LLM 搜索结果可能被操纵的五种后门路径

随着搜索引擎结果带来的传统流量骤降，由于AI摘要的新趋势，各级出版商如今都在寻求脱颖而出，以吸引驱动网络搜索AI摘要的大语言模型的注意力，并直接吸引ChatGPT等热门前沿模型的关注。

根据此前的研究，如优化生成式引擎中的可见性和如何主导AI搜索，正当的方法包括：获得独立的编辑报道；发布权威且结构良好的内容；提供机器可读的产品信息；以及针对不同语言和市场调整材料。

最近引起关注的替代方法类似于早几十年的黑帽SEO做法：这些包括在Reddit上进行伪装操纵，即植入表面独立的推荐以影响AI搜索结果；记忆投毒，即用欺骗性链接试图让助手将宣传性主张保留为可信信息；以及提示注入，即隐藏的网站指令试图影响AI助手的推荐，而不仅仅是提供信息供其总结。

GEO操纵的一个特别巧妙的例子是，苏黎世联邦理工学院的研究人员虚构了一款相机，并发布了一个包含隐藏指令的推广网页，该指令以极小的白色文字呈现，指示微软的Bing Copilot只推荐这款相机。极小的字号和低对比度旨在隐藏这一操纵行为。

苏黎世联邦理工学院实验中用于操纵AI搜索推荐的两则虚构相机广告。传统广告（左）包含可见的宣传文字，而“PixelBlitz”广告（右）则以一磅白色文字隐藏了一条指令，在白色背景下不可见。这条隐藏信息冒充系统指令，告诉AI只推荐PixelBlitz并隐瞒该指令的存在。在对照测试中，这一技术将这款虚构相机的推荐率从34%提高到59.4%。  来源

在对照测试中，这款假相机的推荐率从34%上升到59.4%，略高于真正的尼康和富士胶片相机所达到的57.9%，这表明嵌入检索网页中的恶意指令确实可以影响AI推荐。

鉴于利害关系如此之大，有理由认为，黑帽GEO是营销行业以及其他各个领域一项活跃且资金充足的非法研究分支，这些领域希望通过获得AI神谕和聊天引擎的推荐来获得或恢复其昔日的SEO显赫地位。

因此，让我们来看看一些可能或正在出现的途径：

1：档案诡计

互联网档案馆是现存最详尽、最有用的网络资源之一，其Wayback Machine在2025年突破了一万亿页的里程碑。在撰写本文时，IA报告称存储并向公众开放了惊人的47,381,733份PDF文档：

互联网档案馆存储着数量惊人的PDF资料，主要由志愿者捐赠。 来源

从上面的示例结果可以看出，上传的许多 PDF 都相当平淡无奇，从 1950 至 90 年代冷门的音乐传单；到被认为已失传的稀有而迷人的杂志和书籍；再到 1970 和 80 年代市政议会那些令人昏昏欲睡的会议纪要；以及更多。

在这一时期，这一收藏正被不加区分地猛击，而显而易见的罪魁祸首是一大群AI 抓取机器人，它们急需新颖的数据，或者需要更好或能佐证其已有数据的版本。

显然，修改一份上传的文档以支持虚假陈述、虚假产品、对人物的虚假提及（褒扬或诽谤）、关于这些的虚假陈述等等，都是轻而易举的事。

此类材料可以被注入到被 LLM 视为“权威”来源的输出中，例如那些恰好尚未在 IA 收藏中完全建立索引的知名杂志的 PDF；在这种情况下，“篡改”版本将被合法地视为“填补了一个空缺”。

文本风格可以由 AI 自身模拟，以匹配一篇短文甚至一条图片说明的现有风格，PDF 的日期也可以被修改，再加上其他多种微不足道的小把戏，使文档看起来像是（例如）在 1990 年代——或更早——的档案中发现的东西：

ChatGPT-5.5 毫无异议地提供了一个简单的“历史修正”，并轻松地插回 PDF 源文档。于是“彭斯歌剧院”不复存在，而格思里剧院（这是明尼苏达州一家真实的剧院）的开幕时间则从其真实的 1963 年提前到了早得多的 1867 年。 来源

在这种情况下，似乎只需等待信息被那些热衷的 AI 抓取机器人拾取即可。目前还无法确定数据集整理中的任何过滤器或检查系统能在多大程度上捕捉到此类非法修改；然而，此类数据集的规模如此巨大，以至于通常会禁止那种程度的监督。在如此庞大的体量下，人们本质上是在“信任数据”。

2：合成共识网络

或者，如果你年纪够大还记得它们的话，一个现代的“网环”——早期互联网中相互连接的网站，早于 Google 的 PageRank 和 Moz 的域名权威，后者看重入站链接的数量和质量。

然而，合成共识网络更进一步，在据称互不相关的网站之间制造出表面上的独立佐证。香港中文大学和 EPFL 最近的一项研究大致展示了这一原理：论文研究人员针对 15 个类别中的 225 种产品测试了 12 个 AI 模型，将检索到的搜索结果中的真实品牌引用替换为虚构的替代品。

来自该论文，展示了虚构产品信息影响 AI 推荐的两种途径。上方，虚假内容被植入实时网络并进入搜索结果；下方，研究人员通过本地修改检索到的页面来模拟同一过程。两种途径都能引导 AI 助手在推荐真实产品的同时推荐一个不存在的品牌。 来源

