训练数据治理：让模型所学内容可追溯、可审计、可处置

很多团队会在训练前专门扫一遍语料，把敏感词删掉，然后放心地认为数据已经"干净"了。可模型部署之后，版权纠纷、隐私泄露、记忆事故照样出现。原因不在删词这一步做得不够狠，而在于他们治理的对象选错了：他们把训练数据当成一个静止的文件夹，以为删过一次就一劳永逸，而真实的训练数据是一条持续流动的流水线。

一条数据从互联网上被抓取下来之后，会经历解压、规范化、切块、去重、分类、混合，还会被复制成多个不同用途的快照；每一步都在改变数据的形态和内容。更麻烦的是，规则、许可协议和当事人提出的删除请求并不会停留在训练那一刻——训练完成后它们仍在变化，许可证可能被撤回，用户可能行使删除权，法律也可能更新。模型上线后一旦出现问题，团队又会反过来制造修复数据和新的评测题，这些新材料同样要汇入同一条流水线。也就是说，数据集合的边界始终在扩张和变形，不存在一个可以"删干净之后封存"的静态版本。

面对这样一条流水线，治理必须回答四件事，而不是只问"文件里现在有什么"。第一，这份数据为什么能用——它的授权依据是什么；第二，它经历了哪些处理——每一步转换是什么、由谁做的；第三，它最终进入了哪些模型——训练清单里有没有它的位置；第四，一旦发现问题，能定位到什么程度、又能处置到什么程度。只保存一份最终合并好的 parquet 文件，这四件事一件也答不上来：parquet 里只剩下混合之后的内容，来源、许可、处理步骤和影响范围全都丢失了。

所以治理真正需要维护的是一整条证据链，而不是一个存储位置。来源记录证明数据"从哪里来"，授权记录说明它"为何可用"，处理谱系记录它"怎样被改变"，训练清单则标明它"影响了哪些模型"。四者缺一，就一定会出现开头那种局面：训练前删过词，部署后依然拿不出依据来回应版权、隐私和记忆事故的追责。删词只是流水线上的一次操作，而操作本身也需要被记录、被定位、被追溯——治理的对象是这条流水线的完整生命周期，而不是流水线末端的那一个文件夹。

事故响应里最常见的追问有两个方向：模型吐出了一段疑似复述的个人信息，怎么找到语料里它所有的副本、又影响了哪些已发布模型？反向也一样——发现某条来源数据有问题，怎么知道它扩散到了哪些产物和版本？这两个方向都要求谱系能够双向可查，而不是只能从数据一路推到模型、却回不到源头。

要让这种双向追踪成立，需要在链路的每一环留下稳定的、可反向链接的锚点，而不是事后临时去拼。对原始对象，要保存稳定的 source id、获取时间、URI、内容哈希、许可与用途限制、地域归属和敏感分类。source id 保证同一来源在不同快照里还能被认出来，内容哈希保证"这是同一份内容"的判断不被文件名或路径误导，许可与用途字段则把"这段文字能不能用于当前用途"的答案留在数据旁边。

光有来源侧的记录还不够，因为数据几乎都会被加工。每个处理任务都要保存代码或规则版本、父产物标识和删除原因。代码或规则版本解释了一个样本为什么变成现在这个样子——是哪种切块、哪种过滤、哪种清洗施加了影响；父产物标识让任何中间文件都能逐级回溯到更上游；删除原因则记录了一条数据在流水线中"消失"的具体理由，避免日后分不清它是被规则剔除、被人为下架还是被误删。

到了混合阶段，多条来源被合并成训练集，这时必须保存来源权重、抽样种子和快照哈希。来源权重决定每个源头在最终混合里的占比，抽样种子让"这一批到底抽了哪些样本"可以被精确复现，快照哈希则为某一时刻的完整集合留下不可伪造的指纹。最后，每一次训练运行要反向链接它到底用了哪一份确切的清单，而不是只记一个笼统的"版本号"。

把这几层串起来，就得到图 1 所示的谱系结构：从来源、处理、混合一路延伸到模型和事故响应。它的价值在于两个方向都能走通——从某个已发布模型反向定位到它训练时使用的确切样本及其授权依据，也能从一段出问题的样本正向枚举出所有受影响的中间产物、训练运行和模型版本。一个只保存了最终文件、却缺少这些反向链接的仓库，在事故响应时只能靠猜测来回答"这段信息还在哪些地方出现过"，而那正是治理失败的开始。

