Fem mulige bakdører inn i søkeresultatene til LLM-er

Når den tradisjonelle trafikken fra søkemotorresultater stuper på grunn av den nye trenden med KI-sammendrag, forsøker utgivere på alle nivåer nå å bli mer synlige for de store språkmodellene som driver KI-sammendrag av nettsøk, og direkte i populære, avanserte modeller som ChatGPT.

Legitime tilnærminger omfatter ifølge tidligere arbeider som Optimalisering av synlighet i generative søkemotorer og Slik dominerer du KI-søk å få uavhengig redaksjonell omtale, publisere autoritativt og godt strukturert innhold, tilby maskinlesbar produktinformasjon og tilpasse materialet til ulike språk og markeder.

Alternative metoder som nylig har fått oppmerksomhet, minner om de uredelige SEO-metodene fra tidligere tiår. De omfatter falske grasrotkampanjer på Reddit, der tilsynelatende uavhengige anbefalinger ble plantet for å påvirke KI-søkeresultater; minneforgiftning, der villedende lenker forsøkte å få assistenter til å lagre reklamepåstander som pålitelig informasjon; og instruksjonsinjeksjon, der skjulte instruksjoner på nettsteder forsøkte å påvirke anbefalingene fra en KI-assistent i stedet for bare å gi informasjon den kunne oppsummere.

Et særlig oppfinnsomt eksempel på GEO-manipulasjon oppsto da forskere ved ETH Zürich laget et fiktivt kamera og publiserte en reklameside med en skjult instruksjon i bitte liten hvit tekst, som ba Microsofts Bing Copilot om å anbefale bare dette kameraet. Den minimale skriftstørrelsen og lave kontrasten skulle skjule manipulasjonen.

To annonser for fiktive kameraer som ble brukt i et eksperiment ved ETH Zürich for å manipulere KI-søkeanbefalinger. Den vanlige annonsen til venstre inneholder synlig reklametekst, mens «PixelBlitz»-annonsen til høyre skjuler en instruksjon i hvit skrift på ett punkt, usynlig mot den hvite bakgrunnen. Den skjulte meldingen utgir seg for å være en systeminstruksjon og ber KI-en anbefale bare PixelBlitz og skjule at instruksjonen finnes. I kontrollerte tester økte denne teknikken anbefalingsraten for det fiktive kameraet fra 34 % til 59,4 %. Kilde

I kontrollerte tester økte anbefalingsraten for det fiktive kameraet fra 34 % til 59,4 %, litt over de 57,9 % som ekte kameraer fra Nikon og Fuji-film oppnådde. Dette viste at ondsinnede instruksjoner innebygd i hentede nettsider faktisk kunne påvirke KI-anbefalinger.

Med så mye på spill er det rimelig å anta at uredelig GEO er en aktiv og godt finansiert ulovlig forskningsretning innen markedsføring og flere andre sektorer som ønsker å oppnå eller gjenvinne sin tidligere SEO-synlighet ved å få anbefalinger fra KI-orakler og samtalemotorer.

La oss derfor se på noen mulige eller framvoksende veier:

1: Manipulasjon av arkiver

Internet Archive er en av de mest omfattende og nyttige nettressursene som finnes. Wayback Machine passerte milepælen på én billion sider i 2025. I skrivende stund oppgir Internet Archive at hele 47 381 733 PDF-dokumenter er lagret og tilgjengelige for offentligheten:

Internet Archive oppbevarer en imponerende samling PDF-materiale, hovedsakelig gitt av frivillige. Kilde

Som eksemplene ovenfor viser, er mange av de opplastede PDF-ene ganske hverdagslige: fra obskure musikkflygeblader fra 1950- til 1990-årene til sjeldne og fascinerende tidsskrifter og bøker som ble ansett som tapt for ettertiden, og endeløse samlinger av møtereferater fra kommunale forsamlinger i 1970- og 1980-årene, og mye mer.

Denne samlingen blir for tiden hamret løs på uten forskjell, og den åpenbare synderen er en horde KI-datainnsamlingsroboter som desperat søker nye data eller bedre eller bekreftende versjoner av data de allerede har.

Det er åpenbart svært enkelt å endre et opplastet dokument slik at det støtter en falsk påstand, ikke-eksisterende produkter, falske henvisninger til personer, rosende eller ærekrenkende, usanne uttalelser om dem og så videre.

Slikt materiale kan settes inn i dokumenter som LLM-er regner som autoritative kilder, for eksempel PDF-er av respekterte tidsskrifter som tilfeldigvis ennå ikke er fullstendig indeksert i samlingen til Internet Archive. Den forfalskede utgaven vil da se ut til å fylle et hull på legitimt vis.

