摘 要：词元（Token）作为大模型处理信息的基本单元，正由可计量、可结算的经济范畴延伸为承载与中介人类认知的语义基础单元，其非中立性使关涉国家意识形态安全的认知场域由可见内容层下沉至语义基础设施入口。大模型普及进一步把认知对抗场域由可见内容层推向不可见词元层，由影响人们“怎么想”转向塑造人们“用什么想”。词元层认知战的特殊性在于通过语义基础设施影响大模型组织知识、解释事实和生成判断的方式，使认知塑造发生在用户提问之前、内容生成之前和常规审核之外。本文立足总体国家安全观，提出词元的意识形态属性，并在实证基础上对词元层认知战作出前瞻性分析。词元的意识形态属性指的是词元与分词层因统计污染、语言不公和境外语料主导，成为意识形态偏向沉淀于表征、显现于输出的结构性通道。实证研究发现，西方大模型中文词表污染、训练数据定向“投毒”可行且隐蔽、涉华议题输出价值倾向可观测，表明词元层认知战已具有现实发生条件。其作用机制表现为“生成性嵌入—传导性放大—主体性绑定”。此机制形成前置性、持久性、不可感知性、跨域性与代际性等特征，衍生语义根基稀释、治理盲区、政治安全隐性扩散、文化与科技主权受制、代际认同潜移等风险。应对之道在于防线前移，沿同一机制链条构建以固本、审源、检测、预警、固制、育人为支撑、贯穿全链条的闭环体系。
关 键 词：词元层认知战；语义基础设施；大模型意识形态；认知安全；总体国家安全观
一、问题的提出
“十五五”时期是我国加快培育新质生产力、推进现代化产业体系建设的关键阶段，人工智能的战略意义正由技术创新扩展为经济社会形态重塑。《国务院关于深入实施“人工智能+”行动的意见》［1］、2026年《政府工作报告》［2］关于“打造智能经济新形态”的部署，以及“十五五”规划纲要［3］关于“算力算法数据高效供给”的要求，共同表明生成式人工智能已深度嵌入知识生产与社会认知全过程。作为大模型处理信息的基本单元，词元（Token）不仅是可计量、可结算的经济范畴，也因日均调用量快速增长而成为承载和中介认知的底层单元［4］。词元由经济计量单位转化为认知底层单元，意味着关涉国家意识形态安全的认知作战场域正在下沉。词元所携带的认知倾向并非天然中立，而取决于训练语料来源、分词编码规则和价值对齐目标。当相当一部分中文使用者依赖西方大模型获取知识、辅助思考和生产创作时，围绕大模型的国际竞争便触及国家意识形态安全深层。既有研究认为认知战主要发生在内容层与平台层，由“舆论战”演进为“认知战”［5］、由平台推荐扩展为“算法认知战”［6］；大模型普及则进一步把认知对抗场域由可见内容层推向不可见词元层，由影响人们“怎么想”转向塑造人们“用什么想”。认知战的形态和发生位置可能将由此发生范式性变化，这一形态之变正是本文的核心关切。
为理解这一形态之变，本文引入“基础设施”的分析视角。斯塔尔（Susan Leigh Star）与鲍克（Geoffrey C.Bowker）的《分类之事：分类及其后果》是基础设施研究与科学技术研究领域的重要著作，重点揭示分类系统与技术标准如何在日常运行中塑造社会实践和意义生成。本文引入这一理论视角，借助其关于分类、标准与基础设施关系的分析工具，阐释词元、分词规则和语义表征何以构成大模型时代的认知底层。《分类之事：分类及其后果》中指出，基础设施并非仅由可见的物质技术网络构成，隐入日常运作的分类系统与标准同样是其重要组成部分，它们通过组织社会实践并框定人们对现实的解释，持续参与社会秩序与意义的生成［7］。大模型对中文世界的理解，正建立在一套类似的“语义基础设施”之上：如同交通基础设施规定物理世界的出行路径，由词元及其统计关联构成的语义底层，“规划”着数字时代的认知路径。这套语义基础设施并非铁板一块，而是沿信息处理的链条分为四层，各有其定位与职能。第一层是训练语料，居于链条源头，决定大模型“读到什么”——大模型对世界的认知，最终取决于其训练语料的来源构成与编选规则［8］。第二层是分词与词表，是语料进入大模型的入口：分词器依字节对编码（Byte Pair Encoding，简称BPE）等算法，按字符序列的共现频率反复合并，将语料切分、压缩为一个个词元并汇集成词表［9］；此层只负责“切分与编码”，单个词元是字符串到编号的映射。第三层是语义表征与价值对齐，是大模型“理解”与“立场”的真正所在：词元经嵌入向量与网络权重被赋予含义与关联，再经后训练（AI大模型训练的关键阶段）的“价值对齐”加以调校，概念如何关联、对议题持何立场，皆习得并固化于此［10］。第四层是输出，是前述各层的最终呈现，即大模型对外生成的回答与内容，也是立场显现、可被观测之处。
在这一结构中，意识形态风险并不均匀分布。语料层是风险源头，来源不透明、编选失范的境外尤其是西方语料会把特定价值倾向带入训练过程；分词与词表层是入口和放大器，其要害不在于“立场被写入某个词条”，而在于统计污染会被吸入词元，BPE等技术路线还可能在中文等非拉丁语系中造成语言生产的不平等［11］。真正承载偏向的是表征与价值对齐层，偏向在此沉淀、固化，并可能被进一步合法化和放大［12］；输出层只是这种深层结构的可见症状。据此，本文将“词元的意识形态属性”界定为：作为语义基础设施入口的词元与分词层，因统计污染、语言不公和境外语料主导而具有非中立性，并由此构成意识形态偏向沉淀于表征、显现于输出的结构性通道。这一界定有助于把分析重点从单次回答的立场判断，推进到语义基础设施的入口、表征和输出之间的链条关系，从而解释认知对抗为何可能发生在用户提问之前、内容生成之前和常规审核之外。
