Cinque possibili vie d’accesso nascoste ai risultati di ricerca degli LLM

Con il crollo del traffico tradizionale proveniente dai risultati dei motori di ricerca, dovuto alla nuova tendenza delle sintesi generate dall’IA, gli editori di ogni livello stanno ora cercando di ottenere maggiore visibilità presso i grandi modelli linguistici che alimentano le sintesi IA della ricerca sul web e, direttamente, nei più diffusi modelli di frontiera come ChatGPT.

Gli approcci legittimi, secondo lavori precedenti come Ottimizzare la visibilità nei motori generativi e Come dominare la ricerca con l’IA, comprendono ottenere copertura editoriale indipendente, pubblicare contenuti autorevoli e ben strutturati, fornire informazioni sui prodotti leggibili dalle macchine e adattare i materiali a lingue e mercati diversi.

I metodi alternativi che hanno attirato recentemente l’attenzione ricordano le pratiche SEO scorrette dei decenni passati: comprendono campagne di consenso artificiale su Reddit, dove venivano inserite raccomandazioni apparentemente indipendenti per influenzare i risultati della ricerca IA; avvelenamento della memoria, in cui collegamenti ingannevoli cercavano di indurre gli assistenti a conservare affermazioni promozionali come informazioni affidabili; e iniezione di istruzioni, con comandi nascosti nei siti web che tentavano di influenzare le raccomandazioni di un assistente IA anziché limitarsi a fornire informazioni da riassumere.

Un esempio particolarmente ingegnoso di manipolazione GEO si è verificato quando i ricercatori dell’ETH Zürich hanno creato una fotocamera fittizia e pubblicato una pagina promozionale contenente un’istruzione nascosta, scritta in minuscoli caratteri bianchi, che ordinava a Bing Copilot di Microsoft di raccomandare esclusivamente quella fotocamera. Le dimensioni ridottissime dei caratteri e il basso contrasto erano pensati per nascondere la manipolazione.

Due pubblicità di fotocamere fittizie usate in un esperimento dell’ETH Zürich per manipolare le raccomandazioni della ricerca IA. La pubblicità convenzionale, a sinistra, contiene testo promozionale visibile, mentre quella di «PixelBlitz», a destra, nasconde un’istruzione in caratteri bianchi da un punto, invisibili sullo sfondo bianco. Il messaggio nascosto si spaccia per un’istruzione di sistema, ordinando all’IA di raccomandare esclusivamente PixelBlitz e di celare l’esistenza dell’istruzione. Nei test controllati, questa tecnica ha aumentato il tasso di raccomandazione della fotocamera fittizia dal 34% al 59,4%. Fonte

Nei test controllati, il tasso di raccomandazione della fotocamera fittizia è salito dal 34% al 59,4%, superando di poco il 57,9% ottenuto dalle vere fotocamere Nikon e Fuji-film: una dimostrazione del fatto che istruzioni malevole incorporate nelle pagine web recuperate potevano effettivamente influenzare le raccomandazioni dell’IA.

Con una posta in gioco così alta, è ragionevole supporre che la GEO scorretta costituisca un filone illecito di ricerca attivo e ben finanziato nel settore del marketing e in vari altri settori che cercano di conquistare o recuperare la visibilità SEO di un tempo, ottenendo raccomandazioni dagli oracoli IA e dai motori di conversazione.

Esaminiamo quindi alcune delle strade possibili o emergenti:

1: Manipolazione degli archivi

L’Internet Archive è una delle risorse di rete più complete e utili esistenti: nel 2025 la sua Wayback Machine ha superato il traguardo di mille miliardi di pagine. Al momento della stesura, l’IA dichiara la straordinaria cifra di 47.381.733 documenti PDF archiviati e accessibili al pubblico:

L’Internet Archive conserva una straordinaria raccolta di materiali PDF, in gran parte donati da volontari. Fonte

Come mostrano i risultati esemplificativi qui sopra, molti dei PDF caricati sono di natura piuttosto ordinaria: da oscuri volantini musicali degli anni Cinquanta-Novanta a riviste e libri rari e affascinanti che si credevano perduti per sempre, fino a interminabili raccolte di verbali di assemblee comunali degli anni Settanta e Ottanta, e molto altro.

In questo periodo la raccolta viene presa d’assalto indiscriminatamente, e il responsabile più evidente è un’orda di bot di raccolta dati per l’IA, alla disperata ricerca di nuovi dati oppure di versioni migliori o di conferme di quelli già posseduti.

È chiaramente molto semplice modificare un documento caricato per sostenere un’affermazione falsa, prodotti inesistenti, riferimenti falsi a persone, elogiativi o diffamatori, dichiarazioni false sulle stesse e così via.

Materiale di questo tipo può essere inserito in documenti che gli LLM considerano fonti autorevoli, come i PDF di riviste rispettate che per caso non sono ancora completamente indicizzate nella raccolta dell’IA. In tal caso, l’edizione alterata sembrerebbe colmare legittimamente una lacuna.

