---
author: Best Partners TV
date: '2026-10-17'
guest: ''
layout: post.njk
source: https://www.youtube.com/watch?v=vG5_Ul2r-Xc
speaker: Best Partners TV
tags:
  - model-training
  - distributed-computing
  - research-ethics
  - resource-allocation
title: 字节“实习生投毒”罗生门：NeurIPS最佳论文得主田柯宇的算力之争与双面叙事
summary: 本期内容深度复盘了NeurIPS 2024最佳论文得主田柯宇在字节跳动实习期间涉嫌破坏训练集群的“投毒”罗生门。对比田柯宇在播客中自辩为反抗资源霸凌的偶发干预，与前同事技术调查报告披露的精密反取证破坏细节，剖析大模型军备竞赛下的算力争端、技术伦理与学术内卷。
insight: ''
draft: true
series: ''
category: ai-ml
area: tech-engineering
project: []
people:
  - 田柯宇
companies_orgs:
  - 字节跳动
  - 五源资本
products_models:
  - VAR
  - Goku
media_books: []
status: evergreen
---
### 罗生门开端

**大飞**: 大家好，这里是 **Best Partners**，我是**大飞**。

一位 27 岁的年轻男子坐在播客麦克风前。主持人要求他发誓说的是真话，他几乎没有犹豫就说：“如果我说谎，愿我的研究永远受阻。”

这位年轻人名叫**田克宇**（田柯宇）。你可能不认识他，但你很可能听过他的另一个头衔：“**字节跳动**实习生”。我们的频道之前其实已经报道过一次，过去两年，他一直被贴上了这个标签。

然而，这个人也是作为第一作者，凭借其在视觉自回归建模方面的工作，获得了 **NeurIPS 2024 最佳论文奖**——这是全球人工智能领域最负盛名的学术荣誉之一。到 2026 年秋季，他创立的**世界模型实验室**（当时只有 10 名员工，还没有正式命名的产品）估值达到了 2 亿美元，并得到了**五源资本**和 **IDG** 等顶级美元基金的支持。

一名实习生、一起蓄意破坏指控、一篇优秀论文、一笔 800 万元人民币的索赔，以及一家估值 2 亿美元的公司——这些元素交织在一起，成为了近年来人工智能行业最具戏剧性的“罗生门”。

不久前，田克宇做客 **S-Ware** 播客节目，首次完整讲述了他所了解的事件经过。结果，就在这集节目播出当天下午，那些沉默了两年多的前同事们发布了一份冗长的技术调查报告，利用代码提交记录、系统日志和审计跟踪，拼凑出了一个完全不同的故事。

在这段内容中，我们将列出双方的说法，交叉比对技术细节和时间线，看看哪些说法站得住脚，哪些说法站不住脚。

### 田克宇的自辩

**大飞**: 我们先来看田克宇的版本。

根据他在播客中的描述，故事始于 2024 年夏天。当时他在字节跳动的商业化技术团队实习，该团队有许多实习生。后来，一名新的实习生加入了团队，团队从此再也没有过平静的日子。用他的话来说，这位新同事一开始是“软性”占用，像占座者一样霸占本应属于别人的资源，后来发展成“硬性”破坏，直接阻止其他人的训练任务。

他强调，这个人拥有管理员权限，会针对内向的人，但他从未阻止过田克宇的程序。

他说他记得一个非常具体的画面：有一天晚上，他和另一个实习生是最后离开的，而另一个实习生却在手机上滑动屏幕，一个任务都没交。他问他们为什么不这样做，得到的回答是：“即使我们提交了，那个人也会让实验室关闭这个计划。”许多学生和研究人员表示，他们被逼到了无法正常进行研究的地步。他们曾私下讨论过此事，甚至一起向上级汇报过，但问题始终没有解决。

所以，他决定用自己的方式亲自解决问题。他让 **GPT** 为他编写了一个程序，当其他人过度使用资源时，该程序会冻结或终止对方的进程，使系统能够回收资源并将其重新分配给其他人。