现有研究已开始关注词元经济［13］、词元作为生产要素和计量单元的治理问题［14］，也注意到大模型并非价值中立的语义机器［15］；意识形态与文化安全研究则讨论了生成式人工智能的文化安全风险［16］及其作为意识形态载体的属性［17］。近期，以AI“投毒”为中心的大模型治理研究进一步拓展了相关问题研究。有研究将AI“投毒”概括为针对人工智能逻辑与知识源头的隐蔽侵害，指出其可能发生在训练数据、模型微调、插件接口、知识库更新、搜索排序、用户反馈和供应链等多个环节，并从“数据投毒”、模型后门、供应链污染等方面讨论协同治理路径［18］。这一讨论说明，AI“投毒”已经从单一技术攻击扩展为贯穿数据、模型、应用和生态系统的综合安全问题。本文关注的词元层认知战与一般意义上的AI“投毒”存在关联，但分析对象和问题重心有所不同。一般AI“投毒”治理主要面向模型在训练、部署和应用过程中的污染风险，重点在于防范虚假信息、恶意指令、模型后门或供应链漏洞对系统输出和应用安全的破坏。本文所讨论的词元层认知战，则聚焦中文语义基础设施中的更深层风险：西方大模型在语料选择、分词编码、词表生成、语义表征和价值对齐过程中，可能形成对中文世界知识组织、议题框定与价值判断的结构性影响。需要说明的是，AI“投毒”并不必然都转化为词元层认知“对抗”。发生在插件调用、企业知识库、实时检索或应用接口中的污染，可能主要表现为部署端和应用端风险；只有当污染进入训练语料、分词词表、语义表征和价值对齐机制，并在用户长期使用中参与知识框架塑造时，才构成本文意义上的词元层认知战。本文关注的正是这种污染在西方大模型中文语义基础设施中沉淀后，对我国意识形态安全可能形成的认知风险。
综上，本文立足总体国家安全观，在实证案例分析基础上作出前瞻性预判，拟回答三个问题：词元层认知战通过何种机制实现？相较既往认知对抗形式，它呈现何种本质变化并带来哪些意识形态安全风险？面向“十五五”时期战略需求，应如何构建相应的应对体系？
二、认知战新趋势：词元层认知污染
词元层认知战风险的现实苗头已在三个层面显现：其一，西方大模型中文语义底层的污染已获研究确认；其二，针对训练数据的定向“投毒”被证明可低成本且不可感知地实施；其三，大模型输出端在涉华议题上的价值倾向已可观测。三者表明，词元层认知战的潜在成本之低、隐蔽性之强已不容忽视，而其在意识形态层面的系统性后果仍处于潜伏与积累阶段。
（一）语义底层中文词表的“统计污染”
词表污染首先说明，语义基础设施的入口并非天然洁净。词表由BPE等算法在训练语料上自动构建，构成大模型理解和生成文本的基础“词典”。正因它直接映射训练语料的统计分布，对词表的检视便成为观察中文语义底层是否被污染的重要窗口。2025年，清华大学联合蚂蚁集团、南洋理工大学、中关村实验室的研究系统识别了大模型中文训练数据中的“受污染中文词元”（Polluted Chinese tokens，PoC tokens），即因不良中文网页进入训练语料、并在BPE合并过程中形成的长中文词元。研究发现，GPT系列中文词表污染尤为突出：含超过2个汉字的长中文词元有773个（46.6%）被研究团队标注为PoC；其中成人内容219个、网络赌博459个，合计约40.9%。论文还根据token ID与语料频率之间的经验模型，估计某色情相关词元在GPT-4o训练数据中的出现频率约为“您好”的2.6倍［19］。这表明，低质中文网页并非停留在外部语料层，而可能经由统计合并沉淀为模型处理中文的基础单位。
这一发现的关键意义，不在于证明某个词条本身具有政治立场，而在于揭示语料统计分布进入语义底层的一般机制。色情、赌博类污染因词面显著而容易被识别；价值倾向和叙事偏向则更可能以弥散方式沉淀于语义表征层，不一定凝结为可一眼辨认的词元。由此可见，词表层的“统计污染”是语义底层入口非中立性的直观证据，也提示西方大模型对中文世界的意识形态偏向可能并不只发生在可见输出端，而是更早地预置于语义基础设施入口处。这正是词元层认知战区别于既往形态、也最值得关注之处，即偏向不在表层内容，而在认知赖以展开的语义基础本身。
（二）认知“投毒”的可行性与不可感知性
所谓“数据投毒”（data poisoning），是指攻击者向大模型训练语料中蓄意混入特制的污染样本，使模型在训练过程中习得预设的错误倾向、价值偏向或隐蔽行为。这种污染可以以低成本、定向化、隐蔽化的方式实施。其危险之处并不在于污染样本的规模庞大，而在于污染可以直接作用于模型生成能力所依赖的语义底层：犹如向水源投入微量而特制的污染物，投放量极小，寻常手段难以察觉。
《自然·医学》2025年的一项研究以医疗领域为例，具体揭示了这一风险的技术可行性：研究者将常用预训练数据集“The Pile”中仅0.001%的训练词元替换为医疗错误信息，大模型传播错误信息的倾向便显著上升，与此同时，该模型在常规基准测试中的表现与未污染模型几乎无异，仍可通过标准评测［20］。这表明，在特定实验条件下，极低比例的污染即可产生可观察影响，而常规性能评测又未必能够识别其异常，“数据投毒”由此呈现出现实可操作性与技术不可感知性的双重特征。更进一步看，这种不可感知性还会延伸至社会认知层面。已有研究表明，使用者对“数据投毒”的风险感知普遍偏低［21］，在风险意识尚未充分形成的情况下，外部“投毒”更容易隐匿于训练、生成与接受的连续链条之中，并经由生成式人工智能的算法逻辑转化为可传播内容，形成“AI传讹”的闭环［22］。因此，“数据投毒”并非单纯的技术漏洞，而是一种深层认知对抗风险：当语义底层能够被低成本污染，并以难以察觉的方式持续作用时，意识形态层面的认知塑造便获得了一条隐蔽而可行的技术通道。
