起底AI“投毒”产业链:批量造假降低人工成本,业内人称“投毒”难防

AI大模型已走进大众日常，围绕GEO（Generative Engine Optimization，生成式引擎优化）的灰产生意依然在潜滋暗长。

所谓GEO，是指通过针对性优化品牌信息的发布内容，提高其在生成式AI搜索与问答工具中的被引用率和排名。而商家通过批量分发品牌相关信息后，可以从源头上影响生成式AI工具信息的抓取，不知不觉中改变AI的回答，最终干扰用户的信息获取与消费决策。

这一市场无疑潜藏巨大商业价值，但GEO产业仍处发展初期，围绕AI大模型“投毒”的争议频频。为获得所谓“更好展现”效果，在商业软文批量生成环节，一些真假参杂的数据信息被批量分发，直接影响生成式AI工具对用户提供的答案。这一灰色产业链已形成完整的流水线操作和商业闭环，渗透进众多AI大模型用户的日常使用。

今年央视3·15晚会曾曝光其中乱象——部分不法商家通过在某GEO优化系统中虚构产品、编造虚假参数，系统几分钟就自动生成十余篇宣传软文，还能虚构用户测评、行业排名。一款并不存在的产品，竟然获得了热门推荐。

“我们公司算国内第一批吃这碗饭的。”GEO行业从业者张默对《创业圈》杂志记者说道。2015年之前，张默所在公司长期承接SEO（Search Engine Optimization，搜索引擎优化）业务。AI大模型2023年大爆发，该公司便开始转向GEO业务。目前，公司团队超过300人，确认分发关键词、回复客户报价以及协调媒体发稿排期等，几乎成为每日工作常态。

张默向《创业圈》杂志记者提供的一份报价单显示，GEO的单个投流关键词为单季度单平台1000元-2000元，“投放后，快的两三天见效，慢的一两周也能稳定排名。目前模型优化成功率60%-80%，合作客户的品牌转化率普遍能提升30%以上。”

这门生意也有“红线”。张默称，公司会筛选客户资质，对医美、金融以及教育等监管严格的行业客户加倍小心，没相关资质的广告投放绝对不做。“对于客户，也只展示案例和基本操作，不承诺商品排名或出现频率的效果。因为我们不能排除客户的竞对也在同时做投放，且客户投放后还需要长期维系排名。”张默说道。

从日常投放来看，诸多头部AI大模型都成为客户投放平台。通常企业客户不会只在一个平台投放一个关键词，而是设置多个关联词，在多平台交叉投放覆盖。

如客户只投单平台测试效果，“每个平台抓取的偏好不一样，我们就根据这个匹配合适的资源发布。便宜的资源就是普通自媒体号，自己注册就能发，成本很低。”张默透露。

对于“投毒”行为，张默认为，“大模型厂商难以进行防御。”他进一步介绍，有的AI大模型有自己的内容抓取平台，这些平台相对容易搭建账号和投放，从而影响AI生成结果。而有的大模型有较严格的内容源筛选机制，渗透难度相对较高。

GEO市场规模还在持续增长。如何防止虚假信息对AI大模型生态的持续污染，不容忽视。

图源：《创业圈》杂志记者AI制图

在一些从业者眼中，GEO更直白的说法，是给AI大模型“投放自己准备好的信息”。

“AI大模型还是缺乏完整的判断力，会抓取、整合那些难以辨别真伪的内容。”张默解释，AI搜索与传统搜索的区别，在于传统搜索是罗列网页链接，需要用户自行筛选，广告也有明确标注；AI只能搜索整合全网内容，基于与问题的匹配度等进行抓取生成，用户会默认这个答案是客观中立的。也正是这种认知差，让AI“投毒”的效果超过传统广告。

“因此在生成内容时，为更方便AI抓取，会以贴合大模型筛选抓取习惯的方式生成逻辑性强、案例充足、有理有据、关联词多的内容，这样大模型很容易采纳。”张默说道。

3·15晚会演示的完整“投毒”流程显示，系统针对一款并不存在的智能手环生成宣传软文，这些软文被批量发布到上百个自媒体账号后，当用户在AI大模型中询问这款智能手环时，AI即给出详细的产品介绍，还引用虚假卖点，将其列为“高性价比首选”。

