政务知识库的数据投毒：污染政策问答源头的隐蔽手法

政务知识库的数据投毒：污染政策问答源头的隐蔽手法

一、当问答源头被污染：政务知识库的信任陷阱

政务问答系统接入了公开反馈渠道，本意是让群众能问、能查、能办。但公开入口也意味着，攻击者可以把精心构造的"伪政策文档"塞进知识库。模型一旦把这些内容当成权威来源，给出的就是错误解读，甚至误导办事流程。

数据投毒在政务场景里有个恶劣性质：用户天然信任政府口径。模型以"根据 xx 政策"开头回复时，用户基本不会去核对原文。被投毒的"补贴申领条件"会让符合条件的群众放弃申请，被篡改的"处罚标准"会让企业误判合规边界。这种危害是延迟显现的，发现时已经扩散多轮。

更隐蔽的是投毒的注入点。知识库由爬取、上传、同步、众包反馈多条管道汇聚。任何一条管道缺少来源校验，就成了污染入口。攻击者不需要打穿前端，只要找到一个"接受匿名上传"的反馈表单，把带毒文档塞进去，剩下的扩散由系统自己完成。

还有一类风险来自内部编辑流程。政务知识库往往由多部门协作维护，编辑权限分散。若没有变更审计，一次"误编辑"和一次"恶意篡改"在日志里无法区分。内部威胁加上外部投毒，让污染溯源变得非常困难。

政务知识库的安全重点，在"答对的依据是否可信"。文档来源分级、变更审计、内容校验要串成一条贯穿数据生命周期的防线。

二、投毒注入点与污染扩散路径

把政务知识库的数据流拆开看，注入点有四类：公开反馈上传、第三方数据同步、爬虫抓取的网页、内部编辑修改。每类注入点的信任级别不同，需要的校验强度也不同。

来源分级是第一道闸：匿名上传默认进隔离队列，不直接入库；变更审计是兜底，任何写入都留痕，便于事后溯源。隔离审核与直接入库走不同通道，避免低可信内容污染主索引。

三、文档来源可信分级与变更审计的实现

下面是一段知识库入库网关。它对文档做来源分级、签名校验、变更审计，把投毒内容挡在主索引之外：

import asyncio import hashlib import json import time from dataclasses import dataclass, field from enum import IntEnum from pathlib import Path class TrustLevel(IntEnum): """来源可信级别，数值越高可信度越高""" ANONYMOUS = 1 # 匿名上传 EXTERNAL = 2 # 外部爬取 SIGNED = 3 # 带签名的外部源 INTERNAL = 4 # 内部编辑（需二次审核） # 来源到可信级别的映射 SOURCE_TRUST = { "feedback_anon": TrustLevel.ANONYMOUS, "crawl_gov": TrustLevel.EXTERNAL, "sync_partner": TrustLevel.SIGNED, "editor_internal": TrustLevel.INTERNAL, } AUDIT_LOG = Path("./audit_kb.jsonl") AUDIT_LOG.parent.mkdir(exist_ok=True) @dataclass class KBDoc: """知识库文档单元""" doc_id: str source: str content: str signature: str = "" submitter: str = "" ts: int = field(default_factory=lambda: time.time_ns()) def fingerprint(self) -> str: # 内容指纹，用于变更检测与去重 raw = f"{self.doc_id}|{self.content}" return hashlib.sha256(raw.encode("utf-8")).hexdigest() class IngestionGateway: def __init__(self, review_timeout: float = 5.0): self._review_timeout = review_timeout self._lock = asyncio.Lock() # 审计日志写入加锁，保证顺序 async def ingest(self, doc: KBDoc) -> dict: trust = SOURCE_TRUST.get(doc.source, TrustLevel.ANONYMOUS) fp = doc.fingerprint() # 高可信源需校验签名 if trust >= TrustLevel.SIGNED: if not self._verify_signature(doc): await self._audit(doc, "rejected", "bad_signature", fp) return {"status": "rejected", "reason": "bad_signature"} # 低可信源强制进隔离审核队列 if trust <= TrustLevel.EXTERNAL: approved = await self._review_queue(doc, trust) if not approved: await self._audit(doc, "rejected", "review_failed", fp) return {"status": "rejected", "reason": "review_failed"} await self._write_index(doc, trust, fp) await self._audit(doc, "ingested", f"trust={trust.name}", fp) return {"status": "ingested", "trust": trust.name, "fingerprint": fp} def _verify_signature(self, doc: KBDoc) -> bool: # 占位：真实环境用非对称签名校验来源 return bool(doc.signature) async def _review_queue(self, doc: KBDoc, trust: TrustLevel) -> bool: try: return await asyncio.wait_for( self._do_review(doc, trust), timeout=self._review_timeout ) except asyncio.TimeoutError: # 审核超时按拒绝处理，不让低可信内容默认通过 return False async def _do_review(self, doc: KBDoc, trust: TrustLevel) -> bool: await asyncio.sleep(0) return False async def _write_index(self, doc: KBDoc, trust: TrustLevel, fp: str): pass async def _audit(self, doc: KBDoc, action: str, reason: str, fp: str): record = {"ts": time.time_ns(), "doc_id": doc.doc_id, "source": doc.source, "submitter": doc.submitter, "action": action, "reason": reason, "fingerprint": fp} async with self._lock: with AUDIT_LOG.open("a", encoding="utf-8") as f: f.write(json.dumps(record, ensure_ascii=False) + "\n") async def demo(): gw = IngestionGateway() doc = KBDoc(doc_id="pol-2026-001", source="feedback_anon", content="某补贴申领条件放宽至无门槛。", submitter="anon") print(await gw.ingest(doc))

关键点：来源分级决定入库路径，低可信内容必须过审核；签名校验防止伪造高可信来源；审计日志加锁顺序写入，任何变更都可追溯。这样即使投毒发生，也能从日志定位到具体文档与提交者。

四、分级策略的盲区与审计成本

来源分级不是一劳永逸，落地时要想清几条边界。

可信源也会被攻破。带签名的合作方账号一旦泄露，攻击者就能以高可信身份投毒。签名密钥要定期轮换，高可信源的输出要做异常检测，某合作方突然大量提交政策类文档，就该触发告警，不能默认放行。

审核队列会成为瓶颈。匿名上传量大时，人工审核跟不上，要么积压、要么被迫放宽标准。需要引入自动化预筛：用规则或模型对内容做初步过滤，只把"疑似违规"的转人工，把审核资源集中在高风险内容上。

审计日志本身是攻击目标。一旦审计被篡改，溯源就失效。日志应写入只追加存储，并定期做哈希校验。把审计日志和业务库存同一台机器上，等于让小偷自己管监控。

还有一条：知识库的"陈旧内容"也是一种污染。政策更新后，旧文档若未及时下线，模型仍会引用过时条款。变更审计不仅要记录"新增"，还要覆盖"失效"与"修订"，保证索引里的内容与现行政策一致。

五、总结

政务知识库的数据投毒，本质是"公开入口"与"权威输出"之间的信任错位。攻击者通过匿名上传、第三方同步、爬虫抓取等注入点，把伪造政策塞进知识库，再由模型扩散为错误回复。可靠的防线分三层：来源可信分级决定入库路径，低可信内容强制进审核队列；签名校验防止伪造高可信身份；变更审计留痕贯穿数据生命周期。还要面对可信源被攻破、审核瓶颈、日志篡改、内容陈旧等边界问题。把分级、校验、审计做成动态机制，才能让政务问答的输出经得起复核。