Fem mulige bagdøre til LLM’ers søgeresultater

Mens den traditionelle trafik fra søgemaskinernes resultater styrtdykker på grund af den nye tendens til AI-resuméer, forsøger udgivere på alle niveauer nu at opnå større synlighed hos de store sprogmodeller, som driver AI-resuméerne af websøgninger, og direkte i populære avancerede modeller som ChatGPT.

Legitime tilgange omfatter ifølge tidligere arbejder som Optimering af synlighed i generative søgemaskiner og Sådan dominerer man AI-søgning at opnå uafhængig redaktionel omtale, udgive autoritativt og velstruktureret indhold, levere maskinlæsbare produktoplysninger og tilpasse materialet til forskellige sprog og markeder.

Alternative metoder, som for nylig har tiltrukket sig opmærksomhed, minder om tidligere årtiers uredelige SEO-praksis: De omfatter falske græsrodskampagner på Reddit, hvor tilsyneladende uafhængige anbefalinger blev plantet for at påvirke AI-søgeresultater; hukommelsesforgiftning, hvor vildledende links forsøgte at få assistenter til at gemme reklamepåstande som pålidelige oplysninger; og instruktionsinjektion, hvor skjulte instruktioner på websteder forsøgte at påvirke en AI-assistents anbefalinger i stedet for blot at levere oplysninger, den kunne opsummere.

Et særligt opfindsomt eksempel på GEO-manipulation opstod, da forskere ved ETH Zürich skabte et fiktivt kamera og udgav en reklameside med en skjult instruktion i bittesmå hvide bogstaver, som pålagde Microsofts Bing Copilot udelukkende at anbefale dette kamera. Den meget lille skriftstørrelse og lave kontrast skulle skjule manipulationen.

To annoncer for fiktive kameraer, som blev brugt i et eksperiment ved ETH Zürich til at manipulere AI-søgeanbefalinger. Den almindelige annonce til venstre indeholder synlig reklametekst, mens «PixelBlitz»-annoncen til højre skjuler en instruktion i hvid skrift på ét punkt, usynlig mod den hvide baggrund. Den skjulte besked udgiver sig for en systeminstruktion, som beder AI’en om udelukkende at anbefale PixelBlitz og skjule, at instruktionen findes. I kontrollerede test øgede denne teknik anbefalingsraten for det fiktive kamera fra 34 % til 59,4 %. Kilde

I kontrollerede test steg anbefalingsraten for det fiktive kamera fra 34 % til 59,4 %, lidt over de 57,9 %, som ægte kameraer fra Nikon og Fuji-film opnåede. Det viste, at ondsindede instruktioner indlejret i hentede websider faktisk kunne påvirke AI-anbefalinger.

Med så meget på spil er det rimeligt at antage, at uredelig GEO er en aktiv og velfinansieret ulovlig forskningsretning inden for marketing og forskellige andre sektorer, som søger at opnå eller genvinde deres tidligere SEO-synlighed gennem anbefalinger fra AI-orakler og samtalemotorer.

Lad os derfor se på nogle af de mulige eller nye veje:

1: Manipulation af arkiver

Internet Archive er en af de mest omfattende og nyttige netressourcer, og dets Wayback Machine passerede milepælen på én billion sider i 2025. I skrivende stund oplyser Internet Archive, at hele 47.381.733 PDF-dokumenter er lagret og offentligt tilgængelige:

Internet Archive opbevarer en imponerende samling PDF-materiale, som hovedsageligt er doneret af frivillige. Kilde

Som eksemplerne ovenfor viser, er mange af de uploadede PDF’er ganske almindelige: fra obskure musikflyers fra 1950’erne til 1990’erne over sjældne og fascinerende tidsskrifter og bøger, som man troede var gået tabt for eftertiden, til endeløse samlinger af referater fra kommunale forsamlinger i 1970’erne og 1980’erne og meget mere.

Denne samling bliver i øjeblikket bombarderet uden skelnen, og den åbenlyse synder er en horde af AI-dataindsamlingsrobotter, som desperat søger nye data eller bedre eller bekræftende versioner af data, de allerede har.

Det er tydeligvis meget enkelt at ændre et uploadet dokument, så det understøtter en falsk påstand, ikkeeksisterende produkter, falske henvisninger til personer, rosende eller injurierende, usande udsagn om dem og så videre.

Sådant materiale kan indsættes i dokumenter, som LLM’er opfatter som autoritative kilder, eksempelvis PDF’er fra respekterede tidsskrifter, som tilfældigvis endnu ikke er fuldt indekseret i Internet Archives samling. Den manipulerede udgave vil da se ud til legitimt at udfylde et hul.

