正常优化和投毒，界线在哪？
中央网信办在 2026 年 4 月 30 日的专项行动部署中，点名的是「使用GEO（生成式搜索引擎优化）技术恶意营销等方式实施AI数据投毒」，不能据此把 GEO（AI 搜索优化）一概叫作投毒。
品牌方要查的是具体有没有造假、冒充，或用误导性指令操纵 AI；广告该不该标等合规要求，还得另外查。
先把「投毒」说清楚
本文主要讨论一种投毒：有人故意污染 AI 会读取的资料，让它给出攻击者想要的答案。投毒也可能发生在训练数据或智能体的记忆里，不只是往网上发假文章。
学术上有专门的实验。PoisonedRAG（USENIX Security 2025）发现，攻击者可以从 AI 检索的资料库下手，影响它的回答；它测的是指定问题和指定答案，非目标问题受的影响有限。AgentPoison（NeurIPS 2024）则假设攻击者能污染资料库或智能体的记忆，用户输入还得满足特定触发条件；它在构造攻击时需要了解一个检索模型的内部参数，但论文也测试了攻击迁移到其他模型的情况。这些实验证明风险存在，不证明网上所有问题都这么容易被污染。
国内的例子是 2026 年 3·15 晚会。央视的节目简介写，涉事公司「帮客户给AI大模型“喂料”、“投毒”，让客户的产品榜上有名」。同期报道里有一次演示：一款虚构的智能手环，发了一批虚构材料之后，有两个 AI 把它推荐了出来，还排得靠前。那是一次演示，没公开问了几次、有没有对照。
监管怎么说
中央网信办 2026 年 4 月的「清朗」专项行动，把 AI 数据投毒列为整治对象，列举的方式有：「篡改训练语料、伪造权威数据、使用GEO（生成式搜索引擎优化）技术恶意营销等方式」。同一段还点了「炒作、教授AI数据投毒方法，或在电商平台兜售教程及工具」。
注意这里的限定：「使用 GEO 技术恶意营销」。原文没有说 GEO 就是投毒。
一张可以逐条勾的清单
下面每一条，都对着一份原文。前六条是投毒风险，第 7 条是另一类合规要求，漏标广告不能直接叫作投毒。任何一条答不上来、或者答案让你不踏实，就该停下来细问，必要时请法务看。这张清单不是法律意见，也不能替代完整的合规审查：法律、司法文件、行业标准、平台规则各管各的范围，具体算不算违法，要看全部事实。
1. 写的是真的吗？ 产品性能、销量、用户评价、获奖，有没有夸大或编造。 对应：《反不正当竞争法》第九条，不得对性能、功能、质量、销售状况、用户评价、曾获荣誉等作「虚假或者引人误解的商业宣传」。团体标准 T/CAPT 026—2026 第 4.2 条也要求事实和背书真实。
2. 背书是真的吗？ 专家真的推荐过你的产品吗？榜单、测评的原文真有你写的那个结论吗？ 对应：《反不正当竞争法》第九条的「引人误解的商业宣传」；团体标准第 4.2 条；网信办把「伪造权威数据」列为投毒方式之一。
3. 有没有冒充用户或第三方？ 用假账号写「真实体验」，用假评价、假问答制造「大家都这么说」。 对应：《反不正当竞争法》第九条第二款，不得通过「组织虚假交易、虚假评价等方式」帮别人做虚假宣传；团体标准第 4.4 条点名「伪共识制造」，第 7.2 条点了伪装用户行为。
4. 是不是为了抢排名，批量发对读者没用的页面？ 不是「发得多」就有问题，要看目的和质量。Google 搜索对「规模化内容滥用」的定义，条件是主要目的是「manipulating search rankings and not helping users」，操纵排名，而不是帮用户；这条只管 Google 搜索。团体标准第 7.2 条也把「低质批量发布」单列出来。
5. 网页里有没有专门用来误导 AI 的指令？ 不管它是藏起来的，还是公开写着的。 对应：团体标准第 4.4 条点名「隐藏指令」，第 7.3 条讲误导性指令和元数据。结构化数据、llms.txt 这些格式本身不等于投毒，仍要看里面写了什么。
6. 有没有抹黑竞品？ 对应：团体标准第 4.4 条点名「竞品抹黑」。
7. 该标「广告」的标了吗？ 内容全是真的，也可能漏了这一步。《互联网广告管理办法》第九条要求互联网广告「能够使消费者辨明其为广告」；用知识介绍、体验分享、消费测评来推销商品或服务，还附了购物链接等购买方式的，广告发布者要显著标明「广告」。本来就禁止发布或变相发布的广告，标了也不行。
8. 有没有在 AI 平台上直接动手脚？ 几家 AI 的用户协议也写了。千问禁止操纵模型、使它违反平台内容安全和风险防范机制的行为。Kimi 禁止通过冒充身份、反向诱导、越狱等方式恶意攻击、诱导或投毒。豆包禁止用未经授权的工具干扰服务。这些管的是使用它们服务的人，不是对所有站外 GEO 的定性。DeepSeek、元宝的协议原文，我们这次没打开。
最高法 2026 年 9 月的一份司法文件也写了：利用人工智能实施虚假宣传、刷量刷单等行为，侵害他人权利或者构成不正当竞争的，「依法承担相应责任」。它没有提 GEO，也不是判决。截至 2026 年 9 月 27 日，我们没找到专门就 GEO 投毒作出的生效判决。
也有人不这么看
- 「所谓GEO，本质上就是把过去做SEO、买软文、刷内容的那套玩法搬到了AI时代」。 3·15 当晚一位科普博主这么写。这句对 GEO 的概括太宽，没有分清真实内容优化和虚假操纵；网信办原文专门加了「恶意营销」的限定。作者后面也承认技术本身没问题。
- 「所谓投毒，本质上就是把一个概念在多个平台上发布」。 一档播客网页转述嘉宾的话，嘉宾自己也说「不一定准确」。多平台发布本身不是投毒，要看内容真不真、有没有冒充、是不是低质刷量。
