大家好，这里是最佳拍档，我是大飞。一个27岁的年轻人坐在播客的麦克风前，主持人让他发个誓，保证自己讲的都是真话。他几乎没怎么犹豫就说道：“如果我讲了假话，就让我终身研究受挫。”这个年轻人叫田柯宇。你可能对这个名字不熟，但大概率听过他的另一个称呼：字节投毒实习生。我们频道也专门做过一期节目。过去两年，这个标签一直贴在他身上。

而同样是他，以第一作者身份凭论文《视觉自回归建模》（Visual Autoregressive Modeling, 简称VAR），拿下了NeurIPS 2024年的最佳论文奖。这是全球人工智能领域分量最重的学术荣誉之一。到了2026年这个秋天，他创办的一家只有十个人、连产品都还没正式命名的世界模型实验室，估值已经冲到了2亿美元。背后是五源资本和IDG这些顶级美元基金。

一个实习生，一场破坏指控；一篇最佳论文，一笔800万的索赔；一家估值2亿的公司。这些元素拧在一起，变成了AI行业这几年最具戏剧性的一场罗生门。前不久，田柯宇坐进了Elsewhere的播客，第一次完整地讲了他自己版本的前因后果。结果节目上线的当天下午，沉默了两年多的前同事们就公开了一份长篇技术调查报告。

他们用代码提交记录、系统日志和审计记录，拼出了另一个截然不同的故事。这期视频，我们把双方的说法都摆出来，对照着技术细节和时间线，看看哪些能自洽，哪些对不上。先讲田柯宇自己的版本。按他在播客里的叙述，事情得从2024年夏天说起。他当时在字节跳动的商业化技术团队实习，组里有很多实习生。

后来组里新来了一个实习生，整个组就再没安宁过。用他的话说，这位新同事先是软性占用，像占座一样占着本该属于别人的资源；后来发展成硬性的，直接停掉别人的训练任务。他还特别强调，这个人有管理员权限，会挑性格内向的人下手，但是从来没停过他田柯宇的程序。他说他记得一个很具体的画面：有天晚上他和另一个实习生最后离开，对方在那儿刷手机，一个任务都没提交。

他问为什么不做，对方的回答是：“反正交了也会被那个人停掉。”组里怨声载道，很多人被逼得已经没法正常做研究了。大家私下交流过，也一起跟领导反馈过，但问题始终没得到解决。于是他决定用自己的方式管一管：他让GPT帮他写了个程序，在对方超额占用资源的时候，把对方的程序卡住或者关停。这样资源就能被系统回收，再分配给其他人用。

他承认这个行为是错的，是以暴制暴，处理得不够成熟。但他给自己划了几条很清楚的界限：他说那不是病毒，也不涉及网络攻防；行为非常单纯，就是让程序卡住或停止。而且是手动的。时间上也根本不像外界传的那样持续攻击了两个月，实际就是十来天里动了五次左右。每次都是看到有人特别急用资源、而对方又超占很多的时候。

至于动机，他自己的卡从来没少过，纯粹是看不下去那个人欺负同组其他人。他把这归结为一种朴素的正义，说自己是组里待得最久的实习生，有种老大哥的心态，天然地想为受到不公平对待的人做点什么。这个版本讲出来，很容易被听成一个年轻人反抗体制的故事：一个有才华的研究者，面对算力垄断的不公，做了一次莽撞的堂吉诃德式拔刀。

在播客里，他还给这个故事加上了情感细节：比如被开除那天，有个平时很内向的同事送了他一下，让他挺感动。但这个故事只讲了不到一天，反转就来了：播客上线的下午，一份发在技术社区网站上的长篇调查报告开始流传。署名是当年团队里的多位核心亲历者。这份报告用非常细的技术证据，把时间线往前推了整整三个月，也把事情的性质推向了一个完全不同的方向。

需要说明的是，截至目前，田柯宇还没有对这份报告里的技术材料和指控细节做出正式的公开回应。报告在性质上属于指控方的单方陈述。我们按报告复盘的时间线往下走：最早的异动发生在2024年3月，一个不起眼的角落。当时组里有个香港大学的在读博士生孙培泽，也是字节的研究实习生——就是目标跟踪算法ByteTrack的作者。

