特定的特征（比如一段隐蔽的像素点或者一个生僻的词语）和已经预设的输出指令强行绑定。被植入后门的系统在处理绝大多数常规任务时表现完全正常，其缺陷无法通过常规的安全检测被识别出来。这种攻击形态的危险性在于其高度隐蔽性与潜伏性，系统表面上正常运行，实则已被暗中操控。从刑事责任的角度看，其主观恶性与客观危害均达到较高程度。
值得注意的是，前述污染形态分别发生在数据准备、模型训练和系统部署阶段，而部署后的持续污染是前述三种形态均未充分覆盖的攻击类型。部署后的持续污染主要利用用户交互、反馈系统或增量学习机制实施，其特点是攻击行为发生在模型上线之后，通过持续的用户输入或反馈操纵实现模型行为的持续操作。
（二）生成式人工智能数据投毒的刑事风险
生成式人工智能数据投毒所引发的刑事风险呈现出比传统犯罪更为严峻复杂的介入态势。攻击者利用模型对数据的依赖，通过操控数据分布诱导算法逻辑异化，破坏系统决策的客观性。这种攻击能诱发隐蔽的后门或自动化攻击，极易从虚拟空间向现实世界的网络安全、数据安全、个人信息安全乃至公共安全领域延伸，具备造成严重实害结果的极高风险性。数据投毒所呈现的实质性变化，在破坏方式、归责路径和法益侵害等方面，均对传统网络犯罪的刑法评价体系构成了根本性挑战。
1.破坏方式的质变：从显性功能的物理破坏到语义污染的隐性控制，加大了刑事防控的识别难度
传统网络犯罪的刑事风险形态主要表现为对信息网络的物理性破坏或功能性阻断，如删除数据、造成系统瘫痪等。这类行为手段显性，危害结果即时发生，司法机关容易通过技术勘验锁定犯罪行为。相比之下，数据投毒的攻击者并未破坏系统的软硬件结构，而是通过在训练数据中注入语义恶意的"合法"数据，对算法的语义理解与决策逻辑进行隐性操控。卡内基梅隆大学（CMU SEI）的研究指出，攻击者仅需篡改0.1%的训练样本（例如50000张图像中的50张），便能完全攻破特定图像识别模型的防御体系。这种攻击导致风险形态发生质变：一是危害行为高度隐匿；二是危害后果测量困难。此类攻击只需操作模型预训练数据集的微量内容，就足以发起有效的数据毒化攻击，使得刑事介入的时机难以把握，防控难度大幅提升。
2.归责路径的差异：从因果关系的直接对应到逻辑链条的结构性断裂，挑战传统刑法的归责基础
在传统网络犯罪中，行为人的攻击行为与危害结果之间通常存在直观的、线性的因果关系，符合刑法传统的归责逻辑。然而数据投毒犯罪利用深度学习算法的"黑箱"属性和供应链的复杂性，切断了传统刑法"行为—结果"的因果链条。在智能医疗领域，哈佛大学与麻省理工学院的实证研究显示，针对医学影像诊断模型的对抗性数据投毒，仅需注入不到1%的干扰样本，即可将肺癌或视网膜病变的误诊率提升至90%以上，这体现了数据投毒行为跨越虚拟边界，直接对公民生命健康权构成具体危害。这些被污染的数据可能会被多家医疗机构使用，而基于这些数据训练出的源头模型，又可能衍生出数百个AI诊断模型。这种归责路径的结构性断裂，使得证明行为人主观故意与客观危害结果之间的联系变得极为困难，严重阻滞了刑事追责的有效介入。
3.法益侵害范围的扩大：从辅助性的秩序法益到系统性的实体法益，凸显刑事保护的法益升级
传统刑法理论将计算机犯罪所侵害的法益定位于计算机信息系统安全，这一法益在罪刑结构的开放化扩张中逐渐呈现出手段化与辅助性的特征。而数据投毒犯罪通过篡改算法决策逻辑，将刑事风险直接投射至数据安全甚至是生命健康、公共安全及意识形态等实体法益领域，实现了从侵害"手段法益"到侵害"目的法益"的跨越。欧盟网络安全局（ENISA）的报告指出，数据投毒已被列为最高级别的物理安全威胁；在自动驾驶等赛博物理系统中，对自动驾驶路标识别模型实施占比仅为0.5%的毒化攻击，即可导致车辆对"停止"等关键指令的识别率骤降，车辆失控或碰撞的风险将飙升超30%，直接构成对公共安全的实质性威胁。此外，针对金融风控与舆论大模型的语义投毒，能够引发系统性金融风险或意识形态危机。这种法益侵害范围的指数级扩张表明数据投毒已不再是单纯的技术问题，而是具有极高社会危害性的刑事风险，亟须推动刑法保护重心前移并加大打击力度。
@ 二、生成式人工智能数据投毒刑法规制的困境
面对数据投毒引发的严峻风险和不断加剧的法益侵害，我国现行刑法体系及配套的前置法律规范在规制数据投毒行为时，显现出显著的滞后性与局限性。无论是既有罪名保护法益的供给、传统计算机犯罪罪名的构成要件符合性判断，还是刑法与前置法的衔接机制，抑或是复杂技术场景下多元主体的责任界定，均存在适用困境。
（一）既有罪名保护法益的供给不足