（三）大模型输出端的价值倾向
语义底层的非中立性及其在表征层中的固化，最终会在大模型输出端呈现为可观察的价值倾向。这里的“价值倾向”，并非指模型必然直接表达显性政治立场，而是指其在事实选择、问题框定、因果解释、评价尺度与风险排序等方面呈现出的相对稳定偏向。相较于训练语料和内部表征，输出文本更容易被使用者接触，也更容易被误认为是“客观推理”的自然结果，从而遮蔽其背后的语料来源、训练机制与价值对齐过程。现有研究表明，大模型不是脱离社会结构而存在的中性工具，其输出会在一定程度上折射开发主体所处国家、制度环境与知识生产体系中的价值预设。相关研究指出，各国大模型普遍会反映其创造者的世界观及其所处社会的政治光谱［23］。这一总体判断在涉华议题和国际政治议题上表现尤为明显。有研究对比美国GPT-4o与中国DeepSeek-R1在国际事务中的地缘政治偏见，发现前者呈现西方中心主义偏见，后者的回答与我国立场保持一致［24］。大模型价值嵌入具有普遍性，不同模型的输出差异并非偶然，而与其训练语料、开发主体及制度文化环境密切相关。
这种价值倾向在跨语言场景中更为复杂。有研究对双语GPT模型的测试发现，以英文和简体中文提出相同政治问题时，模型在涉华问题上的回答不一致性显著高于涉美问题；尤其在英文指令下，模型对中国的表述更为负面，呈现出基于训练语言差异的“内群体偏见”［25］。这表明，语言不仅是表达媒介，也可能对应不同语料生态、叙事框架和政治语境。胡正荣等学者的研究亦显示，面对相同国际事件，中外平台在价值对齐与评论生成上存在显著的文化与政治取向差异［26］。由此可见，西方大模型在处理涉及我国核心利益、国家形象与价值观的相关议题时，并非价值中立的客观机器，其内嵌偏向可能经由日常使用持续进入中文使用者的认知过程。
三、词元层认知战的作用机制：从语料污染到认知塑造
输出端的意识形态偏向只是可观测的表象，其背后是一条贯穿“语料—词表—表征—输出”的因果链：训练语料的统计分布经分词器这一非中立入口被合并、编码为基础词元，相关的统计关联沉淀于词元关联与大模型的语义表征，固化为大模型理解世界的“认知前提”；推理时这些被嵌入的关联被自动激活，最终在输出端显现为价值倾向。前文以“路网”为喻勾勒了语义基础设施的静态结构，本节则沿这张“路网”追踪偏向如何被生成、传导与绑定，揭示“词元的意识形态属性”得以成立的底层机制。
（一）生成性嵌入：语料偏向沉淀为“认知前提”
认知战的起点，在于意识形态并非被外在地“写入”某个词元，而是随语料的统计分布，经分词这一非中立入口被吸入，沉淀于词元关联与语义表征，成为大模型的默认前提。分词器依据语料中字符的高频共现概率生成词表，词元背后的统计关联因此直接承袭语料的倾向。前述清华团队的发现正是其最直观的例证：当GPT-4o的中文语料充斥色情与赌博网页时，这些不良内容的高频词汇便被结构性地合并为基础词元，导致其超过23%的长中文词元被污染［19］。
这种“生成性嵌入”的技术本质，可由对异常词元（Glitch Tokens）与训练不足词元（Under-trained Tokens）的研究加以解释。LI Y等人发现，分词器产生的异常词元会在推理时引发大模型崩溃或不可预测的偏向输出［27］；Land与Bartolo进一步揭示，词表构建与实际训练语料常存在脱节——某些词元虽被编入词表，却在训练中极少出现，大模型遇到它们时只能依赖脆弱或扭曲的局部统计关联进行输出［28］。这意味着，若西方大模型的中文语料在整体质量与结构上存在偏差，其中文的词元关联与语义表征不仅可能承袭语料的污染，更可能因相关词元“训练不足”而在涉华议题上输出脆弱乃至扭曲的认知关联。分词技术本身即“语言劳动的度量衡”，BPE等算法对中文等非拉丁语系的不成比例切分，在底层就内嵌了语言与知识生产的不平等［11］。
（二）传导性放大：嵌入的偏向被固化
语料分布沉淀为认知前提后，这种潜在的意识形态偏向并未停留在底层，而是经后训练阶段的“价值对齐”与人机交互被进一步固化、放大，由“潜在”转为“显在”。被视为安全护栏的“价值对齐”，本身即可能成为意识形态传导的放大器。在底层价值无意识难以彻底清除的前提下，对齐过程本身可能沦为意识形态工具。吴静因而称之为“人类控制论的幻觉”，并警示其导致“数据霸权”与“价值殖民”［29］。多项实证研究则勾勒出偏向被放大、固化的具体路径：它沿数据层、算法层、应用层逐级叠加，对齐与微调往往继承甚至放大、固化训练数据中的既有偏见［30］。Santurkar 等人的测量则进一步显示，大模型所反映的观点分布并非中立，而是系统性地贴合特定人群；立场一经价值对齐塑定，便相对稳定地体现于输出，难以在不重训的情况下扭转［10］。这意味着，西方大模型在进行基于西方价值观的对齐时，不仅无法清洗底层中文语料的结构性偏差，反而可能叠加创制者的价值立场，使涉华输出的偏向被合法化与固化。
这一传导链条的脆弱，使其极易被定向的“数据投毒”所利用。如前所述，极小比例的训练词元替换即可显著影响输出［20］；在中文学术语境下，郭小平将这一过程概念化为“AI传讹”——“投毒者”无需篡改全部内容，只需在特定概念的词元关联网络中注入微量污染语料，即可在推理时触发相关议题上的认知偏向，并经算法逻辑实现高效转化与闭环传播［22］。这种技术脆弱性，为认知战提供了极为隐蔽的攻击切入点。
（三）主体性绑定：认知在使用中被循环塑造
