田柯宇“投毒”疑云

在播客《elsewhere别处发生》第七期节目中，主持人邀请了一位在2024年因在字节跳动模型中实施“破坏”行为而被索赔百万的当事人田柯宇。

田柯宇的个人背景相当出色：2018年考入北京航空航天大学，最初攻读材料专业，后转入软件学院。本科期间，他以第一作者身份发表了两篇NeurIPS论文。大二时开始在商汤科技实习，2021年加入字节跳动商业化技术团队实习，研究方向包括超参数优化、强化学习和视觉生成。

原本，田柯宇的前景似乎一片光明，有望成为像吴永辉、姚顺雨那样的顶尖人才。然而，令人意外的是，这位前途无量的年轻人之所以被公众所知，竟是因为“字节投毒事件”。

在字节跳动的内部通报中，他采用了一种业内称为“内部威胁”的手段。利用自身权限，他修改了字节内部的代码，从而影响了整个模型的训练过程。

这好比银行已经做好了充分的安全防护，但劫匪却是银行自己的员工，在监控下直接打开保险柜取走现金。

如今，在田柯宇亲口讲述自己的行为后，再加上他“创业融资3000万美元”的消息，整个事件再次引发争议。

一个专门梳理田柯宇“投毒事件”的网站进行了更新，声称全文经多位与田柯宇事件相关的人士确认，并附上了他们的实名个人主页。

字母榜对比了田柯宇的最新说法、该文章以及字节跳动的官方通报，发现仍存在许多疑点。

1

我们先来看田柯宇在最新播客节目中的表述。

1）动机

关于为何这样做，田柯宇否认了“缺卡”的传闻，将自己的动机解释为某种“打抱不平”，并总结为“以暴制暴”。

有传言称，他的最佳论文是在此事中通过抢夺资源完成的，他称这“纯属谣传”。

一切始于2024年组里来了一位新实习生，他称其为A。

田柯宇表示，A对其他同事实施了“软性占用”，即占用他人资源并直接终止别人的程序。至于A针对的对象，是一些性格“软”的同事，并不包括田柯宇自己。

他提到，组里曾向团队负责人反映过此事，“但没有得到解决”。

有同事临近下班时一个任务都没完成，“反正交了也会被那个A关掉”。作为“组里待得最久的实习生”，他看到团队变成这样、负责人又没有行动，便“发自内心想做点什么”。

“我用我的方式——这个方式当然是错误的——我进入对方的程序，将其卡住或关停。这样一来，他多占的资源就会被回收，其他人就能正常使用了。”

他将A称为“施暴者”，称对方的行为“已突破一定底线”。同时他也承认：“回头看，我其实也是在以暴制暴。”

他想把这一行为称为“朴素的正义”，但随即补充道，“这确实很不成熟”，“当时的确很冲动”。

耐人寻味的是，当被问及A的停止行为与他的是否类似时，田柯宇表示：“说实话不是一种行为，因为他有管理员权限，他更光明正大一些吧。”

2）做法

在节目中，田柯宇首先否认了“投毒”这一说法。他认为自己的做法不涉及攻防，而是让GPT帮他写了一个程序，用于停掉或卡住对方的程序。

他还强调，自己是手动、点状地停止了对方的程序，并非持续两个月，而是“大约10天左右，总共5次左右”。

但他随后补充：“呃……也算持续吧。但不是那种描述中日夜不停的感觉。”

在对象上，他否认自己的行为严重影响了其他实习生的研究和论文，坚称确实对A的实验造成了一些影响，但从未碰过其他人的实验。

田柯宇猜测上级领导可能因此事受到牵连，对此感到愧疚。除此之外，他“可以肯定我的行为没有影响任何其他人的研究和论文。”

3）被发现

根据田柯宇的说法，在被发现后，他的权限很快被撤销，整个系统都无法登录，包括飞书也无法使用。

主持人转述了当时流传的一种说法，即事发后他曾说是另一个人钻了漏洞，将责任推到他头上，他甚至报警称自己被造谣。

田柯宇说：“说我嫁祸他人——这完全没有，这也是我当时最不解、情绪最强烈的一句话。敢做不敢当，不是我的价值观。”

关于报警，田柯宇解释称，当时公司问他网上那些帖子是谁发的，他说不知道，想看警察能否查出是谁发的。与公司确认后，他去了警局。

他提到，2024年7月底，公司内部召开了一次有众多人参加的飞书会议。他在会上讲述了前因后果，并在结尾说：“我郑重为所有参加这次会议的人道歉。”

4）对字节和判决的态度

对于字节跳动的起诉和一审结果，田柯宇表示：诉讼是在2024年11月底提交的，公开声明是10月发布的。字节提出了两项诉求，一是800多万元的经济索赔，二是要求他公开道歉。法院一审裁定赔偿约50万元，其他诉求被驳回，目前二审仍在审理中。

“50万这个金额正好相当于我那三年的实习工资，加上公司打官司的一些法律费用。”

