田柯宇“投毒”疑云

“关于病毒，关于攻防，都是空穴来风。”“（如果我说了假话）终生研究受挫。”

在播客《elsewhere别处发生》的第七期节目中，主持人邀请了2024年因在字节模型中“投毒”而被字节索赔百万的田柯宇。

田柯宇的履历很亮眼，2018年考入北航，先读材料，后转入软件学院。

本科期间两篇NeurIPS一作论文。大二起在商汤实习。随后到了2021年，进入字节商业化技术团队实习，参与超参数优化、强化学习、视觉生成研究。

田柯宇面前，似乎已经铺好了一条通往吴永辉、姚顺雨式的金光大道，但出乎意料的是，这个前途无限的年轻人为世人所知，居然是由于“字节投毒事件”。

在字节的通报中，他使用的是一种在行业内被叫作内部威胁（insider threat）的手段。通过自身权限，从字节内部修改了代码，进而影响了整个模型训练。

这就相当于银行做足了充分的安全准备，结果抢匪竟是银行自己的员工，就在监控眼皮底下从保险柜里拿钱跑路。

如今在田柯宇亲口讲述他自己所作所为之后，再叠加其“创业融资3000万美元”的消息，整个事件再掀争议。

一个专门整理田柯宇“投毒事件”的网站更新，声称全文经过多名田柯宇事件关联者的确认，并悉数附上了其实名个人主页。

字母榜（ID：wujicaijing）对比了田柯宇的最新说法和这篇文章以及当初字节的通报，发现仍有很多疑点。

A

我们先来看看田柯宇在最新的播客节目中的说法。

1）动机

关于为什么要这么做，田柯宇否认了“缺卡”传闻，将自己的动机解释为某种打抱不平、总结为“以暴制暴”。

有传言称，他的最佳论文是在这件事里抢夺资源完成的，他称之为“纯属谣传”。

一切都是从2024年组里来了一位新实习生开始的。他称这个人为A。

田柯宇的说法是，A对其他同事发起“软性占用”，占用他人资源并直接停止别人的程序。 至于A针对的对象，是一些性子“软”的同事，并不包括田柯宇自己。

他表示这件事组里向leader反馈过，“但没有得到解决”。

曾有同事临近下班一个任务都没交，“反正交了也会被那个 A 关掉”，自己作为“那个组待的时间最长的实习生”，看到团队变成这样、leader又没有站出来解决，他“发自内心想做点什么”。

“我用我的方式——这个方式当然是错误的——我进入了对方的程序，把他的卡住或关停。这样一来他超额的资源就会被收回，其他人就能正常使用了。”

他把A称作“施暴者”，说对方的行为“已经突破一定底线”。同时他也承认：“回头来看，我其实也是以暴制暴。”

他想把当时的举动叫作“朴素的正义”，但随即补充，“的确是很不成熟的”，“当时的确很冲动”。

值得玩味的是，当被问到A的停止行为和他的行为是不是类似时，田柯宇表示：“说实话不是一种行为，因为他有管理员权限，他更光明正大一些吧。”

2）做法

在节目里，田柯宇最先否认的，是“投毒”这个说法。他认为自己的手法不涉及攻防，是让 GPT 帮他写了一个程序，让程序停掉或卡住。

他还强调，自己是手动、点状地停掉了对方的程序，完全没有持续两个月之说，而是“大概10天左右的时间里，总共5次左右。”

但随后补充：“呃……也算持续吧。但不是那种描述里日以继夜的感觉。”

在对象上，他否认了自己的行为严重影响了其他实习生的研究和论文的说法，坚称确实对A的实验造成了一些影响，但是其他人的实验绝对没碰过。

田柯宇猜测上级领导多少会因为这件事受到一些牵连，为此很愧疚，除此之外，他“可以肯定我的行为没有影响任何其他人的研究和论文。”

3）被发现

根据田柯宇的说法，被发现后，自己的权限很快被撤，整个系统都无法登录，包括飞书都无法使用。

主持人转述了当时流传的一种说法，即事发后他曾说是另一个人钻了漏洞，把责任推到了他头上，他甚至报警说自己被造谣。

田柯宇说：“说我嫁祸其他人——这是完全没有的，也是我当时最不解，以及情绪最强烈的一句话。敢做不敢当，不是我的价值观。”

关于报警，田柯宇解释称当时公司找到他问网上那些帖子是谁发的，他说不知道，想看警察能不能查出是谁发的，和公司确认后，他去报了警。

他提到，2024年7月底，公司内部开了一个有很多人参加的飞书会议，他在会上把前因后果都讲了，并在结尾说：“我郑重为所有参加这个会议的人道歉。”

4）对字节和判决的态度

对于字节的起诉和一审结果，田柯宇的说法是：诉讼是2024年11月底提交的，公开声明是10月发的。字节有两个诉请，一个是800多万元的经济索赔，另一个是要求他公开道歉。法院一审酌定赔偿50万元左右，其他诉请都被驳回，目前二审仍在审理。

“50万这个金额正好等于是我那三年的实习工资，加上公司打官司的一些法律支出。”