他承认这种行为是错的，是以暴制暴，处理方式也不成熟，但他为自己设定了非常明确的界线。他说这不是病毒，也没有涉及网络攻击；操作非常简单，只需让程序冻结或停止，而且是手动完成的。

至于时间上，并非像传闻所说的那样是持续两个月的袭击，实际上这种情况只发生过五次左右，每次都是当他看到有人急需资源而另一个人却霸占了这些资源时。

至于他的动机，他从来不缺自己的那份，他只是无法忍受看到那个人在群体中欺凌他人。他将此归因于一种简单的正义感。他说，作为在实验室待的时间最长的学生，他觉得自己像个大哥哥，自然而然地想为那些受到不公对待的人做点什么。

这样讲述，很容易让人把它理解为一个年轻人反抗体制的故事——一个才华横溢的研究人员像堂吉诃德一样，鲁莽地挺身而出，对抗资源垄断的不公正现象。在播客节目中，他为这个故事增添了一些情感细节，例如，他提到在他被解雇的那天，一位平时内向的同事为他送行，这让他很感动。

### 前同事技术报告

**大飞**: 但这个故事持续不到一天，转折就出现了。播客上线当天下午，一篇由当时团队几位核心成员署名的长篇调查报告开始在一个科技社群网站上流传。这份报告利用高度详细的技术证据，将事件发生的时间线推迟了整整三个月，并将事件的性质引向了一个完全不同的方向。

需要指出的是，截至目前，田克宇尚未对本报告中的技术资料和具体指控作出正式公开回应；这份报告本质上是控方的一份声明。

根据报告中重建的时间线，最早的行动始于 2024 年 3 月，在一个不起眼的角落。当时，香港大学有一位名叫**孙培泽**的博士生，他同时也是字节跳动的研究实习生，并且是目标追踪方法 **ByteTrack** 的作者。他所领导的这个项目当时还处于纯粹的学术探索阶段，使用的 GPU 不到 100 个。

该项目的训练很大程度上依赖离线提取的文本特征。团队使用预训练模型产生这些特征，然后将这些特征储存在共享服务器目录中。从三月中旬开始，孙培泽的实验开始经常出现无法解释的失败：模型产生的图像退化成破碎、混乱的色块和杂讯；衡量生成品质的 **FID 分数**超过 80 分，无法建立跨模态注意力。

他花了数周时间进行故障排除，反复调整优化器的动量参数，微调学习率预热，并检查底层存储的读取/写入操作和张量文件的完整性，但他仍然找不到原因。

### modifyT5的伪装手段

**大飞**: 几个月后，当团队审查代码提交历史记录时，他们终于发现了一个名为“**modifyT5**”的代码修改。这段代码背后的方法值得详细探讨。

工业级训练平台通常具有自动异常拦截功能，张量维度不匹配、数值溢出或梯度突然飙升通常会触发警报。然而，modifyT5 使用了双层伪装：它首先向原始文本特征矩阵中注入强烈的随机高斯白噪声，破坏了高维语义结构；然后执行严格的几何投影缩放，迫使受损张量的整体尺度恢复到其原始的 **L2 范数**。

因此，从监控仪表板上看，张量的平均值、方差和所有常规统计指标都完全正常，自动检查也通过了。但在模型内部，文本和图像之间的语义桥梁已被打破，使得跨模态训练在数学上注定会失败。

之后，在清除本地缓存、绕过共享驱动器、直接从开源社区重新拉取原始权重并锁定权限后，训练终于恢复了。总而言之，这种修改只是破坏了收敛，而没有引发任何错误，并且成为了一系列后续异常的起点。

### 战略转向与算力争端

**大飞**: 到 2024 年 2 月，**OpenAI** 发布了 **Sora**；同年 6 月，快手推出了**可灵**（Kling）。视频生成产业突然进入军备竞赛，字节跳动管理层迅速巩固前线，将战略重心完全转移到视频生成项目 **Goku** 上。

Goku 整合了数十名算法研究人员和专门的运维工程师，利用运行在由高速网络互连的多级 **H800** 计算集群上的流匹配（Flow Matching）架构。算法方面的关键负责人之一是字节跳动的实习博士生，也是一位资深研究员。