团队里最常听到的一句话是："这些数据来自公开网页，内容质量又高，直接拿去训练肯定没问题。"这句话把三个完全不同的判断混成了一句"安全"，而事故往往就藏在被合并掉的差别里。

公开可访问并不自动等于获得了训练许可。一段文字能被人免费读到，只说明作者把它放到了公开位置，不说明作者授权任何人把它抓下来喂给模型；抓取本身还要受服务条款和合同约束。反过来，拿到许可也不等于这份数据里没有个人敏感信息——许可处理的是"能不能用"的权利问题，隐私处理的是"这里面有没有人、能不能识别、能不能删"的义务问题，两者不能互相替代。再退一步，即便数据既合法又合规，也不表示它在内容上准确或能代表目标群体：一份经过授权的旧文档可能已经过时，一批完全合规的网页也可能高度偏向某个群体，训练出来的模型照样失真。

因此这四类判断必须分开做、分开记录，而不是用一个 approved=true 的开关把它们统统盖住。每一类判断都有自己的核心问题、需要看的证据和对应的处置方式。

授权与许可这一轴，核心问题是"能否按此目的使用"，证据来自合同、许可文本和来源条款，处置方式是排除不能用的内容或限制其用途。隐私这一轴，核心问题是"是否必要、是否可识别、是否可删除"，证据来自处理目的、同意或其他合法依据以及分类结果，处置方式是最小化、脱敏和访问控制。质量这一轴，核心问题是"是否准确、是否有代表性、是否非垃圾"，证据来自抽样审计和分布统计，处置方式是过滤、降权或补充代表性不足的部分。安全这一轴，核心问题是"是否被投毒、是否恶意、是否夹带秘密"，证据来自来源信誉、异常检测和扫描结果，处置方式是隔离与人工复核。

把四轴拆开后，治理动作才真正对应得上风险：许可出了问题就排除或限用，隐私出了问题就最小化和脱敏，质量出了问题就过滤降权，安全出了问题就隔离复核。而 approved=true 只有一个比特的信息量，既说不出问题出在哪一轴，也说不清当时依据了什么证据、采取了什么处置。三个（实为四个）不同判断被压成同一个布尔值的那一刻，责任追溯的链条也就断掉了。

同一段文本在语料里出现 20 次，很多人只觉得浪费了计算和存储，心想"多算几遍而已，模型又不会因此变坏"。这个直觉是错的：在均匀按样本采样的训练方式下，重复副本悄悄改写了每一条内容实际获得的训练权重，而权重变化会一路传导到模型的记忆和偏差上。

均匀按样本采样意味着每次随机抓一条样本，抓到谁的副本多，谁被优化的次数就多。于是某条内容的近似有效概率与它的副本数成正比。更精确地说，一段内容 z 的有效权重可以用 w(z) ∝ Σⱼ 1[样本 j 属于 z 的重复簇] × 采样权重ⱼ 来表达：把所有样本 j 逐一过一遍，凡是属于 z 这个重复簇的样本就计一次，再乘上该样本自身的采样权重，最后加总。Σ 表示对全体样本求和，1[…] 是一个指示函数——括号里的条件成立记 1、不成立记 0，所以它本质上是在数"z 到底被多少个样本重复承载"。这个总和高，z 在梯度更新里被强调的次数就高。

这种放大带来三个后果。第一，逐字记忆增强：同一段文本被反复喂入，模型更容易把它原样背下来，部署后复述个人信息的风险随之上升。第二，高重复来源支配梯度：那些恰好被大量镜像转载的页面或模板，会以远超其真实重要性的强度主导参数更新，挤占其他内容的表达空间。第三，评测题镜像泄漏：如果某个评测集的内容或它的讲解被原样收录进训练语料，副本越多，模型"见过答案"的概率越高，评测分数就变成了对记忆力的测量，而不是对能力的测量。

要削弱重复，得先知道能抓多"近"的重复。精确哈希只能命中逐字节完全相同的内容；MinHash 和局部敏感哈希能抓到词面上的近邻；语义去重则进一步识别改写后的同义表达。抓得越近，遗漏越少，但误删风险也依次上升——把两段只是碰巧相似、本应分别保留的有效文本当成重复删掉。模板化代码、法律条款和稀有语言天生相似度高，若盲目追求把重复率压到最低，就会把这些原本有效的结构也一起抹掉。

因此近似去重应当在文档、段落和跨数据集三个层面运行，而不是只在整篇文档层面做一次。同时要按语言、来源、格式和群体分别报告保留率：一个总保留率 90% 的数字，可能掩盖某种低资源语言被删去一半的事实，而这正是下一节要展开的分布偏向问题。

