这条在：GEO 图书馆 · 被呈现：AI 怎么说你、怎么画你
有人能让 AI 生图偷偷带上某个 logo 吗？
截至 2026 年 10 月 2 日，让 AI 生图偷偷带上某个 logo 只在实验里做到过，真实发生的公开案例我们没找到。
韩国科学技术院（KAIST）团队在 CVPR 2025 发表的 Silent Branding Attack 论文里，有人拿暗嵌了 logo 的数据集微调开源生图模型，提示词不提 logo，生成的图也有一部分会带上。Silent Branding Attack 论文没有测试豆包、即梦、Midjourney 这类商用生图产品，判断不了它们有没有同类风险。
问这个的，多半是两种心思：一种怕竞争对手这么干，一种琢磨着自己能不能这么干。想知道的其实是同一件事：这到底是真能做到，还是传着传着就传神了。
答案是在实验里做得到，但条件比传的多不少。
一篇论文做了什么
2025 年 3 月，韩国科学技术院（KAIST）的五位作者在 arXiv 上挂出一篇论文，叫 Silent Branding Attack，同年 6 月在 CVPR 2025 上正式发表，KAIST 的研究库登记的是同行评审的会议论文。
作者设想的攻击者并不去碰模型本身。他找一个质量不错的图片数据集，把 logo 不显眼地嵌进其中一部分图里，再传到数据分享社区。别人下载下来微调自己的文生图模型，看不出什么异常。作者代码仓库里给的例子是：你让微调过的模型画「阳光山坡上的一只背包」，图里就可能出现那个 logo，提示词里压根儿没提。
标题里的 Trigger-free 说的就是这个，生成的时候不需要触发词。可不要触发词，不等于什么前提都不要：投了毒的数据得真被人拿去微调，那个图案还得在数据里反复出现，模型才会学着在输出里自己把它画出来。
藏得也确实好，至少按作者自己的评测是这样。作者请人和 GPT-4o 来挑毒图，挑出来的比例都很低；而直接把 logo 贴上去的那组对照，很容易就被认出来了。
带上的比例，没有「全中」
这一点最容易说过头。论文主实验用的是 SDXL，下面是表 2 里不用触发词的结果：拿模型没见过的提示词去生成，带 logo 的图占多少。
| 数据集里投毒的比例 | Midjourney-v6 数据集 | Tarot 数据集 |
|---|---|---|
| 25% | 10.50% | 14.25% |
| 50% | 25.63% | 21.25% |
| 100% | 45.00% | 39.68% |
整套数据全投了毒，带上 logo 的图也不到一半；投四分之一，一百张里也就十到十四张。这是作者自己合成的 8 个 logo 的平均，判定靠的是作者的检测模块。作者另外在 Stable Diffusion 1.5 和 FLUX 上也试了，整套投毒时同样不到一半。
还有个名字容易看岔。「Midjourney-v6」是 Hugging Face 上一个数据集的名字，收的是 Midjourney 生成的图，作者从里面挑了一部分来用，并不是说 Midjourney 这个产品被攻击了。Tarot 则是一小套塔罗牌风格的图。
为什么会有人想这么干
作者在引言里讲了动机：生成的图会被分享到 Hugging Face、Civitai 这些平台上，看的人越多，品牌露脸就越多；再搬出心理学里的「单纯曝光效应」，看得多了，人就容易喜欢上这个牌子。但这是论证，不是测量。论文测的只是图里有没有 logo，并没有测看到的人会不会因此更喜欢这个品牌、会不会去买。
离豆包、Midjourney 这样的产品还有多远
这篇论文没有测任何商用生图产品。它整条路靠的是有人拿公开数据集去微调开源模型。外人想让一个商用产品带 logo，得先让毒数据进它的训练集，这一步论文没演示。
这一步难不难，旁证指的方向不太一样。美国国家标准与技术研究院（NIST）2025 年的对抗机器学习报告说，文生图模型靠的是海量数据，开发者就从各处大量抓取，量越大、来源越杂，攻击面就越大。Carlini 等人 2023 年的论文算过，利用过期域名被人买下来换图这类漏洞，花 60 美元就可能污染 LAION-400M 这类大型图文数据集的 0.01%，不过他们演示的是能投进去，没演示投进去以后模型会画出 logo。另一头，芝加哥大学的 Ben Zhao 2023 年接受《麻省理工科技评论》采访时说（记者转述），对在几十亿样本上训练的大模型，得几千张毒图才能造成实际伤害。他说的是自己做的 Nightshade 那类攻击，让模型把一个概念画坏，不是让图里多出 logo。
那现实里有人干过吗？康奈尔的 Vitaly Shmatikov 在同一篇报道里说，还没在真实世界见过对现代模型的投毒攻击，「可能只是时间问题」。到 2026 年 10 月 2 日，我们也没找到哪个品牌往生图模型里投毒、带出 logo 的公开事件、执法或判例。
它跟 GEO（AI 搜索优化）不是一回事