AI kan selv efterligne skrivestilen, så den passer til en kort artikel eller endda en billedtekst, og PDF’ens dato kan ændres. Sammen med adskillige andre enkle tricks kan det få dokumentet til eksempelvis at ligne noget, der er fundet i et arkiv fra 1990’erne eller tidligere:

En simpel «historisk ændring» leveret uden indsigelser af ChatGPT-5.5 og let indsat igen i det oprindelige PDF-dokument. Dermed forsvinder «Pence Opera House» fra historien, mens åbningen af Guthrie Theater, et virkeligt teater i Minnesota, flyttes fra det faktiske åbningsår 1963 til det langt tidligere 1867. Kilde

I sådanne tilfælde synes man blot at skulle vente på, at de ivrige AI-indsamlingsrobotter opsnapper oplysningerne. Det er stadig for tidligt med sikkerhed at vide, i hvilket omfang filtre eller kontrolsystemer under klargøring af datasæt kan opdage sådanne ulovlige ændringer. Men disse datasæts omfang er så enormt, at det generelt udelukker den grad af kontrol. Ved så kolossale mængder stoler man i praksis på dataene.

2: Netværk for syntetisk konsensus

Eller, hvis man er gammel nok til at huske dem, en moderne «webring»: de sammenkoblede websteder fra internettets barndom, som kom før Googles PageRank og Moz’ Domain Authority, der tillagde antallet og kvaliteten af indgående links værdi.

Netværk for syntetisk konsensus går imidlertid videre ved at fremstille tilsyneladende uafhængig bekræftelse på angiveligt urelaterede websteder. En nyere undersøgelse fra Chinese University of Hong Kong og EPFL demonstrerede princippet i store træk. Forskerne testede 12 AI-modeller med 225 produkter i 15 kategorier og erstattede henvisninger til ægte mærker i hentede søgeresultater med fiktive alternativer.

En illustration fra artiklen viser to veje, hvorpå opdigtede produktoplysninger kan påvirke AI-anbefalinger. Øverst plantes falsk indhold på det virkelige web og kommer ind i søgeresultaterne; nederst simulerer forskerne samme proces ved at ændre hentede sider lokalt. Begge veje kan få en AI-assistent til at anbefale et ikkeeksisterende mærke sammen med ægte produkter. Kilde

Virkningen voksede, jo flere resultater der indeholdt de samme falske oplysninger. Med tre manipulerede sider blandt de øverste resultater anbefalede den mest sårbare model ikkeeksisterende produkter i 73,8 % af testene. Selv et enkelt forfalsket resultat på førstepladsen kunne vildlede visse modeller i 27 % af tilfældene.

Endnu mere bemærkelsesværdigt opfandt modellerne undertiden deres egen bekræftelse: I en test med et fiktivt mærke af skærmbeskyttelse tilføjede Claude og DeepSeek påstande om anbefalinger fra brugermiljøet og produkttest, som ikke fandtes i det leverede materiale.

Selv om eksperimentet blev udført på lokalt ændrede søgeresultater og ikke på et reelt netværk af svindelwebsteder, antyder det, hvordan en koordineret samling angiveligt uafhængige anmeldelser kan fremstille troværdighed, mens AI forstærker usandheden med yderligere anbefalinger.

3: Generering af citationer og «forældreløse» påstande

Generering af citationer, som man kunne kalde «hvidvaskning af citationer», er en variant af netværk for syntetisk konsensus. Den lægger dog større vægt på oplysningernes tilsyneladende oprindelse end på antallet af kilder, der gentager dem.

En opdigtet påstand kan først optræde i et obskurt fagtidsskrift, en selvudgivet forskningsartikel eller en specialistpublikation med begrænset redaktionelt tilsyn. Derefter kan blogs, kataloger og andre publikationer citere den, og hver gentagelse giver den oprindelige påstand lidt mere tilsyneladende legitimitet.

Til sidst kan en AI-søgemaskine møde påstanden flere led fra dens oprindelige kilde, måske i en ellers velrenommeret artikel, som citerer en mellemliggende publikation. Det, der begyndte som en udokumenteret påstand, har nu en citationshistorik, selv om ingen af de efterfølgende henvisninger udgør en uafhængig verifikation.

Der findes allerede flere dokumenterede eksempler på denne proces, selv om de fleste går forud for AI-søgning. I et berygtet tilfælde opfandt en teenager tilnavnet «brasiliansk jordsvin» til næsebjørnen og indsatte det i Wikipedia.

Det opdigtede navn spredte sig til aviser og mindst én akademisk bog. Til sidst citerede Wikipedia selv en avisartikel som bevis for den påstand, som oprindeligt var blevet introduceret der: en næsten perfekt cirkel af fabrikeret autoritet. Episoden blev dokumenteret af The New Yorker.