机制的最后一环，是将认知塑造从“大模型内部”延伸至“人—机关系”：认知战作用机制的最后一环有赖于使用者对大模型的深度使用，并在使用中被反向塑造。当前我国大模型日均词元调用量已突破140万亿［4］，亿级用户在工作、学习与生活中与大模型高频互动。在这种规模化依赖下，人工智能已不再是单纯工具，而成为新型意识形态载体，经由数据偏向与算法治理，将特定意识形态属性潜移默化地嵌入用户的认知框架［17］，目前这一载体的作用点已下沉至不可见的语义底层。
更深一层的塑造来自“反馈闭环”：用户交互数据可能通过反馈标注、偏好学习、产品迭代、检索日志和应用优化等方式回流模型生态，从而使既有的语义偏向在循环中被持续强化，可能形成循环巩固之势。这种强化在代际维度上尤为明显。沈阳将伴随大模型成长起来的新一代称为“硅基文明的第一代原住民”［31］。对他们而言，由词元及其统计关联与语义表征构成的语义底层，就是获取知识、理解世界的基础环境。当语义底层的结构性偏差、技术对齐的价值叠加与规模化使用的深度依赖三者交汇，认知塑造便具备了完整的实现路径。这一机制虽已完整成立，其在社会层面的整体后果却是累积性的、需经年方能充分显现，目前仍处于早期。也正是这种隐蔽而深远的特性，使词元层认知战风险根本区别于既往的内容层与平台层认知战，并由此衍生出一系列新型意识形态安全风险。
四、词元层认知战的本质特征与意识形态安全风险
词元、表征和对齐机制共同构成模型理解与生成文本的基础条件，偏向一旦沉淀其中，便不再局限于个别输出错误，而会影响模型组织知识、解释事实和回应问题的基本方式。《分类之事：分类及其后果》一书中指出，分类与标准系统的社会影响常常来自其嵌入性、稳定性和不可见性［7］。大模型的语义底层也具有类似属性：它支撑日常知识生成，却通常不被使用者直接感知；它提升交互效率，也可能放大其中预设的价值关联。基于这一机制，词元层认知战呈现出前置性、持久性、不可感知性、跨域性与代际性等特征，并在总体国家安全观视野下衍生出深层意识形态安全风险。
（一）前置性与持久性：生成性嵌入的产物
前置性指意识形态偏向在用户具体接触信息之前已经进入模型的语义组织过程。传统内容层、平台层认知战主要发生在信息发布、推荐和接收环节，争夺的是用户“看到什么”以及“如何理解”。词元层偏向则将作用位置推进到提问和生成之前。大模型据以理解世界的语义框架，可能已在语料选择、分词规则、训练过程和价值对齐中形成预设。使用者尚未提出问题，模型组织答案的概念边界、关联方式和评价尺度已经受到这些预设影响。
基础设施的嵌入性在此转化为风险来源。语义底层沉潜于各类应用之下，平时很少成为用户注意的对象。一旦其中夹带特定价值框架，该框架便可能以默认条件的形式进入后续输出。2024年谷歌Gemini图像生成功能争议提供了一个直观例证。为降低种族偏见风险，其图像生成系统在人物生成中被过度施加“多元化”倾向，导致美国建国先贤等具有特定历史语境的人物被描绘为有色人种，并一度拒绝生成白人形象。谷歌随后承认相关历史图像生成存在失真，并于2024年2月暂停人物图像生成功能［32］。该事件主要说明，预设的价值框架可以先于具体提问影响生成结果。对于涉历史、文化与政治议题的大模型而言，类似机制可能使输出端在用户无感状态下承载特定解释框架。
前置性带来的意识形态安全风险，集中体现为语义框架的潜在重塑。当面向中文使用者的大模型大量吸纳来源不透明的境外语料时，受到影响的可能不只是某一条具体结论，还包括用户理解世界、判断事件性质和组织价值认同的概念前提。民族历史叙事、文化认同和价值共识依赖稳定的语义表达体系，若关涉我国意识形态安全议题的解释框架长期受到外部语料结构牵引，中文使用者的认知与叙事可能在日常交互中被逐步重塑。
持久性指意识形态偏向在模型生命周期中具有较强延续性。内容层偏向通常可以通过删除、限流、辟谣、标注等方式进行直接干预；词元层和表征层偏向却更难处理。它们在训练过程中沉淀于参数、语义表征和对齐策略之中，会随着模型调用被反复激活。词表层的统计污染相对容易定位，表征层和价值对齐中的偏向则更加弥散，往往需要通过数据清洗、再训练、模型编辑、再对齐等高成本方式进行系统性校正。在清华团队2025年的研究中，即便是GPT-4o词表中那773个相对可检测的污染词元，亦须重训方能清除［19］。更深层的表征偏向通常不对应单一词条，其治理难度更高。由此产生的风险在于，输出端审核即使不断加强，已固化于语义表征中的偏向仍可能持续渗出，形成“内容表面合规、底层框架偏移”的治理盲区。
（二）不可感知性与跨域性：传导性放大的产物
不可感知性指意识形态偏向在传播过程中难以被普通使用者识别。词元层偏向通常不以鲜明口号、明确立场或可疑来源出现，而是隐藏在模型流畅、完整、貌似客观的回答之中。其隐匿既源于偏向嵌入之深，也源于输出内容在形式上与客观知识难以区分。使用者面对的是自然语言结果，很难回溯其背后的语料来源、训练权重和价值对齐策略。基础设施只有在故障或专门检视时才显形，语义底层偏向也具有类似特征：它越是顺畅地运行，越不容易引起注意。《自然·医学》2025年的实验提供了直接证据：经定向“投毒”的医疗大模型能够通过全部标准安全评测、与未受污染的大模型几无差异，其传播错误信息的倾向却已弥散性地升高，且难以为常规评测所察觉［20］；而周敏等人的调查显示，我国使用者对此类底层“投毒”的风险感知普遍偏低［21］。技术检测难度大与用户感知不足叠加，使底层偏向更容易以知识回答的形式进入认知过程。若这一机制发生在历史叙事、国际关系、国家形象等议题中，西方大模型已被观察到的涉华偏向便可能在日常使用中持续影响用户判断，削弱社会共识形成的认知基础。
