LLMの検索結果に入り込む5つの潜在的な裏口

AIによる要約という新たな潮流によって、検索エンジンの検索結果から得られる従来の流入が急減するなか、あらゆる規模の出版社が、ウェブ検索のAI要約を支える大規模言語モデルや、ChatGPTなどの人気の最先端モデルに直接注目してもらおうとしている。

「生成エンジンにおける可視性の最適化」や「AI検索で優位に立つ方法」などの先行研究によれば、正当な手法には、独立した編集記事で取り上げてもらうこと、信頼性が高く構成の明確なコンテンツを公開すること、機械可読な製品情報を提供すること、言語や市場に合わせて資料を調整することなどがある。

最近注目されている別の手法は、過去数十年のブラックハットSEOを思わせる。Redditで一見独立した推薦を仕込み、AI検索結果に影響を与える偽装草の根活動、欺瞞的なリンクによって宣伝文句を信頼できる情報としてアシスタントに保持させようとするメモリ汚染、そして単に要約する情報を提供するのではなく、ウェブサイトに隠した指示でAIアシスタントの推薦を誘導するプロンプトインジェクションなどだ。

特に巧妙なGEO操作の例として、ETH Zürichの研究者は架空のカメラを作り、宣伝用ウェブページに極小の白い文字で隠し指示を埋め込み、MicrosoftのBing Copilotにそのカメラだけを推薦するよう命じた。小さな文字と低いコントラストは、操作を見えなくするためのものだった。

ETH Zürichの実験で、AI検索の推薦を操作するために使われた2つの架空のカメラ広告。左の通常広告には見える宣伝文がある一方、右の「PixelBlitz」広告には、白い背景では見えない1ポイントの白文字で指示が隠されている。隠されたメッセージはシステム指示を装い、PixelBlitzだけを推薦し、指示の存在を隠すようAIに命じている。対照実験では、この手法によって架空のカメラの推薦率が34%から59.4%へ上昇した。 出典

対照実験では、架空のカメラの推薦率が34%から59.4%へ上昇し、本物のNikonとFuji-filmのカメラが記録した57.9%をわずかに上回った。取得したウェブページに埋め込まれた悪意ある指示が、AIの推薦に実際に影響し得ることを示している。

これほど大きな利害が絡む以上、AIの回答システムやチャットエンジンから推薦を得ることで、かつてのSEO上の優位を獲得、あるいは回復しようとするマーケティング業界やさまざまな分野で、ブラックハットGEOが活発で潤沢な資金を持つ不正研究の一分野になっていると考えるのは妥当だ。

そこで、考えられる手口や、現れつつある手口をいくつか見ていこう。

1：アーカイブの改ざん

Internet Archiveは、最も網羅的で有用なネットワーク資源の一つだ。そのWayback Machineは2025年に1兆ページという節目を超えた。執筆時点でInternet Archiveは、保存し一般公開しているPDF文書が47,381,733件という驚異的な数に達したと報告している。

Internet Archiveには、主にボランティアから寄贈された、膨大なPDF資料が保存されている。 出典

上の検索結果例が示すように、アップロードされたPDFにはごく日常的な資料も多い。1950～90年代の無名の音楽チラシから、後世には残らなかったと思われていた希少で魅力的な雑誌や本、1970～80年代の地方議会の気が遠くなるほど大量の議事録まで、その種類は実に幅広い。

現在、このコレクションは無差別に大量アクセスされている。明らかな原因は、新しいデータ、あるいは既存データのより良い版や裏付けとなる版を渇望する、大量のAIスクレイピングボットだ。

アップロードされた文書を書き換え、虚偽の主張、存在しない製品、人物への虚偽の言及（称賛であれ中傷であれ）、その人物についての虚偽の説明などを裏付けるのは、明らかに簡単なことだ。

そのような情報は、LLMが「権威ある」情報源とみなす資料に挿入できる。例えば、Internet Archiveのコレクションではまだ完全に索引化されていない、評判の高い雑誌のPDFだ。この場合、改ざん版は正当に「空白を埋める」ものと受け取られるだろう。

