田柯宇“投毒”疑云

“关于病毒，关于攻防，这些都是没有根据的说法。”“（如果我说的不是真话）我的学术生涯就会彻底结束。”

在播客《elsewhere别处发生》的第七期里，主持人请来了田柯宇——这位在2024年因在字节跳动的模型中实施破坏行为而被公司索赔百万的当事人。

田柯宇的背景相当出色，2018年进入北京航空航天大学，最初学习材料科学，后来转到软件学院。

本科期间，他发表了两篇作为第一作者的NeurIPS论文。从大二开始，他在商汤科技实习。到了2021年，他加入字节跳动的商业化技术团队实习，专注于超参数优化、强化学习和视觉生成方面的研究。

田柯宇的前途似乎一片光明，仿佛已经踏上了像吴永辉、姚顺雨那样的成功之路，但令人意外的是，这位前途无量的年轻人之所以被公众所知，竟然是因为“字节投毒事件”。

根据字节跳动的内部通报，他采用了一种被行业称为“内部威胁”的手段。他利用自己的权限，在字节内部修改了代码，从而对整个模型训练过程产生了影响。

这就像银行做好了充分的安全措施，结果抢劫犯竟然是银行自己的员工，就在监控摄像头的注视下，从保险柜里拿走钱然后逃走。

如今，在田柯宇亲自讲述了自己的所作所为之后，再加上他“创业融资3000万美元”的消息，整个事件再次引发了争议。

一个专门整理田柯宇“投毒事件”的网站进行了更新，声称全文经过多位与事件相关的人员确认，并且都附上了他们的实名个人主页。

字母榜对比了田柯宇的最新说法、这篇文章以及字节跳动最初的通报，发现仍然存在许多疑点。

1

我们先来看看田柯宇在最新播客节目中的说法。

1）动机

关于他这么做的原因，田柯宇否认了“缺卡”的传闻，将自己的动机解释为某种打抱不平，总结为“以暴制暴”。

有传言称，他的最佳论文是在这件事中通过抢夺资源完成的，他称之为“纯属谣传”。

一切始于2024年组里来了一位新实习生。他称此人为A。

田柯宇声称，A对其他同事实施了“软性占用”，即占用他人资源并直接停止别人的程序。至于A针对的对象，是那些性格比较“软”的同事，并不包括田柯宇自己。

他表示这件事组里曾向领导反映过，“但没有得到解决”。

曾有同事临近下班时一个任务都没完成，“反正交了也会被那个A关掉”，他作为“那个组里待的时间最长的实习生”，看到团队变成这样，而领导又没有站出来解决，他“发自内心想做点什么”。

“我用我的方式——这种方式当然是错误的——我进入了对方的程序，把他的程序卡住或停掉。这样他超额的资源就会被收回，其他人就能正常使用了。”

他把A称为“施暴者”，说对方的行为“已经突破一定底线”。同时他也承认：“回过头来看，我其实也是以暴制暴。”

他想把当时的举动叫作“朴素的正义”，但随即补充道，“的确是很不成熟的”，“当时的确很冲动”。

值得玩味的是，当被问到A的行为和他的行为是否类似时，田柯宇表示：“说实话不是一种行为，因为他有管理员权限，他更光明正大一些吧。”

2）做法

在节目里，田柯宇最先否认的是“投毒”这个说法。他认为自己的手法不涉及攻防，是让GPT帮他写了一个程序，用来停掉或卡住对方的程序。

他还强调，自己是手动、点状地停掉了对方的程序，完全没有持续两个月之说，而是“大概10天左右的时间里，总共5次左右。”

但随后补充：“呃……也算持续吧。但不是那种描述里日以继夜的感觉。”

在对象上，他否认了自己的行为严重影响了其他实习生的研究和论文的说法，坚称确实对A的实验造成了一些影响，但其他人的实验绝对没碰过。

田柯宇猜测上级领导多少会因这件事受到一些牵连，为此感到很愧疚，除此之外，他“可以肯定我的行为没有影响任何其他人的研究和论文。”

3）被发现

根据田柯宇的说法，被发现后，他的权限很快被撤销，整个系统都无法登录，包括飞书都无法使用。

主持人转述了当时流传的一种说法，即事发后他曾说是另一个人钻了漏洞，把责任推到了他头上，他甚至报警说自己被造谣。

田柯宇说：“说我嫁祸其他人——这是完全没有的，也是我当时最不解，以及情绪最强烈的一句话。敢做不敢当，不是我的价值观。”

关于报警，田柯宇解释说当时公司找到他询问网上那些帖子是谁发的，他说不知道，想看警察能不能查出是谁发的，和公司确认后，他去报了警。

他提到，2024年7月底，公司内部开了一个有很多人参加的飞书会议，他在会上把前因后果都讲了，并在结尾说：“我郑重为所有参加这个会议的人道歉。”

