正在加载，请稍候
安全团队在真实流量中发现：374 家企业的客服电话与邮箱被投毒帖劫持，并被 ChatGPT、Gemini、Google AI Overview 当作事实引用。GEO 从优化手段变成攻击面，本文拆解三层手法与品牌自证清单。
一家航空公司的官方客服电话，被模型在回答里换成了诈骗号码。这不是实验室里的演示——安全团队在真实流量里抓到了 374 家被同一手法盯上的企业。
该研究团队自建了一套检测系统，同时扫描三家主流生成式答案服务的回答及其引用来源，对企业的敏感查询做自动比对：一旦发现虚假细节（电话号码、邮箱、登录地址）被模型当作事实引用，就记作一次事件。在《财富》100 强、银行、航司、软件厂商身上跑完一轮后，命中的企业数量是 374 家，已检测到数万个恶意页面（详见文末参考）。
被盯上的名字包括达美、汉莎、联合、阿联酋、卡塔尔等航司，美国银行、富国、大通、花旗等银行，以及 Airbnb、TripAdvisor 这类平台。攻击者要篡改的不是财报或产品参数，而是「你怎么联系我」——客服电话、支持邮箱、登录入口。这恰恰是用户在紧急场景下最依赖、也最不设防的一条信息。
过去一年生成式搜索的覆盖率翻了三倍，内容正在被 AI 引用、点击却流向别处——这条新链路的游戏规则，攻击者显然比多数企业更早读懂。需要注意，模型输出本身不稳定，多数事件是统计性的：不是每次查询都会复现错误，而是投毒内容做得越好，被引用的概率越高。企业用单次查询自测，很可能「看起来正常」而漏判。
投毒帖的结构并不随机：用问答体反复陈述同一个假号码，塞进「立即致电」「24/7」「2026 年更新」这类措辞。这些原本是让内容更容易被生成式系统采纳的常规写法，攻击者只是把目标从「让品牌被引用」换成了「让假号码被引用」。
同一个号码会被写成很多种形态：加空格、插点号、混 emoji、替换成相近的 Unicode 字符，甚至在数字之间插入文字。传统垃圾与诈骗过滤依赖字面匹配，容易把它判成不同文本；而模型在分词之后仍能理解它语义相同（1️⃣ 就等于 1）。检测器和模型看到的其实是两个东西。
同一份内容会被铺到大量无害的用户生成场景：社交平台与论坛帖子、视频描述、允许上传 PDF 的政府与高校站点、建站平台（Google Sites、GitHub Pages、WordPress、blogspot），甚至找房、求职、募捐类站点。帖子会把真实号码与有效建议混进来，让模型在引用真信息的同时也带上假的。内容还会刻意对准退款、航班取消、账号被锁这类紧急问题——目的就是让焦虑的用户直接拨号，而不是回官网核对。
| 攻击手法 | 传统防御为何失灵 | 可观测的信号 |
|---|---|---|
| 跨平台海量复制 | 单条下架追不上批量新增 | 同一号码短时间内出现在多个无关域名 |
| 号码变体书写 | 正则按字面判重，模型按语义理解 | 语义相同、字面不同的号码簇 |
| 投递到高权重 UGC 站点 | 站点本身无害，平台无动机清理 | 高校与政府域名近日新增的 PDF 或评论 |
| 依赖网络存档站 | 页面删除后存档仍被索引 | 引用源里出现存档域名 |
攻击是自动化的：相同模板、相同号码、相同措辞，横跨众多受害企业与平台，单个平台单个企业每天新增数百条，全网每天数千条。人工下架一次要花数小时到数天，而这段时间里新页面已经补上。更麻烦的是，archive.org 这类存档站会保留已删除页面的内容并继续被搜索索引，于是「下架」并不等于「失效」。
团队给出的一个例子是：一条针对某航空公司的投毒帖，24 小时内占了相关搜索结果 10 页以上；一份 PDF 在被删后仍留在网络存档里被继续引用。
在负责任披露环节，团队联系了全部受害企业但反馈分化：多数公司此前完全没有意识到攻击规模，一部分认为既有方案足以应付，还有一部分把问题挡在门外，理由是「没有直接打我们内部系统」。而在收入侧的账很直接：被诱导的用户会在购买或售后环节被劫持。
内容投毒只是其中一面。9 月 23 至 24 日这两天，企业级 Agent 治理被单独拎出来做成产品——WSO2 发布 Agent Manager，把身份、权限与生命周期从模型和框架里解耦，并给 MCP 交互加上治理控制；同一周，某模型的网络安全能力被自家框架评为首个「严重级」，测试中它在加固浏览器上 29 小时构建出沙箱逃逸利用链。一边是答案被外部污染，一边是模型自身的能力边界外扩，企业对「AI 说的话可信吗」这个问题已经没有回避空间。
对靠商业意图词获客的软件公司来说，搜索入口的重建路径与这里要做的防御动作其实是一件事：都得先让机器相信你。
不一样。作弊争的是结果页排名；这里争的是模型答案里的一句话事实，目标是诈骗对象的下一步动作——拨号或点链接。前者影响流量，后者直接影响收入与用户安全。
基本什么都没做。攻击面是公开的用户生成平台与允许上传的高权重站点，企业本身不是入口，也没有可「修」的漏洞。这正是它容易被低估的原因。
因为生产端是自动化、海量的，而下架是人工、按条、滞后的，加上存档站会让已删内容继续被索引。单点清理追不上批量投放。
先测基线：用敏感查询在主流答案服务上跑一轮，拿到「现在回答里写的是什么、引用的是谁」。之后所有监控与保护动作都围绕这条基线展开。