KI kan selv etterligne skrivestilen i en kort artikkel eller til og med en bildetekst, og datoen i PDF-en kan endres. Sammen med en rekke andre enkle knep kan dette få dokumentet til å se ut som for eksempel noe som ble funnet i et arkiv fra 1990-årene eller tidligere:

En enkel «historisk endring» levert uten innvendinger av ChatGPT-5.5 og lett å sette tilbake i det opprinnelige PDF-dokumentet. Dermed forsvinner «Pence Opera House» fra historien, mens åpningen av Guthrie Theater, et ekte teater i Minnesota, flyttes fra det egentlige åpningsåret 1963 til det langt tidligere 1867. Kilde

I slike tilfeller ser det ut til at man bare behøver å vente på at de ivrige KI-innsamlingsrobotene plukker opp informasjonen. Det er fortsatt for tidlig å vite sikkert i hvilken grad filtre eller kontrollsystemer under klargjøring av datasett kan oppdage slike ulovlige endringer. Omfanget av disse datasettene er imidlertid så enormt at det vanligvis hindrer så grundig kontroll. Ved slike veldige volumer stoler man i praksis på dataene.

2: Nettverk for syntetisk konsensus

Eller, for dem som er gamle nok til å huske dem, en moderne «nettring»: de sammenkoblede nettstedene fra internettets barndom, før Googles PageRank og Moz’ Domain Authority, som la vekt på antallet og kvaliteten på innkommende lenker.

Nettverk for syntetisk konsensus går imidlertid lenger ved å fabrikere tilsynelatende uavhengig bekreftelse på angivelig ubeslektede nettsteder. En nyere studie fra Chinese University of Hong Kong og EPFL demonstrerte prinsippet i grove trekk: Forskerne testet 12 KI-modeller mot 225 produkter i 15 kategorier og erstattet henvisninger til ekte merker i hentede søkeresultater med fiktive alternativer.

En illustrasjon fra artikkelen viser to veier der oppdiktet produktinformasjon kan påvirke KI-anbefalinger. Øverst plantes falskt innhold på det virkelige nettet og kommer inn i søkeresultatene; nederst simulerer forskerne samme prosess ved å endre hentede sider lokalt. Begge veier kan få en KI-assistent til å anbefale et ikke-eksisterende merke sammen med ekte produkter. Kilde

Effekten økte etter hvert som flere resultater inneholdt den samme falske informasjonen. Med tre manipulerte sider blant de øverste resultatene anbefalte den mest sårbare modellen ikke-eksisterende produkter i 73,8 % av testene. Selv ett enkelt forfalsket resultat på førsteplass kunne villede enkelte modeller i 27 % av tilfellene.

Enda mer bemerkelsesverdig var det at modellene av og til fant på egne bekreftelser: I en test med et fiktivt merke for skjermbeskyttere la Claude og DeepSeek til påstander om anbefalinger fra brukermiljøet og produkttesting som ikke fantes i det leverte materialet.

Selv om eksperimentet ble utført på lokalt endrede søkeresultater, ikke på et reelt nettverk av svindelnettsteder, antyder det hvordan en samordnet samling av angivelig uavhengige anmeldelser kan skape kunstig troverdighet, mens KI forsterker usannheten med ytterligere anbefalinger.

3: Generering av siteringer og «foreldreløse» påstander

Generering av siteringer, som gjerne kan kalles «siteringsvasking», er en variant av nettverk for syntetisk konsensus. Her legges det imidlertid mer vekt på informasjonens tilsynelatende opphav enn på antallet kilder som gjentar den.

En oppdiktet påstand kan først dukke opp i et obskurt fagtidsskrift, en egenpublisert forskningsartikkel eller en spesialistpublikasjon med liten redaksjonell kontroll. Den kan deretter bli sitert av blogger, kataloger og andre publikasjoner, og hver gjentakelse gir den opprinnelige påstanden litt mer tilsynelatende legitimitet.

Til slutt kan en KI-søkemotor møte påstanden flere ledd unna den opprinnelige kilden, kanskje i en ellers anerkjent artikkel som siterer en mellomliggende publikasjon. Det som begynte som en udokumentert påstand, har nå en siteringshistorikk, selv om ingen av de senere henvisningene utgjør en uavhengig verifikasjon.

Det finnes allerede flere dokumenterte eksempler på denne prosessen, selv om de fleste er eldre enn KI-søk. I et kjent tilfelle fant en tenåring på kallenavnet «brasiliansk jordsvin» for nesebjørnen og la det inn i Wikipedia.

Det oppdiktede navnet spredte seg til aviser og minst én akademisk bok. Til slutt siterte Wikipedia selv en avisartikkel som bevis for påstanden som opprinnelig var introdusert der: en nesten perfekt sirkel av fabrikert autoritet. Hendelsen ble dokumentert av The New Yorker.