AI自体を使って文章の文体を短い記事やキャプションの既存の文体に合わせ、PDFの日付も書き換えられる。さらにさまざまな簡単な細工を施せば、例えば1990年代、あるいはそれ以前のアーカイブで見つかった文書のように見せることができる。

ChatGPT-5.5が異議を唱えずに提供した簡単な「歴史修正」は、元のPDF文書に容易に戻し入れられる。こうして「Pence Opera House」は歴史から消え、ミネソタ州に実在するGuthrie Theaterの開業は、本当の1963年から、はるか昔の1867年へと繰り上げられる。 出典

このような場合、あとは貪欲なAIスクレイピングボットが情報を拾うのを待つだけのように思える。データセット整備時のフィルターや検査システムが、こうした不正な改変をどの程度検出できるかは、まだ確かなことを言えない。しかしデータセットの規模はあまりにも巨大で、通常、そこまで細かな監視はできない。この膨大な量の前では、基本的に「データを信じる」ことになる。

2：人工的な合意を作るネットワーク

昔を覚えている人なら、現代版の「ウェブリング」とも呼べるだろう。これは初期インターネットで相互につながったサイト群であり、被リンクの数と質を重視するGoogleのPageRankやMozのDomain Authorityより前に存在していた。

しかし、人工的な合意を作るネットワークはさらに踏み込む。無関係とされるウェブサイトの間で、独立した裏付けがあるように見せかけるのだ。香港中文大学とEPFLの最近の研究は、この原理を大筋で示した。研究者は、取得した検索結果内の実在ブランドを架空のブランドに置き換え、15カテゴリーの225製品を対象に12のAIモデルをテストした。

論文の図は、捏造した製品情報がAIの推薦に影響する2つの経路を示す。上段では、実際のウェブに偽情報を仕込み、検索結果に入り込ませる。下段では、取得したページをローカルで修正することで、研究者が同じ過程を模擬する。どちらの経路でも、AIアシスタントが実在製品と並べて存在しないブランドを推薦する可能性がある。 出典

同じ偽情報を含む検索結果が増えるほど、影響は強まった。上位結果に操作済みページが3つある場合、最も脆弱なモデルはテストの73.8%で存在しない製品を推薦した。1位の結果が一つ改ざんされただけでも、一部のモデルは27%のケースで誤誘導された。

さらに驚くべきことに、モデルは時に独自の裏付けまで捏造した。架空の画面保護フィルムのブランドを扱ったあるテストでは、ClaudeとDeepSeekが、提供資料にはなかったコミュニティの推薦や製品テストに関する主張を追加した。

この実験は実際に稼働する詐欺サイト網ではなく、ローカルで変更した検索結果を用いていた。それでも、一見独立したレビューを組織的に集めれば信頼性を作り上げられ、AIが追加の推薦によって虚偽を補強し得ることを示唆している。

3：引用の生成と「出所を失った」主張

引用の生成、いわば「引用ロンダリング」は、人工的な合意を作るネットワークの変形だ。ただし、繰り返す情報源の数より、情報の出所がどう見えるかに重点を置く。

捏造された主張は、まず知名度の低い業界誌、自費公開された研究論文、あるいは編集上の監督が乏しい専門出版物に現れるかもしれない。その後、ブログ、ディレクトリ、その他の出版物が引用し、繰り返されるたびに元の主張の見かけ上の正当性が少しずつ増していく。

やがてAI検索エンジンは、元の出所から何段階も離れたところでその主張に出会うかもしれない。例えば、中間の出版物を引用した、それ以外は信頼できる記事の中だ。根拠のない主張に過ぎなかったものが、後続の引用には独立した検証が一つもないのに、引用履歴を持つようになる。

この過程には、すでに記録された例がいくつもある。ただし、その大半はAI検索が登場する前のものだ。よく知られた事件では、ある10代の若者がハナグマに「ブラジルのツチブタ」という愛称をでっち上げ、Wikipediaに書き込んだ。

