PoisonedRAG（知识库投毒攻击）

PoisonedRAG 是发表在 USENIX Security 2025 的安全论文（Zhen Tan 等），首次系统量化了 RAG 知识库投毒的攻击面：黑盒设定下，攻击者无需了解模型内部，只要向百万级知识库中针对每个问题注入五条与问题语义相关的恶意文本，就能让模型以约 90% 的成功率输出攻击者指定内容。本卡只做机制认知与话术识别——知道攻击面长什么样，才能识别市面上「批量投喂式 GEO 服务」在技术上到底是什么。

黑盒、低剂量、高成功率：三个设定合起来意味着什么

论文的攻击设定有三个关键词，每一个都值得展开。黑盒：攻击者拿不到模型参数、不了解检索器内部构造，能做的只有「往语料里放文本」——这把参与门槛降到了任何人都能尝试的水平。低剂量：每问题五条文本，在百万级知识库里占比可忽略不计，投放成本极低、痕迹极淡。高成功率：约九成的成功率意味着这不是概率性骚扰，而是接近确定性的答案改写。

三个设定合起来，结论对防御方相当残酷：RAG 系统的开放性（语料来自公开网络与开放提交渠道）与检索机制的中立性（只看语义相关度、不审意图）共同构成一个低成本、高杠杆的操纵面。这也是论文在安全侧被当作防御基线的原因——它证明的不是「存在一种攻击」，而是「这条攻击路径的代价与成功率都足以被认真对待」。

为什么「语义相关」就够了：机制定性

最值得理解的机制点是：攻击文本为什么不需要了解模型内部？定性解释在检索环节的判定逻辑——召回只看「与问题语义是否相关」，不看「内容是否真实、动机是否干净」。攻击者只要构造出与目标问题强对齐的文本，就能在召回阶段挤进 top-k 候选；进入上下文之后，生成模型对「资料」与「指令」的边界本就不牢靠，一段精心措辞的文本足以把合成答案带向指定方向（同族攻击的完整谱系见提示注入术语卡）。

换句话说，攻击利用的不是某个模型的漏洞，而是整条 RAG 流水线的结构性信任假设：检索信任语料，生成信任检索。防御因此不能只靠「模型加固」，重心必须前移到语料入口——来源审计、提交渠道治理、异常内容检测。对自建知识库（客服助手、内部问答）的企业，这条教训同样适用：转贴文档与供应商资料入库前，同样要过来源审计这道闸。

自建 RAG 的入库纪律可以再细化一步：给每份文档记来源与责任人，让「这个答案为什么这么说」永远可回溯到入库那一刻；对外部抓取的内容设比例上限与抽检；对高权限场景（客服直接对外回答）另加一道敏感话题过滤。这些动作不改变 RAG 的能力上限，守的是下限——被投毒的助手给出的错误答案，用户会当真，风险正在这里。没有自建知识库的团队也别以为离自己很远：你投放的第三方内容渠道，同样可能被别人借去投毒。

防御与检测的信号也有迹可循：内部助手的答案如果突然在固定话题上口径统一地偏向某个供应商或产品，检索日志里新入库的低来源文档高频命中相关提问，都值得停下来查一查。企业侧的投毒感知能力，本质是把「答案异常」当成安全事件而不只是内容问题来响应。

GEO 侧的读法：识别「批量投喂」话术

这篇论文在 GEO 语境里的价值，是给一类灰产话术提供了技术定性。市面上「保证 AI 提到你」「批量软文投喂大模型」类服务，其承诺若无法通过正当的内容与信源建设实现，实现路径就只剩投毒——批量生成与目标问题语义对齐的文本，撒进模型可能读到的语料。论文证明的正是这条路「技术上走得通」，而走得通不等于做得对：它在安全研究里的名字就叫攻击，把它包装成「高级优化」出售，等于收钱替客户执行一次攻击。

识别这类服务，问三个问题就够了：承诺是否过度（引用是概率事件，「保证出现」在机制上就不可信）；方法是否透明（说不清怎么做的，往往正因为不能说）；载体是否面向真人（只为进检索库、不为人读的文本，受众是算法而不是人）。三个信号出现任何其一，都应当按投毒服务对待——坚决不做，也要防服务商代做。这一定性与站内红线体系一致：它属于 Cloaking（内容门禁欺骗）的变体，人机内容不一致的本质没有变，后果包括域名级除名与法律风险（完整论述见语料投毒术语卡）。

还有一个读法层面的误用要单独点名：把本卡的数字当「优化效果」引用。约九成是攻击成功率——攻击者指定内容出现的概率，不是品牌可见度的提升幅度，两个数字在机制与伦理上都不在一个世界。把这类安全论文的数字写进 GEO 服务宣传页，是双重误导：既错读了论文，也暴露了把攻击当卖点的立场。识别这种话术的口诀与站内一贯立场一致：追问效果数字的来源与口径，问不到就停。同理，任何声称能「控制特定回答」的服务，无论包装成投放还是技术合作，都超出了正当内容工作的能力边界——超界之处即是红线。

同族研究：操纵面不止一个环节

PoisonedRAG 不是孤证。站内留档的同族研究还包括：越狱式提示注入可迁移到真实线上对话引擎、黑盒操纵其排名（见排名操纵文献卡），以及商品页策略性文本序列对大模型推荐的操纵（见策略性文本序列文献卡）。把几条线索并排看：从检索库、推荐页到线上引擎，AI 系统的每个内容入口都被证明存在操纵面。安全社区把它们逐一发表，本身就说明攻击面已经公开——平台方有明确的检测与封禁动机，「独家投喂技术」的保质期极短。

生态的反制方向也可以定性预判：对批量语义对齐文本的重复性检测、对来源信誉的长期评分、对答案与多源口径一致性的核验，都是平台侧自然的加固点。攻击的性价比会随这些机制成熟持续走低——今天验证有效的手法，明天就是检测特征库里的样本。这个时间差也解释了灰产为什么总在找新入口：旧入口被封的速度，快于新入口被找到的速度。对企业买家，结论落成一句话：凡是把「进入模型语料」当卖点又说不清正当链路的服务，先按投毒做排除，再谈合作。

对从业者的启示是两个反向认知。其一，正当 GEO 与投毒的差别不在效果而在性质：前者改善内容质量、参与公平竞争，后者绕过质量竞争、直接改写答案。其二，把预算交给一门正在被安全社区与平台双向围剿的手法，等于把品牌信用押在「对方抓不到」上，赔率再好也不是生意。想让 AI 提到你，路径只有一条：做出值得被提及的内容，放进值得被引用的信源。