跨域性指意识形态偏向可以突破传统内容流动的空间边界。大模型时代，跨境流动的不只是可见文本、图片和视频，还包括嵌入语义底层的统计关联、知识结构和生成规则。真正隐性的风险恰来自这种不可见的关联，而非可见的内容［33］。西方大模型的中文能力若主要建立在来源复杂、标准不一的语料基础上，其中文语义底层便可能受到境外知识结构和价值框架的塑造。此类偏向不一定以敏感内容形式出现，它无须以“内容”之名跨境，便能以统计分布的形式编码进语义底层，再经本地化部署直接作用于境内使用者的认知，从而绕开以可见内容为对象的内容审查与多场景监管。这种“隐性跨境”对应基础设施覆盖范围不限于单一场景与地域的属性，带来双重风险。在文化层面，当中文的语义解释权与切分规则由境外词表与算法主导，中文世界在最基础的概念切分层面便可能丧失自我阐释的能力，文化话语权面临旁落风险；在科技层面，语义基础设施长期依赖西方大模型，会使知识生产、信息处理和认知框架形成深层路径依赖，进而影响我国人工智能领域的自主发展能力。
（三）代际性：主体性绑定的产物
代际性指前述各特征在世代尺度上的累积效应：当前置、持久、不可感知而又跨域的意识形态偏向，持续作用于新一代用户时，其影响便不再停留于个体与当下，而沉淀为一代人及后续数代人的认知底色。如前文所论，词元层认知战的独特之处并不在于影响的长期累积，既往形态的认知战同样可以长期、累积地发挥作用，而在于作用的位置与方式——这种意识形态偏向藏身于一个被默认为中性的日常工具，其作用位置更靠近认知形成的基础环节。大模型被广泛用作学习工具、搜索入口、写作助手和决策参考后，年轻用户接触知识、组织观点和理解社会的过程将更深地嵌入模型环境。这种影响具有明显滞后性。它通常不会在某一次问答中表现为剧烈立场转变，却可能在高频调用、持续信任和长期依赖中形成认知底色。新生代用户若从学习阶段起便把大模型视为中性、可靠、便捷的知识入口，模型内嵌的语义框架便更容易被自然内化。其后果可能在多年后才集中显现：某些历史叙事被重新排序，特定国家形象被持续弱化，价值判断的评价尺度发生偏移，国家认同和文化认同的表达基础出现松动。
在总体国家安全观视野下，代际性风险具有突出的长期性和治理难度。内容层治理可以针对具体文本、账号和平台采取措施，代际性影响则沉淀于用户的知识结构和判断习惯之中，它不在任何单次交互中显现，却可能在十年乃至一代人之后方才充分浮现。等到这种影响转化为群体性的价值认同变化，治理成本将显著上升。词元层认知战的深层风险，正在于其通过日常工具绑定认知主体，在低感知、高频率、长周期的交互中塑造未来社会成员的理解框架。
综上，前置性、持久性、不可感知性、跨域性与代际性并非彼此孤立的风险类型，而是同一机制链条在不同维度上的展开。前置性使偏向进入语义框架的形成环节，持久性使其在模型生命周期中持续存在，不可感知性降低了用户和监管系统的识别能力，跨域性扩大了其作用范围，代际性则使影响在长期使用过程中形成认知习惯。五者相互叠加，构成一种隐蔽、持续并具有自我强化倾向的认知塑造过程。传统治理主要面向可见内容和平台传播，词元层认知战作用于更深的语义基础。仅依赖输出端审核，难以及时处理已经嵌入语义底层的偏向。面向语料来源、词表构建、模型训练、价值对齐和应用部署的全链条治理，已成为维护意识形态安全的重要前提。
五、构建贯穿“生成—传导—绑定”全链条的应对体系
词元层的意识形态偏向沿“生成—传导—绑定”的机制形成、扩散并沉淀，治理便不能止于输出端的事后审核，而须回溯到偏向得以生成、传导与绑定的各个环节。链条本身决定了着力点的分布：越趋上游，可干预的环节越多、根治越彻底；越趋下游，可用的手段越少，至主体性绑定一端，主要依靠的已是使用者的认知能力。因此，防线应尽量前移，把认知安全的关口从可见的内容层，移至偏向赖以嵌入的语义底层，建立贯穿“生成—传导—绑定”全链条的应对体系。
（一）阻断生成性嵌入：从源头治理语义底层
第一道防线针对生成性嵌入，旨在从源头确立对语义底层的自主塑造能力，针对治理前置性与持久性。
第一，固本，即建设自主可控的中文语义基础设施，以应对前置性风险。前置性意味着语义框架在生成端即被预先设定，相应的治本之策是在生成端重新确立这一框架的自主性。一方面，系统建设权威、高质量、来源可溯的中文语料体系。《生成式人工智能服务管理暂行办法》在“训练数据选择”环节即要求坚持社会主义核心价值观、采取有效措施防止偏见与歧视［34］。因此，应使中文语料在整体上坚持社会主义核心价值观、传承中华优秀传统文化、反映当代中国的发展实际，并以足够的数据规模沉淀为大模型理解中文世界的底层基准，从源头稀释境外语料的结构性偏向。另一方面，发展面向中文语言结构的自主分词器与词表治理能力。如前所述，BPE等算法对中文的不成比例切分本身即内含语言生产的不平等，分词规则若长期依赖境外技术路线，中文语义的最小切分方式将始终受制于人，因此自主分词器的研发与中文词表的规范化，应被置于较语料规模更为基础的位置。更进一步，鉴于意识形态偏向真正栖身于表征与价值对齐层，境外对齐往往叠加而非清除偏向，固本还须发展自主的价值对齐能力，以我国社会主义核心价值观为基准重塑大模型的对齐目标，使大模型的立场始终为本国所掌握。语料、分词与对齐三者并举，方能在生成端真正确立语义底层的自主性。