- 「只要基于真实、有用、可验证，就是合规的 GEO。」 一家卖 GEO 服务的公司这样总结。它前文已经要求背书真实、身份透明，我们质疑的是最后这句「就是合规」：即使做到这些，广告标识等要求仍要另外核对。
我们的判断是：算不算越界，跟用没用 GEO、发了多少篇关系不大，要看有没有造假、冒充，有没有拿误导性指令、批量低质内容去操纵 AI。有，就是投毒风险。广告该不该标要另外查，漏标不能直接叫作投毒。签 GEO 合同之前，可以拿这张清单逐条问服务商，问不清楚的先别签。
出处 16 条，A 级 12 条、B 级 1 条、C 级 3 条 · 展开全部
中央网信办「清朗·整治AI应用乱象」专项行动部署，2026-04-30：「四是AI数据投毒问题。通过篡改训练语料、伪造权威数据、使用GEO（生成式搜索引擎优化）技术恶意营销等方式实施AI数据投毒。炒作、教授AI数据投毒方法，或在电商平台兜售教程及工具。在模型生成回答过程中，对引用信源缺乏交叉验证和风险提示机制，未标注引用信息链接。」 原文
《中华人民共和国反不正当竞争法》（2025-06-27 修订，2025-10-15 施行）第九条：「经营者不得对其商品的性能、功能、质量、销售状况、用户评价、曾获荣誉等作虚假或者引人误解的商业宣传，欺骗、误导消费者和其他经营者。经营者不得通过组织虚假交易、虚假评价等方式，帮助其他经营者进行虚假或者引人误解的商业宣传。」 原文
《互联网广告管理办法》（2023-05-01 施行）第九条：「互联网广告应当具有可识别性，能够使消费者辨明其为广告。」第三款：除法律、行政法规禁止发布或者变相发布广告的情形外，通过知识介绍、体验分享、消费测评等形式推销商品或者服务，并附加购物链接等购买方式的，广告发布者应当显著标明「广告」。 原文
最高人民法院法发〔2026〕10号（2026-09-07）第（十二）项：「利用人工智能实施侵权假冒、虚假宣传、刷量刷单等行为，侵害他人权利或者构成不正当竞争的，依法承担相应责任。」这是司法文件，不是判决，没有提 GEO。 原文
T/CAPT 026—2026 团体标准（中国新闻技术工作者联合会，2026-08-12 实施）第 4.4 条：「不应通过语料投毒、伪共识制造、竞品抹黑、流量劫持、隐藏指令或其他组织化操纵方式干预模型输出。」另见第 4.2 条（事实和背书真实）、第 7.2 条（低质批量发布、伪装用户行为）、第 7.3 条（误导性指令和元数据）。标准第一章写明不替代法定义务。 原文
Google 搜索中心垃圾政策（最后更新 2026-08-28），「Scaled content abuse」的定义里有：「for the primary purpose of manipulating search rankings and not helping users.」 原文
千问使用规范（2026-06-03）第二部分第 7 项：「（4）其他操纵模型违反千问信息内容安全管理和风险防范机制的行为；」同项还提到恶意对抗、攻击、诱导和投毒。 原文
Kimi 模型服务协议（2026-08-24 更新）英文版第 4.7 条：「(b) Malicious attacks, inducement, and poisoning by means such as identity impersonation, reverse induction, or jailbreak attacks;」 原文
豆包用户协议（2026-09-10 更新）第 5.1.1 条：不得使用未经授权的插件、外挂、系统或第三方工具干扰服务正常运行；第 5.1.5 条另约束欺诈、误导。这是使用豆包的规则，不是对站外 GEO 的专门定性。 原文
央视 2026 年 3·15 晚会节目页（2026-03-15 21:48）视频简介：「帮客户给AI大模型“喂料”、“投毒”，让客户的产品榜上有名，实现客户的商业目的。」本轮没有逐帧看视频。 原文
央视财经报道（澎湃新闻转载，2026-03-15）：一款业内人士虚构的智能手环，发布虚构材料后，「就有两个AI大模型推荐了这款业内人士虚构的智能手环，而且排名靠前。」一次演示，没公开提问次数和对照。 原文
Zou 等《PoisonedRAG》（USENIX Security 2025）：「We find that the knowledge database in a RAG system introduces a new and practical attack surface.」实验假设攻击者能往知识库里加文本，针对指定问题和指定错误答案；非目标问题受影响有限。 原文
Chen 等《AgentPoison》（NeurIPS 2024）局限一节：攻击「requires the attacker to have white-box access to the embedder.」研究的是智能体的记忆和知识库被污染，不需要重新训练模型。 原文
流传说法之一：新浪一位科普博主，2026-03-15：「所谓GEO，本质上就是把过去做SEO、买软文、刷内容的那套玩法搬到了AI时代」。同文后面也说技术本身没问题。 原文
流传说法之二：INDIGO TALK EP 51 网页，2026-09-21，转述嘉宾的话：「所谓投毒，本质上就是把一个概念在多个平台上发布」。嘉宾同时说这个判断「不一定准确」。 原文
流传说法之三：一篇中文 GEO 文章，2026-03-18：「只要基于真实、有用、可验证，就是合规的 GEO。」同文前面也要求背书可追溯、身份真实、不冒充专家，反对伪造信源、低质刷屏。 原文
大家也这样问
- 正常做GEO和投毒的区别是什么？
- 发软文让AI引用算投毒吗？