还有一个动作必须在去重之前完成：先把测试集隔离。在训练混合之前，就要用精确匹配和语义近邻检查，把评测题及其衍生讲解从训练语料中识别并隔离出来；等到训练之后再去检测，最多只能告诉你"风险已经发生"，却无法恢复评测的独立性。隔离的时间点，决定了你是在预防泄漏，还是只能在事后承认泄漏。

上一节讲的是重复副本会改写有效训练权重，这一节用一组具体数字把这条因果链从头到尾走一遍。假设一个训练快照由四类来源拼接而成：通用网页 700k 条，客服对话 100k 条（平均每条重复出现 5 次，所以物理上有 500k 个副本），政策文档 50k 条，多语言长尾 150k 条。把物理副本数加总，得到原始拼接总记录 1.4M。

在没有任何治理干预的情况下，均匀采样会让每条记录的曝光机会相同。客服对话虽然只有 100k 条语义内容，但它在 1.4M 总记录里占了 500k 个物理副本，因此它实际拿到的采样曝光约 35.7%（500k ÷ 1.4M），从"占比最小的来源之一"一跃成为训练时被反复喂入的大头。这个 35.7% 不是任何人做出的配比决定，而是抓取时偶然产生的重复所强加的。

去重之后局面立刻改变。通用网页从 700k 降到 500k，客服对话从 500k 物理副本收敛回 100k 语义内容，政策文档从 50k 降到 45k，多语言长尾从 150k 降到 140k，去重后总独特样本约 785k。此时客服对话的自然比例约 12.7%（100k ÷ 785k），回落到它真实的内容体量。原始混合曝光那一列展示的是干预前的比例：通用网页 70%、客服等效约 25%–40%、政策文档 5%、多语言长尾 15%。

接下来是配比决策。团队可以显式地设定治理后的目标曝光：通用网页 55%、客服对话 20%、政策文档 15%、多语言长尾 10%。这些数字与去重后的自然比例不再相同，区别在于它们是人为、可审计的选择——政策文档被主动从 5% 提到 15%，因为团队判断该任务需要更强的政策理解能力。混合配比可以用 P训练(x) = Σᵢ pᵢPᵢ(x) 来表达，其中 Σpᵢ = 1：最终某类内容 x 在训练里的出现概率，等于每个来源 i 的占比 pᵢ 乘上该来源内部内容 x 的概率 Pᵢ(x)，再对所有来源加总。各来源占比之和必须等于 1，否则采样会偏向被重复计入的类别。按这个配比，若训练运行总计 100k 步，政策文档 15% 的目标曝光就对应约 15k 步（100k × 15%）。

配比决策是有代价的，这一点必须在做决定时就承认。把政策文档的曝光从 5% 提到 15%，是为了强化政策能力，但它会挤占通用网页、多语言长尾的采样次数，也可能侵蚀模型对旧知识的保持。因此验证配比时不能只看一个指标——如果只盯着"退款准确率"这类任务指标，团队会误以为提配比只有好处没有副作用。正确的做法是在能力、安全、公平和记忆等多个切片上做消融对比，确认提升政策能力的同时，通用能力、多语言能力、偏见水平和逐字记忆风险没有被悄悄牺牲。数字演算的价值正在于此：它把一个原本被偶然重复支配的曝光结构，变成了一组有账可查、有代价可评估的显式决策。

一个"高质量分类器"交出的成绩单可能是这样的：英文数据保留了 90%，某低资源语言只保留了 45%。如果只看总保留率，这个差距会被平均成一个看起来还不错的数字，团队于是放心地把过滤当成一次中立清洁。但 45% 意味着那种语言几乎一半的真实表达被系统性地删掉了，模型还没开始训练，就已经少看了半个世界。

这种偏向来自分类器把"主流百科文风"当成了质量标准的默认值。凡是偏离这套文风的表达——口语、方言、残障人士的书写方式、代码与自然语言混排、低资源语言的少见变体——都更容易被判成垃圾。它们并非真的低质量，只是不符合分类器被训练时所见的"规范样本"。毒性过滤同样会误伤：讨论被歧视群体的文本里，往往本身就含有大量歧视性词汇，过滤器按字面命中这些词，结果把受害群体的讨论、证词和反歧视论述一并删掉，反而让模型更不了解这些群体的处境。