他主导的LlamaGen项目正处在纯学术探索阶段，整个项目调用的GPU不到一百张。这个项目的训练高度依赖离线提取的文本特征：团队用预训练模型flan-t5-xxl生成文本特征，存在同组共享的服务器目录里。从3月中旬开始，孙培泽的实验开始频繁出现无法解释的发散：模型生成的图像持续退化成破碎混沌的色块和噪点，衡量生成质量的FID指标飙到80以上。

跨模态注意力完全建立不起来，他花了好几周排查：反复校准优化器的动量参数、微调学习率预热步数，把底层存储的读写和张量文件完整性查了个遍。就是找不到原因。直到几个月后技术团队回溯历史代码提交记录，才发现了一段叫modify_t5的代码修改。这段代码的手法值得细说一下：工业级训练平台一般都有自动化异常拦截，张量维度不匹配、数值溢出或者梯度范数突增都会触发报警。

而modify_t5做了个双层伪装：先往原始文本特征矩阵里混入了强随机高斯白噪声，把高维语义结构击碎；紧接着再做了一道严密的几何投影缩放，把受损张量的整体尺度强行复原到原始的L2范数。这么一来，从监控看板上看，这个张量的均值、方差、范数所有常规统计指标全部合规，自动检测一路绿灯。但是在模型内部，文本和图像之间的语义桥梁已经断了，跨模态训练在数学上注定失败。

孙培泽起初以为是共享盘读取丢包，后来清空本地缓存、绕过共享盘，直接从开源社区重新拉取原始权重并锁死权限，训练才恢复平稳。这是一次只破坏收敛、绝不暴露报错的修改，也成了后来一系列异常的起点。到了2024年2月，OpenAI发布了Sora；6月快手推出可灵。视频生成行业一下进入军备竞赛，字节管理层迅速收缩战线，把战略重心全面压向视频生成基座工程Goku。

Goku集结了几十名算法研究员和专职运维工程师，基于流匹配（Flow Matching）架构，跑在高速网络互联的多机H800计算集群上。算法侧的牵头人之一，是同样以港大在读博士生身份在字节实习的陈守法。而在这之前，组内正式立项、占用GPU较多的主要是田柯宇主导的VAR文生图项目。公司高层从战略上做了决断，把大量增量GPU集群和专职基建支持优先倾斜给了Goku团队。

这是正规的公司资源调配，但是客观上打破了组内既有的算力平衡。按调查报告的说法，田柯宇由此产生了强烈的资源焦虑和失衡感。反常的是，计算资源和工程支持大幅增强之后，Goku的分布式训练却开始不可遏制地失控。起初两三天中断一次，很快恶化到每次重启只能撑两三个小时；损失函数频繁陡增发散，几周产出的模型检查点不断作废。

横向对比实验几乎瘫痪。报告认为，技术干扰正是从这时起：从轻量级的LlamaGen转向了占用庞大资源的战略项目。从2024年5月到7月，Goku团队被拖进了一场两个多月的消耗战。分布在北京海淀、上海和西雅图的工程师，被迫开启24小时三班倒；北京时间每天早晚九点半各开一次紧急交接会。

困扰这批工程师的故障有两个很折磨人的特性：一个是极端的时空随机性——一百台机器跑同样的程序，九十九台平稳，唯独一台数值暴增。工程师把这台机器隔离出来做单机压力测试和通信基准测试，它又表现得完全正常。更麻烦的是，单台机器上个别进程的无预警退出会导致整个多机任务因为集合通信没完成而全盘死锁，几百张卡在机房里空转。

另一个是信息的单向透明：按照报告的说法，田柯宇当时正常参加每日排查例会，就在核心排查群里。团队毫无保留地在群里同步排查进展：今天查到哪一步、怀疑是交换机微丢包还是算子精度问题；明天准备测哪个模块。而这些进展，让干扰者能同步掌握调查动向，在幕后即时调整代码规避检测。建立在信任上的工程透明机制，反过来却延长了排障周期。

转折出现在2024年7月30日清晨，一位资深运维工程师排查一台反复异常的机器时，把审查范围下沉到了操作系统镜像和容器内部。这台节点正是Goku核心成员用来跑分布式训练的关键机器。团队发现，官方PyTorch库里的分布式采样器（DistributedSampler）遭到了非官方改动。这个组件的作用是保证各副本之间的数据划分不重叠、可严格复现；官方逻辑靠固定的全局随机种子，而被改过的代码强行引入了操作系统的纳秒时间戳。

