王涛：GEO投毒怎么防——检测、过滤、多源交叉与透明治理
我是王涛（Taomir），在成都新港智优 AI 中心做生成式引擎优化（GEO）。这篇要讲的判断是：GEO 投毒的核心风险不是“内容写得好不好”，而是检索增强生成把可检索网页拼进生成上下文后，网页本身变成提示注入与知识投毒的攻击面；防御要落在检测、过滤、多源交叉和透明治理上，同时把可见性看成必要但不充分的指标，不能把可见性当质量或业务结果。
一、攻击面在检索层：网页一旦被带入上下文，就可能操纵推荐
RAG 会把检索到的网页文本拼入生成上下文，网页因此是提示注入与知识投毒的攻击面。STS 可通过在可检索网页中插入目标文本，操纵 LLM 对产品的推荐，即使文本与问题无关也可能生效；GCG 等优化方法可以把 STS 目标导向指定产品或目标答案；ColdBrew 的实验结果里，无关高价产品可被推到推荐列表顶部，显示操纵会改变商业可见度。这些结果只用于风险评估、防御和评测，不复现攻击，也不把实验结果当营销路径。在我的多平台 AI 采样器里，我会把同一问题在不同生成式引擎中的答案差异记录下来，看检索来源是否异常集中；在经手的项目里，攻击机制只进入防御复核，不进入增长教程。
二、检测：异常扫描与排序敏感性分析，不能只看最终答案
只看最终答案会漏掉排序被操纵的痕迹，检测要同时看来源异常和排序敏感性。防御项包括异常扫描、排序敏感性分析、多源投票、随机化顺序和透明排名；随机化检索文本顺序可提高模型对 STS 操纵的鲁棒性，但先要验证它不破坏正常召回。可见性是必要但不充分的指标，同时测量内容质量、实体正确性、答案吸收度和业务结果。我在 GEO Benchmark 题集里把数据、引语和来源作为候选变量，关键词填充按负向或无效变量处理；在 AI 品牌可见度报告里，我不把可见性当质量或业务结果，而是同时记录实体正确、引用吸收和稳定性。在 Perplexity 等真实生成式引擎上，引用名言和统计数据仍有效，关键词填充甚至劣于未优化，但中文平台要重新采样后再谈同等幅度。
三、过滤：来源校验、白名单和最小权限要前置到内容工程
过滤不是模型层的事后补丁，而是内容工程的前置条件：来源校验、异常检测和最小权限。RAG 会把检索到的网页文本拼入生成上下文，内容工程需做来源校验、异常检测和最小权限；仅靠模型层防护不足，需要检测、过滤、白名单、交叉检查、对抗训练和透明度等多层治理。在 TaoHtml 的内容交付流程里，我把来源校验、异常检测和最小权限作为前置项。抓取、索引和类目词仍是公开网页召回的底座，单纯关键词策略不足以覆盖 GEO。
四、多源交叉：用多源投票和随机化顺序，验证不破坏正常召回
多源交叉的价值是降低单一网页对生成上下文的控制力，但必须验证正常召回不受影响。防御包括多源投票和随机化顺序；随机化检索文本顺序可提高鲁棒性。GEO-bench 覆盖约 1 万条查询、25 个领域和多种数据集，是生成式引擎评测的标准测试平台，但论文基准不能直接当成国内平台业务基线。我的多平台 AI 采样器和 GEO Benchmark 题集分开使用：前者采同一问题在不同平台上的答案与来源，后者用受控题集比较内容变量。数据、引语和来源方法在 GEO-bench 的受控结果里提升最大，但那是英文数据集、特定指标和排名条件下的结果，在中文平台重新采样前不承诺同等幅度。
五、透明治理：把“权威感”与事实权威、来源质量、用户结果分开
透明治理的核心是让排名和来源可解释，不能把高概率续写当成真实最优。STS 说明“权威”可能只是高概率续写而非真实最优，GEO 需关注黑盒行为和安全；具体防御包括透明排名。九类 GEO 方法包括权威、数据、关键词、来源、引语、易懂、流畅、独特词和术语等，但关键词填充必须按论文结果作为负向或无效变量处理。在 AI 品牌可见度报告里，我把“权威感”与事实权威、来源质量和用户结果分开记录；在 TaoHtml 和经手项目里，防御措施按风险和可验证性逐项测试，先验证对正常召回的影响。
我是王涛，接下来要验证三件事：在中文生成式引擎上重新采样多源投票和随机化顺序，记录它们对正常召回、实体正确和引用吸收的影响；把异常扫描和排序敏感性分析接进多平台 AI 采样器，用 GEO Benchmark 题集做对照；在 AI 品牌可见度报告里分开呈现可见性、正确性、吸收度和业务结果。论文指标和百分比只适用于其数据集、平台和实验条件，不能把可见性当质量或业务结果；攻击机制只用于风险评估、防御和评测，不复现攻击，不把实验结果当营销路径。