在此之前，团队中消耗 GPU 资源最多的主要项目是由田克宇领导的“**VAR**”（视觉自回归）文本转图像项目。公司领导层做出了一项战略决策，优先为 Goku 团队分配大量额外的 GPU 集群和专用基础设施支持。这是一次标准的公司资源重新分配，但客观上却打破了集团内部现有的算力平衡。据报道，这导致田克宇产生了强烈的资源焦虑和失衡感。

出乎意料的是，在计算资源和工程支持大幅增加之后，Goku 分布式训练开始失控。起初是每两三天中断一次，很快情况就恶化到每次重启后只能持续两三个小时；损失函数（Loss）经常出现尖峰和发散，几周内生成的模型检查点（Checkpoints）变得毫无用处，横向对比实验实际上陷入瘫痪。

报告指出，正是在这个时候，技术介入从轻量级模式转向了这个占用大量资源的战略项目。

### 耗时两月的持久战

**大飞**: 从 2024 年 5 月到 7 月，Goku 陷入了一场持续两个多月的消耗战。分布在北京海淀、上海和西雅图的工程师被迫实行 24 小时三班倒工作制，每天北京时间上午 9:30 和下午 9:30 举行紧急交接会议。

困扰这些工程师的故障有两个令人痛苦的特点。

其中之一是**极端的时空随机性**：在 100 台运行相同程序的机器中，99 台运作稳定，而只有一台会出现数值突然飙升的情况。当工程师将这台机器隔离出来进行压力测试和通讯基准测试时，它的表现又完全正常。更糟的是，单台机器上单一进程未经通知的退出会导致整个多机任务完全挂起，因为集合通信无法完成，导致服务器机房中数百个 GPU 闲置。

另一个问题是**信息单向透明**。报告显示，田克宇定期参加每日故障排查会议，并且是核心调查小组成员。团队会毫无保留地在小组内分享故障排除进度——当天调查进行到什么程度，他们是否怀疑是交换机微包丢失或算子精度问题，以及明天计划测试哪些模块。这些更新使破坏者能够与调查方向同步，并在幕后调整代码以逃避侦测。

建立在信任基础上的工程透明机制，最终反而延长了故障排除周期。

### 抓获与系统性工具包

**大飞**: 转折点出现在 2024 年 7 月 30 日上午，当时一位高级运维工程师在调查一台反复出现故障的机器时，将审查范围扩大到了操作系统镜像和容器内部。这个节点正是 Goku 核心成员用于分布式训练的关键机器。

团队发现官方库中的“**DistributedSampler**”已被未经授权的第三方修改。该组件旨在确保数据分割不会在副本之间重叠，严格遵循基于固定全局随机种子的逻辑，但修改后的代码强制其使用操作系统纳秒级时间戳。

由于分布式集群中的硬件节点之间存在微秒级时钟偏差，因此这项变更导致每张卡读取的数据序列完全混乱。有些数据被训练了几十次，而大量的数据被跳过，采样轨迹无法重现。

来自底层系统审计日志的更有力证据显示：在出现异常情况的时间段内，该物理机的 **SSH** 审计日志表明，除了机器所有者之外，只有田克宇未经授权登录了该机器。那天，当他的主管问他原因时，他回答说他只是登录研究一些代码，之后调查便秘密展开。

7 月 31 日，安全和工程团队从田克宇的个人服务器存储中捕获并固证了一整套底层攻击脚本。几个月来一直困扰该集群的神秘故障，最终发现都是由这段代码造成的。

这是一个涵盖优化器、通讯库、数据加载和反审计层的系统工具包，其方法远比单纯冻结进程复杂得多：

* 一个脚本在权重更新的瞬间将梯度更新公式从减法改为加法，导致模型朝着损失增加的方向更新。它利用哈希计算，仅在特定节点上偶尔触发，使参数在数万个训练步数中缓慢漂移直至全局发散，这一过程非常隐蔽，以至于监控无法检测到。
* 另一部分重写了梯度裁剪函数，在底层放大梯度，同时向监控返回正常值，因此系统看起来很平稳，而内部数值已经崩溃。
* 最残酷的部分是将十万分之一的触发几率埋藏在通信层中，单一进程偶尔会在同步期间停滞，导致数百张其他显卡挂起，直到超时崩溃。
* 数据采样也遭到篡改，使用纳秒时间戳和动态内存地址来扰乱采样序列，彻底破坏了多机数据的确定性。

