你在 ChatGPT 里查"达美航空客服电话"，它给你的可能不是达美，而是一个等着你上钩的骗子。这不是模型故障，而是一场针对 AI 答案的规模化污染——安全研究者发现，ChatGPT、Gemini 和 Google AI Overview 正在被人为投喂假信息，374 家企业的客服资料被替换成了诈骗电话和钓鱼链接。达美航空、汉莎航空、美国银行、Airbnb 全在名单上。而真正的公司，多数到现在还蒙在鼓里。
骗子没黑进 OpenAI，他们只是让 AI 读到了假答案
374 个品牌同时中招
这次攻击最刺眼的地方，是它一点都不挑食。航空、银行、短租平台、汽车租赁，凡是用户会主动去搜"客服电话""退款流程""投诉渠道"的行业，几乎都被覆盖。研究者统计出来的数字是 374 家，而且这只反映他们检测范围内的样本，真实的波及面大概率更宽。
关键在于，攻击者没有攻破任何一家公司的内网，也没拿到数据库权限。答案污染这个词听起来玄，做法却朴素得很：他们只是往模型获取信息的路上撒了一把假料，然后等模型自己把假料当成事实讲出去。
一条假链接的完整旅程
流程简单得让人不太舒服。攻击者先投放一批看起来足够正规的页面——域名和品牌名高度相似，版面抄得八九不离十，内容里埋着假客服电话和跳转链接。搜索引擎的爬虫把这些页面收进去，AI 助手的检索层再把它抓回来，模型分不清真伪，只能按"这段内容与问题最相关"的原则，把它当成答案递给用户。用户看到一句语气笃定的话，顺手就拨了那个号码。
整条链路里，没有一个环节需要"破解"。它利用的是模型对公开文本的天然信任。
老 SEO 手法，换了个宿主
干这行的老手会发现，路数并不新鲜。十多年前那批做黑帽 SEO 的人，靠的就是批量造页面、堆关键词、抢搜索结果前排。区别只在于，过去他们骗的是点击，现在骗的是模型的嘴。
搜索引擎时代，用户至少还会瞄一眼域名像不像官方的；到了对话式 AI 这里，答案被包装成一句话直接送到面前，中间那点怀疑的余地，被彻底抹平了。
平台的反应：不承认，不受理
一个自建检测系统捅出的窟窿
这项研究的可信度来自方法本身。研究者没有引用平台公开的任何报告，而是自己搭了一套检测系统，拿固定的一批企业信息去反复提问三家 AI，再把返回结果和官方信息逐条比对。命中率高到这个程度，说明它不是零星个案，而是一条已经跑通的产业链。
问题恰恰在这里：这套系统本该由平台自己来做。
举报之后，回执比答案还空
更让人无奈的是报告之后发生的事。研究者把证据整理好提交给平台，得到的基本是沉默、模板回复，或者"我们会评估"这类没有下文的答复。374 家受影响的企业里，绝大多数从未收到过任何通知。
品牌方想在 AI 的回答里纠正一条假信息，目前几乎没有可用的正式通道。你没法像改官网那样改模型的输出，也找不到一个承诺被受理的申诉入口。品牌冒名这件事，在企业内部连一个明确的归口部门都没有——市场部觉得是安全问题，安全部觉得是公关问题，最后没人接。
想拦，其实拦得住
说平台完全无能为力，站不住脚。研究者用一套自建系统就把规模摸到了 374 家，一个团队能做到的事，一家掌握检索管道和模型权重的大公司没有理由做不到。定期审计高频企业类查询、对客服电话这类敏感字段做交叉校验、给品牌方开一条可验证的纠错通道，都是现成的手段。
问题从来不是能不能，而是愿不愿意。
谁在为这场污染买单
客服热线正在变成攻击面
企业做安全，盯的一直是官网、App、支付接口。客服电话这种挂在官网底部的小字，从来排不进风险清单的前排。现在它成了最容易被撬开的一环：用户被 AI 引到假客服，按对方指示转账、报验证码、装远程控制软件，损失发生在用户和骗子之间，账却很容易算到品牌头上。投诉会先落到真公司的客服邮箱里，而真公司连自己被冒充了都不知道。
品牌的信任资产被悄悄折价
一条假客服电话不会让股价当天跌，但它会持续磨损一件更贵的东西：用户对"官方答案"的信任。当人们在同一件事上问三次 AI 拿到三个不同号码，最后的选择往往是放弃搜索，转头去找熟人打听。这对所有依赖自然流量获客的企业都不是好消息——获客成本会涨，而原因没人说得清。
普通人手里还剩几张牌
对个人用户来说，现实一点的建议是：凡是 AI 给出的电话、链接、转账指引，一律回到官网或官方 App 里核对一遍。银行、航司、电商这类直接涉及钱的场景，AI 答案只能当线索，不能当结论。
这不是对技术的悲观，而是对当前状态的准确判断。当平台还没有把纠错通道建起来，最后一道防线只能放在用户自己手上——这也正是这件事最让人不舒服的地方。
