花三百块买来的“智能推荐”，可能只是把搜索结果里的垃圾信息复述了一遍。检索增强型LLM正在成为消费推荐的主力，但一份来自arXiv的最新研究显示，这些看似聪明的导购员，会毫不犹豫地推荐一个根本不存在的劣质产品——只要攻击者在检索结果里埋下几个精心设计的页面。这就是GEO污染。研究人员将其命名为FORGE的新基准搬上桌面，225件真实商品、15个类别、5种消费场景，12款商业与开源模型轮番上阵，得出的结论并不光彩：所有模型都不设防。更麻烦的是，这种污染并不需要什么高深黑客技术，几篇能骗过搜索引擎的文章就够了。
当推荐系统开始“听信”垃圾信息
一个页面就能带偏AI导购
为什么单页污染就这么有效？原因在于检索增强架构的基础信任假设。模型把检索返回的网页内容视为“上下文”，然后在这个上下文上做生成，它并没有能力判断这些内容是否来自权威来源，更不会交叉验证。与人类用户不同，LLM没有“怀疑”的自觉；它不会因为页面来自无名小站而降低信任度。FORGE测试显示，在单个污染页面的情况下，模型给出错误推荐的概率最高达到27%。也就是说，攻击者只需要对准一个容易被搜索引擎收录的角落，植入一份“精心伪装的产品测评”，就能让AI推荐在四分之一以上的回合中背叛用户。这个成本低得吓人，效果却实实在在。
从27%到73.8%的攻防曲线
攻击者当然不会满足于单兵作战。当污染策略升级为占据检索结果前三条时，模型受骗率直接拉升到73.8%。从27%到73.8%，这不是线性变化，而是指数级倾斜。前三名结果被攻击者控制在手里，相当于AI导购的整个“参考材料”都变成了虚假宣传单。它没法对比、无法质疑，只能顺着这些材料往下编。受骗率不是指用户点击，而是指模型最终输出结论的错误比例。换句话说，模型几乎是在主动为虚假产品背书。攻防曲线在此处呈现出一种近乎可怕的陡峭：只要控制了搜索页面的头部，推荐系统基本就宣告失守。
FORGE基准：把推荐安全搬上台面
225个真实产品与5种场景
FORGE的设计思路很务实：让攻击测试贴近真实消费决策。225个真实存在的产品，横跨15个商品类别，从数码产品到日用百货，从美妆到食品，覆盖了人们日常购物中最常遇到的竞争格局。5种消费场景则模拟了“高性价比求购”“礼品选择”“紧急购买”等不同信息需求。每个场景下，攻击者都有不同的操纵策略，比如在礼品场景更强调包装和“仪式感”，在性价比场景则堆砌对比数据。相比传统的黑帽SEO，GEO污染更像是针对大模型量身定制的新武器。这种细颗粒度的设计，让漏洞评估不再是空中楼阁。
12个模型无一幸免
更让人后背发凉的是，12个模型全部中招。从商业闭源模型到开源社区的热门权重，领域内最受关注的名字几乎都被点名。它们或许在日常推荐中显得聪明、耐心、有品位，但在污染页面面前，反应惊人一致：该信的信，不该信也信。没有哪个模型在标准配置下表现出显著抵抗力，即便其中一些在通用安全测试中得分很高。这不是偶然的失灵，而是系统性脆弱。研究人员用同一套流程测试所有模型，排除了训练数据、提示词差异等因素，最终确认，漏洞根植于检索增强的结构本身，而非某个厂商的疏忽。
被忽略的推理环节：虚假社会证明
模型不仅信了，还帮你编好评
FORGE还有一个更具危害性的发现：模型在推荐时会主动生成并不存在的社会证明。比如检索结果里某款产品只有一句中性描述，模型生成的内容却出现了“众多用户给予高度评价”“多次复购”等说辞。这些信息并非来自检索结果，而是模型基于“优质产品应该有正面反馈”的常识推理自动补全的。这是一种危险的“创造性写作”。结果就是，AI推荐不仅传递了污染信息，还替攻击者在信息上涂抹了一层“口碑镀金”。用户看到的推荐理由，比原初的垃圾页面更具说服力。
搜索增强推荐的系统性风险
这条风险链条比很多人想象的更长：污染页面是入口，模型采信是中枢，虚假社会证明则完成最后的包装。整个过程中，没有任何一个环节是安全的。传统安全评估往往把注意力放在入口，检查搜索结果里有没有恶意URL，或者过滤明显垃圾信息。但FORGE揭示的是，即使过滤掉了明显的恶意内容，只要污染信息能够以“合理姿态”混进上下文，模型就能在推理阶段完成自发放大效果。而且，这种虚假社会证明比单纯给产品贴标签更隐蔽，因为它看起来像是自发涌现的共识。因此，评估搜索增强推荐系统的安全性，必须把推理环节纳入测试范围，否则就是隔靴搔痒。
这不仅是技术问题，更是商业责任
谁在受益，谁在买单
当GEO污染可以被量化成73.8%的推荐劫持率，它就不再是论文里的数字，而是现实中的黑产生意。恶意商家买通或炮制一批用于注入的页面，让AI推荐变成自己的广告代理；消费者被看似客观的智能推荐说服，为名不副实的产品买单；平台方在毫不知情中成了黑产的帮凶，信任体系一点点被侵蚀。但攻击者几乎零成本，只需要少量页面，就能在搜索结果中占据一席之地。三方之间的利益流向清晰而残酷：攻击者拿钱走人，平台和用户承担所有代价。
给推荐系统装上“清醒剂”
好消息是，FORGE把问题变成了可量化、可复现的基准，后续可以持续跟踪不同模型的抗污染能力。坏消息是，眼下还没有灵丹妙药。一些务实的方向已经开始浮现：对检索源做可信度分级，降低低权威页面进入上下文的比例；给推理环节增加事实核对机制，禁止模型在没有任何证据的情况下生成“用户评价”“销量数字”等断言；在产品层面，为推荐结果附上可点击的证据来源，让用户能够追溯AI的判断依据。这些动作不是在某个版本里打补丁，而是需要把安全对抗变成日常运营的一部分。否则，AI导购迟早会变成AI骗子。
