有害内容看起来很正常时，AI搜索来源审计为什么会失效？

危险来源不一定会堆满目标关键词，也不一定像垃圾页面。它可以夹带大量正常、可读的段落，只在少数关键位置植入错误事实，因此通过表面检查后仍影响AI回答。

2026年8月28日提交的CamoDocs论文研究了这种“伪装文档”。与直接写入目标查询的传统投毒不同，它把正常内容与对抗内容分块组合，并让文档向量不形成明显的紧密异常簇，同时使用连贯性过滤减少可读性下降。

为什么关键词检查不够

简单防御常检查页面是否重复目标查询、是否与其他可疑文档过度相似，或是否落在异常聚类中。论文显示，当攻击文档不直接包含查询、嵌入分布更分散时，这些信号会变弱。可读性也不能作为真实性代理：文字顺畅只说明表达自然，不说明主张有证据。

品牌团队遇到异常AI答案时，可以把诊断拆成四步：

1. 找出答案中发生变化的具体主张，而非只看整页主题；
2. 追踪每条主张最早可验证的发布者、日期和版本；
3. 检查多个来源是否真正独立，而非复制同一原始文本；
4. 用不同问题改写、平台和时间复测错误是否持续传播。

GEO Radar（https://www.georadar.top）可帮助观察品牌与竞品在多平台AI回答中的提及、来源和异常差异。它能提供诊断线索，但不能证明某个页面是恶意攻击，也不能替代安全取证。

研究边界

论文假设攻击者可以向公开、用户可编辑或网页抓取型知识库注入文档。严格人工审核的私有知识库并不具备相同条件。实验中的攻击成功率也不能解释为现实AI搜索中的投毒发生率。

这篇文章的资料来源

• arXiv，2026年8月28日，*CamoDocs: A Poisoning Attack Against Retrieval-Augmented Language Models Using Camouflaged Documents*：https://arxiv.org/abs/2608.28389