对于老东家以及这个判决结果，田柯宇都强调自己并无怨言。“我从来没否认过我的行为，我当着法官也是诚恳道歉的，最后的判赔我觉得很公允，我也认这个钱。”

提到字节，田柯宇甚至说自己“情结”很深，曾经也想毕业后在字节做出一番大成就。并说对公司怀有歉意，理解公司的严明纪律，而自己违纪了，且造成了重大舆情。

“我一直跟公司说的都不是‘我没错’，而是‘我不是谣言里那个大恶人’。”

5）论文与创业

事件发生的当年年底，田柯宇作为第一作者的论文VAR获得了NeurIPS 2024最佳论文。

对此，田柯宇说自己第一反应并没有多开心，因为面前是巨大的舆情和诉讼，“职场已经一片灰暗了”。当时他的第一个念头是，至少可以找份工作，好像抓住了一根救命稻草。

节目的最后，主持人请他发个誓，说明自己在这里讲的都是真的。

“当然。关于病毒，关于攻防，都是空穴来风。”

田柯宇当场发誓，假如说了假话，终生研究受挫。

B

节目发布后，社区里出现一片质疑声。

很快，出现一个专门整理该事件前因后果的网页，名为《2024年字节跳动前实习生田柯宇（Tian Keyu）模型训练攻击事件：受害者陈述与证据整理》（下文简称陈述）。

这份材料依据受害者的陈述、内部记录与代码材料及公开报道整理而成，文末列出了5位相关人士，其中包括Goku项目的两位共同第一作者、LlamaGen项目的第一作者，以及同期实习生。

此外，字节的官方通报也是重要的材料。

2024年10月19日，字节跳动发布《关于“实习生破坏大模型训练”的事实澄清》，之后不久的11月5日，字节内部发布年内第四份《企业纪律与职业道德委员会通报》，其中也提到了田柯宇事件。

那么田柯宇在节目中所说的话，和这些资料相比，到底有哪些出入呢？

1）时间与动机

田柯宇说，是10天左右、5次左右，他把“持续两个月”当作谣言来否认。字节通报写的是6月至7月，约两个月。

而陈述里写道，最早可追溯的破坏发生在2024年3月，一直持续到7月底被发现，前后约四五个月。

田柯宇说，他的动机是看不下去A欺负同组的人，自己“从没缺过卡”。

字节通报认定的，是“因对团队资源分配不满”。

陈述继而拆解，3月时，田柯宇的目标是LlamaGen项目。

陈述附了一段据称是田柯宇2024年3月在内部GitLab上的commit 记录（代码提交记录）。

陈述中写道，当时LlamaGen还处于小规模训练阶段，使用的GPU不超过100张；LlamaGen的作者后来重新从Hugging Face下载了一份 T5权重，问题随即解决，但这次异常当时没有查明原因。

彼时，团队中正式立项且需要大量 GPU 资源的主要是田柯宇所在的 VAR text-to-image 项目，并且现实情况是田柯宇非常缺算力。而LlamaGen 只是一个实习生主导的研究项目。

4月，在OpenAI的Sora推出两个月后，字节启动视频生成项目Goku，项目启动初期，VAR 和 Goku 两个项目获得的 GPU 资源基本相当。6月，GPU资源开始向这个项目倾斜，新租的GPU也优先分配给该项目。

巧的是，攻击的主要目标也在5月到7月逐渐转向了Goku。

2）做法

田柯宇的说法是，让GPT写一个程序，手动把对方的程序停掉或卡住。

字节通报的措辞是“编写、篡改代码”。

陈述里写的是直接修改训练集群里的PyTorch源代码，对随机种子、优化器和数据加载等环节进行干预；随机终止多机训练任务中的部分进程；利用checkpoint作为载体建立登录后门，让后续攻击自动触发。

比如陈述称田柯宇直接篡改了LlamaGen训练文生图模型所需的 T5模型（flan-t5-xxl）权重，向权重里混入随机噪声，再把范数恢复到原来的大小，让篡改后的张量在整体数值上与原权重保持一致。

陈述中还贴出了一段代码。2024年7月30日，团队在Docker环境里发现PyTorch的DistributedSampler被改动：原版在这里用self.seed + self.epoch做随机种子，各进程因此得到一致的数据划分；被改动后，种子换成了纳秒级时间戳，各进程打乱数据的顺序不再一致，也无法复现。