经查明，这些脚本利用共享存储秘密地在节点之间传递控制命令，通过锁定特定任务 ID 来发出精确的终止指令，伪造意外中断，甚至在权重加载期间强制将无效值设为零，使失效模型在暴露前继续训练数天。

最后一个令人不寒而慄的细节是：在修改系统库之后，该脚本会自动恢复文件的原始修改时间和权限，以逃避安全审计扫描。该代码的目的显然不仅仅是中断训练，而是模拟硬件抖动和数值溢出，使问题得以长期潜伏，并最大程度地逃避追踪。

### Demo造假与解雇诉讼

**大飞**: 随着调查的深入，团队还审查了田克宇领导的 VAR 文本转图像项目。

此前，他曾在每周例会上报告进展情况，并在内部平台上推出了交互式 Demo，该 Demo 获得了同事们的积极盲测反馈。然而审查结果显示，Demo 背后的推理引擎并不是在集群上训练的 VAR 模型，而是直接调用了开源模型 **PixArt**。

为了防止同事使用相同的提示词得到相同的输出，后端服务被硬编码了一个前缀；无论输入什么内容，它都会自动添加一个与城市相关的前缀，这就是为什么城市建筑背景在早期测试中频繁出现的原因。Demo 的工作流程同样被封装到二进制文件中，阻止其他人检查代码。

该团队检索了集群上实际运行的原生 VAR 模型，发现其损失函数严重偏离预期，实际结果与展示结果之间存在巨大差距。

2024 年 8 月，字节跳动安全合规部门正式讯问了田克宇，认定其行为构成严重不当行为和恶意破坏，终止其准实习协议并将其解雇。

离开公司后，双方就事实展开了拉锯战。田克宇在科技社群公开贴文否认这些指控，声称训练异常是由组内其他实习生造成的，他受到了不公平的针对。同时，网络上开始流传夸大其词的说法，例如实习生毁坏了 8,000 个 GPU、造成数千万美元损失等。

10 月，字节跳动发布正式通知，澄清实习生因对资源分配不满，通过编写和篡改代码干扰研究工作，其合同已被终止，并已同步给行业联盟。他们也澄清了硬件损坏的传言，表示受影响的是研究项目，而不是正式部署的业务。

今年 1 月，字节跳动向北京市海淀区人民法院提起民事诉讼，要求赔偿 800 万元人民币的经济损失和 2 万元人民币的诉讼费，并要求对方公开道歉。据公开报道，一审判决命令田克宇赔偿公司 50 万元，并返还所有已收取的实习薪资。字节跳动已提起上诉，该案目前处于二审阶段，最终的法院判决尚未公布。

12 月，当 NeurIPS 将最佳论文奖授予 VAR 时，国际学术界陷入了一场巨大的伦理争议：第一作者在接受最高学术荣誉的同时，也深陷民事侵权诉讼。在 VAR 的官方代码库中，一个关于研究伦理的讨论帖迅速成为全球学者争论的焦点。

### 双方矛盾点对比

**大飞**: 好了，两个版本都已列在这里。

田克宇声称，他在十天内只手动终止了该程序五次——没有盗窃，没有病毒，也没有持续攻击。然而调查报告显示，从 3 月到 7 月，在近五个月的时间里，存在系统性的技术性破坏行为，并使用了全套反取证工具。

让我们来比较一下双方说法的细节，事件经过其实非常清楚，不一致的地方在于行为的本质。

田克宇声称他只是让 GPT 写了一个简单的关机脚本。但如果目标只是释放显卡，那么标准的终止指令可以在瞬间释放 GPU 显存。然而，他个人目录中留下的代码却恰恰相反：悄悄地反转学习方向，使模型逐渐变差；伪造正常指标来欺骗监控仪表板；植入十万分之一的几率来触发集群范围内的冻结；并在修改后自动恢复系统库以消除痕迹。这些事情的存在需要一种解释，而这种解释无法与单纯的“停机腾挪资源”叙事相吻合。

