数据论文速递 · Vol.56

数据论文速递 · 2026年06月05日

本期聚焦训练数据归因、后训练数据投毒与人类数据质量三大方向：STRIDE将TDA建模为激活空间稀疏恢复问题、双向梯度优化实现细粒度数据归因、顺序投毒揭示多阶段复合漏洞、众包数据面临LLM污染危机、激活值信号对上下文学习样本选择无效

论文速递 arXiv 训练数据归因 数据投毒 数据质量 数据选择 众包数据 激活空间 数据污染

引言

本期论文速递聚焦于大模型训练数据的可归因性、安全性与质量保障三个日益关键的方向。随着 LLM 训练规模与复杂度的提升，“数据从哪来、数据是否安全、数据质量如何保证”这三个根本性问题正从工程实践走向系统化研究。本期五篇论文从不同角度回应了这些挑战：STRIDE 框架将训练数据归因从参数空间迁移到激活空间，实现了 13 倍加速；双向梯度优化方法以逆向思维重新定义数据影响力度量；顺序投毒研究揭示了多阶段后训练流水线中隐藏的复合安全漏洞；众包数据调查展现了 LLM 时代人类数据收集的系统性危机；而激活值选择实验的负面结果则提醒我们：直觉上合理的信号未必真正有效。

STRIDE: Training Data Attribution via Sparse Recovery from Subset Perturbations

  • 论文信息：arXiv:2606.05165 | Rishit Dagli, Abir Harrasse, Luke Zhang, Florent Draye, Amirali Abdullah, Bernhard Schölkopf, Zhijing Jin | 2026-06-03

  • 核心问题：训练数据归因（TDA）旨在追溯模型预测到其训练数据。现有基于梯度的方法在参数空间中追踪变化，面对数十亿参数的 LLM 计算代价极高，且依赖局部近似。

  • 关键发现：STRIDE 框架将 TDA 从参数空间转向激活空间，将其建模为压缩感知风格的稀疏恢复问题。具体地，STRIDE 学习轻量级”转向算子”（steering operators）来模拟训练数据子集导致的行为偏移，通过测量这些算子对测试预测的扰动，经稀疏线性分解恢复单个训练样本的影响力。在 LLM 预训练归因任务上达到 SOTA，同时比此前最优方法快 13 倍。下游验证覆盖数据选择、数据污染检测和定性分析。

  • 实践启示：激活空间归因为大规模预训练数据审计提供了工程可行路径——不再需要追踪数十亿参数的梯度变化，而是通过稀疏分解在激活空间中高效定位影响力样本。这对数据清洗、污染检测和合规审计具有直接应用价值。

Data Attribution in Large Language Models via Bidirectional Gradient Optimization

  • 论文信息：arXiv:2606.04928 | Frédéric Berdoz, Luca A. Lanzendörfer, Kaan Bayraktar, Roger Wattenhofer | 2026-06-03 | AAAI 2026 AIGOV Workshop

  • 核心问题：LLM 输出受哪些训练数据影响最大？现有 TDA 方法主要沿”训练数据→模型输出”的正向方向度量影响力，但这一方向的信息量有限。

  • 关键发现：本文提出逆向归因思路——如果模型在训练时就看到了当前输出，训练数据会如何受到影响？具体方法是对生成文本样本执行双向梯度优化（梯度上升+下降），扰动基础模型，然后测量训练样本上损失函数的变化。该框架支持任意数据粒度的归因，既能归因事实性影响，也能归因风格性影响。在已知数据集的预训练模型上，该方法在影响力指标上优于此前工作。

  • 实践启示：双向梯度优化开辟了”逆向因果”的归因范式，使数据归因不仅能回答”这条数据影响了什么输出”，还能回答”这个输出受到了哪些数据的影响”。这对数据溯源、版权合规和模型审计具有重要价值。

Sequential Data Poisoning in LLM Post-Training

  • 论文信息：arXiv:2606.04929 | Jack Sanderson, Yihan Wang, Xiaoqian Lu, Gautam Kamath, Yiwei Lu | 2026-06-03