4）对字节和判决的态度

对于字节的起诉和一审结果，田柯宇的说法是：诉讼是2024年11月底提交的，公开声明是10月发的。字节有两个诉求，一个是800多万元的经济索赔，另一个是要求他公开道歉。法院一审酌情判决赔偿50万元左右，其他诉求都被驳回，目前二审仍在审理。

“50万这个金额正好等于我那三年的实习工资，加上公司打官司的一些法律支出。”

对于老东家以及这个判决结果，田柯宇都强调自己并无怨言。“我从来没有否认过我的行为，我在法官面前也是诚恳道歉的，最后的判赔我觉得很公允，我也认这个钱。”

提到字节，田柯宇甚至说自己“情结”很深，曾经也想毕业后在字节做出一番大成就。并说对公司怀有歉意，理解公司的严明纪律，而自己违纪了，并且造成了重大舆情。

“我一直跟公司说的都不是‘我没错’，而是‘我不是谣言里那个大恶人’。”

5）论文与创业

事件发生的当年年底，田柯宇作为第一作者的论文VAR获得了NeurIPS 2024最佳论文。

对此，田柯宇说自己第一反应并没有多开心，因为面前是巨大的舆情和诉讼，“职场已经一片灰暗了”。当时他的第一个念头是，至少可以找份工作，好像抓住了一根救命稻草。

节目的最后，主持人请他发个誓，说明自己在这里讲的都是真的。

“当然。关于病毒，关于攻防，都是空穴来风。”

田柯宇当场发誓，假如说了假话，终生研究受挫。

2

节目发布后，社区里出现了一片质疑声。

很快，出现了一个专门整理该事件前因后果的网页，名为《2024年字节跳动前实习生田柯宇（Tian Keyu）模型训练攻击事件：受害者陈述与证据整理》（下文简称陈述）。

这份材料根据受害者的陈述、内部记录与代码材料以及公开报道整理而成，文末列出了5位相关人士，其中包括Goku项目的两位共同第一作者、LlamaGen项目的第一作者，以及同期实习生。

此外，字节的官方通报也是重要的材料。

2024年10月19日，字节跳动发布《关于“实习生破坏大模型训练”的事实澄清》，之后不久的11月5日，字节内部发布了年内第四份《企业纪律与职业道德委员会通报》，其中也提到了田柯宇事件。

那么田柯宇在节目中所说的话，和这些资料相比，到底有哪些出入呢？

1）时间与动机

田柯宇说，是10天左右、5次左右，他把“持续两个月”当作谣言来否认。字节通报写的是6月至7月，约两个月。

而陈述里写道，最早可追溯的破坏发生在2024年3月，一直持续到7月底被发现，前后约四五个月。

田柯宇说，他的动机是看不下去A欺负同组的人，自己“从没缺过卡”。

字节通报认定的，是“因对团队资源分配不满”。

陈述继而拆解，3月时，田柯宇的目标是LlamaGen项目。

陈述附了一段据称是田柯宇2024年3月在内部GitLab上的commit记录（代码提交记录）。

陈述中写道，当时LlamaGen还处于小规模训练阶段，使用的GPU不超过100张；LlamaGen的作者后来重新从Hugging Face下载了一份T5权重，问题随即解决，但这次异常当时没有查明原因。

彼时，团队中正式立项且需要大量GPU资源的主要是田柯宇所在的VAR text-to-image项目，并且现实情况是田柯宇非常缺算力。而LlamaGen只是一个实习生主导的研究项目。

4月，在OpenAI的Sora推出两个月后，字节启动了视频生成项目Goku，项目启动初期，VAR和Goku两个项目获得的GPU资源基本相当。6月，GPU资源开始向这个项目倾斜，新租的GPU也优先分配给该项目。

巧的是，攻击的主要目标也在5月到7月逐渐转向了Goku。

2）做法

田柯宇的说法是，让GPT写一个程序，手动把对方的程序停掉或卡住。

字节通报的措辞是“编写、篡改代码”。

陈述里写的是直接修改训练集群里的PyTorch源代码，对随机种子、优化器和数据加载等环节进行干预；随机终止多机训练任务中的部分进程；利用checkpoint作为载体建立登录后门，让后续攻击自动触发。

比如陈述称田柯宇直接篡改了LlamaGen训练文生图模型所需的T5模型（flan-t5-xxl）权重，向权重里混入随机噪声，再把范数恢复到原来的大小，让篡改后的张量在整体数值上与原权重保持一致。