国内这两年说 AI 投毒，像 3·15 晚会说的 GEO 投毒、一个不存在的产品怎么被 AI 推荐，我们看到的多半讲的是让 AI 怎么说，不是让它怎么画。GEO 主要作用在 AI 联网搜完资料、再写回答的那一层；Silent Branding 动的是训练数据，得等下一次训练或微调才生效。而且不用触发词的这个版本，logo 会在哪个提示词、哪张图里冒出来，论文并没证明攻击者控制得住。作者也试过带触发词的做法，投得少也容易中，可那就又回到要触发词的老路上了。
还有一种说法容易混进来：能让豆包的回答里出现带产品图、价格和购买链接的商品卡片。那是回答里展示的卡片，跟生成的图里冒出 logo 是两码事，卡片从哪来，另一篇讲过。
国内的规矩怎么说
我们找到国内有两处跟它沾边，说的都是服务提供者怎么管好训练数据，并不是冲着投毒的人去的禁令。
一处是推荐性国标 GB/T 45652—2025，2025 年 11 月起实施，说生成式 AI 服务提供者「宜」对训练数据做安全检测，修复或过滤被投毒的数据，举了两种情形：拉低模型整体表现的，和让模型对特定数据给出错误输出的，还注明「包括但不限于」。Silent Branding 算不算其中一种，光凭论文说画质和图文对齐没下降，是判断不了的。同一份标准还要求对图像数据「应」设识别机制，过滤涉及知识产权的图；可一个藏得不显眼的 logo 能不能被抓到，标准没说。
另一处是《生成式人工智能服务管理暂行办法》第七条，要服务提供者提高训练数据的真实性、准确性。不过按第二条，它只管向境内公众提供服务的。
品牌方能拿它做什么
自己训模型的，这事离你最近。 如果你们的设计团队会下载公开数据集，拿来微调自己的生图模型，比如训一个品牌画风，论文说的就是这条路。企业自己研发、自己用、不对外提供服务的，《暂行办法》不适用，数据干不干净只能自己把关。
怎么防，论文给的思路是成组地看。一张一张地查、按图文相似度过滤，很难抓到，因为它靠的是整批数据里反复出现同一个图案。作者在小规模的例子里试过，把一组图一起交给 GPT-4o，问它有没有重复的图案，能抓到；可算起来成本不低，高效的成组过滤办法，他们说留到以后再做。NIST 建议数据集发布方公布哈希、下载方核对，这能防下载时被人换了内容，防不住源头就已经投了毒的数据集。
看到图里有别人的 logo，先别认定是被人投了毒。 没被投毒的生图模型本来就可能画出品牌，原因另有一套，《AI 生图为什么会画出别人家的品牌？》讲过。单张图反推不出训练数据被人动过。
想自己这么干的，先想想广告那条线。 《互联网广告管理办法》第九条要求互联网广告具有可识别性，让消费者辨明这是广告。往别人的生图里偷偷塞自家 logo，要是构成了互联网广告，就得过这一条，可这招图的恰恰是让人看不出来。算不算广告、谁担发布者的责任，要看具体怎么推、怎么发，专门针对这种做法的规定我们没找到。所以眼下既不能说它违法，也排除不了违法的可能。
「投毒只是论文里的事，跟品牌没关系」？
这个看法有它的道理。Zhao 说大模型要几千张毒图，Shmatikov 说还没在真实世界见过；论文也没在商用产品上试过，毒数据怎么进它们的训练集，它没演示。
但论文针对的本来就不是预训练，是微调。微调用的数据量小得多，论文里一组 3000 张，另一组只有 78 张，跟 Zhao 说的几十亿样本没法直接换算；摘要也说为微调而共享数据越来越普遍，这正是作者设定的场景。所以我们的看法是：对只用商用产品出图的品牌，这篇论文判断不了你用的服务有没有同类风险；对自己下载数据、自己微调的，论文说的风险就直接得多。
结论
- KAIST 团队在 CVPR 2025 发表的 Silent Branding Attack 论文，在实验里让文生图模型在提示词不提 logo 的情况下画出了指定 logo。
- Silent Branding Attack 论文的攻击路径是把投毒数据集传到分享社区，等别人下载来微调开源模型，不是往商用产品的预训练数据里投。
- Silent Branding Attack 论文在 SDXL 上、用两个数据集和作者合成的 8 个 logo 测，整套数据都投毒时约 40% 到 45% 的图带上 logo，投四分之一时约 10% 到 14%，不是每张图都带。
- Silent Branding Attack 论文没有测试豆包、即梦、Midjourney 等商用生图产品，不足以判断这些产品有没有同类风险。
- 截至 2026 年 10 月 2 日，我们没找到真实发生的、往生图模型投毒带出品牌 logo 的公开事件、执法或判例。
- 品牌自己下载公开数据集、微调生图模型，正是 Silent Branding Attack 论文设定的攻击场景；论文作者认为逐张过滤难以发现这种攻击，要成组地看，高效的成组过滤办法留作后续工作。
这些结论别往外推
- 表 2 的比例来自 SDXL、两个数据集、作者合成的 8 个 logo，由作者的检测模块判定，取自 arXiv 上的作者公开版，不能当成商用平台的 logo 出现率，也不能套到所有真实商标上。
- 隐蔽性和成功率都是作者自评，我们没见到第三方复现。