时间线和动机也对不上。田克宇表示攻击持续了大约十天，发生了大约五起事件。但调查报告记录显示，同事最早遭受攻击是在 2024 年 3 月，当时有人向共享存储的文本特征中注入了噪声。当时，孙培泽的项目占用的 GPU 不到 100 个，而 Goku 甚至还没启动，团队中根本不存在所谓的“GPU 垄断”。将早期对轻量级学术实验的秘密破坏解释为对后来的“GPU 垄断”的正义反抗，这在逻辑上是不一致的。

此外，田克宇指控的“特权使用者”独占算力，与研发部门的分工相比，最有可能是指 Goku 团队的负责人。即使公开终止该进程，GPU 显存也可以立即返回公共调度池。相反，反向优化器、纳秒时间戳和隐蔽破坏只会让目标任务持续消耗数百个高端 GPU，产生垃圾参数，造成更深、更长的算力浪费——结果是，没有任何一个弱势群体因此获得哪怕一丁点的算力。因此，这些技术手段与他所声称的诉求是截然相反的。

此外，在事件初期，他公开声称自己不是肇事者，指控自己被其他实习生陷害，甚至还报了警。直到后来技术证据公之于众，他才在播客中改口承认此事。他的应对策略确实前后矛盾。

对于有人将他的行为定性为冲动，田克宇将其归因于年轻气盛时冲动进行的自卫行为，并声称其中没有主观恶意。然而，将通讯触发几率设定为数十万分之一，在修改底层代码后自动恢复文件时间戳和权限，潜伏在核心调查小组中数月，并在保持信息同步的同时动态调整破坏参数——这些都是经典的反取证工程设计。它们表现出长期、持续对抗的特征，在事实上和逻辑上都与瞬间的情绪失控相矛盾。

当然，客观地说，这份报告仍然是原告方的陈词。田克宇尚未逐条回应具体的底层技术细节，这场争议的最终法律定论也要等到法院的二审判决才能揭晓。

### 从偏科天才到创业

**大飞**: 既然如此，我们不妨退后一步，从个人角度来看待田克宇。因为他在播客中分享了很多个人经历，这有助于我们理解为什么这个故事会发生在他身上。

他来自湖南的一个小城市，父母都是教师，并且有医学背景。中学时他热爱化学，常去化学试剂商店购买材料，只为了制造颜色变化的反应。

他考入**北京航空航天大学**材料科学专业，但在大一接触到编程后，就彻底迷上了代码。他能在三到五天内完成整个课程的大作业，并且每天花费十几个小时编写代码。他一路努力，最终在学校的程序评测平台上名列前茅，后来又在国际大学生程序设计竞赛（ICPC）中获得银牌，并在大二时成功转了专业。他直言不讳地说：对他而言，写代码和玩游戏没什么区别。

2019 年，他还在读大二的时候就加入了**商汤科技**实习，并在那里工作了三年。在他看来，那家公司就像一座灯塔。他当时最大的愿望就是像 **AlphaGo** 那样工作——通过自学下围棋，而不依赖任何人类对局的先验记录。这种从零开始自我提升智力的过程对他产生了巨大的吸引力。

在商汤科技，他发表了他的第一篇 NeurIPS 论文。他说，那几年就像“在商汤读了个迷你博士”，之后他才去了字节跳动。

改变他命运的那篇 VAR 论文的起点可以追溯到 2023 年。当时大语言模型正在蓬勃发展，他周围的人都转向了语言模型，但他想弄清楚如何将 GPT 的自回归经验应用到图像和视频领域。

以往的自回归图像生成模型将图像分割成均匀的图块，像扫描仪一样逐行产生图像。他认为这违反了视觉生成的本质：没有人会从上到下扫描画画，而是先勾勒出轮廓，然后再填满细节。他的理念是“尺度自回归”——先画出低频背景，然后逐渐填满高频细节。

