以色列斥资4650万美元干预AI舆论：生成式AI成为信息战新战场

事件概述：以色列4650万美元AI舆论干预计划曝光

近日一则消息在Reddit等社交平台引发热议：据报道，以色列政府向特朗普的前竞选团队负责人支付了高达4650万美元，目的据称是为了影响ChatGPT等AI聊天机器人在涉及加沙问题上的输出内容。

这一消息迅速在科技与政治圈层扩散，触及了一个此前较少被公众深入讨论的敏感领域——国家力量与政治资本如何试图介入生成式AI的信息输出。需要说明的是，该消息目前主要来源于社交媒体传播，其具体细节、资金流向及"塑造AI输出"的实际操作方式仍缺乏权威机构的独立核实。因此，本文更多聚焦于这一议题背后所折射的深层技术与伦理问题，而非对未经证实的指控进行定论。

生成式AI为何成为舆论争夺的新战场

随着ChatGPT、Gemini、Claude等大语言模型进入数亿用户的日常生活，它们正逐渐取代传统搜索引擎，成为许多人获取信息、形成认知的重要入口。当人们向AI提问"加沙发生了什么"时，模型给出的答案框架、措辞倾向和事实取舍，都可能潜移默化地塑造用户的立场。

从信息获取方式的演变来看，人类经历了从图书馆到搜索引擎、再到AI对话系统的多次重大转变。更精确地回溯这一历程：Web 1.0时代的门户网站（如雅虎目录分类）以人工编辑为核心；Google的PageRank算法在2000年代通过分析链接关系实现了信息排序的自动化，重塑了人们获取信息的方式，也催生了价值数十亿美元的SEO产业和搜索结果操纵问题；此后社交媒体的算法推荐信息流（如Facebook News Feed）引入了个性化维度，但也被证实加速了政治极化和信息茧房的形成。如今，ChatGPT等大语言模型代表了第四次根本性转变——它们不再只是排列链接或推荐已有内容，而是在实时合成新内容，直接生成综合性答案，用户甚至不需要点击任何外部来源。

这一转变的深层含义在于信息获取的"主动-被动"模式发生了根本性逆转。在搜索引擎时代，用户需要主动筛选、对比多个搜索结果并自行综合判断；而在AI对话时代，这一综合判断过程被外包给了模型本身。认知科学家将此称为"认知卸载"（cognitive offloading）——人类将原本需要自己完成的思维任务委托给外部工具。当这种卸载发生在事实判断和价值判断层面时，其社会影响远超计算器替代心算或GPS替代方向感。这使得操纵痕迹比以往任何时代都更加难以被用户和监管者发现。据统计，ChatGPT在2024年已拥有超过2亿周活跃用户，这意味着其输出内容的影响力已堪比主流媒体网络。

正是这种"认知入口"的属性，使得AI模型的输出成为各方势力关注的焦点。相比传统媒体，AI对舆论的影响方式更为隐蔽：

• 规模化触达：一次模型调整可能影响全球数亿次对话。传统的舆论操纵需要逐一渗透不同的媒体渠道，而AI模型的集中化特性意味着影响单一系统即可产生全球级别的认知效果。
• 权威感包装：用户往往将AI回答视为"中立客观"的信息，降低了警惕心理。心理学研究表明，人们对机器生成信息的信任度往往高于对人类作者的信任度——一种被称为"自动化偏见"（automation bias）的认知倾向。该术语最初由心理学家Linda Skitka和Kathleen Mosier在1999年研究航空决策系统时提出，指人类倾向于无批判地接受自动化系统的建议，即使这些建议与其他可用信息相矛盾。在AI对话场景中，这一偏见被多重因素放大：模型输出的流畅自然语言格式让人感觉像在与知识渊博的专家交谈；模型不表达情绪或利益冲突的特性强化了其"客观性"幻觉；而用户缺乏对模型置信度的直觉判断能力——模型在高度不确定的问题上可能表现出与确定性事实相同的语言自信度。
• 难以追溯：模型的内部权重和训练数据不透明，外部难以判断输出是否被人为干预。与传统媒体不同，AI模型没有署名记者、没有编辑委员会会议记录、没有可追溯的编辑决策链条。