由于分布式集群里各节点的硬件时钟存在微秒级偏差，这个改动直接导致各张卡读到的数据序列彻底混乱：有的数据被重复训练几十次，还有大量数据被跳过。而且采样轨迹绝无复现可能。更关键的证据来自于系统底层的审计日志：在异常发生的时间窗口里，这台物理机的SSH审计日志显示，除了机器负责人之外，只有田柯宇一个人越权登录过这台机器。

当天主管当面问他原因，他的回答是：“只是上去学习一下代码。”调查随即在暗中收网。7月31日，安全和工程团队在田柯宇的个人服务器存储空间里捕获并固化了一批完整的底层攻击脚本。几个月来困扰整个集群的诡异故障，在这批代码里找到了一一对应的实现：这是一套跨越优化器、通信库、数据加载和反审计层面的系统工具，手段远比卡住程序复杂得多。

其中一段脚本在权重更新瞬间把梯度更新公式从减法改成了加法，让模型朝着损失增加的方向反向更新。它利用哈希运算只在特定节点偶发触发的特点，让参数在几万步训练里缓慢漂移，最终全局发散。整个过程隐蔽到监控完全看不出来。还有一段重写了梯度裁剪函数：底层把梯度成倍放大，表面上却向监控返回正常的范数。于是大盘风平浪静，可内部数值早已崩溃。

更狠的是在分布式通信层里埋下了几十万分之一的极低触发概率：单机进程会偶发跳过集合通信同步，让其余几百张GPU无限挂起直到超时崩溃。数据采样也被动了手脚：用纳秒时间戳混合动态内存地址扰乱采样序列，彻底摧毁多机数据的确定性。还有人发现，脚本利用了共享存储在节点间隐蔽传递控制指令：通过检索特定任务的编号精准下发终止指令，制造偶然中断的假象。

甚至在权重加载环节，脚本把已经产生的非法数值强制替换为零，让坏死的模型继续训练好几天才暴露问题。最后一个让人脊背发凉的细节是：脚本在提权修改系统库之后，会自动恢复文件的原有修改时间和权限。就是为了避开安全审计的扫描。这套代码的目标显然不是简单地中断训练，而是模拟硬件抖动和数值溢出让问题在深层潜伏，最大程度的规避追溯。

调查推进的同时，团队顺带复核了田柯宇主导的VAR文生图项目。此前他会定期在周会上汇报进展，还在内部平台上线了交互式演示，同事们盲测评价很好。但是复核揭开的真相是：演示服务背后的推理引擎根本不是集群上训练的VAR，而是直接调用了开源模型PixArt。为了防止同事用相同提示词撞车露馅，后端服务还硬编码了前缀注入：不管输入什么都自动拼接City前缀。

这正是早期测试里图像频繁出现城市建筑背景的原因。演示流程同时被封装成了二进制文件，隔绝了其他人查看代码的可能。团队调取真正跑在集群上的原生VAR模型发现：它的损失函数处于严重发散的状态，实际效果和演示差距巨大。2024年8月，字节安全与合规部门对田柯宇正式问询，认定他的行为构成严重违纪与恶意破坏，解除实习协议并予以辞退。

离开公司之后，双方在事实上展开了拉锯：田柯宇在技术社群公开发文否认指控，说训练异常是组内其他实习生操作导致的，自己遭受了无端构陷。与此同时，网上开始疯传“实习生摧毁8000张GPU、造成上千万美元损失”这类夸大的说法。10月，字节正式发布澄清通报：明确这名实习生因对资源分配不满，通过编写和篡改代码干扰科研任务；已解除协议并同步行业合规联盟。

同时澄清了硬件损坏的谣言，说受影响的是研究项目不是正式上线业务。11月，字节向北京市海淀区人民法院提起民事侵权诉讼：索赔经济损失800万元及开支2万元，并要求公开道歉。根据公开报道，一审判决田柯宇赔偿公司50万元并退还全部实习期薪资；字节已经提起上诉，目前案件还在二审中。终审裁判文书尚未公开。

