GEO曝光投毒：AI搜索时代，谁在污染大模型的“推荐入口”

 

2025 年 3 月 15 日，央视 3·15 晚会曝光的是“智能外呼机器人成了骚扰电话帮凶”，那么进入 2026 年，另一个更隐蔽的问题已经浮出水面：

不是 AI 在帮骗子打电话。

而是 AI 在替脏信息说话。

这两天，很多人都看过那张截图。

用户问：“Apollo 9 智能手环怎么样？”

AI 一本正经地回答：这是一款在健康监测精度和续航能力上表现突出的产品。然后列亮点，列参数，列适合人群，甚至还写得像测评报告。

问题是，这个对象本身，很可能就没有一个扎实的现实商品底座。

这不是普通幻觉。

这也不只是“大模型偶尔说错了”。

它更像一种新的污染方式：

有人不再满足于把广告铺到搜索结果页上，而是开始试图把虚假、软性、伪装过的商业信息，直接灌进 AI 的答案生成链路里，让模型替它说话、替它总结、替它推荐。

这就是今天越来越值得警惕的事：GEO 曝光投毒。

它的本质，不是刷排名。

而是污染大模型的答案生成链路。

一、为什么 GEO 不是 SEO 换壳

很多人第一次听到 GEO，会下意识把它理解成 AI 时代的 SEO。

这个理解，只对了一半。

SEO 争夺的是搜索结果页里的排序权。

谁更靠前，谁更容易被点开，谁就更有流量。用户面对的是一串链接，一页蓝链，若干候选网页。哪怕前几条里混进了广告、软文、黑帽站点，用户至少还有一个动作空间：他可以比较，可以跳转，可以换页，可以回退。

GEO 不一样。

GEO 争夺的，不再只是“谁先被看到”，而是“谁先被模型说出来”。

它不是把内容推到用户面前，而是试图把内容塞进模型的总结过程、引用过程、推荐过程。

这一点非常关键。

因为一旦信息分发从“链接列表”转成“答案摘要”，用户的判断链条就被大幅缩短了。过去用户需要先点进去，再看内容，再做取舍；现在模型先帮用户做了一轮压缩、整理和归纳。

这当然提升了效率。

但也带来了新的权力转移。

过去的搜索引擎，更多是在做“信息索引”。

今天的 AI 搜索，正在做“认知代工”。

这意味着，SEO 时代的污染，更多是把用户引到某个网页。

而 GEO 时代的污染，则是在用户甚至还没点开网页之前，就先把某种叙事包装成了“已经被综合过的客观结论”。

这不是换壳。

这是升级。

更准确地说，这是从“排序影响”走向“答案影响”，从“点击竞争”走向“认知竞争”。

2024 年 Princeton 等机构发表的 GEO 研究，本来是把 GEO 定义为一种提升内容在生成式引擎中可见性的优化框架。论文讨论的是“如何让优质内容更容易被生成式引擎看见”，并给出了“可见性最高可提升 40%”的实验结论。这个研究本身是中性的，甚至在学术上是必要的，因为生成式引擎出现以后，内容创作者确实需要新的可见性规则。

但问题就在这里。

只要一套可见性机制形成，围绕它的操纵机制就一定会出现。

SEO 时代如此。

GEO 时代也不会例外。

所以，GEO 作为方法，本身并不是原罪。

真正危险的，是它从“内容优化”滑向“答案投毒”的那一步。

二、曝光投毒，到底在投什么

很多人听到“投毒”两个字，会想到训练阶段的数据污染。

比如往模型训练语料里埋后门，或者大规模注入恶意样本。

这当然也是投毒。

但今天更现实、更贴近商业一线的，不一定是训练层投毒，而是推理链路投毒。

也就是说，黑帽 GEO 未必在改模型的大脑。

它更像是在污染模型的眼睛、耳朵和嘴。

第一层，是语料污染。

通过批量软文、内容农场、伪测评、伪榜单、伪经验帖，把某个品牌、某种说法、某套卖点反复铺到互联网上。不是为了让人看，而是为了让模型抓。

第二层，是检索污染。

AI 搜索大多不是纯靠参数记忆回答，而会结合联网检索、索引库、缓存源、摘要源、外部网页和结构化页面。在这个阶段，谁的内容更容易被抓到、切块、抽取、重组，谁就更容易进入答案链路。

