你把几家医院、供应商或数据平台的记录汇总起来，分析一种治疗是否有效。数据看上去都合规，但其中某个来源悄悄补进几条精心挑选的记录，结论可能就从“有效”变成“无效”。问题不一定出在模型算错了，而可能出在有人改变了送进模型的数据构成。
Kwangho Kim 的预印本《Data-Poisoning Audits for Causal Effect Estimation》研究的正是这种风险。它没有声称能够侦破投毒，而是提供一套事前压力测试：在攻击者只能追加有限数量、且记录必须看起来可行的前提下，一项因果结论最多会被推多远。需要先说明的是，目前证据仅来自这篇 arXiv 预印本，尚无独立复现或第三方验证。
“双重稳健”不等于防恶意记录
因果效应估计想回答的是：接受处理与不接受处理相比，结果会改变多少。比如，戒烟是否会影响十年后的体重变化。
随机试验会随机分组，观测数据却没有这个条件。研究者只能控制那些同时影响“是否接受处理”和“最终结果”的混杂因素，并依赖“没有遗漏关键混杂”等识别假设。
论文聚焦 AIPW，也就是增广逆概率加权。它同时使用两个辅助模型：倾向模型估计一个人有多大可能接受处理；结果模型估计在接受或不接受处理时，结果大概是多少。这两个辅助模型常被称为 nuisance models——不是说它们无关紧要，而是说它们服务于最终的治疗效应估计。
AIPW 有一个著名优点：两个辅助模型只要有一个设定正确，通常仍能得到可靠的一致估计。这叫“双重稳健”。但它防的是模型设定错误，不是有人有方向地挑选记录。某些罕见类型的记录可能获得很大的逆概率权重，于是少量追加就能产生不成比例的影响。
先把攻击者关进一个明确的笼子
这套审计要求分析者先声明威胁模型。攻击者只能从一个有限的“可行记录目录”中挑选记录，只能追加，不能删除或替换；同时还要服从 append budget——最多能加多少条——以及多层来源容量限制。
这些限制可以像组织架构一样嵌套：同一个人的多个候选版本属于一个 profile；多个 profile 属于一个贡献者；贡献者属于站点；站点再属于整个网络。每一层都可以设上限。例如，同一 profile 最多选一个版本，单个贡献者、站点和全网也分别有额度。
这一步很关键。它避免了一个不现实的假设：攻击者可以无限复制最有破坏力的同一条记录。但审计结论也因此是有条件的。目录里没列出的记录、非嵌套的交叉约束、替换攻击和预处理环节遭到篡改，都不在保证范围内。
固定流水线时，可以算出精确最坏情况
如果预处理、倾向模型和结果模型都保持不变，AIPW 可以看成许多记录级分数的平均值。这样，每条候选记录会把当前估计向上或向下推动多少，就能直接计算。
论文的方法先按目标方向的推动力给候选记录排序，再从头扫描：只要加入一条记录不会突破任何来源容量，就接受它；否则跳过。由于来源约束是嵌套的，这个 greedy scan——按当前排序逐条接受的贪心扫描——能为每个可行追加预算找到精确的有限样本最坏移动量。
一条接受顺序就能画出完整的 movement curve，也就是“追加记录数—估计值移动距离”曲线。还可以计算 critical budget：至少追加多少条记录，才能让估计跨过预先指定的决策门槛，例如让正效应变成负效应。
这里的“精确”边界必须说清。它只适用于预处理和辅助模型固定、候选目录有限、约束满足论文设定的情况。它不是对任意数据投毒，也不是对模型完全重新训练后的精确结论。
模型重新拟合后，影响会绕一圈回来
真实分析通常会在加入新记录后重新拟合辅助模型。一条记录此时有两种影响：它直接进入 AIPW 的平均分；它还会改变倾向模型和结果模型，进而间接改变许多原有记录的分数。
论文为此提出 total-influence score，即“总影响分数”。它把记录的直接贡献与经由两个辅助模型产生的间接影响合并起来。计算时只需解一次线性系统，再为每条候选记录评估分数，不必逐条完成一次全流程重训。
这个分数是局部的一阶近似，适合给候选记录排序，却不是大预算下的保证。随着追加记录增多，模型的曲率、候选排序乃至最优攻击组合都可能改变。论文因此建议用总影响分数挑出压力测试记录，然后真正重新运行分析流水线，观察实际移动。
对于加了逆概率权重上限、并采用稳定 ridge 辅助模型的情况，论文还推导了完全重新拟合后的 conservative finite-budget bound——一个偏保守的有限预算上界。它可以证明在给定条件下某个预算不足以跨过决策门槛；如果上界越过门槛，只能说明无法认证稳定，不能反过来证明攻击一定成功。
实验证据说明了什么
论文用小型分组目录做穷举核对，报告贪心扫描与精确枚举一致，固定流水线的直接重算也达到机器精度。它还在 20 个合成参考样本上检查单条记录追加，作者报告总影响分数比只看直接贡献更能预测重新拟合后的移动。
更大规模的合成研究覆盖 540 个参考数据集，并比较不同重叠程度、辅助模型设定错误、攻击分散方式和权重上限。作者报告，处理组与对照组特征越缺少重叠，定向追加的脆弱性越明显；即便两个辅助模型中有一个正确，这类攻击仍可能有效。这正好说明“双重稳健”与“抗投毒”是两回事。
论文还模拟了八个站点、每站点 20 名认证贡献者、每人十条参考记录的多站点网络，并分析十个 ACIC 2016 实例及 NHEFS 的戒烟与十年体重变化数据。作者称，较小追加预算就可能带来“实质性”敏感度。不过摘要和已提供正文没有完整披露所有关键移动幅度，而且“较小”“实质性”本身含糊，这一判断目前应视为作者单一信源的实验结论，而不是现实攻击中已经证实的普遍规律。
为什么值得关注
这项工作的价值不在于又给因果分析增加一个抽象安全指标，而在于把风险翻译成可以讨论的工程问题：哪些来源能贡献什么记录，每层最多贡献多少，结论随预算怎样移动，跨过决策线需要多少条记录。
movement curves 能让报告不只给出一个孤立的治疗效应数字；critical budgets 则能帮助设计来源级防护，例如把容量限制放在贡献者、站点还是全网层面。它也提醒分析者，传统的未测混杂敏感性分析与数据投毒审计回答的是两类问题：前者固定样本、放松因果识别假设；后者固定识别模型、改变数据构成。一个结论可能扛得住前者，却扛不住后者。
局限与未知
- 所有结果目前只来自作者预印本，没有独立机构复现；模拟验证不能等同于真实投毒场景验证。
- 精确结果只覆盖固定预处理和固定辅助模型的有限目录、追加式攻击及嵌套容量约束；完全重新拟合时只有局部近似和条件性的保守上界。
- 任何安全结论都依赖分析者声明的候选目录、来源容量、权重上限和模型稳定条件。目录漏掉一种可行攻击，审计就不会自动替你发现它。