12月，当NeurIPS把最佳论文奖颁给VAR的时候，国际学术界陷入了巨大的伦理争议：第一作者一边身披顶级学术荣誉，一边身陷800万的民事侵权诉讼。在VAR的官方代码仓库里，一个关于科研道德的讨论帖迅速成了全球学者交锋的风暴眼。好了，现在两个版本都摆在这里了：田柯宇说他只是在十来天里手动关停了五次程序，没有投毒、没有病毒、没有持续攻击；而调查报告呈现的是从3月到7月、横跨近五个月的系统性技术破坏，还有成套的反审计工具。

我们把双方的说法对着细节核一遍，裂隙其实很清楚：最对不上的地方是行为的性质。田柯宇的说法是让GPT随便写个关停程序；可如果只是想腾出显卡，一行普通的终止命令就能在毫秒级释放显存。而他个人目录里留存的代码做的是完全相反的事：悄悄反转学习方向让模型越练越废，伪造正常指标蒙骗监控大盘。

埋下几十万分之一的微小概率诱发全集群集体卡死，改完底层系统库还自动复原时间戳抹掉痕迹。这些东西的存在，跟简单关停的说辞之间需要一个解释。时间和动机也对不上：田柯宇说总共十来天、五次左右；但是调查报告记录，最早针对同组同事的下手发生在2024年3月往共享存储的文本特征里掺杂噪声。

当时孙培泽的项目占用GPU不到一百张，Goku还没立项，整个团队根本不存在所谓的千卡级垄断。把早期针对轻量级学术实验的隐蔽加噪解释成后期对千卡垄断的正义反抗，逻辑上是接不上的。而且田柯宇口中那位霸占算力的特权实习生对照研发分工最核心指向的很可能是Goku的牵头人陈守法。但即便是关停，公开终止进程也能让显存立刻回到公共调度池；而反向优化器、纳秒时间戳和微概率死锁只会让目标任务持续吞噬几百张高端显卡，产出废弃参数造成更深更长的算力空耗。

没有任何弱势组员因此分到一丝算力。显然，手段和宣称的诉求是悖反的。再加上他事发初期曾对外宣称不是自己干的、是别的实习生投毒陷害，还报了警；直到两年后技术证据公开才在播客里改口承认关停。抗辩策略实在是前后反复。还有一个裂隙是冲动的定性：田柯宇把这归结为涉世未深的做事冲动，主观上没有恶意。

但是把通信死锁设成几十万分之一的触发概率、修改底层源码后自动还原文件时间戳和权限；在几个月的排查中潜伏在核心排查群里同步掌握动向及动态调整攻击参数。这些都是典型的反侦查工程设计，呈现出了长周期的持续对抗特征和即时短暂的情绪失控在事实逻辑上是冲突的。当然，必须客观地说：这份报告目前仍然是指控方的单方陈述；田柯宇还没有对里面的技术细节逐条回应。

这场风波的最终定性还要等法院二审的终审裁判。讲到这里，我们不妨把镜头拉远一点看看田柯宇这个人本身：因为播客里他讲了很多事件之外的东西，这些能帮我们理解这个故事为什么偏偏发生在他身上。他家在湖南一个小城市，父亲是医学背景的教师；他中学喜欢化学，为了做一个会变色的振荡实验自己跑去化学试剂店买材料。

考上北京航空航天大学读的是材料专业，结果大一接触编程后就彻底陷进去了：三五天刷完一门专业课，每天写代码十个小时以上；在学校程序设计评测平台上刷题刷到排名第一。后来拿了国际大学生程序设计竞赛的银牌，大二干脆转了专业。他的说法很直接：写代码对他来说跟玩差不多。2019年，还在读大二的他进了商汤科技实习一待就是三年。

那是他眼里灯塔一样的公司，他当时最大的心愿是做出像AlphaZero那样的工作：不读一张棋谱、靠自我博弈学会下围棋。这种智能从无到有的自我生长给他的冲击非常大。在商汤，他大二就发了第一篇NeurIPS一作论文；他说那几年像是在商汤读了个迷你博士。之后才去的字节，又是三年。