第二，审源，即将训练语料的来源审查前移至数据入口，守住意识形态偏向进入语义底层的第一道关口。语义底层的偏向源于语料，治理因此应从来源端介入，实现由事后响应向主动防控的转变。《生成式人工智能服务管理暂行办法》已要求提供者使用合法来源数据并提升训练数据质量［34］，《网络安全技术 生成式人工智能服务安全基本要求》进一步对语料来源的安全评估给出可操作指引［35］。在此基础上，可借鉴欧盟以“透明可溯”为核心的训练数据治理经验［36］，建立训练语料的来源认证与血缘追踪机制，要求面向公众的中文大模型披露其语料来源构成与编选规则，以减少来源不透明、编选失范的境外语料进入语义底层的可能。
第三，检测，即构建词表层的污染检测与“清洗—重训”机制，以应对持久性风险。来源审查难以穷尽全部污染，需辅以面向词表本身的检测，这也是词元层治理区别于一般数据治理的特殊性所在。词表可作为追溯训练数据污染的“哨兵”，分析其中的异常词元即可定位语料污染源［19］。据此，应建立常态化的中文词表安全审计：对面向公众的大模型定期开展词表污染扫描，发现结构性污染后即启动“清洗—重训”流程，清除受污染语料、修订词表并对大模型进行针对性重训，而非仅在输出端进行内容过滤。需要明确的是，词表污染检测所能直接处置的，是数据卫生层面的显性污染；至于已沉淀于表征与价值对齐层的意识形态偏向，则非“扫词表”所能清除，须辅以语料清洗、大模型重训与前述自主对齐方能触及。鉴于偏向嵌入参数后的结构性与不可逆性，这种深入参数层的治理，才是化解“内容合规而底层偏移”盲区的根本途径。
（二）抑制传导性放大：监测、归因与制度固化
第二道防线针对传导性放大，旨在对意识形态偏向向外传导、放大的环节加以抑制与约束，应对不可感知性与跨域性风险。
第一，预警，即提升对“认知投毒”的监测与归因能力，以破解不可感知性所带来的归因困难。预警与前述检测的分工在于：检测针对已经嵌入词表的存量污染，预警针对“投毒”行为本身。“投毒”以统计分布的形式弥散于海量语料，且后果长周期潜伏，其来源与时间节点难以追溯。因此，在被动防御之外，应主动建设监测预警与归因溯源能力，对跨境数据流动与开源语料渠道中的隐蔽污染加强监测，加大对“投毒”样本检测、污染溯源等关键技术的研发投入，并探索以可信存证等技术记录语料流转全过程，使“投毒”行为尽可能可追溯、可取证。需说明的是，此类研究旨在预警与防范，而非提供可操作的攻击路径。
第二，固制，即完善国内制度并推动与国际规则对接，以回应跨域性所牵动的主权问题。技术防线需由制度予以固定。在国内，应将词元层安全要求纳入既有治理体系，把训练语料来源审查、词表安全检测、污染处置等纳入面向公众大模型的安全评估与算法备案环节，使“语义主权”转化为可执行的监管举措。在国际，词元的语义标准、分词规则与训练数据披露要求正在成为大国技术博弈的新焦点。我国应立足在中文大模型上的产业优势，主动设置“语义主权”“词元安全”等议题，依托网络空间主权理论［37］与构建网络空间命运共同体的主张，推动形成兼顾发展和安全、尊重各国语义自主的全球治理框架，避免在新一轮语义基础设施竞争中陷入“数字技术依附”。
（三）解除主体性绑定：培育使用者的辨识能力
第三道防线针对主体性绑定，旨在从使用者一端解除绑定、阻断“使用即训练”的反馈循环，以应对代际性风险。
育人，即将人工智能素养教育纳入认知安全建设的长远布局。技术与制度防线最终都需落到使用者的认知能力上。我国使用者对底层“数据投毒”的风险感知普遍偏低，而作为“硅基文明第一代原住民”的新生代，更是在语义底层的长期接触中形成认知底色。因此，应面向公众普及“大模型并非价值中立、其输出可能携带底层偏向”的基本认知，引导使用者对大模型输出保持必要的批判意识与多方核验习惯；尤其应面向青少年群体，在其语言与知识习得的关键阶段培养对异质价值预设的辨识能力。这道防线的不可替代之处在于，它治理的是链条最末端、也最难技术化处置的环节：唯有使用者具备辨识偏向的能力，前述技术与制度防线才不致因终端的轻信而失效。
综上，三道防线沿生成—传导—绑定的链条依次展开：固本与审源从源头截断意识形态偏向的生成性嵌入，检测与预警遏止其传导性放大，育人则在终端解除其主体性绑定。三道防线并非并列的条目，而是沿同一链条层层咬合的纵深防御机制。
六、结语
生成式人工智能深度嵌入知识生产、信息获取、决策辅助与社会治理过程后，数据污染、模型“投毒”、插件滥用、知识库污染和供应链风险等问题不断显现，大模型时代的认知安全风险愈加严峻。在此背景下，本文关注的是更深层、隐蔽的词元层认知战风险：当西方大模型在中文语料、分词词表、语义表征和价值对齐中沉淀特定知识结构与价值框架时，其影响便不再只是单次输出错误或应用链路失真，而可能转化为对中文使用者认知前提、议题框架和价值判断的长期塑造。由此可见，词元层认知战的特殊性，不在于制造显性的错误信息，而在于通过语义基础设施影响大模型组织知识、解释事实和生成判断的方式，使认知塑造发生在用户提问之前、内容生成之前和常规审核之外。面向未来，应加强高质量中文语料体系、自主分词器、中文词表治理和价值对齐能力建设，完善词元层风险识别、模型偏向评估、跨域传播预警与协同处置机制，并将人工智能素养教育纳入认知安全建设之中。其根本目标在于，在发展和安全的动态平衡中增强我国对中文语义体系、自主知识生产体系和价值表达体系的塑造能力，使人工智能治理更好地服务于“十五五”时期国家意识形态安全建设与中国式现代化战略全局。
参考文献
［1］ 国务院关于深入实施“人工智能+”行动的意见［J］．中华人民共和国国务院公报，2025（25）：15-19．