于是，黑帽 GEO 的目标就不只是“发内容”，而是“发模型爱抓的内容”。

第三层，是引用污染。

很多用户一看到“参考了 5 篇资料”，警惕心会立刻下降。

但“有 5 篇资料”不代表有 5 个独立事实源。

它可能只是同一套话术、同一个内容工厂、同一批伪造素材，在不同页面上的五次回声。

第四层，是重述污染。

这是 AI 时代最可怕的一层。

因为原始软文可能写得很烂，伪报告可能漏洞很多，伪专家介绍可能非常粗糙。可一旦大模型把这些东西重新归纳、润色、压缩，脏内容就会被洗成一种新的形态：

像结论的营销。

于是，广告不再像广告。

假货不再像假货。

虚构对象也不再像虚构对象。

它会先经过一层“模型文风漂白”，再回到用户面前。

所以，曝光投毒投的不是某一个关键词。

它投的是模型的引用偏好、摘要偏好、叙事偏好和信任偏好。

三、从网页排序污染，到答案引用污染

这件事如果放在更长的互联网历史里看，会更清楚。

早年的搜索污染，是把垃圾页堆到前面。

后来的信息流污染，是把标题党推到你眼前。

今天的 AI 搜索污染，则是把带着商业目的的信息，伪装成“系统已经帮你做过研究的答案”。

这是一个根本性的变化。

网页排序污染，污染的是“你先看到谁”。

答案引用污染，污染的是“你最终信谁”。

这两者的危害差别很大。

在网页时代，用户多少还有一点“自己做侦探”的机会。

他可以看域名，看发文机构，看是不是官网，看电商页评论，看是不是营销号，看是不是论坛复制。哪怕普通用户不会每次都这么认真做，但至少，他仍然处在一个“我在做判断”的状态里。