En mere bevidst demonstration kom i 2025, da forskere skabte flere AI-genererede akademiske artikler, som blev tilskrevet en ikkeeksisterende forsker. De fiktive publikationer samlede 380 citationer og et h-indeks på 19 i Google Scholar, hvilket gav den fiktive forsker en tilsyneladende respektabel akademisk position. Eksperimentet, udgivet i Natures Scientific Reports, viser, hvordan citationstal kan fabrikeres uden et tilsvarende grundlag af ægte forskning.

Ingen af tilfældene demonstrerer et vellykket angreb på en AI-søgemaskine. Begge påviser dog den underliggende svaghed: Når en falsk påstand først er gengivet af tilsyneladende troværdige kilder, kan efterfølgende systemer have svært ved at skelne uafhængig bekræftelse fra gentagen spredning af ét og samme påfund. Den særlige fare for AI-søgning er, at en model kan opsummere denne henvisningskæde som bekræftende bevis uden at erkende, at alle de tilsyneladende autoriteter fører tilbage til den samme ubekræftede påstand.

4: Overtagelse af autoritet

Udløbne domæner kan bevare deres tidligere ejeres tilsyneladende troværdighed, indgående links og synlighed i søgemaskinerne. Ved at erhverve adresserne og fylde dem med nyt materiale kan nyligt indførte påstande fremstå, som om de stammer fra etablerede publikationer, en praksis der går tyve til tredive år tilbage. Autoriteten fra et udløbet eller forladt domæne erhverves ofte for at omdanne indholdet til beslægtet, men kommercialiseret materiale.

I 2024 genopstod den indflydelsesrige kvindeblog The Hairpin, som lukkede i 2018, under nye ejere som en fabrik for AI-genereret indhold. De oprindelige artikler var blandet med omskrevet materiale og fiktive forfatternavne, som udnyttede en tidligere respekteret publikations omdømme og domæneautoritet. Selv om dette ikke er et demonstreret angreb på AI-søgning, illustrerer sagen, hvordan et etableret websteds historie kan overtages.

Arkiverede kopier kan være med til at afsløre forskellen mellem et domænes ægte fortid og dets nyfabrikerede indhold, men selv den slags bevis er ikke nødvendigvis permanent. I 2002 fjernede Internet Archive kopier af websteder, der var kritiske over for Scientology, efter ophavsretlige klager fra organisationens advokater. Arkivet antydede indledningsvis, at webstedernes ejere selv havde anmodet om fjernelserne.

Indtil 2017 anvendte Wayback Machine webstedernes udelukkelsesregler med tilbagevirkende kraft, hvilket potentielt tillod nye domæneejere at skjule forgængernes indhold. Selv om denne praksis blev indstillet, behandler Internet Archive stadig anmodninger om at fjerne historiske kopier.

5: Udnyttelse af akademiske arkiver

Akademiske arkiver tilbyder endnu en vej til tilsyneladende autoritet. Preprintservere giver forskere mulighed for at offentliggøre artikler før fagfællebedømmelse, mens søgemaskiner og AI-systemer til informationssøgning kan møde dokumenterne sammen med etableret videnskabelig litteratur.

Problemet er, at offentliggørelse og verifikation ikke er det samme: I 2024 demonstrerede forskere, hvordan ondsindede instruktioner indlejret i akademiske artikler kunne manipulere AI-assistenter, der behandlede dokumenterne. Deres arbejde viste, at en forskningsartikels tilsyneladende legitimitet ikke forhindrer, at dens indhold bruges til at påvirke et AI-system.

En mindre iøjnefaldende GEO-tilgang ville være at deponere plausibel, men marginal forskning, som gentagne gange forbinder en virksomhed, et produkt eller en person med en bestemt ekspertise. Selv uden udtrykkelige instruktioner til AI kunne sådant materiale give tilsyneladende videnskabelig støtte til påstande, der stammer fra den begunstigede selv.

Konklusion

Andre mulige veje omfatter infiltration af anmeldelsesøkosystemet, hvor positive vurderinger plantes på sammenligningssider og i softwarekataloger; manipulation af vidensgrafer, hvor strukturerede data ændres for at skabe vildledende forbindelser mellem virksomheder, produkter og ekspertise; og flersproget hvidvaskning af omdømme, hvor reklamepåstande placeres i fremmedsprogede kilder, som undersøges mindre grundigt.

Endelig kunne agentbaseret GEO-optimering automatisere teknikkerne ved gentagne gange at teste indhold mod AI-søgemaskiner og forfine de varianter, som giver de ønskede anbefalinger.

Først offentliggjort mandag den 12. oktober 2026. Ændret inden for tredive minutter for at rette store bogstaver i titler og manglende tags.