这也解释了为何"影响AI说什么"会被视为一项有价值的政治投资——无论相关指控是否属实，这一逻辑本身已经值得警惕。

影响AI输出的可能技术路径

从技术角度看，试图"塑造"AI模型对特定议题的表述，理论上存在几种途径。理解这些路径有助于我们判断此类干预的可行性与边界。

训练数据污染

大语言模型的世界观本质上来自训练语料。通过大规模生产特定立场的内容（如新闻稿、博客、论坛帖子），并使其被广泛索引和抓取，理论上可以影响未来模型训练时的数据分布。这是一种成本高、周期长且效果难以精确控制的方式。

从技术层面深入理解，训练数据污染（Data Poisoning）是机器学习安全领域的经典攻击类型。其原理在于，大语言模型的知识和行为模式完全来源于其训练语料的统计分布。如果特定立场的内容在训练集中占比被人为提高，模型就可能在相关议题上产生倾向性输出。历史上已有多项研究证实其可行性：2023年，Google DeepMind和ETH Zurich的研究团队发表论文证明，在包含数十亿token的训练集中，仅需注入数百个精心设计的样本即可在特定条件下改变模型输出。更值得关注的是"sleeper agent"（潜伏代理）攻击范式——被污染的模型在常规测试和安全评估中表现完全正常，只有在特定触发条件（如特定日期、特定话题或特定措辞方式）下才展现被植入的行为，这使得通过标准评估手段进行检测变得极为困难。

从经济学角度看，这种攻击的成本-效益比也值得分析。Common Crawl等公开数据集包含数百TB的网页文本，是大多数大语言模型预训练的基础数据源之一。在这样的规模下，攻击者需要在互联网上产生足够大量的定向内容才能在统计上影响模型行为。然而，针对特定话题的定向攻击门槛较低——如果目标是影响模型对某个相对小众话题的态度，所需的数据污染规模远小于影响通用语言能力所需的规模。这意味着地缘政治议题（训练数据中的相关内容总量相对有限）可能比通用知识领域更容易被定向操纵。此外，维基百科编辑战、大规模机器人账号在社交媒体上发布定向内容等行为，客观上都可能构成对未来AI训练数据的污染源。考虑到主流模型的训练数据集规模已达数万亿token，系统性地筛除所有偏见内容几乎是不可能完成的任务。

微调与对齐阶段的干预

模型在预训练后通常会经过监督微调（SFT）和人类反馈强化学习（RLHF）。如果能够影响标注团队的价值判断或对齐规则，理论上可以调整模型在敏感议题上的"安全边界"和默认立场。但这一环节由模型开发商内部严格掌控，外部介入门槛极高。

具体而言，SFT和RLHF是当前大语言模型从"基础能力"走向"安全可用"的关键环节。在SFT阶段，人类标注员会撰写示范回答，教模型如何回应各类问题；在RLHF阶段，标注员对模型的多个回答进行排序，训练出一个奖励模型（Reward Model），再用PPO（Proximal Policy Optimization）等强化学习算法优化模型输出。这意味着，标注团队的价值观、文化背景和指导规范会直接编码进模型的行为偏好中。

这一过程引发了深刻的政治哲学问题。RLHF本质上是将少数标注员的价值判断放大为影响数亿用户的系统行为。Anthropic创始人Dario Amodei曾公开承认，对齐过程中不可避免地涉及价值选择。在实际操作中，标注团队通常由数百到数千名合同工组成，分布在不同国家（如肯尼亚、菲律宾、美国等），他们的文化背景、教育水平和政治倾向各不相同。OpenAI曾与肯尼亚外包公司Sama合作进行内容标注，工人时薪不足2美元，这引发了关于"谁的价值观在被编码"的伦理争议。2023年，OpenAI的内部标注指南部分泄露，显示公司对如何处理以巴冲突、台湾问题等敏感议题有详细的内部规定，包括何时应呈现"多方观点"、何时应回避直接判断等。这引发了学术界所称的"谁来对齐对齐者"（who aligns the aligners）的元问题——如果对齐过程本身不透明，公众如何信任其产出？此外，DPO（Direct Preference Optimization）等新技术虽然简化了RLHF流程，但并未从根本上解决"偏好来源"的政治性问题。OpenAI、Anthropic等公司在这一环节投入了大量资源，但标注指南的具体内容、标注员的筛选标准、敏感议题的处理规则等信息很少完全公开，这为外界质疑留下了空间。