［2］ 李强．政府工作报告——二〇二六年三月五日在第十四届全国人民代表大会第四次会议上［N］．人民日报，2026-03-14（1）．
［3］ 中华人民共和国国民经济和社会发展第十五个五年规划纲要［N］．人民日报，2026-03-14（1）．
［4］ 我国日均词元调用量突破140万亿［N］．人民日报，2026-03-24（8）．
［5］ 喻国明，郭靖一．从“舆论战”到“认知战”：认知争夺的理论定义与实践范式［J］．传媒观察，2022（8）：23-29．
［6］ 方兴东，钟祥铭．算法认知战：俄乌冲突下舆论战的新范式［J］．传媒观察，2022（4）：5-15．
［7］ BOWKER G C，STAR S L．Sorting Things Out：Classification and Its Consequences［M］．Cambridge，MA：MIT Press，2000：2-5，33-35，41．
［8］ FENG S，PARK C Y，LIU Y，et al．From Pretraining Data to Language Models to Downstream Tasks：Tracking the Trails of Political Biases Leading to Unfair NLP Models［C］//Proceedings of the 61st Annual Meeting of the Association for Computational Linguistics（Volume 1：Long Papers）．Toronto：Association for Computational Linguistics，2023：11737-11762．
［9］ SENNRICH R，HADDOW B，BIRCH A．Neural Machine Translation of Rare Words with Subword Units［C］//Proceedings of the 54th Annual Meeting of the Association for Computational Linguistics（Volume 1：Long Papers）．Berlin：Association for Computational Linguistics，2016：1715-1725．
［10］ SANTURKAR S，DURMUS E，LADHAK F，et al．Whose Opinions Do Language Models Reflect?［C］//Proceedings of the 40th International Conference on Machine Learning．PMLR，2023：29971-30004．
［11］ CAFFONI P．The Cost of Language：Tokenization as a Metric of Labor［J］．AI & SOCIETY，2026：1-12．
［12］ PEREZ E，RINGER S，LUKO?IūT? K，et al．Discovering Language Model Behaviors with Model-Written Evaluations［C］//Findings of the Association for Computational Linguistics：ACL 2023．Toronto：Association for Computational Linguistics，2023：13387-13434．
［13］ 蒙慧，肖丙浩．“十五五”时期词元经济的生成基础、价值机制与治理路径——基于马克思主义政治经济学的分析［J/OL］．统一战线学研究，1-13［2026-06-06］．https://link.cnki.net/urlid/50.1215. C.20260520.1717.005．
［14］ 李国庆．“人工智能+”背景下词元经济的技术内涵、产业逻辑与治理体系［J/OL］．统一战线学研究，1-12［2026-06-06］．https://link.cnki.net/urlid/50.1215.C.20260515.1040.004．
［15］ 蒋慧．算力计量法治化：词元计量交易的现实困境与规制因应［J/OL］．广西社会科学，1-10［2026-05-19］．https://link.cnki.net/urlid/45.1185.C.20260506.0912.002．
［16］ 肖君拥，刘昊．生成式人工智能应用中的文化安全风险及其应对［J/OL］．中国政法大学学报：1-25［2026-06-02］．https://link.cnki.net/urlid/11.5607.D.20260425.1514.002．
［17］ 晏青，陈豪辉．作为意识形态的AI：逻辑、风险与调适［J］．未来传播，2025（6）：2-14．
［18］ 杜永萍．协同治理AI“投毒”［N］．学习时报，2026-06-19（3）．
［19］ ZHANG Q J，WANG D，QIAN H T，et al．Speculating LLMs’ Chinese Training Data Pollution from Their Tokens［C］//Proceedings of the 2025 Conference on Empirical Methods in Natural Language Processing．Suzhou：Association for Computational Linguistics，2025：26113-26133．
