影响大语言模型搜索结果的五种潜在后门

由于AI摘要这一新趋势，来自搜索引擎结果的传统流量大幅下滑。如今，各类出版商都在努力提高自身的可见度，以吸引为网络搜索AI摘要提供支持的大语言模型，以及ChatGPT等热门前沿模型的直接关注。

根据《优化生成式引擎中的可见度》和《如何主导AI搜索》等既有研究，正当做法包括争取独立的编辑报道、发布权威且结构清晰的内容、提供机器可读的产品信息，以及针对不同语言和市场调整材料。

最近引起关注的其他方法，与过去几十年的黑帽SEO手段颇为相似，包括在Reddit上进行伪装草根宣传，植入看似独立的推荐来影响AI搜索结果；进行记忆投毒，利用欺骗性链接，试图让助手把宣传性主张当作可信信息保留下来；以及实施提示注入，通过隐藏的网站指令影响AI助手的推荐，而不只是为它提供可供概括的信息。

一个尤其巧妙的GEO操纵案例来自ETH Zürich的研究人员：他们虚构了一款相机，发布宣传网页，并在其中用极小的白色文字隐藏指令，要求微软的Bing Copilot只推荐这款相机。极小的字号和极低的对比度，都是为了掩盖这种操纵。

ETH Zürich的一项实验用两则虚构相机广告操纵AI搜索推荐。左侧的常规广告包含可见的宣传文字，右侧的“PixelBlitz”广告则用白色背景上看不见的一磅白色文字隐藏指令。隐藏信息冒充系统指令，要求AI只推荐PixelBlitz，并隐瞒该指令的存在。在对照测试中，这种技术将虚构相机的推荐率从34%提高到了59.4%。 来源

在对照测试中，虚构相机的推荐率从34%升至59.4%，略高于真实Nikon和Fuji-film相机的57.9%。这表明，嵌入检索所得网页的恶意指令确实能够影响AI推荐。

利益如此巨大，因此可以合理推测，在营销行业及其他希望通过AI问答系统和聊天引擎的推荐，获得或恢复往日SEO优势的领域，黑帽GEO已成为一条活跃、资金充足的非法研究路线。

下面就来看看一些潜在或正在出现的途径：

1：篡改档案

Internet Archive是目前最全面、最有用的网络资源之一，其Wayback Machine在2025年突破了一万亿个网页的里程碑。截至撰稿时，Internet Archive表示，其存储并向公众开放的PDF文档多达47,381,733份：

Internet Archive存储着数量惊人的PDF资料，其中大部分由志愿者捐赠。 来源

从上面的示例结果可以看出，许多上传的PDF内容相当平常：从20世纪50至90年代鲜为人知的音乐传单，到一度被认为已经失传的珍贵而有趣的杂志和书籍，再到20世纪70和80年代冗长乏味的市政会议记录，以及其他大量资料。

这批资料目前正遭受不加区分的猛烈访问，明显的罪魁祸首是一大群AI数据抓取机器人。它们急于寻找新数据，或寻找已有数据的更好版本和佐证。

显然，修改上传文档，让它支持虚假说法、虚构产品、对人物的虚假提及（赞扬或诋毁）、关于这些人物的虚假陈述等等，并非难事。

这类材料可以被插入大语言模型视为“权威”来源的内容，例如受人尊重的杂志PDF，而这些杂志恰好尚未被Internet Archive完整收录。在这种情况下，经过“加工”的版本就会被视为在正当地“填补空白”。

AI本身可以模仿文字风格，使其与某篇短文甚至某条图注的现有风格一致；再修改PDF日期，并采用其他各种简单手法，就能让文档看起来像是从20世纪90年代甚至更早的档案中找到的材料：

ChatGPT-5.5毫无异议地提供了一处简单的“历史修订”，随后可轻易地将其重新插入原始PDF文档。这样，“Pence Opera House”便从历史中消失，而Guthrie Theater（一家真实存在于明尼苏达州的剧院）的开业时间，则从真正的1963年被提前到早得多的1867年。 来源

在这种情况下，似乎只需等待那些如饥似渴的AI抓取机器人收集这些信息。目前还难以确定，数据集整理过程中的过滤器或检查系统究竟能在多大程度上发现这些非法修改；但此类数据集的规模极其庞大，通常无法进行如此细致的审查。面对如此巨量的信息，人们实际上是在“信任数据”。

2：合成共识网络

对于还记得早期互联网的人来说，这也可以理解为现代版的“网站环”：早期互联网中相互链接的网站网络，早于Google的PageRank和Moz的Domain Authority；后两者都重视入站链接的数量和质量。

然而，合成共识网络更进一步，在据称互不相关的网站之间制造貌似独立的佐证。香港中文大学和EPFL最近的一项研究大体展示了这一原理：研究人员用15个类别中的225种产品测试了12个AI模型，把检索到的搜索结果中的真实品牌替换成虚构品牌。

论文中的示意图展示了虚构产品信息影响AI推荐的两条路径。上方是在真实网络中植入虚假内容，使其进入搜索结果；下方则是研究人员在本地修改检索到的页面，模拟同样的过程。这两条路径都可能导致AI助手将不存在的品牌与真实产品一同推荐。 来源