实现过程充满了曲折：他首先尝试了 GAN，但失败了；然后转向扩散模型，但觉得扩散模型缺乏可扩展性；最终又回到了离散自回归。当时网络上没有任何参考代码，他只能从头开始摸索，这个过程花了一年时间。

2024 年农历新年期间，他在回家的高铁上进行了一系列缩放定律（Scaling Law）实验，几天后，他看到结果证实了他的理论。

这篇论文最初是提交给计算机视觉会议的。同行评审结果倾向于正面，但他认为被接收可能存在随机性，于是主动撤回了论文，转而提交给 NeurIPS，最终斩获了最佳论文奖。这个细节值得注意，它表明该论文的核心研究在时间线上是独立于随后发生的破坏争议的。

### 伦理漩涡与未来反思

**大飞**: 争议爆发后，田克宇的生活变得非常艰难。

2024 年 10 月事态公开，同年 11 月提起诉讼。他说他的职业前景一度极其黯淡；他曾与一家非常想加入的公司进行过洽谈，连续谈了五六个小时，但最终还是没能成行。他对获得最佳论文奖的第一个反应不是高兴，而是觉得至少可以继续留在这个行业，就像抓住了一根救命稻草。

他承认，10 月的一个晚上，他独自一人在宿舍里望着窗外，脑海中闪过一个极端的念头。他的父母很快就请假来北京陪伴他；他说，那是他 24 年人生中从未经历过的精神疲惫状态。

然后，创业开始了。2025 年初，他与五源资本建立了联系，在一次活动中结识了一群研究人员和投资人，担任了公司的入驻企业家（EIR），随后正式启动了创业项目。

他坦率地承认，字节跳动事件带来的巨大关注，加上“最佳论文”的光环，产生了双重效应，客观上对他的初创公司融资起到了推动作用。

他的新公司专注于世界模型，旨在利用 AI 自身创造的语言来预测物理世界的演变。他说团队从数千万参数的模型起步，扩展到数百亿参数，迭代了九个版本，观察到了世界模型中与语言模型相同的 Scaling Law，即使达到数百亿参数也没有饱和。

田克宇也有更人性化的一面。他很喜欢迈克尔·杰克逊，在夏天写论文期间，他每天都听他的歌，钦佩他那种“即使清楚地看到世界的现实，仍然热爱世界”的精神。他养了一只浅灰色的兔子，因为兔子的行为难以预测，而且它们不会发出声音。从大一开始，他就一直在北航宿舍楼下的同一家理发店剪头发，烫着卷发，还给人工智能的未来留下了一张便签，上面写着：“永远年轻，永远充满激情。”

最终的时间线到此交汇：

一边是田克宇对着麦克风发誓，如果他撒谎，他毕生的研究就会失败；另一边，则是他的前同事们发布的技术报告，其中包含一系列攻击脚本、被修改的系统库以及唯一的 SSH 登录日志。

播客节目上线后，主持人表示在访谈过程中感受到了复杂的情绪，并声明节目只是呈现受访者的陈述，不代表播客立场，也无法对法律事实做出最终裁判。由于二审尚未结案，仅凭一期播客显然不足以厘清所有争议。如果田克宇要彻底打消外界的质疑，就必须拿出能够直接反驳代码提交记录、系统审计和容器日志的硬证据，并对个人存储中的工具包作出合理解释。

在最终司法判决下达之前，这依然是一场罗生门式的争论。

这个故事之所以值得审视，不仅在于其戏剧性，更因为它折射出了 AI 狂飙时代的现实困境：当算力成为决定学术生死与商业估值的核心稀缺资产，当工程权限管理面临巨大挑战时，技术伦理、资源调配机制与个人心智的平衡都被推向了极限。

不妨设身处地地思考：如果你是当时算力被挤压的普通研究员，眼睁睁看着实验停滞，你会作何选择？而如果你是团队的工程负责人，又该如何在资源博弈与信任机制之间筑起坚实的防线？