这条在：GEO 图书馆 · 机制：AI 怎么找、怎么挑、怎么写
在网页里埋一段给 AI 看的指令，能操控回答吗？
截至 2026 年 10 月 1 日，网页里埋给 AI 看的指令能改变 AI 搜索的推荐，但并非每次都有效：同行评审研究在 2024 年的必应 Copilot 和 Perplexity 上做到过，可其中的商品实验是让 AI 到作者指定的网站里去搜的。
豆包、DeepSeek、元宝、Kimi、千问、文心的线上搜索被网页注入操纵推荐的公开实测，我们没有找到。
2024 年 12 月，《卫报》拿刚上线的 ChatGPT 搜索做了个测试。他们仿造了一个相机的商品页，把网址给 ChatGPT，问这台相机值不值得买。页面正常的时候，回答有褒有贬；页面里藏了一段让它说好话的文字，回答就总是一边倒地说好，哪怕页面上明明挂着差评。不过网址是记者直接给的，不是 ChatGPT 自己搜到的，文章也没说测了几次。
管品牌的人问这个题，心思一般是两种：想自己试试，或者怕对手这么干。这件事跟 GEO（AI 搜索优化）沾边，可它跟改内容、发稿是两条路，它要的是让 AI 把网页上的字当成命令来听。
研究做到了哪一步
这条路是 Greshake 等人 2023 年提出来的，论文收在 ACM 的 AISec '23 研讨会，叫「间接提示注入」：攻击者不用碰对话框，把指令放进 AI 会去读的网页里就行。论文里还专门有一节「Prompts as SEO」，说这招可能让 AI 吐出不标明是广告的广告。可他们在 Bing Chat 上的演示用的是本地网页文件，作者明说没往任何公开网页里放指令，所以「被 AI 搜索搜到」这一步，在这篇里只是推断。
第二年，伯克利的 Pfrommer 等人（EMNLP 2024）专门测了消费品推荐，发现网页里的注入能把原本靠后的产品往前推，这里的名次指产品在回答里被提到的先后。这篇常被转述成「能操控 Perplexity」，其实他们拿不到完整产品的接口，用的是 Perplexity 的联网模型当替身，网址也是直接喂给模型的。作者自己写明，攻击并不总是有效，只是绝大多数被推的产品名次明显上升了。
走得最远的是苏黎世联邦理工学院 Nestaas 等人（ICLR 2025），他们直接在 2024 年线上的必应 Copilot 和 Perplexity 上做：搜索结果里有攻击者的页面，AI 就可能转去推荐攻击者的相机。可他们的假商品页在正常搜索里根本排不上，作者只好让 AI 到他们指定的网站里去搜；另一个不指定页面的实验，改的是 AI 把哪个网页当成实验室最可靠的信息来源，不是商品推荐。作者那年 3 月就通报了受影响的公司，微软确认了问题，也加了防护。
所以「AI 自己搜到页面、商品推荐被改」这一整条链，在我们读到的范围里还没有哪篇完整验证过。国内的模型其实被测过：2026 年 4 月 Khodayari 等人的预印本，拿 DeepSeek、千问和字节跳动 Seed 的模型做过让它总结网页的受控实验，模型照着网页指令做的比例有限，最高约 8%，出在较小的模型读纯文本的时候。可测的是模型，不是这些公司的搜索产品。豆包、DeepSeek、元宝、Kimi、千问、文心的线上搜索被网页注入改了推荐的公开实测，我们没找到，中文媒体做这类实测的报道也没找到。
已经有人这么干了
卖安全产品的 Palo Alto Networks 旗下 Unit 42 团队，2026 年 3 月根据自家的遥测说，AI 读网页时碰到的注入已经被实际拿来用了。他们列的意图里有一类叫「SEO 投毒」，借 AI 的推荐把钓鱼网站推到前面。不过数据只来自他们自己的客户和产品，没给样本总量，「SEO 投毒」没单独给占比，更没说有没有哪家 AI 真推荐了钓鱼站。
他们统计的藏法，倒可以拿来查自家网站。最多的反而是明文，占 37.8%，SEO 投毒那个例子就是把指令明写在页脚，那种地方本来就没人细看；其次才是藏在 HTML 属性里和用 CSS 不让它显示。
为什么挡不干净，又不一定成
美国国家标准与技术研究院（NIST）的对抗性机器学习分类标准，把道理讲得最清楚：生成式 AI 的「数据」和「指令」走的是同一个通道，改了 AI 会读的外部资料，就可能借此间接下指令，它举的坏用途里就有让联网聊天机器人推荐欺诈产品。同一份文件还说，现有的防御挡不住所有手法，所以做应用的人不妨假定：模型只要碰到不可信的来源，注入就可能发生。OpenAI 在讲加固 Atlas 浏览器的文章里说得更直，提示注入跟网上的诈骗一样，大概永远不会被彻底「解决」。可 Atlas 是会替人点击、填表的浏览器智能体，这句话推不出「ChatGPT 搜索很容易被注入」。
反过来，一段指令要起作用，得连过三关：AI 先得搜到或读到这个页面；这段文字得进到模型读的上下文里；模型还得不把它当资料，反而当成命令照做。哪一关没过，都白埋。
平台和监管怎么管
必应站长指南里有一节就叫「Prompt Injection and AI Manipulation」，写的是：试图在内容里加东西去操纵或干扰必应、Copilot 用的语言模型，可能被降低可见度，或者移出搜索体验。这是我们查到的唯一一份明确把「给 AI 下指令」列为站长违规的搜索平台规则，不过它写的是「可能」，也没公布处罚过多少。
Google 的反垃圾政策给垃圾内容下定义，就写了包括试图操纵 Google 搜索里的生成式 AI 回答。它另有一节管「隐藏文本」，白底白字、用 CSS 挪到屏幕外都算。这一节没单列提示注入，可它看的是是不是只为了操纵搜索、是不是不让访客轻易看见，并不看有没有点名 AI。两条都只管 Google 网页搜索。
国内这边，中央网信办 2026 年 4 月 30 日部署了「清朗·整治AI应用乱象」专项，我们核到的是官网通稿，通知全文没公开。通稿点名的是「AI数据投毒」，其中一种是「使用GEO（生成式搜索引擎优化）技术恶意营销」，全文没有「提示词注入」。网页里藏指令算不算这一种，原文没说，没写这几个字也不等于不管。投毒那一面，我们在《正常优化和投毒，界线在哪？》里单写过。