《创业圈》杂志记者另实测发现，在某头部AI工具中输入消费产品类问题时，AI工具推荐的品牌，并不以电商平台的销量和好评为推荐标准。以“智能门锁推荐”为例，排名第一的品牌在单个电商平台销量基本在10万左右，而排名第二的商品却有100万销量。该AI答案的参考资料，基本来自于自媒体的测评或推荐，并无权威媒体来源。若更换其他AI工具询问同样的问题，排名则并不一致。

张默向《创业圈》杂志记者透露，业内对AI“投毒”有较为清晰的界定：一是发布的文章内容虚假；二是文中伪造数据、资质、行业排名等，再通过批量发布制造“信息密度”，让AI大模型把虚假信息当成标准答案。两者兼具就是标准的AI“投毒”。

中国互联网络信息中心数据显示，截至2025年12月，我国生成式AI用户达6.02亿人，较2024年底增长141.7%，普及率达42.8%。调研数据显示，当前约80%用户通过AI获取消费信息，约50%网民将AI作为消费决策重要依据，对AI答案的信任度显著高于传统搜索广告。

张默提供的案例显示，瑞士一家腕表客户做完关键词优化后，在AI大模型的回答中，品牌露出率从17%提升至89%，拉动产品销量直接上涨42%。一家美妆客户完成关键词优化后，品牌搜索量增长2.3倍。

产业链中游，是“投毒”内容的批量生成与全网投喂。《创业圈》杂志记者看到的一家GEO公司内部后台操作系统显示，整个流程被拆解成标准化四步：关键词设置、软文创作、全网分发、排名维护。

首先是关键词扩展，一名业内人士向《创业圈》杂志记者展示的内容生产系统显示，系统可以围绕品牌核心词拓展出100-200个相关长尾词，最终筛选30个左右高流量词重点投放。

此外，这类系统内置了适配AI大模型信息抓取逻辑的内容模板，只需要输入品牌名、产品参数、想要的排名等，就能一键生成多篇宣传软文，不仅能虚构产品功效、检测报告、行业排名，还能自动生成用户测评、专家推荐、销量数据等内容，甚至能模仿不同媒体的写作风格，让虚假内容看起来更“真实”。

“以前做SEO优化，还要雇写手写文章，一篇至少几十块钱。现在用AI，一分钟就能生成多篇内容，人工成本大幅下降。”上述业内人士说。

《创业圈》杂志记者调查发现，为了让AI大模型采信这些虚假内容，业内也形成一套成熟的“内容造假方法论”。比如，文章必须采用总分结构，开头直接给出核心结论，再分点拆解，逻辑越严谨的内容越容易被AI大模型优先抓取；通过大量账号发布内容，相互引用、交叉印证，制造“信息证据链”。

针对全网分发环节，低价批量发稿也成为一门生意。

《创业圈》杂志记者看到，在上述后台展示的媒体批量发稿名单中，包括普通自媒体账号、行业垂直平台，乃至部分媒体机构。针对媒体的不同类型、不同等级以及不同分发数量，有不同的打包价位。利用平台对权威信源的权重倾斜，通过“信息轰炸”，让AI在全网抓取时能高频次接触到这些内容。如果想要保证排名不掉落，对冲掉竞争品牌的排名，后续还要长期发布新内容进行维护。

“AI大模型的核心逻辑是‘频率即权威’，同一个品牌的正面内容出现频率越高、来源越多，AI就越会认为它是可信的。”前商汤研究院院长、快思慢想研究院院长田丰在接受记者采访时直言，GEO背后的灰产正是利用大模型的这个底层逻辑，用高密度同质化内容，给AI制造“多来源验证”的错觉，最终实现对AI答案的影响。

更隐蔽的是，AI平台抓取信息存在漏洞。一些违规内容投放后，网页抓取到页面的历史快照，即使后续被内容平台下架删除，相关历史记录仍会干扰AI大模型的搜索结果。

产业链下游，是规模化的变现与代理扩张。

《创业圈》杂志记者调查了解到，目前GEO服务形成两种主流变现模式：一种是给企业提供运营服务，头部服务商的单客户年度预算能达到100万-200万元；另一种是兜售GEO优化系统发展下线代理，一套系统年使用费或仅数百元，代理可加价转售赚取差价，毫无经验的新手也能快速变身GEO服务商。

