语料投毒（Corpus Poisoning） Corpus Poisoning

语料投毒（Corpus Poisoning）指向训练或检索语料注入恶意文本、以操纵模型输出的攻击手法：不是优化内容让它“值得被引用”，而是把精心构造的文本混进模型会读到的语料里，让模型“不得不按你设计的方式回答”。安全学术界的实证给出了攻击面的量级——百万级知识库中，针对每个问题仅注入 5 条语义相关的恶意文本，攻击成功率即可达约 90%。本卡只做机制认知与防御视角解读（了解攻击面才能识别服务商话术），不提供任何操作细节。

PoisonedRAG 证明了什么

PoisonedRAG 论文（USENIX Security 2025）是这一族研究的代表作（详见 PoisonedRAG 研究卡）。它证明了两件事。其一，攻击门槛极低：黑盒设定下，攻击者无需了解模型内部，只要让注入文本与目标问题语义相关即可——不需要白盒知识、不需要算力对抗。其二，攻击代价极小：每问题几条文本，在百万级知识库里占比可忽略不计，却能以高概率改变该问题的答案。

这篇论文在安全侧的意义是给 RAG 系统划了防御基线；把它放到 GEO 语境里读，意义则是划清“优化”与“攻击”的边界：正当 GEO 改善内容质量去参与公平竞争，投毒是绕过质量竞争直接改写答案。两者在技术上有相邻性，在性质上是对立的——这个区别决定了它不该出现在任何优化方法论里。

再往机制层挖一层，RAG 为什么特别容易成为攻击面。原因在于它的开放性：检索库的内容来自公开网络或开放提交渠道，任何能让文本进入语料的路径——发布页面、评论、问答、文档库——都是潜在的写入口；而检索环节只看语义相关度，不做意图审查，恶意文本只要“长得相关”就能被召回。与此对照，训练期投毒要污染训练数据集，窗口期与可行性都受限得多。这也是为什么语料投毒的实战风险集中在检索侧：门槛低、见效快、可反复投放。理解这一点，也就理解了防御的重心为什么放在“入口与来源审计”而不是“模型加固”上。

同一族的研究线索

PoisonedRAG 不是孤例，同族研究在商业场景里已有两条著名线索。哈佛团队在电商场景证明，商品页加入特定“策略性文本序列”可以系统性提高被大模型推荐为第一名的几率（arXiv:2404.07981，详见策略性文本序列研究卡）；UC Berkeley 等机构则证明越狱式提示注入可以迁移到真实线上对话引擎、黑盒操纵其排名（arXiv:2406.03589，详见排名操纵研究卡）。三条线索合起来看，从检索库、推荐页到线上引擎，AI 系统的每个 intake 环节都被证明存在操纵面。

对从业者的启示不是“原来可以这么干”，而是两个反向认知：一，这些手法与cloaking同源——本质都是让机器读到与人不同的内容或指令，违规定性也沿用同一套；二，学术发表本身说明攻击面已经公开，平台方都有对应的检测与封禁动机，“技术秘籍”的保质期极短。站在采购视角更要清醒：把预算交给一门正在被安全社区与平台双向围剿的“技术”，等于把钱押在对方抓不到你上，赔率再好也不是生意。

为什么它会以“GEO 服务”的面目出现

灰产的话术包装值得拆开看。国内 2026 年已有“批量软文投喂大模型”灰产被曝光的报道（单源存疑），其销售逻辑通常是：宣称掌握“让 AI 提到你”的独家通道，按关键词或按条收费，交付“保证出现在回答里”。技术上，这类承诺若非通过正当的内容与信源建设实现，就只剩投毒一途——批量生成与目标问题语义相关的文本，撒进模型可能读到的语料。它与安全论文里的攻击是同一个动作，只是收了你的钱、用你的品牌名义去执行。

识别这类服务有三个信号。承诺过度：任何“保证 AI 排名/保证被提及”的确定性承诺都不可信，引用是概率事件。方法不透明：问具体怎么做，回答含糊或以“独家技术”搪塞。载体异常：声称能控制内容出现在特定平台的特定回答里，却拿不出正常的内容发布链路。三个信号出现任何其一，都应当按投毒服务对待——坚决不买不做，也要警惕服务商代做。这不是保守，是自保：一旦被识别，域名级惩罚记在委托方头上。

还有一个灰色地带要单独说清：正常的第三方内容铺设与投毒的分界在哪。请媒体评测、让用户讨论、发布原创数据，这些都是公开、透明、面向人的内容——人看到什么，机器就读到什么，属于正当范畴；判断标准与 cloaking 一致，看人机是否一致。而“批量构造与目标提问语义对齐、只为进检索库而非为人读”的文本，即便没有隐藏指令，性质也已经偏向污染语料——它的受众是算法而不是人。给供应商下需求时，把“内容要过人这一关”写进验收标准，是最简单的一道防线。

防御视角：企业要盯的入口

即使你不做投毒，也可能成为受害者——你的内容渠道被他人利用来投毒，或你的竞品在投你的品类。防御上盯三个入口。内容入口：CMS、评论区、UGC、富文本编辑器是注入文本的常见落点，权限与审核是第一道闸（同类攻击的完整防御清单见提示注入卡）。渠道入口：外包内容、代理商投放、第三方平台账号，任何你不直接控制的发布渠道都可能被塞进构造文本，交付物要走抽检。品类监测入口：在自己的核心品类提示词集上做例行监测（这也是 RAG 语境下可见度监测的本职），异常信号是低质来源突然高频出现、固定话术反复重现——发现后向对应平台举报，并留档自证清白。

把防御做成例行动作的成本不高：内容审核在既有流程上加一步抽检，品类监测复用 GEO 监测的提示词集，不需要新建体系。多数企业缺的不是工具，是“我们也可能被投毒”的预设。

另一个容易被忽略的场景是企业自建知识库。不少公司给自己的客服、内部助手部署了 RAG，把产品文档、工单记录、内部 wiki 灌进检索库——这套系统同样会吃到投毒：一份来源不明的转贴文档、一段被污染的供应商资料，都可能让内部助手给出被操纵的答案，而内部用户对“自己家的 AI”信任度高，危害反而更隐蔽。对自建 RAG 的纪律与外部引擎一致：语料入库要过来源审计，记录每份文档的出处与责任入口，让“这个答案为什么这么说”永远可以回溯到源头。

本站的立场

这张卡的立场写明：语料投毒是攻击手法，不是优化技术，本站不出售、不推荐、不提供操作细节。写它的目的有二：一是给你识别话术的知识——知道攻击面长什么样，才不会被“独家投喂”收割；二是给行业提个醒——正当 GEO 的价值建立在生成式引擎的公信力上，投毒侵蚀的是所有人的地基。想让 AI 提到你，路径只有一条：做出值得被提及的内容，放进值得被引用的信源，然后耐心等检索与采信发生。