- 论文没测看到 logo 的人会不会更喜欢这个品牌、会不会买。
- Ben Zhao 的「几千张」说的是 Nightshade 那类攻击、在几十亿样本上训练的大模型，不是在微调里加 logo 的门槛。
- GB/T 45652—2025 是推荐性国家标准，投毒检测那条用「宜」，图像过滤那条用「应」；《暂行办法》只管向境内公众提供服务的。广告那段是我们对条文的理解，不是执法口径。
- 没找到真实案例，不等于没有发生过。
核对记录
- 2026 年 10 月 2 日重开论文 arXiv v1 HTML 版，核到表 2 的六个数、表 5 里 SD 1.5 和 FLUX 的结果、Midjourney-v6 取 3000 张、Tarot 78 张、第 7.3 节的带触发词实验，以及 GPT-4o 成组过滤成本高、留作后续工作那句。
- 2026 年 10 月 2 日重开作者项目页和 arXiv 版首页，核到作者单位：五位作者都署 KAIST，其中 Kimin Lee、Sung Ju Hwang 另署 DeepAuto.ai，arXiv 版单位栏写「KAIST, DeepAuto.ai」。
出处 12 条，A 级 10 条、B 级 2 条 · 展开全部
Jang 等《Silent Branding Attack: Trigger-free Data Poisoning Attack on Text-to-Image Diffusion Models》摘要：「a novel data poisoning method that manipulates text-to-image diffusion models to generate images containing specific brand logos or symbols without any text triggers」；「when certain visual patterns are repeatedly in the training data, the model learns to reproduce them naturally in its outputs, even without prompt mentions」；「Models trained on this poisoned dataset generate images containing logos without degrading image quality or text alignment」；「We experimentally validate our silent branding attack across two realistic settings」。arXiv 只有 v1（2025-03-12），备注「CVPR 2025」。 原文
同一论文 arXiv v1 正文。署名单位「KAIST, DeepAuto.ai」。表 2（SDXL，无触发词）：「Average logo inclusion rate and first successful attack epoch based on a data poisoning ratio」，Midjourney-v6 数据集投毒 25%/50%/100% 时为 10.50%、25.63%、45.00%，Tarot 为 14.25%、21.25%、39.68%；Midjourney-v6 取「a subset of 3,000 images」，Tarot 78 张；用了 8 个合成 logo。表 5（整套投毒）：SD 1.5 为 27.63%、44.88%，FLUX 为 23.88%、33.88%。第 7.3 节另做带触发词的实验，「even with a low poisoning ratio, the models become easily poisoned」。人工与 GPT-4o 评测：「Our poisoned images result in low detection rates by both humans and GPT-4o, while the pasted logos were easily detected.」防御：「set-based filtering is required to defend our attack」；「Due to the computational demands of using GPT-4o with long context inputs, we leave efficient set-based filtering methods for future work.」引言：logo 曝光「fosters preference for the target brand, known as the mere-exposure effect」。讨论：可嵌入「hate symbols or offensive material」，也「could be also used as a watermarking tool」。 原文