相关安装脚本还会用sudo权限替换系统里已经安装的PyTorch文件，并恢复文件的修改时间、所有者和权限信息。

陈述认为，田柯宇的说法不成立，因为这些手段的共同特点，是把人为破坏伪装成随机出现的软件故障、数值异常或基础设施问题。

3）对象和范围

田柯宇说，只动过A的程序，其他人的实验绝对没碰过。

陈述则称，受影响的是LlamaGen和Goku两个项目，并且陈述还表示，Goku从一开始就是多人协作的团队项目，而不是某一个人主导的研究项目。

所以理论上攻击了Goku，也不可能只影响一个人。

陈述称，Goku的训练最初大约每隔一两天中断一次，随后甚至难以连续稳定运行两三个小时，再往后，loss spike频繁出现，已经无法开展任何有意义的训练实验。

在情况最严重的一两个月里，北京、上海和西雅图的团队轮流值守，24小时监控训练程序的运行，每天早晚开会交接排查工作。

4）被发现

田柯宇在节目中曾提到，被发现后自己的权限很快被撤，连飞书都用不了。

但他并未具体透露自己在排查期间在做什么，以及是如何被发现的。

陈述当中给出的描述非常戏剧化。

首先是排查过程中田柯宇一直“潜伏”。

田柯宇一直在Debug的沟通群里，甚至参加训练集群的日常故障排查会议。团队每天汇报新发现的异常、讨论可能的原因，而他能够直接了解这些信息，并根据同事们的排查方向，有针对性地修改攻击代码。

陈述写道，团队从来没有想到，造成问题的人可能就在参与排查的人之中。大家只是出于相互信任，才向所有相关成员开放排查过程。

其次是被发现后田柯宇曾撒谎掩盖。

2024年7月30日早上，团队成员在排查时，发现某台机器的Docker环境中，PyTorch源代码的DataLoader部分存在明显异常的代码。

团队当天上报，并检查了这台机器的登录记录。结果发现，除机器所有者外，只有田柯宇登录过。团队Leader随后向田柯宇询问，他的解释是，只是想学习一下相关代码。

因为没有找到进一步的直接证据，这件事当天被暂时搁置。

第二天，7月31日，另一名团队成员在田柯宇的个人目录下发现了大量疑似用于破坏训练系统的代码，文件名包括kill.py、nonan、raw_adamw.py、clip_grad.py等。

当天，所有参与Debug的成员放下手头的工作，集中分析这些代码，并与此前几个月出现的训练异常逐一对照。

字节安全团队随后介入，对田柯宇进行了正式问询。面对安全团队提出的问题，他的回答始终显得相当平静，仿佛只是在谈论一件与自己无关的事。

2024年8月，字节将其辞退。

5）最佳论文

田柯宇在节目中对于VAR只说明了这篇论文获奖，并未解释围绕VAR的各种疑问。

陈述指称，田柯宇负责的内部VAR文生图项目存在展示成果造假的问题。

陈述称，2024年8月，攻击事件的内部调查结束后，团队在复盘中发现，此前部署在公司内部Discord 上、供同事每天测试的VAR文生图模型，并不是田柯宇声称正在训练的VAR T2I模型，而是当时已经开源的文生图模型PixArt。

为了避免同事和开源模型对比，田柯宇还在推理流程里加了一项处理：无论用户输入什么，系统都会自动在前面添加一个“City”前缀，再送入模型。整个推理流程被打包成二进制文件，交给工程师同事部署。

测试人员此前就注意到，生成图像的背景里常出现城市（city）建筑的轮廓，一直找不到原因。

陈述还称，真正的VAR T2I模型，被他的直属负责人重新检查后，发现训练状态和loss（损失值，可以粗略理解为模型训练时的“错误程度”）表现存在严重问题，远没有达到此前展示的效果，团队后来不得不重新开展相关研发，形成了Infinity项目。

因此陈述认为，田柯宇获得NeurIPS 2024最佳论文的VAR中，存在严重的造假注水。

C

在这场争论的同时，田柯宇的新公司，已经完成了融资。

10月7日，有媒体报道称，田柯宇创办的AI实验室完成了近3000万美元融资，投后估值约2亿美元。

投资方包括五源资本和IDG资本，五源资本为领投方，IDG跟投。

这个消息就在田柯宇参与播客对谈前传出，一度冲上微博热搜第二位。也因此，创业融资消息、最新对谈、“前同事盖章”的文章合力让田柯宇再次掀起争议。

这家公司目前尚未公布正式品牌名称，也没有产品和公开demo。团队约10人，其中包括多名前字节员工，计划年底扩充到20人。公司的方向是世界模型，即用于预测物体运动和环境变化的模型，落地方向指向机器人、自动驾驶和交互式视频。

田柯宇对外提到，团队使用了约1亿小时的视频数据，构建了一套约20万个符号的“AI自己的语言”，完整模型预计在2027年发布。

舆论上的声音与田柯宇的“成功”错位严重。翻遍《elsewhere别处发生》这期播客节目在视频平台的评论区、X平台与微博的相关讨论，支持田柯宇的声音寥寥。

大多数讨论都在指责田柯宇对事情经过的描述，甚至感慨田柯宇如今的“成就”纯属老东家字节“心慈手软”。

人们似乎很难接受，昔日新闻中在大厂内部给模型“投毒”的“案件当事人”，如今也跻身AI创业者的行列。

陈述中专门在开头部分提到：“笔者提醒合作者与投资人审慎核实。”

截至目前，字节的上诉仍在二审中，一审判决书原文尚未公开。受害者陈述中的各项指控，也尚未见到法院的认定。陈述后列出的5名背书的前同事，目前也尚未公开回应此事。

也许还得让子弹飞一会儿。