明确用了「提示词注入」这个词的，我们查到一份官方风险提示和一份团体标准。前一份是新华网 2026 年 3 月 10 日转发的国家互联网应急中心关于 OpenClaw 智能体的风险提示，说网页里藏的恶意指令可能诱导智能体泄露用户的系统密钥，对象是智能体，跟搜索推荐不是一回事。后一份是 8 月实施的团体标准 T/CAPT 026—2026，第 7.3 条写明，不应通过隐藏标签、CSS 隐藏文本、文档元数据、图片 OCR 识别文本、PDF 文字层或文档隐藏文本嵌入误导模型的指令。团体标准是自愿采用的，管的是采用它的 GEO 服务方，管不到 AI 平台。国内哪家 AI 平台面向网站、明文禁止网页注入的规则，我们没找到。
自家网站怎么查
那条 7.3 正好可以当清单，拿来查自家页面哪儿藏着、或者写着误导模型的指令；Unit 42 例子里那种没人细看的页脚，也值得顺手看一眼。不过不是所有写给 AI 看的东西都算注入，llms.txt、结构化数据本身就不是，要看的是有没有藏，有没有想让模型违背用户的意思或偏离事实。
结论
- 截至 2026 年 10 月 1 日，网页里埋给 AI 看的指令能改变 AI 搜索的推荐：苏黎世联邦理工学院 Nestaas 等人的同行评审论文在 2024 年的必应 Copilot 和 Perplexity 上做到过，但其中的商品实验是让 AI 到作者指定的网站里搜的。
- 网页注入并非总是有效：伯克利 Pfrommer 等人的论文写明攻击并不总是成功，Khodayari 等人 2026 年的预印本测得模型照做网页指令的比例最高约 8%。
- 我们查到的 AI 搜索推荐实测，针对的都是 2023 到 2024 年的英文产品；截至 2026 年 10 月 1 日，豆包、DeepSeek、元宝、Kimi、千问、文心的线上搜索被网页注入操纵推荐的公开实测，我们没有找到。
- 必应站长指南把操纵或干扰其语言模型的内容列为违规，可能降低可见度或移出搜索体验；Google 反垃圾政策把试图操纵 Google 搜索里生成式 AI 回答的做法算作垃圾内容。
- 中央网信办 2026 年 4 月 30 日的「清朗」专项点名的是「AI数据投毒」，官网通稿里没有「提示词注入」。
- OpenAI 和美国国家标准与技术研究院（NIST）都说，提示注入目前防不彻底。
「早就防住了」，还是「已经被大规模利用」？
两头都有人说。
- 说容易被识破的。 PoisonedRAG 的作者（USENIX Security 2025）写过，注入得塞进指令，不如投毒隐蔽，他们援引的研究在各自的测试条件下，检出率很高、误报率很低。微软收到 Nestaas 等人的通报后也加了防护。可各家 AI 搜索在推荐里实际拦下多少，我们没查到公布的数字；再说 Unit 42 的数据里近四成注入是明文，机器能发现，不等于看网页的人能发现。
- 说已经泛滥的。 Unit 42 的原话是注入「正被积极武器化」，可它卖安全产品，这个结论对它有利，也没给样本总量。Khodayari 等人那篇两边都撑：网上确实有注入，但模型照做的比例普遍不高。
我们的判断是：能操控，但并非总是有效，平台一直在对抗，风险也一直在。有人跟你说「埋一段就能让 AI 推荐你」，可以问他：在哪个平台、哪年测的、AI 是自己搜到的页面还是网址直接给的、测了几次。
这些结论别往外推
- AI 搜索推荐的实测都是 2023 到 2024 年的英文产品，平台此后也在加强防御，不能把当时的效果搬到 2026 年的国内平台上。
- Pfrommer 等人的 Perplexity 部分和《卫报》的测试，网址都是直接给的；Nestaas 等人的商品实验指定了网站。这些都证明不了注入页能在真实检索里被选中。
- Unit 42 的比例只代表它检测到的那批页面；Khodayari 等人的服从率是受控条件下总结网页的结果，不是各家 AI 搜索的平均成功率。
- 必应、Google 的规则只管自家搜索；T/CAPT 026—2026 只约束采用它的服务方。
核对记录
- Pfrommer 等人的「排名」指什么：2026 年 10 月 1 日核原文，是按产品在回答里被提到的先后打分。
- Greshake 等人是否同行评审：2026 年 10 月 1 日经 Crossref 核到收在 AISec '23 论文集，该研讨会由程序委员会评审，按同行评审论文记 A。
- Nestaas 等人证明到哪一步：2026 年 10 月 1 日打开 ICLR 会议版核实，商品实验指定了域名，答案、正文、结论都按这个范围写。
- Google 反垃圾政策有没有写到 AI：2026 年 10 月 1 日打开原页，垃圾内容的定义写到了生成式 AI 回答；隐藏文本一节没提 AI，按目的和藏法判断，正文分开写。
- Khodayari 等人测了哪些模型：2026 年 10 月 1 日打开 arXiv PDF 表 11，有 DeepSeek-V3.2、Qwen3.5 四个尺寸和 Seed 2.0 Mini，任务是总结网页。
- Unit 42 的明文注入是不是常放在页脚：原文只有 SEO 投毒那一例写明放在页脚，正文只说那一例。
- 等级：OpenAI 官网博客记 B。
出处 14 条，A 级 9 条、B 级 5 条 · 展开全部
《卫报》，2024-12-24，实测 ChatGPT 搜索：「when hidden text included instructions to ChatGPT to return a favourable review, the response was always entirely positive. This was the case even when the page had negative reviews on it」；只藏极正面的假评论、不写指令，也影响了总结。是把网址直接给 ChatGPT 读，不是它自己搜到的页面；文章没给测试次数；OpenAI 收到详细问题后没有正式回应。 原文
