商品页策略性文本序列（推荐操纵研究）

哈佛团队（Shreyas Kumar 与 Himabindu Lakkaraju）2024 年发布的这篇论文，在商业语境下验证了一件此前多停留在安全实验室里的事：在商品页加入优化过的“策略性文本序列”，可以大幅提高该商品被大语言模型推荐为第一名的几率。对 GEO 行业，它的价值不在“学手法”，而在防御与合规——操纵攻击面的存在本身，就是内容生态必须正视的事实，而且已被实证。

研究做了什么

研究把场景放在电商推荐：针对目标查询构造特定的文本序列，注入商品页面，再观察模型推荐排序的变化。结果是推荐排名可被系统性操纵——不是偶发命中，而是可复现、可定向的影响。这些文本序列是“写给模型读”的：它们未必改善人类用户看到的页面，作用对象是模型形成推荐判断的过程本身。

推荐场景的脆弱性有它的结构性原因：模型要从自然语言描述里抽取排序判断，商品页的措辞、属性表述与语境线索都会进入判断链。人类买家会被页面说服，模型同样会被页面的文本形态影响——两边共用同一个输入面，只是被影响的机制不同。这也是为什么此类操纵不需要触碰模型本体，改页面就够了。

这项研究的分水岭意义在于场景。此前针对检索增强系统的操纵研究多在抽象基准上完成，而它把操纵放进真实的商业决策链路——推荐位的变动直接兑换成转化，动机与收益都被坐实。对平台方，这意味着推荐系统与搜索系统一样，必须把对抗性输入当作常态化威胁建模；对品牌方，“别人可能已经在做”不再是偏执的假设。

检测的难点也在这里：这类序列在形式上往往与正常文案无异——不是乱码，也不是明显的指令，而是措辞与结构上的调整。人眼审核很难分辨“写得好的商品描述”与“为模型优化的序列”，所以防御不能只靠人工巡查，要靠“来源质量与推荐位错配”这类统计信号，从结果侧发现异常，再回溯到页面侧取证。

攻击面家族：与 PoisonedRAG、排名操纵的同族关系

站内留档的三项研究构成一条同族谱系。PoisonedRAG 证明向 RAG 知识库注入恶意文本即可高成功率操纵输出——据该研究，黑盒条件下针对每个问题注入约 5 条语义相关的恶意文本，攻击成功率即可达约 90%（PoisonedRAG 研究）。对话式搜索引擎的排名操纵研究证明，网页中的注入文本能让真实线上引擎给出攻击者指定的目标回答，且攻击可跨查询泛化、成本低（排名操纵研究）。本卡补上第三块拼图：商业推荐场景下，商品页的文本序列同样能撬动模型决策。

三者的投放位置不同——知识库、普通网页、商品详情页——共同点却是同一个：机器要读的文本本身就是攻击面。从时效看，它们都作用于检索与生成环节，而非训练环节：不需要污染模型参数，只需要在模型读取的那份文本上做文章，起效快、可撤回、门槛低。对防御者，审计对象因此不能只是“页面内容”，还要包括一切会被抓取、被切块、被送进模型上下文的文本载体。

优化与操纵的分界线在人机一致

这项研究常被误读为“GEO 有效的证据”。我们的口径要说清楚：它证明的是操纵有效，不是优化有效，两者的分界线在内容是否人机一致。给人类用户看的商品描述与写给模型读的策略性序列如果是两套东西，就落入 Cloaking（内容门禁欺骗）的判定核心——内容实质随读者身份切换。把指令藏进用户不可见的层，是提示注入的外壳；批量制造投放性文本，则进入语料投毒的范畴。

技术与合规在这里呈现出微妙的错位：从技术上看，“优化”与“操纵”用的可能是同一批能力——理解模型如何读文本、什么表述影响判断；边界并不由技术划出，而由“人机内容是否一致”划出。合规的 GEO 动作全部建立在这个前提上：即答段、清晰出处、结构化参数、可核验的数据——用户读到的与模型读到的是同一份内容，改进的是这份内容本身的质量。识别方法也就一句追问：人看到的内容和 AI 看到的一样吗？不一样，就在红线内。

这项研究对合规从业者还有一个反向启示：模型对文本形态敏感，说明同一份内容的写法确实有杠杆——表述的完整性、属性口径的前后一致、关键信息的结构化程度，都会影响模型对商品的判断。把这些杠杆用在人与模型共读的同一份内容上，是正当优化；用在只有模型读到的隐藏层上，就是操纵。杠杆本身中性，用途决定定性——把这条讲清楚，比一刀切地禁止讨论“模型怎么读文本”更能防住越界。

防御视角：监测品类内的异常推荐

这项研究给品牌方的第一件实用工具是监测。盯住自己品类的核心查询集，定期观察推荐来源的构成：质量与口碑明显不匹配的低质来源，若持续、高频地出现在推荐位，就值得警惕——它可能不是运气，而是有人在系统性地做这件事。判别要点是“不匹配的持续性”：单次反常是噪音，反复反常是信号；记录时把查询、推荐排序与来源质量三列并排建档，异常模式才看得出来。

第二件工具是注入面自查。评论、UGC、富文本字段是页面被注入的常见入口；你的页面若被用来操纵别人的推荐，连带受损的是自己的域名声誉。把富文本字段与外部提交内容的过滤纳入例行审计，是成本最低的防御动作。引擎侧也在持续加固，此类手法的平台定性明确是滥用——内容方与平台在防御端利益一致，发现异常留存证据、走举报通道，比沉默观望划算。

节奏上，监测不必日做，但要对齐引擎的更新周期与品类的大促节点——推荐格局在这些时点最容易突变。异常发现后的处理也有顺序：先固定证据（查询、时间、排序快照），再评估是内容因素还是操纵因素，最后决定是否走平台举报；跳过前两步直接举报，大概率因为证据不足而不了了之。

自律红线：识别“保证推荐位”的话术

采购侧的识别方法与 PoisonedRAG 卡的结论一致：任何宣称“保证 AI 推荐第一”“有独家喂给模型的通道”的服务，都可能在用攻击而非优化兑现承诺。这类手法一旦被平台识别，代价是域名级的采信崩塌，还可能叠加法律风险。一切“喂给 AI 看的隐藏文本”都属红线——这个结论在本站证据体系里被三项独立研究反复支撑，不是站方的保守姿态，而是被实证过的攻击面就在那里，碰它的每一分钟都在积累被检测出来的概率。

从行业生态看，这类攻击面的实证还有一层公共品意义：它把“平台需要对抗性防御”从直觉变成立项依据，也把“采购方必须问一句人机是否一致”从谨慎变成必要。安全研究与优化方法论在同一条技术线上工作，分界线由合规划出——这个格局会长期存在，从业者的自保方式，就是把这条线画在自己心里，也画进每一份合同与验收标准里。