检索增强生成（RAG）层面

对于接入实时检索的AI产品，输出内容会受到检索源的直接影响。通过搜索引擎优化、定向信息投放等手段影响检索结果排序，是一种相对间接但可操作的路径。

RAG（Retrieval-Augmented Generation）的典型工作流程为：用户提问→系统从外部知识库或互联网检索相关文档→将检索结果作为上下文注入模型→模型基于检索内容生成回答。Bing Chat（现Microsoft Copilot）、Google Gemini、Perplexity等产品均采用类似架构。RAG的设计初衷是解决大语言模型的知识截止和幻觉问题，让模型能够基于最新、可靠的外部信息生成回答。

然而，RAG的安全脆弱性也随之暴露。如果检索源本身被操纵（如通过SEO手段让特定立场的内容排名靠前，或通过大量生成看似权威的网页内容来淹没对立观点），模型的输出将直接受到影响。2024年，安全研究员Johann Rehberger演示了一种更为直接的攻击方式：通过在公开网页中嵌入对人类不可见但对AI可读的指令文本（如白色背景上的白色字体），成功劫持了多个商业RAG系统的输出。这种"间接提示注入攻击"（Indirect Prompt Injection）的危险在于攻击面极广——任何可被AI检索系统抓取的公开内容都可能成为攻击载体。OWASP（开放式Web应用程序安全项目）已将提示注入列为大语言模型应用的头号安全风险（LLM01），这表明该路径的威胁远非停留在理论层面。

舆论施压与政治游说

更现实的方式或许并非直接"入侵"模型，而是通过公关、游说、舆论施压等传统手段，影响AI公司在特定议题上的内容政策制定。这与"支付政治顾问费用"的叙事更为吻合。

通过政治游说影响科技公司政策并非新鲜事。据OpenSecrets数据，美国科技行业每年游说支出超过700亿美元，而反向的——各国政府和利益集团向科技公司施压以改变内容政策——同样频繁发生。2021年Facebook内部文件泄露事件（前员工Frances Haugen吹哨）揭示了政治压力如何系统性地影响平台的内容审核决策，包括在特定国家选举期间调整算法权重。

在AI领域，类似的动态正在以更隐蔽的方式重演。据《华盛顿邮报》2024年报道，以色列政府曾通过其驻美使馆与多家科技公司就"反犹内容"标准进行正式沟通。沙特阿拉伯被曝通过主权投资基金间接影响硅谷公司的内容政策。中国政府要求在华运营的AI服务遵守其内容审查要求，这使得同一底层模型在不同市场可能给出截然不同的答案——这本身就证明了AI输出是可以被系统性塑造的。这种通过"合法渠道"施加影响的方式，比直接的技术入侵更难被检测和抵制，因为它往往被包装为"负责任的AI治理"、"防止有害内容"或"保护特定群体免受仇恨言论"等看似合理的诉求。

AI信息操纵背后值得警惕的深层问题

无论这则具体报道的真伪如何，它揭示的趋势都不容忽视。

第一，AI内容治理的透明度严重不足。 目前主流AI公司很少公开其在政治敏感议题上的内容政策细节，用户无从得知某个回答是否经过特殊处理。OpenAI发布了"Model Spec"文档概述其模型行为准则，Anthropic发布了"Claude's Constitution"，但这些文档均为高度概括性的原则声明，对于具体争议议题（如巴以冲突、俄乌战争、台海问题）的处理规则几乎没有可操作的细节披露。这种不透明为各种猜测和阴谋论提供了土壤。

第二，信息完整性面临新型威胁。 当AI成为主流信息渠道，任何对其输出的系统性干预，都可能构成对公共认知的操纵。这比传统的"假新闻"更难识别和抵御，因为用户面对的不是一篇可以核实来源的文章，而是一个看似无偏见的系统给出的"综合答案"。学术界将这种新型威胁称为"认知基础设施风险"（epistemic infrastructure risk）——当人们用以形成信念的基础工具本身被操纵时，整个社会的知识生产体系都面临系统性风险。该概念源自哲学家和信息科学家对"认识论安全"（epistemic security）的研究。牛津大学互联网研究所的学者Philip Howard等人自2017年起就开始系统研究"计算宣传"（computational propaganda）如何通过自动化系统影响公众认知。AI时代将这一研究推向新维度：传统计算宣传依赖社交媒体机器人发布大量内容来影响信息环境，而AI认知操纵则可能发生在更底层——直接改变人们"用以思考"的工具本身。哲学家将此类比为"不是在水源中投毒，而是改变了人们用来检测水质的仪器"。