Greshake 等《Not What You've Signed Up For》（AISec '23，2023-11-26，第 79–90 页）：「We reveal new attack vectors, using Indirect Prompt Injection, that enable adversaries to remotely (without a direct interface) exploit LLM-integrated applications by strategically injecting prompts into data likely to be retrieved.」第 4.2.5 节「Advertisement (Prompts as SEO)」：「Indirect prompting might be exploited to elicit advertisements that are not disclosed as such.」Bing Chat 上的演示用的是本地 HTML 文件加侧边栏：「we did not inject prompts into any public sources that can be retrieved for other users.」作者认为公开网页上原理可行，「supported by observed anecdotal evidence」，没做系统测试。测的是 2023 年初的 Bing Chat、GitHub Copilot 和作者自建的应用。 原文
Pfrommer 等《Ranking Manipulation for Conversational Search Engines》（EMNLP 2024）：「we present a tree-of-attacks-based jailbreaking technique which reliably promotes low-ranked products」。排名按产品在回答里被提到的先后算。拿不到 perplexity.ai 完整产品的接口，用联网模型 Sonar Large Online 当替身，网址直接给模型读；表 1 里被推产品平均名次上升 2.89，相当于把与第一名的差距缩小 54.23%。完整产品只在附录有个案：「We emphasize that this is both anecdotal and ephemeral.」局限：「our attack is not completely effective, although the vast majority of promoted products experience significantly improved rankings」，每个注入只用 2 次回答评估。只测英文消费品推荐。 原文
Nestaas、Debenedetti、Tramèr（ICLR 2025）：「Our work considers stronger passive attacks that do not require the victim to visit a malicious page, but only to issue search queries that return results from that page.」第 4 节：假商品页在正常搜索里排不上，自然检索曝光「orthogonal and out-of-scope for our work」，所以「We thus query the LLM search engine to explicitly search for and recommend products on the domain spylab.ai」。第 5.1 节「Attacks without explicit domain information」不指定攻击页面，注入放在作者实验室的 GitHub 页面，改变的是回答把哪个网页当成实验室最可靠的信息来源，必应 Copilot、GPT-4o 和 Perplexity 都受影响；这个实验不是商品推荐。测的是 2024 年的必应 Copilot 和 Perplexity；2024 年 3 月向受影响方披露，「Microsoft acknowledged these issues and built additional protections for their system」。 原文
Palo Alto Networks Unit 42，2026-03-03：「IDPI is no longer merely theoretical but is being actively weaponized」；意图之一「SEO poisoning: Pushing a malicious website, such as a phishing page, into top rankings via LLM recommendations」，举的例子把指令以明文放在页脚，「an area that is typically overlooked by viewers」。藏法：「Visible plaintext (37.8%), HTML attribute cloaking (19.8%), CSS rendering suppression (16.9%)」。遥测只来自自家客户和产品，没给样本总量；「SEO 投毒」没有单独占比。 原文