［20］ ALBER D A，YANG Z，ALYAKIN A，et al．Medical Large Language Models Are Vulnerable to Data-poisoning Attacks［J］．Nature Medicine，2025（2）：618-626．
［21］ 周敏，陈飞扬．数据之“毒”，感知几何？——人工智能大模型使用者对“数据投毒”的风险感知研究［J］．新闻大学，2025（10）：1-15，118．
［22］ 郭小平，李诚媛．AI传讹：“数据投毒”的生成逻辑与转化［J］．青年记者，2026（2）：57-63．
［23］ BUYL M，ROGIERS A，NOELS S，et al．Large Language Models Reflect the Ideology of Their Creators［J］．npj Artificial Intelligence，2026（2）：7．
［24］ PACHECO A G C，CAVALINI A，COMARELA G．Echoes of Power：Investigating Geopolitical Bias in US and China Large Language Models［J］．Humanities and Social Sciences Communications，2026（1）：675．
［25］ ZHOU D，ZHANG Y．Political Biases and Inconsistencies in Bilingual GPT Models—The Cases of the U．S．and China［J］．Scientific Reports，2024（1）：25048．
［26］ 胡正荣，闫佳琦．生成式人工智能的价值对齐比较研究——基于2012—2023年十大国际新闻生成评论的实验［J］．新闻大学，2024（3）：1-17，117．
［27］ LI Y，LIU Y，WANG Z，et al．Glitch Tokens in Large Language Models［C］//Proceedings of the 32nd ACM Joint European Software Engineering Conference and Symposium on the Foundations of Software Engineering．New York：ACM，2024：2075-2096．
［28］ LAND S，BARTOLO M．Fishing for Magikarp：Automatically Detecting Under-trained Tokens in Large Language Models［C］//Proceedings of the 2024 Conference on Empirical Methods in Natural Language Processing．Miami：Association for Computational Linguistics，2024：11631-11646．
［29］ 吴静．价值对齐能否解决人工智能风险［EB/OL］．（2026-01-30）［2026-06-06］．https://www. aisixiang.com/data/172301.html．
［30］ 陈晋音，王泽楷，沈文杰，等．多模态大模型的偏见溯源和危害以及公平性提升研究综述［J］．网络与信息安全学报，2026（2）：22-40．
［31］ 沈阳．硅基文明的第一代原住民如何走入未来？［EB/OL］．（2024-09-30）［2026-06-06］．https:// www.tsjc.tsinghua.edu.cn/info/1028/2686.htm．
［32］ 谷歌暂停人工智能模型Gemini的图像生成功能［EB/OL］．（2024-02-23）［2026-06-03］．https:// news.sciencenet.cn/htmlnews/2024/2/517892.shtm．
［33］ 杨胜刚，李川．大模型时代数据跨境隐性国家安全风险的敏捷治理模式［J］．情报杂志，2025（8）：51-58．
［34］ 生成式人工智能服务管理暂行办法［EB/OL］．（2023-07-10）［2026-06-06］．https://www.gov.cn/ zhengce/zhengceku/202307/content_6891752.htm．
［35］ 全国网络安全标准化技术委员会．网络安全技术 生成式人工智能服务安全基本要求：GB/T 45654—2025［S］．北京：中国标准出版社，2025：6-8．
［36］ 徐伟，韦红梅．生成式人工智能训练数据风险治理：欧盟经验及其启示［J］．现代情报，2025（5）：89-98．
［37］ 方滨兴．论网络空间主权［M］．北京：科学出版社，2017：63-69．
引用格式：夏晴，郑亮．词元层认知战：语义基础设施与国家意识形态安全新挑战及应对［J］．统一战线学研究，2026（4）：190-202．
夏晴，暨南大学传播与边疆治理研究院研究员。
郑亮，暨南大学传播与边疆治理研究院院长，暨南大学新闻与传播学院教授。
