先把结论说窄：这项研究没有证明 AI 搜索可以被任意操纵。它证明了一条更具体、也更适合工程治理的路径：当平台长期偏好某些允许普通用户发帖的域名时，公开发布的内容可能进入引用，部分内容还会进入答案文本。
安全团队真正要解决的任务，是判断一次可疑引用处于哪一层、证据能支持多强的结论，以及应该在哪个接口止损。
阅读时间： 8 分钟 | 字数： 约 2500 字
先用三张证据卡判断风险
证据卡一：来源偏好是否存在
复旦大学团队用 120 个设计查询测试了 10 个中英文 AI 搜索平台，得到 17211 个引用实例和 6356 个唯一来源域名。各平台最常引用的 20 个域名，占本平台引用的 20.5% 至 70.8%。平台之间这批高频域名的平均 Jaccard 重合度只有 0.201。
这组数字支持两个判断。第一，引用确实集中。第二，不同平台集中在不同来源上。因此，安全审计需要按平台、查询类别和时间窗口分别做，不能维护一张通用黑白名单。
它不支持另一个常见推断：集中来源不等于恶意来源。专业问题本来就可能集中引用标准组织、官方文档或少数研究机构。
证据卡二：普通发布能否跨过引用边界
研究者检查了 22 个与高频来源相关的发布平台。其中 15 个在注册和发帖两方面都属于低或中门槛，18 个只有分钟级审核延迟，或者没有显示明显审核。
随后，研究者发布了带有预置 Marker 的受控内容。一个此前没有 Web 痕迹的虚构概念，在七天内被 10 个系统中的 8 个引用。Marker 的作用很关键：URL 出现只说明页面被引用，答案复现预置标记才提供页面内容进入答案文本的更强证据。
这条路径与要求直接写入私有检索库的传统 RAG 投毒实验设置不同。研究者使用的是公开平台的普通发布接口。它们都属于相邻的 Web 与检索污染风险，但攻击者能力假设不同。
证据卡三：来源偏好与铺量分别贡献了什么
研究者比较了五组低竞争主题。每组都在高偏好平台和低偏好或无历史平台各放一篇结构匹配的内容。五组实验中，高偏好侧都先产生引用或 Marker 信号。表现最好的低偏好案例直到发布 20 篇才可见；自建 WordPress 发布 40 篇后，一周内仍没有信号。
这只能作为逐主题阈值，不能换算成通用的文章数量公式。主题、索引延迟、立场分配和平台组合没有完全交叉。
另一项数量实验更容易被误读。六个不同虚构主题分别配置 1、2、5、10、15、20 篇搜狐内容，对应的聚合引用实例为 24、61、65、80、98、128。这里同时变化了主题身份和发布时间。它展示的是发布量档位与引用次数的关联，无法隔离给同一主题增加文章的因果效果。平台结果也不一致，ChatGPT 和 Qwen 在该实验中没有引用这些内容。
因此，当前证据支持来源偏好会影响首次可见信号；内容数量只有带混杂的正相关，尚不足以当作稳定增长杠杆。
平台审计要查四本账
只给域名打可信分解决不了多阶段问题。更实用的方法是把一次答案拆成四本可复核的账。
1. 来源身份账
记录页面、域名、作者、发布账号、所有者、首次发布时间、修订历史和账号年龄。多个 URL 如果复述同一篇上游稿件，应归为同一个来源家族。十个镜像页面仍然只提供一份独立证据。
2. 检索选择账
保存原始查询、查询改写、候选页面、重排结果、首次检索时间和首次引用时间。来源集中度和异常快速收录属于预警信号，不能直接充当恶意判定。
3. 主张血缘账
把答案中的关键主张连接到原文具体段落，区分三种状态：页面进入候选集、页面获得可见引用、页面主张被答案吸收。三者分别测试，才能避免把装饰性链接误当成事实支持。
4. 独立复核账
至少补充一个没有被当前答案选中的来源家族，记录它是支持、反驳还是无法判断。对于医疗、金融、法律和安全运维等高影响任务，应优先回到法规、标准、论文、公告或原始数据。
这套账本可以理解为引用版 SBOM。它描述证据从哪里来、经过什么选择、支持哪条主张、何时失效，而不是简单给答案贴一个可信标签。
发现可疑引用后的处置顺序
第一步是冻结证据。保存回答全文、引用列表、页面快照、时间戳、重定向链和产品版本，再从新会话重复同一查询。页面后续删除或改写后，这些信息很难恢复。
第二步是确定事件层级。只有 URL 出现，属于引用事件；答案复现独特 Marker 或具体主张，属于吸收事件；用户采取行动或产生损失，还需要另外的行为和业务证据。低层事件不能自动升级成高层结论。
第三步是合并来源家族。检查页面是否同属一个账号、同一媒体集团、同一转载链或同一文本模板。表面多样性经常掩盖单一上游来源。
第四步才是修复。根据权限分别处理原页面标注或删除、索引失效、来源血缘重排、多样性约束、时间异常检测和界面警示。修复后用冻结的查询集重新测试，确认可疑 URL、Marker 和主张吸收是否分别消失。
这些控制目前仍是工程建议。公开资料还没有给出它们在真实流量中的检测率、误报率和答案质量成本。
两个相邻攻击面不能混在一起
Tow Center 对 8 个生成式搜索工具执行了 1600 次新闻来源识别查询，超过 60% 的回答不正确。这项研究测量的是下游检索和归因，不能证明新发布内容影响了答案。
CREST-Search 从查询侧红队测试 Web 增强 LLM，用看似普通的查询诱导不安全引用。它说明 Web 搜索需要专用安全评测，但也不支持复旦论文中的发布侧数字。
三类证据应分开登记：发布内容能否进入引用，进入的内容是否被答案吸收，系统是否正确识别原始来源。一个系统可能通过其中两项，却在第三项失败。
14 美元案例应该怎么读
研究团队购买了一次 GEO 服务。付款 14 美元后，供应商在 28 分钟内向 5 个公开平台发布了 13 篇内容。一个生产 AI 搜索平台在一小时内引用了供应商页面，答案还复现了付款前查询中没有出现的 Marker。
这是一条完整的可归因轨迹：付款、发布、引用、内容吸收。它同时只是 n=1 案例，覆盖一家供应商、一个主题、一个预算和一个观察到的平台。它不能估算 GEO 行业总体成功率，也不能外推到政治、医疗、金融或高竞争商业查询。
最后保留五条边界
- RQ1 使用 120 个设计查询，不代表真实用户流量分布。
- 精确比例来自 2026 年特定时间窗口，产品、索引和防护更新后会漂移。
- 受控实验测量引用和 Marker 出现，没有测量说服、用户信念或业务损害。
- 六主题数量实验存在主题身份与索引时间混杂。
- 真实世界实验也受删除权限约束。供应商代发页面未必由研究者直接控制。
这些边界没有消除风险，反而把治理目标变得清楚：对每一条作为证据展示的关键主张，平台都应保存可追溯来源、独立交叉来源和进入答案的路径。用户侧则应打开原文，核对它是否支持具体主张，再寻找一个不属于同一来源家族的一级资料。