  • 核心问题：LLM 后训练通常经历 SFT→RLHF/DPO 多个阶段，各阶段数据来自不同来源。现有数据投毒研究假设攻击发生在单一阶段，忽略了多攻击者跨阶段协作的可能性。

  • 关键发现：本文提出”顺序数据投毒”威胁模型，揭示了单一攻击者错觉（single-attacker illusion）：单独评估每个阶段的攻击者时威胁可忽略，但跨阶段协作时真正的漏洞才会暴露。在 SFT→DPO 流水线中，攻击贡献是相加的——将投毒预算分配到多阶段优于集中单阶段；在 SFT→PPO 流水线中，攻击贡献是互补的——SFT 投毒或奖励模型投毒单独均不成功，但组合后成功。这表明对单独阶段的安全分析会系统性低估复合漏洞。

  • 实践启示：后训练数据安全审计必须从”单阶段验证”升级为”全流水线验证”。数据策展者需要评估跨阶段的数据交互风险，尤其在引入第三方数据源时，需考虑与其他阶段数据的潜在协同攻击面。这对数据供应链管理提出了新要求。

Can Crowdsourcing Survive the LLM Era? A Community Survey on Human Data Collection

  • 论文信息：arXiv:2606.04924 | Aswathy Velutharambath, Neele Falk, Sofie Labat, Tarun Tater, Amelie Wuehrl | 2026-06-03

  • 核心问题：LLM 作为写作工具的普及使众包数据面临根本性挑战——众包工作者可能将任务外包给 LLM，导致收集到的”人类数据”实为模型生成数据，侵蚀数据质量与多样性。

  • 关键发现：对 155 名 NLP 及相关领域研究者的调查显示：44% 的受访者在众包数据中观察到了 LLM 使用痕迹；93% 的人预见此问题，但一半不确定应采取何种预防措施。最普遍的检测策略是识别独特的文本风格模式和异常快速的完成时间。整体上，研究社区已意识到问题并采取措施，但现有努力仍不足以完全解决。论文最终提出了一套指导 LLM 时代众包自由文本数据收集的考量建议。

  • 实践启示：人类数据收集是预训练和对齐数据的基础来源，LLM 污染正在从”偶发问题”演变为”系统性风险”。数据工程团队需要建立多层防御：任务设计层面增加抗 LLM 代理机制、检测层面结合行为分析与文本分析、激励层面重新设计众包报酬结构。这也加速了对合成数据替代方案的探索。

Activation-Based Active Learning for In-Context Learning: Challenges and Insights

  • 论文信息：arXiv:2606.05134 | Yaseen M. Osman, Geoff V. Merrett, Stuart E. Middleton | 2026-06-03

  • 核心问题：模型激活值能否为上下文学习（ICL）的样本选择提供有效信号？直觉上，激活值包含了模型对样本的内部表征信息，应该能区分高质量和低质量的上下文示例。

  • 关键发现：本文进行了迄今为止最全面的基于 MLP 激活值的深度主动学习分析，覆盖多种分类与生成数据集，使用 Llama-3.2-3B 和 Qwen2.5-3B，并考察了不同注意力掩码策略的影响。结果是否定的：MLP 输出——无论从大规模激活值还是前四阶矩的角度——与样本质量或任务表现均不相关，Spearman 相关系数绝对值最高仅 0.33。作者推测负面结果可能源于叠加效应（superposition），即模型表征的特征数远超其维度，建议 SAE（稀疏自编码器）可能是更有前景的方向。

  • 实践启示：这个负面结果对数据选择方法设计具有警示意义——直觉上合理的内部信号未必能有效指导数据筛选。在预训练数据选择中，不能简单地假设模型激活值可以直接排序样本质量。SAE 解耦叠加表征后提取的特征可能是更可靠的数据选择信号源，这为数据选择研究指明了新方向。