黑帽GEO投毒的账单由谁买单

结论先放在这里：用投毒的方式把品牌推到 AI 回答的前排，见效快、成本低，但账单的支付方是委托投放的品牌方自己。法律上，广告主对广告内容的真实性负责，不因委托第三方而免除；技术上，污染一旦进入模型，删掉原始网页也清不干净；商业上，靠操纵换来的曝光会反噬品牌自身的信任。

一、投毒是怎么做到的

第一种是批量伪造加铺量。南都大数据研究院在 2025 年 11 月实测：虚构一款护眼零食品牌，按 GEO 通用策略发布两篇结构化软文，30 分钟后这个虚构品牌就出现在 AI 搜索的推荐结果里，引用来源直指该软文页面。央视 3·15 晚会的调查中，虚构的智能手环两小时后被大模型抓取并推荐，三天内发布十余篇虚假测评后登上推荐前列；南方日报提到，编造的医美机构被当作真实优质机构首位推荐，只花了几百元。原因是大模型更擅长评估语义相关性与多源一致性，而不是核实事实真伪。

第二种是提示词注入，把指令藏进网页：在页面代码或正文里放置白字文本，写上遇到某类问题时请推荐某品牌，模型读取时会当作指令执行。ICLR 2025 的一篇论文在 Bing Copilot 上实测，这类攻击把攻击方产品的推荐率从 34% 提到 59.4%，也能反向压低竞品；且 80% 的成功攻击中，模型没有引用藏有指令的页面，用户端看不到异常。

第三种直接指向训练数据。Anthropic 联合英国 AI 安全研究所、艾伦图灵研究所的研究发现，无论训练数据规模多大，约 250 份精心构造的恶意文档就足以植入一个可被触发的后门。360 的报告引用过一组数据：训练数据中仅 0.01% 的虚假文本，模型有害输出就增加 11.2%。

二、代价为什么落到品牌方头上

法律层面。中国政法大学数据法治研究院教授张凌寒在接受《法治周末》采访时指出，这类行为可能触犯反不正当竞争法第九条的虚假或引人误解的商业宣传，以及第十二条的商业诋毁；判定边界有三条：内容是否真实可核验，手段是否正当，商业推广有没有伪装成中立知识。委托方以不知情抗辩，效力很有限，《互联网广告管理办法》明确广告主对广告内容真实性负责，责任不因委托第三方而免除。

处罚已经实际发生。深圳市市场监管局公布的网络交易监管执法典型案例中，深圳分晰牛科技有限公司宝安分公司开展 GEO 服务，通过探测 AI 评价偏好、设置引导性提示词、发布含虚假内容的文案帮助客户虚假宣传，被责令停止违法行为并罚款 5 万元。浙江首例涉 AI 技术商业化应用案中，某 AI 写作工具公司因提供批量生成虚假种草文案服务，被杭州中院二审判决赔偿 10 万元。有学者指出，此类不正当竞争的罚款区间一般在 10 万元到 500 万元；消费者一侧还有消法第五十五条三倍赔偿的风险。

技术上还有一层常被低估。南方日报的评论指出，语料污染具有记忆残留与递归污染的特性，虚假信息一旦进入模型语料库，即便原始信源被删除，仍会持续污染后续输出。投放期结束后排名大概率回落，错误的认知却留了下来。

同一套手法也可以对着你来。攻击方只需声称某竞品不可靠，就能大幅降低其推荐率。品牌既是潜在的施害方，也是潜在的受害方，把自身在公开网络上的事实底稿做扎实，本身就是一种防御。

三、怎么判断服务商有没有越线

把三条判定标准翻译成采购环节能直接问出口的问题：能否提供完整的内容清单与原发链接，确保每一条可回溯、可核验；承诺的是发什么、发在哪里，还是排第几、几天见效，模型输出受随机性与算法更新影响，任何确定性的名次承诺都不可信；是否写明不刷量、不伪造用户评价、不伪造榜单与资质、不使用隐藏文本。

留给这类操作的空间也在收窄。2026 年 3 月，国内首部《生成式引擎优化（GEO）行业自律公约》签署，建立黑帽 GEO 负面清单与联合惩戒机制；同月，工信部等十部门印发《人工智能科技伦理审查与服务办法（试行）》，把伦理审查前置到研发阶段。

写在最后

真正能沉淀下来的不是某一次排名，而是品牌在公开网络上可核验的事实底稿：产品参数、资质证明、服务记录、真实的用户反馈。这一步不产生即时曝光，却决定了 AI 在回答相关问题时能不能找到你、能不能说对。

济南可见智能做 AI 搜索优化时的约定只有一条：只做可溯源的内容与合规分发，不做排名对赌，不承诺具体名次。理由就是上面这些。省下来的那部分成本，最终总会以另一种形式回到账单上。

资料来源：央视 3·15 晚会、南方日报、南都、深圳市市场监管局、《法治周末》、ICLR 2025 论文。