L’IA stessa potrebbe simulare lo stile di scrittura per adattarlo a quello di un breve articolo o persino di una didascalia, e si potrebbe modificare la data del PDF, insieme a numerosi altri semplici espedienti per far apparire il documento, ad esempio, come qualcosa ritrovato in un archivio degli anni Novanta o ancora precedente:

Una semplice «modifica storica» fornita senza obiezioni da ChatGPT-5.5 e facilmente reinserita nel documento PDF originale. Così la «Pence Opera House» scompare dalla storia, mentre l’apertura del Guthrie Theater, un teatro realmente esistente in Minnesota, viene anticipata dal vero anno di inaugurazione, il 1963, al ben precedente 1867. Fonte

In casi del genere, sembrerebbe sufficiente aspettare che gli avidi bot di raccolta dati per l’IA acquisiscano l’informazione. È ancora troppo presto per sapere con certezza fino a che punto eventuali filtri o sistemi di controllo nella preparazione dei dataset possano individuare simili modifiche illecite; tuttavia, le dimensioni di questi dataset sono talmente enormi da impedire generalmente un controllo tanto approfondito. Con volumi così smisurati, in sostanza ci si fida dei dati.

2: Reti di consenso sintetico

Oppure, per chi è abbastanza grande da ricordarli, un moderno «anello di siti»: i siti interconnessi degli albori di Internet, precedenti al PageRank di Google e alla Domain Authority di Moz, che attribuivano valore al numero e alla qualità dei collegamenti in ingresso.

Le reti di consenso sintetico, però, vanno oltre, fabbricando conferme apparentemente indipendenti su siti web presumibilmente non collegati tra loro. Un recente studio della Chinese University of Hong Kong e dell’EPFL ha dimostrato in termini generali questo principio: i ricercatori hanno testato 12 modelli IA su 225 prodotti in 15 categorie, sostituendo i riferimenti a marchi reali nei risultati di ricerca recuperati con alternative fittizie.

Un’illustrazione tratta dall’articolo mostra due percorsi attraverso cui informazioni inventate sui prodotti possono influenzare le raccomandazioni dell’IA. In alto, contenuti falsi vengono pubblicati sul web reale ed entrano nei risultati di ricerca; in basso, i ricercatori simulano lo stesso processo modificando localmente le pagine recuperate. Entrambi i percorsi possono indurre un assistente IA a raccomandare un marchio inesistente accanto a prodotti autentici. Fonte

L’effetto aumentava man mano che più risultati riportavano le stesse informazioni false. Con tre pagine manipolate tra i primi risultati, il modello più vulnerabile raccomandava prodotti inesistenti nel 73,8% dei test. Persino un singolo risultato alterato in prima posizione poteva ingannare alcuni modelli nel 27% dei casi.

Ancora più sorprendentemente, talvolta i modelli inventavano conferme proprie: in un test relativo a un marchio fittizio di pellicole protettive per schermi, Claude e DeepSeek hanno aggiunto affermazioni su raccomandazioni della comunità e prove dei prodotti che non figuravano nel materiale fornito.

Sebbene l’esperimento sia stato condotto su risultati di ricerca modificati localmente, anziché su una rete reale di siti fraudolenti, suggerisce come un insieme coordinato di recensioni apparentemente indipendenti possa fabbricare credibilità, con l’IA che rafforza la falsità aggiungendo ulteriori approvazioni.

3: Generazione di citazioni e affermazioni «orfane»

La generazione di citazioni, che si potrebbe definire «riciclaggio delle citazioni», è una variante delle reti di consenso sintetico, ma pone maggiore enfasi sulla provenienza apparente delle informazioni anziché sul numero di fonti che le ripetono.

Un’affermazione inventata potrebbe comparire inizialmente su un’oscura rivista di settore, in un articolo scientifico autopubblicato oppure in una pubblicazione specialistica con scarso controllo editoriale. Può quindi essere citata da blog, elenchi e altre pubblicazioni, e ogni ripetizione conferisce all’affermazione originale un po’ più di legittimità apparente.

Alla fine, un motore di ricerca IA può incontrare l’affermazione a diversi passaggi di distanza dalla sua fonte originale, magari in un articolo altrimenti autorevole che cita una pubblicazione intermedia. Ciò che era iniziato come un’asserzione priva di fondamento possiede ora una storia di citazioni, anche se nessuno dei riferimenti successivi costituisce una verifica indipendente.

Esistono già diversi esempi documentati di questo processo, anche se la maggior parte precede l’avvento della ricerca IA. In un caso noto, un adolescente inventò il soprannome «oritteropo brasiliano» per il coati e lo inserì su Wikipedia.

Il nome inventato si diffuse sui giornali e in almeno un libro accademico. Alla fine, Wikipedia stessa citò un articolo di giornale come prova dell’affermazione che aveva introdotto inizialmente: un circuito quasi perfetto di autorevolezza fabbricata. L’episodio è stato documentato da The New Yorker.