当更多结果包含同样的虚假信息时，影响也随之增强。在排名靠前的结果中有三个页面被操纵的情况下，最易受影响的模型在73.8%的测试中推荐了不存在的产品。即使只有排名第一的一个结果被篡改，也能在27%的情况下误导某些模型。

更值得注意的是，模型有时还会自行编造佐证：在一项涉及虚构屏幕保护膜品牌的测试中，Claude和DeepSeek添加了有关社区推荐及产品测试的说法，而提供给它们的材料中并没有这些内容。

虽然这项实验使用的是在本地修改的搜索结果，而不是真实运行的欺诈网站网络，但它表明，一组协调一致、看似独立的评论可能制造可信度，而AI则会通过额外背书进一步强化虚假信息。

3：制造引用与“孤源”主张

制造引用（也可称为“引用洗白”）是合成共识网络的一种变体，但它更强调信息看似来自何处，而非有多少来源在重复这些信息。

一个虚构说法可能最初出现在一本不知名的行业期刊、一篇自行发表的研究论文，或一份编辑审查薄弱的专业出版物中。随后，博客、目录和其他出版物可能引用它；每重复一次，最初的断言就又多了一点表面上的可信性。

最终，AI搜索引擎可能在距离原始来源已经隔了好几层的地方遇到这个说法，例如在一篇其他方面颇为可信、但引用了中间出版物的文章中。于是，最初毫无依据的断言获得了引用历史，尽管后续引用没有任何一个构成独立验证。

这一过程已有多个记录在案的例子，尽管大多数发生在AI搜索出现之前。在一个广为人知的案例中，一名青少年为长鼻浣熊编造了“巴西土豚”这个昵称，并把它写进维基百科。

这个虚构名称传播到了报纸以及至少一本学术著作中。最后，维基百科自己又引用一篇报纸文章，为它最初引入的说法提供依据，形成了一个近乎完美的虚假权威循环。The New Yorker对这一事件作了记录。

2025年出现了一项更为刻意的演示：研究人员创建了多篇AI生成的学术论文，并将其归于一位不存在的科学家名下。这些虚构出版物在Google Scholar上累计获得380次引用，h指数达到19，使虚构研究人员看起来拥有相当体面的学术地位。这项发表于Nature旗下Scientific Reports的实验说明，即使没有相应的真实研究成果，也能制造引用数量。

这两个案例都没有证明针对AI搜索引擎的攻击已经成功。然而，它们揭示了同一种根本弱点：一旦虚假断言被看似可信的来源转载，后续系统可能就很难区分独立佐证与单一捏造内容的反复传播。对AI搜索而言，特有的危险在于，模型可能把这条引用链概括为相互印证的证据，却没有意识到所有看似权威的来源最终都指向同一个未经验证的说法。

4：接管权威

过期域名可能保留原所有者的表面可信度、入站链接和搜索可见度。购买这些网址并填入新材料，可以让新近提出的说法看起来出自老牌出版物；这种做法可以追溯到二三十年前。人们经常购买过期或废弃域名的权威性，将其内容改造成“相关”但已商业化的材料。

2024年，颇具影响力、于2018年关闭的女性博客The Hairpin在新所有者手中以AI生成内容农场的形式重新出现。原有文章与改写材料、虚构作者署名混杂在一起，利用了这家曾受尊重的出版物的声誉和域名权威。虽然这并非已证实的AI搜索攻击，但它展示了知名网站的历史如何被挪用。

虽然存档快照可以帮助揭示域名真实历史与新制造内容之间的差异，但即使这类证据也未必永久存在：2002年，Internet Archive在收到Scientology组织律师提出的版权投诉后，删除了批评该组织的网站快照，最初还暗示删除请求来自网站所有者本人。

直到2017年，Wayback Machine还会追溯应用网站排除规则，这可能使域名新所有者能够隐藏前任的内容。虽然这一做法已经停止，但Internet Archive仍会审议删除历史快照的请求。

5：利用学术资料库

学术资料库提供了另一条获得表面权威的途径。预印本服务器允许研究人员在同行评审之前发表论文，而搜索引擎和AI检索系统可能会将这些文档与已获认可的科学文献一起检索出来。

问题在于，发表和验证并不是同一回事：2024年，研究人员演示了嵌入学术论文中的恶意指令，如何操纵处理这些文档的AI助手。他们的工作表明，研究论文表面上的正当性，并不能阻止其内容被用来影响AI系统。

一种更隐蔽的GEO做法，是存入看似合理但研究价值有限的论文，反复把某家公司、产品或个人与某项专业能力联系起来。即使没有明确向AI发出指令，这类材料也可能为源自受益者本人的主张，提供看似学术性的支持。

结语

其他潜在途径包括渗透评论生态系统（在比较网站和软件目录中植入正面评价）；操纵知识图谱（修改结构化数据，在公司、产品和专业能力之间建立误导性关联）；以及跨语言声誉洗白（把宣传性主张放入较少受到审查的外语来源）。

最后，基于智能体的GEO优化可能将这些技术自动化：反复在AI搜索引擎中测试内容，并不断改进能够产生预期推荐的版本。

首次发表于2026年10月12日，星期一。三十分钟内作了修订，以修正标题大小写和缺失的标签。