对于老东家以及判决结果，田柯宇强调自己并无怨言。 “我从未否认过我的行为，我在法官面前也诚恳道歉。最终的判赔我认为很公允，我也认这笔钱。”

提到字节跳动，田柯宇甚至说自己“情结”很深，曾想毕业后在字节做出一番大成就。他表示对公司怀有歉意，理解公司的严格纪律，而自己违纪了，并造成了重大舆情。

“我一直对公司说的不是‘我没错’，而是‘我不是谣言里那个大恶人’。”

5）论文与创业

事件发生的当年年底，田柯宇作为第一作者的论文VAR获得了NeurIPS 2024最佳论文奖。

对此，田柯宇说，他的第一反应并非特别开心，因为面前是巨大的舆情和诉讼，“职场已经一片灰暗了”。当时他的第一个念头是，至少可以找到一份工作，仿佛抓住了一根救命稻草。

节目最后，主持人请他发誓，说明他在这里讲的都是真的。

“当然。关于病毒，关于攻防，都是空穴来风。”

田柯宇当场发誓，如果说了假话，终身研究受挫。

2

节目发布后，社区中出现了一片质疑声。

很快，出现了一个专门梳理此事件前因后果的网页，名为《2024年字节跳动前实习生田柯宇（Tian Keyu）模型训练攻击事件：受害者陈述与证据整理》（以下简称陈述）。

这份材料基于受害者的陈述、内部记录与代码材料以及公开报道整理而成。文末列出了5位相关人士，包括Goku项目的两位共同第一作者、LlamaGen项目的第一作者，以及同期实习生。

此外，字节跳动的官方通报也是重要材料。

2024年10月19日，字节跳动发布了《关于“实习生破坏大模型训练”的事实澄清》。之后不久，11月5日，字节内部发布了年内第四份《企业纪律与职业道德委员会通报》，其中也提到了田柯宇事件。

那么，田柯宇在节目中所说的话，与这些资料相比，有哪些出入呢？

1）时间与动机

田柯宇说，是10天左右、5次左右，他将“持续两个月”当作谣言来否认。字节通报写的是6月至7月，约两个月。

而陈述中写道，最早可追溯的破坏发生在2024年3月，一直持续到7月底被发现，前后约四五个月。

田柯宇说，他的动机是看不下去A欺负同组的人，自己“从没缺过卡”。

字节通报认定的，是“因对团队资源分配不满”。

陈述进一步拆解，3月时，田柯宇的目标是LlamaGen项目。

陈述附了一段据称是田柯宇2024年3月在内部GitLab上的commit记录（代码提交记录）。

陈述中写道，当时LlamaGen还处于小规模训练阶段，使用的GPU不超过100张；LlamaGen的作者后来重新从Hugging Face下载了一份T5权重，问题随即解决，但这次异常当时没有查明原因。

彼时，团队中正式立项且需要大量GPU资源的主要是田柯宇所在的VAR text-to-image项目，并且现实情况是田柯宇非常缺算力。而LlamaGen只是一个实习生主导的研究项目。

4月，在OpenAI的Sora推出两个月后，字节启动了视频生成项目Goku。项目启动初期，VAR和Goku两个项目获得的GPU资源基本相当。6月，GPU资源开始向这个项目倾斜，新租的GPU也优先分配给该项目。

巧合的是，攻击的主要目标也在5月到7月逐渐转向了Goku。

2）做法

田柯宇的说法是，让GPT写一个程序，手动把对方的程序停掉或卡住。

字节通报的措辞是“编写、篡改代码”。

陈述中写的是直接修改训练集群中的PyTorch源代码，对随机种子、优化器和数据加载等环节进行干预；随机终止多机训练任务中的部分进程；利用checkpoint作为载体建立登录后门，让后续攻击自动触发。

例如，陈述称田柯宇直接篡改了LlamaGen训练文生图模型所需的T5模型（flan-t5-xxl）权重，向权重中混入随机噪声，再把范数恢复到原来的大小，让篡改后的张量在整体数值上与原权重保持一致。

陈述中还贴出了一段代码。2024年7月30日，团队在Docker环境里发现PyTorch的DistributedSampler被改动：原版在这里用self.seed + self.epoch作为随机种子，各进程因此得到一致的数据划分；被改动后，种子换成了纳秒级时间戳，各进程打乱数据的顺序不再一致，也无法复现。

相关安装脚本还会用sudo权限替换系统里已安装的PyTorch文件，并恢复文件的修改时间、所有者和权限信息。

陈述认为，田柯宇的说法不成立，因为这些手段的共同特点，是把人为破坏伪装成随机出现的软件故障、数值异常或基础设施问题。

3）对象和范围

田柯宇说，只动过A的程序，其他人的实验绝对没碰过。

陈述则称，受影响的是LlamaGen和Goku两个项目。并且陈述还表示，Goku从一开始就是多人协作的团队项目，而不是某一个人主导的研究项目。

所以理论上，攻击了Goku，也不可能只影响一个人。

陈述称，Goku的训练最初大约每隔一两天中断一次，随后甚至难以连续稳定运行两三个小时。再往后，loss spike频繁出现，已经无法开展任何有意义的训练实验。

在情况最严重的一两个月里，北京、上海和西雅图的团队轮流值守，24小时监控训练程序的运行，每天早晚开会交接排查工作。

4）被发现

田柯宇在节目中曾提到，被发现后他的权限很快被撤，连飞书都用不了。

但他并未具体透露自己在排查期间在做什么，以及是如何被发现的。

陈述中给出的描述非常戏剧化。

首先是排查过程中田柯宇一直“潜伏”。

田柯宇一直在Debug的沟通群里，甚至参加训练集群的日常故障排查会议。团队每天汇报新发现的异常、讨论可能的原因，而他能够直接了解这些信息，并根据同事们的排查方向，有针对性地修改攻击代码。