生成式人工智能数据投毒的刑法适用困境，核心在于现行法益保护体系与新型风险特征的错位。尽管学界已就数据安全法益的独立性达成一定共识，并主张其涵盖数据完整性与使用秩序的双重内涵；但是在司法实践中，这一法益的独立地位尚未得到充分确立。目前《中华人民共和国刑法》（以下简称《刑法》）第二百八十五条侧重于数据的保密性，第二百八十六条则主要聚焦于计算机信息系统的运行安全及数据的静态真实性、完整性。然而，数据投毒行为并未破坏计算机信息系统的物理运行或泄露数据，而是通过注入恶意样本污染数据分布，导致算法逻辑异化与决策失真。这种攻击手段所侵害的数据可用性与算法决策秩序，实质上处于传统计算机信息系统犯罪保护法益的真空地带。由于缺乏对数据动态安全与算法逻辑可信度的专门保护条款，司法实践面临定性难、归责难的尴尬境地，无法有效回应数据投毒所带来的严重刑事风险。
（二）传统计算机犯罪罪名的适用困境
《刑法》关于计算机信息系统犯罪的有关规定主要是第二百八十五条和第二百八十六条。在司法实务中，针对通过网络手段操控他人计算机资源的行为，通常适用上述条款所规定的非法控制计算机信息系统罪、破坏计算机信息系统罪等罪名进行规制。然而，若将上述罪名直接套用于生成式人工智能中的数据投毒行为，在构成要件上并不完全适配。
首先，适用非法控制计算机信息系统罪时存在的问题。《刑法》第二百八十五条第二款的核心在于获取计算机信息系统的"控制权"，即突破系统的安全防护，对系统实施排他性的支配。然而，数据投毒行为往往通过开放的API接口、开源社区或公共数据池投入具有误导性或破坏性的数据，即通过外部数据源对系统进行间接操控，实际上并未突破系统认证机制或获取Root权限，从而无法对系统实施实质性控制。系统被投毒后，AI大模型仍在平台管理人的完全技术控制之下运行，平台并没有丧失关停、维护以及算力运行的权限，只是模型内部的数据或者模型自身的认知和导向已经发生错误。因此，无法以非法控制计算机信息系统罪对数据投毒行为进行规制。
其次，相较于非法控制计算机信息系统罪，适用《刑法》第二百八十六条规定的破坏计算机信息系统罪似乎是打击数据投毒的另一条更具可行性的路径。《刑法》第二百八十六条第一款明确将对计算机信息系统功能进行"删除、修改、增加、干扰"的行为作为实行行为，并将"造成计算机信息系统不能正常运行，后果严重"作为入罪的门槛与结果要件；第二款更是直接将针对数据进行"删除、修改、增加"的行为规定为实行行为。不过，该路径也存在以下认定难点。
第一，实行行为的偏离。一方面，传统解释对于《刑法》第二百八十六条第一款中"删除、修改、增加、干扰"中"干扰"的解释存在疑问。虽然有学者主张可将数据投毒行为理解为对计算机信息系统功能的"干扰"，即对数据的范围作包含外部数据和内部数据的扩张解释；但是多数学者主张对此作限缩解释。另一方面，该条第二款虽然明确针对的是对数据的操作，但是其中"删除、修改、增加"通常被理解为对计算机信息系统中既有的数据进行的物理性操作；而数据投毒显然是对外部系统中的数据进行修改或标注，被修改或标注的数据在物理存储或代码结构上可以是完全正常的。
第二，"造成计算机信息系统不能正常运行"或"影响计算机系统正常运行"的认定困境。根据《刑法》第二百八十六条第一款和第三款的规定，传统认定中二者一般指向系统死机、宕机等物理瘫痪状态。例如，在2017年最高人民检察院第九批指导性案例（第33号李某龙破坏计算机信息系统案，第35号曾某亮、王某生破坏计算机信息系统案）中，行为人致使网站长达四小时无法正常运行，或是通过修改手机登录密码远程锁定智能手机，使之成为无法开机的"僵尸机"。但系统被投毒后并不会出现此类物理瘫痪的结果，而是存在数据输出错误的问题。即使在模型后门植入这一数据投毒方式中，问题也仅在于当输入特定触发词时，系统才会表现出定向的错误，这是否构成"造成计算机信息系统不能正常运行"或"影响计算机系统正常运行"，还需进一步探讨。
第三，"后果严重"的定量标准失灵。《刑法》第二百八十六条三个条款均将"后果严重"作为入罪标准，根据《最高人民法院、最高人民检察院关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》（以下简称《办理计算机案件解释》）的规定，入罪门槛依赖"造成十台以上计算机信息系统的主要软件或者硬件不能正常运行""违法所得五千元以上"等标准。然而，数据投毒所造成的损害具有间接性、传导性和不可逆性，受污染的数据量与无法运行的计算机数量并不对应，且开源、免费模型及数据的直接经济损失也难以量化，更严重的是其潜在危害巨大，甚至具有毁灭性。因此，传统定量标准在面对海量训练数据时存在根本性适用障碍。
（三）前置法规范与刑法的衔接困境
《刑法》第二百八十六条明确将"违反国家规定"作为破坏计算机信息系统罪的构成要件要素。然而，在AI时代，行政法与刑法交叉的问题凸显了规范衔接的失灵。
首先，行政监管规则的规范空白与滞后性。我国近年先后颁布了《中华人民共和国网络安全法》（以下简称《网络安全法》）、《中华人民共和国数据安全法》（以下简称《数据安全法》）、《中华人民共和国个人信息保护法》（以下简称《个人信息保护法》），并专门针对AI技术出台了《暂行办法》，但细究其规范重心，可发现存在明显的结构性偏移：其规范重心一方面大量倾注于大模型生成内容的安全性与合规性（后端的输出审查），另一方面则聚焦于获取个人信息或知识产权数据