第三，AI内容监管几乎处于空白。 目前尚无成熟的法律框架来规范"谁可以、以何种方式影响AI输出"。在选举、战争、公共卫生等高度敏感领域，这一监管空白尤为危险。

从国际监管现状来看，截至2025年，全球AI监管框架仍处于早期建设阶段。欧盟《人工智能法案》（AI Act）于2024年正式生效，将通用AI系统（GPAI）纳入监管范围，要求高风险AI系统满足透明度和可追溯性要求，但对"AI输出内容的政治中立性"并无明确条款——该法案主要关注安全性、歧视性和基本权利，而非信息操纵的政治维度。美国方面，拜登政府2023年发布的AI行政令（Executive Order 14110）主要关注安全评估和红队测试，特朗普政府上台后已于2025年初撤销该行政令并转向更宽松的"促进创新"监管方向。中国的《生成式人工智能服务管理暂行办法》要求AI生成内容不得违反社会主义核心价值观，但这本身也被西方批评为一种国家层面的内容干预。

当前AI治理面临的核心制度困境在于"速度不匹配"——技术迭代以月甚至周为单位，而立法周期以年为单位。此外，AI系统的跨境特性使得单一国家的监管难以奏效：一个在美国训练的模型可以在全球任何地方被访问，不同国家对"可接受的偏见"定义截然不同。学术界提出的"算法审计"（algorithmic audit）概念虽有前景，但面临商业秘密保护与公共利益之间的根本张力——AI公司以保护知识产权为由拒绝公开模型细节，而缺乏模型内部访问权限的外部审计难以产生有意义的结论。总体而言，关于"第三方是否可以付费影响AI输出"这一问题，目前全球没有任何法律提供明确规制。

普通用户如何防范AI信息操纵

面对这一趋势，普通用户并非无能为力：

• 保持信息来源多元化：不要将任何单一AI的回答当作最终事实，交叉验证多个信源。在涉及争议性议题时，同时查询ChatGPT、Claude、Gemini等不同模型，对比其回答的差异本身就能揭示潜在的偏见或干预痕迹。
• 警惕过度确定的表述：对涉及争议性政治议题的AI回答，尤其应保持批判性思维。当AI以高度自信的语气给出涉及复杂地缘政治的"标准答案"时，恰恰应该提高警惕——真正中立的表述通常会承认复杂性和多方立场的存在。
• 关注AI公司的透明度承诺：优先选择公开内容政策、接受第三方审计的产品。支持要求AI公司披露其在敏感议题上的处理规则的倡议和立法。
• 了解AI的局限性：认识到大语言模型并非全知全能的中立裁判，其输出必然受到训练数据和人为设定的影响。模型的"知识"本质上是对训练语料中统计模式的压缩表示，而非对客观现实的直接映射。
• 追踪AI输出的变化：关注研究机构和新闻媒体对AI模型输出的系统性监测报告。一些组织（如AI Democracy Projects、NewsGuard）已开始定期测试主流AI模型在选举和政治议题上的表现，这些报告可以帮助用户了解哪些模型在哪些议题上可能存在倾向性。

结语

这则关于"4650万美元影响ChatGPT"的消息，无论其细节能否被证实，都为我们敲响了警钟：当AI日益成为人类认知世界的中介，围绕其输出的权力博弈已经悄然展开。技术社区、监管机构与普通用户都需要正视一个核心命题——如何确保这些强大的信息工具保持相对的中立与透明。

这一命题的紧迫性还在于，我们正处于一个关键的窗口期。当前AI产业格局尚未完全固化，监管框架仍在成型之中，公众对AI的使用习惯也尚未完全定型。在这个阶段建立的规范、标准和期望，将深刻影响未来数十年人类与AI信息系统的关系。如果我们在这个窗口期内未能建立有效的透明度机制和问责框架，当AI更深入地嵌入社会认知基础设施之后，改变将变得异常困难。

这或许是生成式AI时代最重要，也最容易被忽视的治理挑战之一。