陈述写道，团队从来没有想到，造成问题的人可能就在参与排查的人之中。大家只是出于相互信任，才向所有相关成员开放排查过程。

其次是被发现后田柯宇曾撒谎掩盖。

2024年7月30日早上，团队成员在排查时，发现某台机器的Docker环境中，PyTorch源代码的DataLoader部分存在明显异常的代码。

团队当天上报，并检查了这台机器的登录记录。结果发现，除机器所有者外，只有田柯宇登录过。团队负责人随后向田柯宇询问，他的解释是，只是想学习一下相关代码。

因为没有找到进一步的直接证据，这件事当天被暂时搁置。

第二天，7月31日，另一名团队成员在田柯宇的个人目录下发现了大量疑似用于破坏训练系统的代码，文件名包括kill.py、nonan、raw_adamw.py、clip_grad.py等。

当天，所有参与Debug的成员放下手头的工作，集中分析这些代码，并与此前几个月出现的训练异常逐一对照。

字节安全团队随后介入，对田柯宇进行了正式问询。面对安全团队提出的问题，他的回答始终显得相当平静，仿佛只是在谈论一件与自己无关的事。

2024年8月，字节将其辞退。

5）最佳论文

田柯宇在节目中对于VAR只说明了这篇论文获奖，并未解释围绕VAR的各种疑问。

陈述指称，田柯宇负责的内部VAR文生图项目存在展示成果造假的问题。

陈述称，2024年8月，攻击事件的内部调查结束后，团队在复盘中发现，此前部署在公司内部Discord上、供同事每天测试的VAR文生图模型，并不是田柯宇声称正在训练的VAR T2I模型，而是当时已经开源的文生图模型PixArt。

为了避免同事和开源模型对比，田柯宇还在推理流程里加了一项处理：无论用户输入什么，系统都会自动在前面添加一个“City”前缀，再送入模型。整个推理流程被打包成二进制文件，交给工程师同事部署。

测试人员此前就注意到，生成图像的背景里常出现城市（city）建筑的轮廓，一直找不到原因。

陈述还称，真正的VAR T2I模型，被他的直属负责人重新检查后，发现训练状态和loss（损失值，可以粗略理解为模型训练时的“错误程度”）表现存在严重问题，远没有达到此前展示的效果。团队后来不得不重新开展相关研发，形成了Infinity项目。

因此，陈述认为，田柯宇获得NeurIPS 2024最佳论文的VAR中，存在严重的造假注水。

3

在这场争论的同时，田柯宇的新公司已经完成了融资。

10月7日，有媒体报道称，田柯宇创办的AI实验室完成了近3000万美元融资，投后估值约2亿美元。

投资方包括五源资本和IDG资本，五源资本为领投方，IDG跟投。

这个消息就在田柯宇参与播客对谈前传出，一度冲上微博热搜第二位。 因此，创业融资消息、最新对谈、“前同事盖章”的文章合力让田柯宇再次引发争议。

这家公司目前尚未公布正式品牌名称，也没有产品和公开demo。团队约10人，其中包括多名前字节员工，计划年底扩充到20人。公司的方向是世界模型，即用于预测物体运动和环境变化的模型，落地方向指向机器人、自动驾驶和交互式视频。

田柯宇对外提到，团队使用了约1亿小时的视频数据，构建了一套约20万个符号的“AI自己的语言”，完整模型预计在2027年发布。

舆论上的声音与田柯宇的“成功”错位严重。翻遍《elsewhere别处发生》这期播客节目在视频平台的评论区、X平台与微博的相关讨论，支持田柯宇的声音寥寥。

大多数讨论都在指责田柯宇对事情经过的描述，甚至感慨田柯宇如今的“成就”纯属老东家字节“心慈手软”。

人们似乎很难接受，昔日新闻中在大厂内部给模型“投毒”的“案件当事人”，如今也跻身AI创业者的行列。

陈述中专门在开头部分提到：“笔者提醒合作者与投资人审慎核实。”

截至目前，字节的上诉仍在二审中，一审判决书原文尚未公开。受害者陈述中的各项指控，也尚未见到法院的认定。陈述后列出的5名背书的前同事，目前也尚未公开回应此事。

也许还得让子弹飞一会儿。

本文来自微信公众号 “字母榜”（ID：wujicaijing），作者：苗正，36氪经授权发布。