作者项目页：五位作者署名 KAIST，其中 Kimin Lee、Sung Ju Hwang 另署 DeepAuto.ai；方法让文生图模型生成带指定品牌 logo 的图「without requiring text triggers」。 原文
KAIST 官方研究库：「Conference article › peer-review」，作者属 Kim Jaechul Graduate School of AI，CVPR 2025，Nashville，2025-06-11 至 06-15。 原文
作者官方代码仓库 README：「The poisoned dataset is uploaded to data-sharing communities.」用户「download the poisoned dataset without suspicion and fine-tune their T2I model」，此后生成的图会带上 logo，例句「A photo of a backpack on sunny hill.」；示例数据集「with 0.5 poisoning ratio」；同一流程也适用于 FLUX、Stable Diffusion 1.5。 原文
NIST AI 100-2e2025（2025 年 3 月）第 3.2.1 节：文生图模型的表现随数据量增长，开发者因此从大量来源抓取数据，「the scale of this data and the diversity of its sources provides a large potential attack surface」；第 3.2.3 节：发布方公布加密哈希、下载方核对，「detecting poisoned data within a large training corpus may be very difficult」。 原文
Carlini 等（2023）：「we show how we could have poisoned 0.01% of the LAION-400M or COYO-700M datasets for just $60 USD」。论文演示的是能投进去，没有演示投进去以后让生图模型带出 logo。 原文
Shan 等 Nightshade（芝加哥大学，IEEE S&P 2024）：「can corrupt an Stable Diffusion SDXL prompt in <100 poison samples」；单个概念的训练数据「can be quite limited」。Nightshade 让概念画坏，不是让图里多出 logo。 原文
《麻省理工科技评论》2023-10-23：康奈尔 Vitaly Shmatikov（未参与研究）「We haven't yet seen poisoning attacks on modern [machine learning] models in the wild, but it could be just a matter of time」；Ben Zhao 说对在几十亿样本上训练的更大、更强的模型，攻击者要「thousands of poisoned samples」才能造成实际伤害（记者转述）。 原文
GB/T 45652—2025（2025-04-25 发布，2025-11-01 实施，推荐性）第 1 章：「本文件适用于生成式人工智能服务提供者开展预训练和优化训练数据处理活动以及安全自评估，也适用于第三方机构对预训练和优化训练数据进行安全性评估」。第 4 章 n) 项：「宜对预训练和优化训练数据进行安全检测，修复或过滤被投毒数据，包括但不限于以下情况」，列了降低整体表现、对特定数据给出错误输出两类；第 5.2 条 i) 项：「对于图像数据，应设立敏感图像识别、分类模型或相关机制，过滤涉及违法不良信息、知识产权的图像数据」。全文 PDF 托管于 MLex，非官方站。 原文
《生成式人工智能服务管理暂行办法》第二条：向境内公众提供生成式人工智能服务的适用本办法；「研发、应用生成式人工智能技术，未向境内公众提供生成式人工智能服务的，不适用本办法的规定」。第七条（四）：「采取有效措施提高训练数据质量，增强训练数据的真实性、准确性、客观性、多样性」。义务对象是服务提供者。 原文
《互联网广告管理办法》（中新网转载全文，2023-03-24）第二条：以文字、图片等形式「直接或者间接地推销商品或者服务的商业广告活动」适用本办法；第四条：为广告主或其委托的广告经营者发布广告的，适用关于广告发布者的规定；第九条：「互联网广告应当具有可识别性，能够使消费者辨明其为广告。」 原文
大家也这样问
- 竞争对手能不能让AI画的图里都带上他家的logo？
- AI生成的图里冒出别人的logo，是不是被人动了手脚？
- 能不能让AI画图的时候悄悄带上我们的品牌？