この架空の名前は新聞や少なくとも1冊の学術書に広まった。最終的にWikipedia自身が、自ら持ち込んだ主張の証拠として新聞記事を引用した。捏造された権威がほぼ完全な循環を形成したのだ。この事件はThe New Yorkerが記録している。

2025年には、より意図的な実証が行われた。研究者が複数のAI生成学術論文を作り、存在しない科学者の著作としたのだ。架空の論文群はGoogle Scholarで380件の引用と19のh指数を獲得し、この架空の研究者に一見立派な学術的地位を与えた。NatureのScientific Reportsに掲載されたこの実験は、対応する本物の研究実績がなくても引用数を作り上げられることを示している。

どちらも、AI検索エンジンへの攻撃成功を実証した事例ではない。しかし、見かけ上信頼できる情報源が虚偽の主張を再掲すると、後続のシステムが独立した裏付けと、一つの捏造の反復流通を見分けにくくなるという根本的な弱点を示す。AI検索特有の危険は、見かけ上の権威がすべて同じ未検証の主張に行き着くことを認識せず、モデルがこの引用の連鎖を相互に裏付け合う証拠として要約してしまうことだ。

4：権威の乗っ取り

期限切れドメインは、以前の所有者の見かけ上の信頼性、被リンク、検索での可視性を維持していることがある。こうしたアドレスを取得して新しい資料で埋めると、最近持ち込んだ主張を老舗の出版物に由来するように見せられる。これは20～30年前からある手法だ。期限切れや放棄されたドメインの権威は、その内容を「関連はある」が商業化された資料に作り替える目的で取得されることが多い。

2024年、2018年に閉鎖した影響力のある女性向けブログThe Hairpinが、新所有者の下でAI生成のコンテンツファームとして再登場した。元の記事に書き換えた資料や架空の著者名が混ざり、かつて尊敬された出版物の評判とドメインの権威が利用された。AI検索への攻撃が実証された例ではないものの、確立されたサイトの歴史を流用できることを示している。

アーカイブのスナップショットは、ドメインの本当の過去と新しく捏造された内容の違いを明らかにする助けになる。しかし、そのような証拠さえ必ずしも永続しない。2002年、Internet ArchiveはScientology側の弁護士による著作権の申し立てを受け、同団体を批判するサイトのスナップショットを削除した。当初は、サイト所有者自身が削除を求めたかのように説明していた。

2017年までWayback Machineは、サイトの除外ルールを遡及的に適用していた。このため、新しいドメイン所有者が前任者の内容を隠せる可能性があった。この慣行は廃止されたものの、Internet Archiveは過去のスナップショットの削除要請を今も検討している。

5：学術リポジトリの悪用

学術リポジトリも、見かけ上の権威を得る経路になる。プレプリントサーバーでは査読前に論文を公開でき、検索エンジンやAIの検索システムは、確立された科学文献と並んでこれらの文書に出会う可能性がある。

問題は、公開と検証は同じではないことだ。2024年、研究者は学術論文に埋め込んだ悪意ある指示によって、それらを処理するAIアシスタントを操作できることを実証した。研究論文の見かけ上の正当性は、その内容がAIシステムへの誘導に利用されることを防がないと示したのである。

より目立たないGEO手法としては、もっともらしいが周辺的な研究を登録し、企業、製品、個人を特定の専門性と繰り返し結び付けることが考えられる。AIへの明示的な指示がなくても、こうした資料は受益者自身が発した主張を、学術的に見える形で支え得る。

結論

ほかにも、レビュー生態系への浸透（比較サイトやソフトウェア一覧に好意的評価を仕込むこと）、知識グラフの操作（構造化データを改変し、企業、製品、専門性の間に誤解を招く結び付きを作ること）、多言語での評判ロンダリング（監視の緩い外国語の情報源に宣伝文句を置くこと）などが考えられる。

最後に、エージェント型GEO最適化は、AI検索エンジンに対してコンテンツを繰り返し試し、望む推薦を生む版を改良することで、これらの技術を自動化する可能性がある。

初出：2026年10月12日（月）。公開から30分以内に、見出しの大文字表記と欠けていたタグを修正。