总体保留率之所以危险，是因为它是一维的汇总数，天然会掩盖分布层面的重塑。要看清过滤器真正做了什么，必须把保留率按来源、语言、群体等切片拆开，并抽样进行双标复核——由人对同一样本独立标注，再计算过滤器的精确率和召回率，比较不同切片之间保留差异的大小。对于分类器拿不准的高不确定样本，不应直接放行或直接丢弃，而要隔离出来交人工复核。

治理上还要给每条规则留下可解释的痕迹。每条过滤规则保存原因码和分数：为什么删、置信度多高、命中了哪条规则，这样日后才能复现和审计。过滤前后都要保存统计摘要，方便对比这次过滤究竟删掉了什么。而真正被判定为敏感的原始内容，本身不能跟着普通语料到处流转——它应当受限访问，并按照既定的保留政策处理，避免"删了又留、留了又漏"。

说到底，过滤不是中立的清洁动作。它每一次删减都在定义"模型可见世界"的边界，决定哪些人群的表达会被模型学到、哪些会被沉默。这是能力决策，也是价值决策，因此它和配比一样，必须接受评测和治理审批，而不是作为一段默默跑完的预处理代码存在。一个会系统删掉某种语言一半数据的过滤器，配得上与训练策略本身同等的审视。

"数据不干净"是一句过于笼统的话。测试题泄漏、攻击者注入后门、模型输出被回收再训练，三件事看起来都像"训练数据里混进了坏东西"，但它们的因果机制完全不同，所以不可能用同一个过滤器同时解决。把它们的因果拆开，防线才能对上号。

评测污染的目标和机制是：评测题或它的答案进入了训练集，模型因此"见过考题"。它的可观测信号是训练样本与保留集出现异常相似，或者数据在时间上自相矛盾（比如一条"2024 年事件"的讲解出现在声称更早的抓取批次里）。防线是隔离保留集，并用近邻扫描在训练混合之前把与评测内容相近的样本挡出去——这正是前面讲测试集隔离的原因。

数据投毒的目标和机制截然不同：攻击者主动注入经过构造的数据，目的是恶意改变模型行为或埋下后门，让模型在见到特定触发器时执行攻击者预期的动作。它的观测信号是来源异常、样本里出现可疑的触发器，或某个来源簇突然大量涌入。对应的防线是来源信誉评估、内容签名、来源配额，以及红队测试来主动试探后门是否已被激活。

合成回流又是另一种机制：模型生成的内容被回收后再次用于训练，生成分布逐渐替代了真实世界的尾部数据。它的信号是措辞趋于同质、来源无法追溯。防线是给合成数据打标记，用真实数据作为锚点，并严格控制合成内容在混合中的配比。

来源漂移则更隐蔽：站点内容和许可会随时间改变，昨天还授权可用的页面，今天可能已经改版或收回许可，数据在仓库里却还保持着旧版本。它的信号是版本与分布的变化，防线是定期复核和快照层面的许可核查。

四种风险各自需要不同的观测手段和防线，这就是它们无法被一个通用过滤器统一处理的根本原因。还有一条总原则贯穿始终：异常数据不能自动进入重训。生产环境里模型失败的样本要回流利用，必须经过脱敏、去重、标签确认和来源确认，否则攻击者只要故意制造"看起来像失败案例"的内容，就能通过反馈渠道完成投毒。回流通道本身，正是投毒者最容易利用的入口。

收到一条删除请求时，最危险的做法是给用户一个模糊的保证："我们已经删除了，请放心。"因为"删除"这个词至少包含两类结果，一类可以可靠承诺，另一类在当前技术条件下根本无法承诺，把两者混为一谈，就会在审计和诉讼中被打脸。

可以可靠承诺的那部分，是数据管线的处置。团队可以从原始存储、派生数据集、缓存和未来的训练清单中，删除已经定位到的对象，并且借助谱系阻止它再次被摄取。这些动作是确定性的：删了就是删了，可以逐项核对。但要走到这一步，前提是前面几节建立的那些锚点都在——没有 source id、内容哈希和父子产物关系，就无法确认"删干净"的范围。

不能可靠承诺的那部分，是模型内部的影响。已经训练好的权重，是大量样本共同优化的结果，删除某一个文件并不会逆转那次参数更新；模型已经"学到"的东西不会因为源文件消失而自动消失。输出层面的拦截同样只是降低了暴露概率——把敏感内容加入输出过滤，可以减少它被复述出来的机会，但并不能证明模型内部的影响已经不存在。这三层要分开表述：存储处置可以承诺、未来摄取可以阻止、已训练权重的影响既不能逆转也无法轻易证明已消除。