En mer bevisst demonstrasjon kom i 2025, da forskere laget flere KI-genererte akademiske artikler som ble tilskrevet en ikke-eksisterende forsker. De oppdiktede publikasjonene samlet 380 siteringer og en h-indeks på 19 i Google Scholar, noe som ga den fiktive forskeren en tilsynelatende respektabel akademisk posisjon. Eksperimentet, publisert i Natures Scientific Reports, viser hvordan siteringstall kan fabrikeres uten et tilsvarende grunnlag av ekte forskning.

Ingen av tilfellene demonstrerer et vellykket angrep på en KI-søkemotor. Begge viser likevel den underliggende svakheten: Når en falsk påstand er gjengitt av tilsynelatende troverdige kilder, kan senere systemer ha vansker med å skille uavhengig bekreftelse fra gjentatt spredning av én og samme oppdiktning. Den særlige faren for KI-søk er at en modell kan oppsummere denne henvisningskjeden som bekreftende bevis uten å oppdage at alle de tilsynelatende autoritetene peker tilbake til den samme ubekreftede påstanden.

4: Overtakelse av autoritet

Utløpte domener kan beholde den tilsynelatende troverdigheten, de innkommende lenkene og søkesynligheten til tidligere eiere. Ved å kjøpe disse adressene og fylle dem med nytt materiale kan nylig innførte påstander se ut til å stamme fra etablerte publikasjoner, en praksis som går tjue til tretti år tilbake. Autoriteten til et utløpt eller forlatt domene blir ofte kjøpt for å gjøre innholdet om til beslektet, men kommersialisert materiale.

I 2024 dukket den innflytelsesrike kvinnebloggen The Hairpin, som stengte i 2018, opp igjen under nye eiere som en fabrikk for KI-generert innhold. De opprinnelige artiklene var blandet med omskrevet materiale og fiktive forfatternavn, og utnyttet omdømmet og domeneautoriteten til en tidligere respektert publikasjon. Selv om dette ikke er et demonstrert angrep på KI-søk, viser saken hvordan historien til et etablert nettsted kan overtas.

Arkiverte kopier kan bidra til å avdekke forskjellen mellom et domenes ekte fortid og nylig fabrikkert innhold, men selv denne typen bevis er ikke nødvendigvis permanent. I 2002 fjernet Internet Archive kopier av nettsteder som var kritiske til Scientology, etter opphavsrettslige klager fra organisasjonens advokater. Til å begynne med antydet arkivet at nettstedseierne selv hadde bedt om fjerningen.

Fram til 2017 brukte Wayback Machine nettstedenes eksklusjonsregler med tilbakevirkende kraft, noe som potensielt lot nye domeneeiere skjule forgjengernes innhold. Selv om denne praksisen ble avsluttet, vurderer Internet Archive fortsatt forespørsler om å fjerne historiske kopier.

5: Utnyttelse av akademiske arkiver

Akademiske arkiver tilbyr en annen vei til tilsynelatende autoritet. Forhåndspubliseringsservere lar forskere publisere artikler før fagfellevurdering, mens søkemotorer og KI-systemer for informasjonsgjenfinning kan møte disse dokumentene sammen med etablert vitenskapelig litteratur.

Problemet er at publisering og verifikasjon ikke er det samme: I 2024 demonstrerte forskere hvordan ondsinnede instruksjoner i akademiske artikler kunne manipulere KI-assistenter som behandlet dokumentene. Arbeidet viste at en forskningsartikkels tilsynelatende legitimitet ikke hindrer at innholdet brukes til å påvirke et KI-system.

En mindre iøynefallende GEO-tilnærming ville være å legge inn plausibel, men marginal forskning som gjentatte ganger forbinder et selskap, et produkt eller en person med en bestemt ekspertise. Selv uten uttrykkelige instruksjoner til KI kunne slikt materiale gi tilsynelatende vitenskapelig støtte til påstander som stammer fra den begunstigede selv.

Konklusjon

Andre mulige veier omfatter infiltrasjon av anmeldelsesøkosystemet, ved å plante positive vurderinger på sammenligningssider og i programvarekataloger; manipulasjon av kunnskapsgrafer, ved å endre strukturerte data for å skape villedende forbindelser mellom selskaper, produkter og ekspertise; og flerspråklig omdømmevasking, ved å plassere reklamepåstander i fremmedspråklige kilder som granskes mindre.

Til slutt kan agentbasert GEO-optimalisering automatisere disse teknikkene ved gjentatte ganger å teste innhold mot KI-søkemotorer og forbedre variantene som gir de ønskede anbefalingene.

Først publisert mandag 12. oktober 2026. Endret innen tretti minutter for å rette store bokstaver i titler og manglende tagger.