Una dimostrazione più deliberata è emersa nel 2025, quando i ricercatori hanno creato diversi articoli accademici generati dall’IA e attribuiti a uno scienziato inesistente. Le pubblicazioni inventate hanno accumulato 380 citazioni e un indice h di 19 su Google Scholar, conferendo al ricercatore fittizio una reputazione accademica apparentemente rispettabile. L’esperimento, pubblicato su Scientific Reports di Nature, mostra come si possano fabbricare conteggi di citazioni senza un corrispondente corpus di ricerca autentica.

Nessuno dei due casi dimostra un attacco riuscito contro un motore di ricerca IA. Entrambi, però, mettono in luce la debolezza di fondo: una volta che una falsa asserzione viene riprodotta da fonti apparentemente credibili, i sistemi successivi possono avere difficoltà a distinguere una conferma indipendente dalla circolazione ripetuta di una singola invenzione. Il pericolo specifico per la ricerca IA è che un modello riassuma questa catena di riferimenti come prove convergenti, senza riconoscere che tutte le autorità apparenti rimandano alla stessa affermazione non verificata.

4: Appropriazione dell’autorevolezza

I domini scaduti possono conservare la credibilità apparente, i collegamenti in ingresso e la visibilità nei motori di ricerca dei precedenti proprietari. Acquistare questi indirizzi e riempirli di nuovi materiali può far sembrare che affermazioni introdotte di recente provengano da pubblicazioni consolidate: una pratica che risale a venti o trent’anni fa. Spesso si acquisisce l’autorevolezza di un dominio scaduto o abbandonato per trasformarne i contenuti in materiali affini, ma commercializzati.

Nel 2024, l’influente blog femminile The Hairpin, chiuso nel 2018, è ricomparso sotto una nuova proprietà come fabbrica di contenuti generati dall’IA. Gli articoli originali erano mescolati a materiali riscritti e firme di autori fittizi, sfruttando la reputazione e l’autorevolezza del dominio di una pubblicazione un tempo rispettata. Pur non essendo un attacco dimostrato alla ricerca IA, il caso illustra come ci si possa appropriare della storia di un sito affermato.

Sebbene le copie archiviate possano aiutare a rivelare la differenza tra il passato autentico di un dominio e i suoi contenuti appena fabbricati, neppure questo tipo di prova è necessariamente permanente. Nel 2002, l’Internet Archive rimosse copie di siti critici verso Scientology in seguito a reclami per violazione del diritto d’autore presentati dagli avvocati dell’organizzazione, suggerendo inizialmente che la rimozione fosse stata richiesta dai proprietari stessi dei siti.

Fino al 2017, la Wayback Machine applicava le regole di esclusione dei siti retroattivamente, consentendo potenzialmente ai nuovi proprietari dei domini di nascondere i contenuti dei predecessori. Sebbene questa pratica sia stata abbandonata, l’Internet Archive continua a esaminare richieste di rimozione delle copie storiche.

5: Sfruttamento degli archivi accademici

Gli archivi accademici offrono un’altra via verso un’autorevolezza apparente. I server di preprint consentono ai ricercatori di pubblicare articoli prima della revisione tra pari, mentre i motori di ricerca e i sistemi di recupero delle informazioni basati sull’IA possono incontrare questi documenti insieme alla letteratura scientifica consolidata.

Il problema è che pubblicazione e verifica non sono la stessa cosa: nel 2024, alcuni ricercatori hanno dimostrato come istruzioni malevole incorporate in articoli accademici potessero manipolare gli assistenti IA che elaboravano quei documenti. Il loro lavoro ha mostrato che la legittimità apparente di un articolo scientifico non impedisce di usarne i contenuti per influenzare un sistema IA.

Un approccio GEO meno vistoso consisterebbe nel depositare ricerche plausibili ma marginali che associano ripetutamente un’azienda, un prodotto o una persona a una particolare competenza. Anche senza istruzioni esplicite rivolte all’IA, questi materiali potrebbero fornire un sostegno apparentemente scientifico ad affermazioni originate dal beneficiario stesso.

Conclusione

Altre strade potenziali comprendono l’infiltrazione dell’ecosistema delle recensioni, inserendo valutazioni favorevoli nei siti di confronto e negli elenchi di software; la manipolazione dei grafi della conoscenza, alterando dati strutturati per creare associazioni ingannevoli tra aziende, prodotti e competenze; e il riciclaggio multilingue della reputazione, collocando affermazioni promozionali in fonti in lingua straniera sottoposte a minori controlli.

Infine, l’ottimizzazione GEO basata su agenti potrebbe automatizzare queste tecniche, testando ripetutamente i contenuti sui motori di ricerca IA e perfezionando le varianti che producono le raccomandazioni desiderate.

Pubblicato per la prima volta lunedì 12 ottobre 2026. Modificato entro trenta minuti per correggere le maiuscole nei titoli e i tag mancanti.