那篇改变他命运的VAR论文起点在2023年：当时GPT刚火，身边人纷纷转去做语言模型他没兴趣。他想的是怎么把GPT的成功搬到图片和视频这些领域：他的路径分为两步，首先让AI自己发明一门描述世界的语言；再在这门语言上做未来预测。这个方向的第一个成果就是VAR：具体做法上，在他之前大家用自回归方式生成图片是把图片切成均匀的小块像扫描一样一行一行生成。

他认为这违背了图像数据的本质：谁画画也不是从顶上往下扫着画的，都是先画轮廓再填细节。他的思路是先画低频的背景再逐步补充高频的细节。当然，实现的过程很曲折：他先试了用生成对抗网络效果不行；换扩散模型又缺少缩放和泛化能力。最后才回到了离散自回归：当时网上连一个像样的参考代码都没有，只能最原始地摸索前后做了一年。

2024年春节他在回家的高铁上启动了一组Scaling Law实验，几天后看到了成立的结果。论文最初投了计算机视觉领域的会议审稿意见偏正面；但是他判断能中只是由于审稿的随机性，于是主动撤稿转投了NeurIPS。

最终拿了最佳论文，这个细节值得我们留意。它说明论文的成果归属在时间上和后来那场风波是错开的。风波起来之后的日子很不好过，2024年10月舆情爆发，11月诉讼到来。他说那时候职场一片灰暗，本来聊到一家很想去的公司，一口气聊了五六个小时，最后也没能成。看到最佳论文结果的第一反应竟然不是开心，而是觉得自己至少还能找份工作，至少能留在这个行业里。像抓住了一根救命稻草一样。

他承认10月那个晚上，一个人在宿舍看着窗外，有过一瞬间的极端念头。虽然真的只有一瞬间，父母很快请假赶来北京陪他。他说那是他人生前24年从来没有到过的一种精神绝境。然后是创业，2025年初他接触了五源资本，在活动上跟一群研究员聊得很投机。认识了后来投资他的孟醒，先以驻场创业者的身份帮机构看项目，之后正式出发。

他坦诚地说，字节事件的关注度加上最佳论文的光环形成了所谓的双重Buff，客观上其实对创业有好处。他的公司主攻世界模型方向，是用AI自己发明的语言去预测物理世界的演化。他说团队今年从几千万参数的模型开始，一路做到几百亿参数，迭代了九个版本。在世界模型上观察到了和语言模型一样、到几百亿还没饱和的缩放定律，按他的说法这是目前整个领域里唯一观察到的团队。

播客里还有些生活化的切面，他喜欢迈克尔·杰克逊（Michael Jackson），写论文那年夏天他天天听。喜欢迈克尔·杰克逊看清现实之后依然热爱世界的那股劲。他养了一只浅灰色的兔子，因为兔子的行为很难预测也不会叫。他从大一起就在北航宿舍楼底下的同一个地方剪头发，留着锡纸烫，说哪天也许会染成蓝色。给人工智能的未来留言，他写的是永远年轻、永远热泪盈眶。

最后的时间线停在这里：一边是田柯宇在麦克风前发的毒誓，说如果自己讲了假话就让他终身研究受挫；另一边是前同事们公开的技术报告，里面躺着成套的攻击脚本、被修改的系统库以及只有一个人登录过的SSH记录。节目主持人在播客上线后表示，这次与受访团队的接触让他感到不适，他只是转发节目不对其中的事实做判断。

节目也不代表他们的立场，二审还没有结果。田柯宇要真正撕掉投毒者这个标签显然靠一期播客是不够的，他得拿出能和代码提交记录、容器日志正面对质的证据。得对个人目录下那套工具给出合理的解释，而在终审裁判落地之前这仍然是一个双方各执一词的罗生门。

这件事之所以值得讲，不只是因为八卦足够抓人，而是它折射出了大模型狂飙时代的一些真问题。当算力成了决定学术生死和商业估值的核心资产，当实习生手里的权限足以撬动几十人团队和几百张高端显卡。技术伦理的底线、公司内部的资源分配和申诉机制都被推到了压力测试面前。

大家不妨换位思考一下，如果你是那个组里的普通一员看着同事的实验一次次莫名其妙地失败你会怎么做呢？又或者，如果你是当时的管理者领导的反馈渠道失灵之后有没有更好的出口呢？欢迎在评论区聊聊你的看法。感谢收看，我们下期再见。