互联网大厂也纷纷下场抢食。业内人士透露，多家互联网大厂去年开始尝试GEO业务，将AI优化作为新的营收增长点。不过与第三方服务商不同的是，大厂通常针对自身的AI工具以及内容平台广告位进行优化，第三方的投流服务商往往是全平台覆盖。

对于互联网大厂或AI大模型厂商而言，自身承接的广告排名和外界投放的广告本身，也需要排位博弈，而自身的内容要防止受到污染，需要提高相应针对能力。

一名头部AI大模型公司的内部人士对《创业圈》杂志记者表示，此前曾有客户询问是否能投放，最终被技术团队拒绝。

多家GEO服务商表示，只要AI大模型还依赖全网公开信息生成答案，“投毒”就有可乘之机。

《创业圈》杂志记者就此联系多家头部大模型厂商，询问是否可利用技术手段溯源内容源头，截至发稿未获回复。

田丰则认为，在原理上，AI大模型并非无法实现防御，而是存在结构性盲区。这恰恰是黑产屡屡得手的核心原因之一。首先，AI大模型基于概率推断，容易陷入“频率即权威”的陷阱，易被高密度同质化内容误导；其次，当前几乎所有主流大模型都采用RAG架构获取实时互联网信息，该检索架构脆弱，仅需少量恶意文档就能操控输出，这也是AI能抓取最新内容的核心。

更关键的是，一般情况下，“投毒”内容没有明显的违规特征，人工审核和规则系统也难以识别。

AI大模型“投毒”的危害不容小觑。田丰对《创业圈》杂志记者强调，“GEO背后灰产的终极危害，或是整个社会AI认知基础设施的崩解。”

在他看来，“投毒”的危害分为三步升级：第一波是当下的消费信息污染，第二波是12-24个月内专业领域的决策失真，最严重的是2-3年后出现的训练数据“代际污染”。

“当GEO污染渗透至模型的核心训练数据，此后的清洗就会变得极其困难。被污染的数据会随模型迭代持续传播，就像莱姆病在诊断前已在体内扩散，等到行业意识到问题时，虚假信息已经融入大模型的‘血液’。”田丰分析说。

GEO可能走向更隐蔽的“选择性真实”，即AI生成内容看似句句是真，实则整体存在误导。对此，田丰建议称，要通过TrustRAG等技术过滤异常文档；推理层对信源做多样性权威加权，打破高频即可信逻辑；训练层则建立数据溯源，对爆发式、同质化内容降权。终极防御方式是从信息密度响应转向信源质量响应，引入信源熵、时间异常检测、不确定性透明披露，从底层设计免疫“投毒”。

“最重要的还是要建立AI答案溯源立法和第三方独立审计，让AI决策可验证、可监督。让用户知道答案来自哪里，可能受到了哪些影响。”他说道。

监管日趋严格，体系也日趋完善。

3月14日，国内首部《生成式引擎优化（GEO）行业自律公约》正式签署，明确建立“黑帽GEO”负面清单及联合惩戒机制。对AI“投毒”、恶意操纵AI答案等行为，采取行业通报、服务限制、信息共享等惩戒，形成行业自净合力。

3月30日，工信部、国家网信办、科技部等十部门联合印发《人工智能科技伦理审查与服务办法（试行）》，将伦理审查前置到研发阶段，要求企业在模型训练前就必须完成数据合规性审查。训练阶段必须先过数据合规关，算法、模型、系统的设计要避免偏见歧视和算法压榨，保障资源分配、机会获取、决策过程的客观性与包容性；运营期间也要建立常态化监测机制，违规内容必须第一时间拦截处置。

技术层面，大模型平台则从底层重构防御体系。据了解，多家AI大模型厂商已通过加强权威引用溯源、提升低质内容过滤、强化RAG检索可信校验等方式，对抗虚假内容污染。

（应受访者要求，文中张默为化名）

作者 | 何珊珊

编辑 | 郭儒逸