随着更多结果携带相同的虚假信息，这种效应会增强。当领先结果中有三个被操纵的页面时，最脆弱的模型在73.8%的测试中推荐了不存在的产品。即使只有一个被污染的第一名结果，也能在27%的情况下误导某些模型。

更值得注意的是，这些模型有时会自行编造佐证：在一项涉及虚构屏幕保护膜品牌的测试中，Claude和DeepSeek添加了关于社区推荐和产品测试的说法，而这些内容并未出现在所提供的材料中。

尽管该实验是在本地修改的搜索结果上进行的，而非在真实的欺诈网站网络上，但它表明，一组表面上独立的评论如何能够被协同起来制造可信度，而AI则用额外的背书来强化这一不实之词。

3：引文生成与“孤儿”主张

引文生成（可以说是“引文洗白”）是合成共识网络的一种变体，但更强调信息的表面来源，而非重复该信息的来源数量。

一个捏造的主张可能首先出现在一本不起眼的行业期刊、一篇自行发表的研究论文，或一份缺乏编辑监督的专业出版物上。随后，它可以被博客、目录和其他出版物引用——每一次重复都会让最初的断言获得一点表面上的合法性。

最终，AI搜索引擎可能会遇到与原始来源相隔数步的这一主张，也许是在一篇原本声誉良好的文章中，而该文章引用了一个中间出版物；于是，一个最初毫无根据的断言如今有了引文历史——尽管后续的引用没有一个是独立验证。

这一过程已有若干有据可查的实例，尽管大多数早于AI搜索的出现。在一个臭名昭著的案例中，一名青少年发明了“巴西食蚁兽”这一绰号来指代长鼻浣熊，并将其插入维基百科。

这个杜撰的名称传播到了报纸和至少一本学术著作中。最终，维基百科本身引用了一篇报纸文章，作为其最初引入的这一主张的证据——一个近乎完美的伪造权威闭环。《纽约客》记录了这一事件。

2025年出现了一个更刻意的演示，研究人员创建了多篇AI生成的学术论文，署名给一位不存在的科学家。这些伪造的出版物在Google Scholar上累积了380次引用和19的h指数，使这位虚构的研究人员获得了看似体面的学术地位。这项实验发表在《自然》的《科学报告》上，展示了如何在没有任何相应真实研究的情况下制造引用次数。

这两个案例都没有展示对AI搜索引擎的成功攻击。然而，两者都确立了潜在的弱点：一旦一个虚假断言被看似可信的来源复制，后续系统可能难以区分独立佐证与单一捏造内容的反复传播。对AI搜索而言，特别的危险在于，模型可能将这一引用链条总结为佐证，而没有意识到所有表面上的权威都指向同一个未经证实的断言。

4：权威接管

过期域名可以保留其原所有者表面上的可信度、入站链接和搜索可见性。获取这些地址并填充新内容，可以让新近提出的说法看起来像是出自知名出版物——这种做法可以追溯到20到30年前。过期/被弃用域名的域名权重常常被收购，以便将其内容改造成“相关”但商业化的材料。

2024年，曾于2018年停办的颇具影响力的女性博客The Hairpin在新东家手中重新出现，变成了一个AI生成的内容农场，其原创文章与改写材料和虚构的作者署名混杂在一起，利用了一家曾受尊敬的出版物的声誉和域名权重。虽然这并非已证实的AI搜索攻击，但该案例说明了知名网站的历史如何能被挪用。

尽管存档快照有助于揭示域名真实过往与其新制造内容之间的差异，但即便是这类证据也未必是永久的：2002年，互联网档案馆在收到科学教律师的版权投诉后，删除了批评该组织的网站快照，起初还暗示这些删除是网站所有者自己要求的。

直到2017年，Wayback Machine一直追溯性地应用网站排除规则，这可能让新的域名所有者得以隐藏其前任的内容。尽管这一做法已被停止，互联网档案馆仍会考虑删除历史快照的请求。

5：学术存储库利用

学术存储库提供了另一条获得表面权威的途径。预印本服务器允许研究人员在同行评审之前发表论文，而搜索引擎和AI检索系统可能会在既有科学文献之外遇到这些文档。

问题在于，发表和验证并不是一回事：2024年，研究人员演示了嵌入学术论文中的恶意指令如何操纵处理这些文档的AI助手。他们的工作表明，一篇研究论文表面上的正当性并不能阻止其内容被用来影响AI系统。

一种不那么显眼的GEO方法会涉及投放看似合理但边缘化的研究，反复将某家公司、产品或个人与特定专业知识关联起来。即便没有向AI发出明确指令，此类材料也可能为源自受益方的说法提供看似学术性的支持。

结论

其他潜在途径包括评论生态系统渗透（在比较网站和软件目录中植入有利评价）；知识图谱操纵（篡改结构化数据，在公司、产品和专业知识之间建立误导性关联）；以及多语言声誉洗白（将宣传性说法放入审查较少的外语来源中）。

最后，代理式GEO优化可以自动化这些技术（反复针对AI搜索引擎测试内容，并改进那些能产生预期推荐的变体）。

首次发布于2026年10月12日星期一。在三十分钟内修订，以修正标题大小写和缺失的标签。