处置流程本身也应当有固定顺序。第一步验证请求主体、请求范围和它背后的法律或合同依据——确认是谁在请求、请求覆盖哪些数据、依据是什么。第二步用精确和近似标识找到目标数据的副本与派生产物。第三步更新删除清单、过滤器和未来快照，确保不会再进。第四步反查受影响的训练运行和已部署模型，弄清波及面。第五步才按风险选择处置手段：重训、机器遗忘、检索或输出控制、甚至退役模型，风险越高，手段越重。

验证与表述同样要守住边界。可以用成员推断、诱导复现和任务回归来检测删除效果，但要如实说明这些证据能证明什么、不能证明什么。尤其机器遗忘，它本身就必须证明两件事：效用损失可接受、残余记忆确实下降。运行一个遗忘脚本不等于合规完成——如果脚本跑完，模型还能被诱导复述出目标内容，那么"已遗忘"就只是一句没有证据的话。

团队手里可能已经有了一堆看起来很完备的东西：数据卡（datasheet）、来源清单、许可记录。可下一次训练开始时，同样的错误还是会出现。问题不在缺少文档，而在于这些文档只是"被人读的"，没有变成"机器必须通过的关卡"。当治理信息只存在于文档里、需要有人主动去查时，赶进度的那一天它就会被跳过。

所以治理控制必须落到自动门禁上。当快照出现未知来源、缺少许可、敏感等级不明、与评测集存在近邻、异常重复率或混合权重超界时，门禁应当直接阻断该快照，而不是弹出一个"请确认"的提示等待点击。人工豁免是允许的，但必须有期限和责任人——豁免不能是永久性的后门，否则门禁形同虚设。训练之前输出数据卡，训练之后运行记忆、偏差、安全和能力的消融评测，让每一次训练都带着可核查的输入证据和输出证据。

文档还必须在真实事故面前经得起演练。设计一个场景："某来源突然撤销授权。"治理系统应当在小时内回答：这个来源进入了哪些快照、哪些训练运行、哪些模型、哪些部署，以及哪些下游衍生数据；并且能够构建一个不含该来源的新快照，估算重训或替代的成本。如果一个谱系系统在这类演练里答不出来，那它就不是治理基础设施，只是文档装饰——无法执行的谱系和没有谱系，在事故发生时是等价的。

最后要守住诚实的边界。治理不是绝对保证。来源元数据本身可能写错，近似匹配会有遗漏，模型内部的影响难以逐样本归因。因此治理的价值不在于宣称"数据绝对干净"，而在于把残余风险和每一项证据的强度如实报告出来。一个敢于说出"我们在这里不能证明什么"的系统，才真正值得在发布门禁上被信任。

前面各节分别展开了一个环节，这一节把它们按时间顺序串成一条从问题直达可验证实践的因果链。链条的起点，是当初那个朴素的问题——为什么训练前删过词，部署后还会出事——而链条的终点，是能够逐环回答"为什么、经过了什么、影响了谁、能否处置"。

第一步是登记。在数据进入系统的入口处，就把来源、授权和敏感等级记下来。没有这一步，后面所有追溯都失去起点，因为没人说得清一条数据"从哪里来、凭什么叫可用"。

第二步是版本化处理。每一个清洗、切块、去重动作，连同它执行时用的规则版本和删除原因，都要留下版本记录。这样任何一份中间产物都能解释"自己为什么会变成现在这个样子"。

第三步是显式设计混合配比，并隔离评测。配比从偶然的抓取重复手中拿回来，变成一个有账可查的决策；评测集在训练混合之前就被隔离，独立性才得以保住。

第四步是冻结清单，把它与训练运行和模型反向连接。一次训练到底用了哪份确切的清单，必须成为可查询的事实，而不是一句笼统的版本号。

第五步是训练后评测。模型产出后，围绕记忆、偏差和能力做消融和回归，把"训练数据质量"转化为可测量的模型行为证据。

第六步是事故与请求的处置。一旦出现问题或收到删除请求，就沿着谱系定位受影响的范围，执行处置，并把这次教训反哺回门禁规则，让下一次训练不再重复同样的错误。

这六步不是六份独立的文档，而是同一条证据链上的六个接口。任何一环断裂，链条就退化成只能猜测：删了词却答不出授权依据，配了比却说不清评测是否泄漏，删了文件却证明不了模型是否遗忘。把六步全部连起来之后，治理才从"事后救火"变成"事前可证、事中可查、事后可处置"的持续控制。