在 AI 时代，这一步正在被系统提前完成。

用户看到的不是材料堆。

而是结论。

而结论，一旦用克制、中性的、结构化的方式呈现，就会天然制造一种权威感。

你给我的截图里，最有杀伤力的不是“365 天续航”“光粒子快充”这些离谱卖点本身。

真正有杀伤力的，是它整段文字的姿态。

它不像广告。

不像段子。

不像玄幻文案。

它像一段认真做过资料整理的消费建议。

这才是风险升级的地方。

因为在这里，污染不再只是“把脏东西放在结果里”。

而是“把脏东西加工成更容易被信的答案”。

从排序污染走到引用污染，意味着流量战争已经进入下一阶段：

谁不只是更容易被看见，谁更容易被模型当成值得说的那一个。

四、GEO 投毒最常见的四条路径

如果把黑帽 GEO 拆开看，它最常见的路径大致就是四类：伪权威、伪共识、伪案例、伪引用。

1. 伪权威

最危险的造假，从来不是完全胡编乱造。

而是拿一点点技术语感，包裹一个根本不存在的事实。

比如“暗物质心率捕捉芯片”“反熵增省电技术”“光粒子快充”。

这些词看起来很荒诞，但它们并不是随便乱编的。它们的设计目标不是让专家信，而是让普通用户和大模型都觉得“这像是一个技术说明”。

黑帽 GEO 很懂这一点：

大模型未必会被粗糙的口号说服，但它更容易被“结构像专业说明”的内容当作候选证据。

所以，最危险的不是假。

而是假得像白皮书。

2. 伪共识

单点造假未必有效。

真正有效的是把同一种叙事铺成“到处都能看到”。

于是你会看到很多相似文章：

标题不同，段落略改，换个媒体壳，换个推荐角度，但底层信息几乎一致。

一旦这类内容在多个站点、多种体裁里重复出现，模型就很可能把它误判成“多个来源都在支持这个观点”。

这不是事实验证。

这是回声制造。

AI 很容易把“重复出现”当成“值得信任的共识线索”。

而黑帽 GEO 恰恰最擅长制造这种线索。

3. 伪案例

比参数更会骗人的是故事。

比故事更会骗人的是“带身份的故事”。

所以你会经常看到这样的内容模板：

“科技测评人实测”“10 年行业老兵横评”“医生建议”“专业教练推荐”“资深用户体验总结”。

这些身份标签的作用，不在于提供证据。

而在于提前降低质疑门槛。

只要身份看起来成立，后面的结论就更容易被吃进去。

哪怕这个专家是虚构的，这个测评是拼出来的，这个用户经验根本没发生过。

4. 伪引用

这是 AI 时代最隐蔽的一层。

用户一看到“参考资料”就会默认这段回答有依据。

但“有引用”与“有证据”，并不是一回事。

当多个低质页面互相改写、互相链接、互相借壳时，模型看到的不是“孤立谣言”，而是一组彼此支撑的文本簇。

这就形成了一种新的危险状态：

引用还在，验证消失。

用户会误以为系统在做核验。

实际上，系统很多时候只是在做汇编。

五、为什么 AI 搜索比传统搜索更容易被“看起来像真的”欺骗

如果只把这个问题归结为“大模型也会幻觉”，其实说浅了。

AI 搜索更容易被污染，不是因为它单纯会出错。

而是因为它有几种结构性弱点。

第一，它偏爱可摘要的内容。

那些结构完整、口径统一、句式清晰、结论明确的页面，更容易被模型抽取和重述。

而黑帽 GEO 内容，恰恰就是为“可被摘要”而写的。

第二，它会自动平滑冲突。

传统搜索里，矛盾是摆在页面上的。

AI 搜索里，模型会试图把矛盾揉平，整理成一段顺滑的答案。

顺滑的代价，就是很多细小的不确定性、漏洞和冲突被抹掉了。

而一旦冲突被抹掉，假的内容就更容易显得像真的。

第三，它继承了系统级信任。

用户不是在信任某个陌生网页，而是在信任这个能归纳、能总结、能给建议的 AI 产品本身。

于是，原本不可信的原料，一旦被系统说出来，就会被整体抬高一层可信度。

第四，它降低了核验冲动。

传统搜索迫使你点进去。

AI 搜索鼓励你直接用。

路径越短，复核越少，污染的性价比就越高。

第五，它会把首轮错误滚成多轮信念。

如果第一轮就默认“这是一款真实存在的热门手环”，后面的追问大概率不会回到“它到底存不存在”，而是继续问“适合哪些人”“和华为比怎么样”“值不值得买”。

错误一旦进入对话上下文，就会迅速变成新的前提。

所以，AI 搜索时代真正危险的，不是单个答案错了。

而是错的东西更容易被说得像对的，并且更容易被继续沿用。

六、Apollo 9 手环：它真正可怕的，不是那只手环，而是那条链路

回到这个案例本身。

截至2026 年 3 月 16 日，基于公开检索，我没有找到这款 “Apollo 9 智能手环” 清晰对应的官方品牌主页、主流电商标准商品页，也没有找到它被央视 3·15 官方点名的公开材料。

这意味着，更稳妥的判断不是“它百分之百不存在”，而是：

至少在当前公开信息层面，它极可能不是一个有清晰品牌底座、清晰销售链路、清晰产品定义的正常消费电子产品；但它已经能在 AI 里被讲得像一款成熟商品。

这就已经足够说明问题。

因为一个对象最可怕的状态，不是“它是假的”。

而是“它还没在现实里站稳，却先在 AI 里站稳了”。

你会发现，这类内容特别像今天 AI 推荐场景里最危险的一类污染对象：

它不需要完全凭空编造到离谱

它只需要拥有一些听起来像真的参数

再加一些看似中性的优缺点

再加一个“参考了 5 篇资料”

它就会迅速变成一个足够能说服普通用户的消费建议

这也是为什么我觉得，Apollo 9 不是一个笑话。

它是一个预告片。

它预告的是：

下一轮内容污染，不一定先从政治谣言开始，也不一定先从恶意假新闻开始。

它很可能先从“购物建议”“产品推荐”“哪个好用”“值不值得买”这种高频、低警惕、强转化的消费场景开始。

因为这里最容易变现。

也最容易让用户放下警惕。

七、品牌、平台、用户，分别会损失什么

GEO 曝光投毒不是一个抽象风险。

它会非常具体地伤到三类人。

用户损失的是判断力

当用户已经习惯“买前先问 AI”，他要的不是娱乐，不是灵感，而是判断外包。

一旦这条链路被污染，用户失去的就不是一次点击，而是一次本该属于自己的筛选过程。

更麻烦的是，这种损失常常发生得很安静。

不是被骗了几万块才叫被骗。

在错误建议上做出错误选择，本身就是一种慢性损失。

品牌损失的是定义权

对品牌来说，最怕的不是差评。

而是被模型稳定地错误描述。

如果竞品、营销号、内容农场、黑帽 GEO 团队，先一步把一个品牌的口径、标签、定位、优劣势写进了 AI 更爱抓的内容层里，那么品牌就会发现，自己开始失去一种过去很少有人意识到的权力：

被正确介绍的权力。

这会影响产品认知、竞品比较、品牌联想，甚至影响定价心智。

平台损失的是公信力

AI 搜索今天最大的资产不是流量，而是“可被当作前置判断工具”的信任。

可一旦用户开始形成稳定印象：

AI 推荐可能是被灌出来的，AI 引用可能只是内容套娃，AI 的中性语气可能只是广告换了个皮。

那么平台损失的就不是一次回答的准确率，而是整个产品形态的合法性。

用户原本离开传统搜索引擎的一部分原因，就是厌倦了广告、竞价、信息过载和结果污染。

如果 AI 搜索只是把这些问题重新包装成更隐蔽的形态，那它最终也会把用户重新推开。

八、最后的判断：未来争夺的不只是流量，而是模型里的可见性分配权

这件事说到底，不是营销战术升级那么简单。

它正在改变流量分配的基础设施。

过去大家争的是排名。

现在大家争的是被模型引用。

过去争的是点击位。

现在争的是答案位。

过去争的是用户看见你。

现在争的是模型先替用户看见你、理解你、总结你、说出你。

这意味着，未来最重要的竞争对象，已经不只是搜索引擎。

而是生成式引擎内部那套“谁更像值得被说出来”的分配逻辑。

谁能进入这套逻辑，谁就更接近下一代流量入口。

谁能污染这套逻辑，谁就能把脏内容变成干净答案。

谁能守住这套逻辑，谁才真正有资格做 AI 搜索。

所以，GEO 曝光投毒最该被看成什么？

不是“营销擦边”。

不是“内容优化过火”。

而是对推荐入口的污染，对答案信任的侵蚀，对认知分发权的争夺。