陈述中还贴出了一段代码。2024年7月30日，团队在Docker环境里发现PyTorch的DistributedSampler被改动：原版在这里用self.seed + self.epoch做随机种子，各进程因此得到一致的数据划分；被改动后，种子换成了纳秒级时间戳，各进程打乱数据的顺序不再一致，也无法复现。

相关安装脚本还会用sudo权限替换系统里已经安装的PyTorch文件，并恢复文件的修改时间、所有者和权限信息。

陈述认为，田柯宇的说法不成立，因为这些手段的共同特点，是把人为破坏伪装成随机出现的软件故障、数值异常或基础设施问题。

3）对象和范围

田柯宇说，只动过A的程序，其他人的实验绝对没碰过。

陈述则称，受影响的是LlamaGen和Goku两个项目，并且陈述还表示，Goku从一开始就是多人协作的团队项目，而不是某一个人主导的研究项目。

所以理论上攻击了Goku，也不可能只影响一个人。

陈述称，Goku的训练最初大约每隔一两天中断一次，随后甚至难以连续稳定运行两三个小时，再往后，loss spike频繁出现，已经无法开展任何有意义的训练实验。

在情况最严重的一两个月里，北京、上海和西雅图的团队轮流值守，24小时监控训练程序的运行，每天早晚开会交接排查工作。

4）被发现

田柯宇在节目中曾提到，被发现后自己的权限很快被撤，连飞书都用不了。

但他并未具体透露自己在排查期间在做什么，以及是如何被发现的。

陈述当中给出的描述非常戏剧化。

首先是排查过程中田柯宇一直“潜伏”。

田柯宇一直在Debug的沟通群里，甚至参加训练集群的日常故障排查会议。团队每天汇报新发现的异常、讨论可能的原因，而他能够直接了解这些信息，并根据同事们的排查方向，有针对性地修改攻击代码。

陈述写道，团队从来没有想到，造成问题的人可能就在参与排查的人之中。大家只是出于相互信任，才向所有相关成员开放排查过程。

其次是被发现后田柯宇曾撒谎掩盖。

2024年7月30日早上，团队成员在排查时，发现某台机器的Docker环境中，PyTorch源代码的DataLoader部分存在明显异常的代码。

团队当天上报，并检查了这台机器的登录记录。结果发现，除机器所有者外，只有田柯宇登录过。团队Leader随后向田柯宇询问，他的解释是，只是想学习一下相关代码。

因为没有找到进一步的直接证据，这件事当天被暂时搁置。

第二天，7月31日，另一名团队成员在田柯宇的个人目录下发现了大量疑似用于破坏训练系统的代码，文件名包括kill.py、nonan、raw_adamw.py、clip_grad.py等。

当天，所有参与Debug的成员放下手头的工作，集中分析这些代码，并与此前几个月出现的训练异常逐一对照。

字节安全团队随后介入，对田柯宇进行了正式问询。面对安全团队提出的问题，他的回答始终显得相当平静，仿佛只是在谈论一件与自己无关的事。

2024年8月，字节将其辞退。

5）最佳论文

田柯宇在节目中对于VAR只说明了这篇论文获奖，并未解释围绕VAR的各种疑问。

陈述指称，田柯宇负责的内部VAR文生图项目存在展示成果造假的问题。

陈述称，2024年8月，攻击事件的内部调查结束后，团队在复盘中发现，此前部署在公司内部Discord上、供同事每天测试的VAR文生图模型，并不是田柯宇声称正在训练的VAR T2I模型，而是当时已经开源的文生图模型PixArt。

为了避免同事和开源模型对比，田柯宇还在推理流程里加了一项处理：无论用户输入什么，系统都会自动在前面添加一个“City”前缀，再送入模型。整个推理流程被打包成二进制文件，交给工程师同事部署。

测试人员此前就注意到，生成图像的背景里常出现城市（city）建筑的轮廓，一直找不到原因。

陈述还称，真正的VAR T2I模型，被他的直属负责人重新检查后，发现训练状态和loss（损失值，可以粗略理解为模型训练时的“错误程度”）表现存在严重问题，远没有达到此前展示的效果，团队后来不得不重新开展相关研发，形成了Infinity项目。

因此陈述认为，田柯宇获得NeurIPS 2024最佳论文的VAR中，存在严重的造假注水。

3

在这场争论的同时，田柯宇的新公司，已经完成了融资。

10月7日，有媒体报道称，田柯宇创办的AI实验室完成了近3000万美元融资，投后估值约2亿美元。

投资方包括五源资本和IDG资本，五源资本为领投方，IDG跟投。

这个消息就在田柯宇参与播客对谈前传出，一度冲上微博热搜第二位。也因此，创业融资消息、最新对谈、“前同事盖章”的文章合力让田柯宇再次掀起争议