Khodayari 等，2026-04-29：分析约 12 亿个网址，找到约 1.53 万个经验证的注入实例。另用 13 个模型做网页摘要的受控实验，表 11 列有 deepseek/deepseek-v3.2、qwen/qwen3.5 的四个尺寸、bytedance-seed/seed-2.0-mini 和 GPT-5.4：「Our results show compliance is limited but non-negligible, reaching up to 8% for smaller models on plain-text inputs」。网页取自 2025 年 10 月的 Common Crawl。测的是模型，不是哪家的搜索产品。 原文
NIST AI 100-2e2025（2025 年 3 月）第 3.4 节：「Because GenAI models combine the data and instruction channels, attackers can leverage the data channel to affect system operations by manipulating resources with which the system interacts.」恶意用途包括「recommending fraudulent products or services」。第 3.4.4 节：「Because current mitigations do not offer full protection against all attacker techniques, application designers may design systems with the assumption that prompt injection attacks are possible if a model is exposed to untrusted input sources」。 原文
OpenAI《Continuously hardening ChatGPT Atlas against prompt injection attacks》：「Prompt injection, much like scams and social engineering on the web, is unlikely to ever be fully 'solved'.」说的是会替用户点击、填表的浏览器智能体。 原文
必应站长指南：「Attempts to add content designed to manipulate or interfere with language models used by Bing or Copilot may result in reduced visibility or removal from search experiences.」没有公布执行数据。 原文
Google 搜索反垃圾政策（最后更新 2026-08-28）：垃圾内容的定义包括「attempting to manipulate generative AI responses in Google Search」；「Hidden text or link abuse is the practice of placing content on a page in a way solely to manipulate search engines and not to be easily viewable by human visitors.」例子有白底白字、用 CSS 移到屏幕外、字号或透明度设为 0；手风琴、轮播、悬浮提示、只给读屏软件的文字不算。隐藏文本这一节没单列提示注入，按是否只为操纵搜索、是否向访客隐藏来判断，不以点名 AI 为条件；政策只管 Google 网页搜索。 原文
中央网信办「清朗·整治AI应用乱象」专项部署，2026-04-30：「四是AI数据投毒问题。通过篡改训练语料、伪造权威数据、使用GEO（生成式搜索引擎优化）技术恶意营销等方式实施AI数据投毒。」通稿全文没有「提示词注入」或「提示词」。是官网部署稿，通知全文没公开。 原文
国家互联网应急中心关于 OpenClaw 的风险提示（新华网转发，页面时间 2026-03-10）：「网络攻击者通过在网页中构造隐藏的恶意指令，诱导OpenClaw读取该网页，就可能导致其被诱导将用户系统密钥泄露。」对象是智能体软件。 原文
团体标准 T/CAPT 026—2026（2026-08-12 实施）：3.11「提示词注入诱导攻击」是「通过网页、文档、元数据或其他信息载体嵌入隐蔽或误导性指令，诱使模型偏离正常生成逻辑的攻击行为」；第 7.3 条 a)「不应通过隐藏标签、CSS 隐藏文本、文档元数据、图片 OCR 识别文本、PDF 文字层或文档隐藏文本嵌入误导模型的指令」。自愿采用，约束 GEO 服务提供方。 原文
Zou 等《PoisonedRAG》（USENIX Security 2025）第 2.2 节：「prompt injection attacks are less stealthy since they inject instructions, e.g., previous studies showed that prompt injection attacks can be detected with a very high true positive rate and a low false positive rate.」 原文
大家也这样问
- 网页里藏一句话让AI推荐我们，能行吗？
- 白底白字写给AI的指令有用吗？
- 竞争对手在网页里给AI下指令，会把我们挤下去吗？