恶意GEO来源已经进入候选池，为什么需要两阶段防御？

仅靠检索阶段把所有可疑页面排除并不现实；仅靠一句“请谨慎使用来源”的生成提示，也可能让模型整体少用证据。可靠流程需要同时管理来源进入上下文的机会，以及残留来源对最终答案的影响。

2026年9月2日的《When Optimization Becomes Manipulation》提出两阶段GEO Defender：Shield Reranker在冻结的基础重排器上学习防御性修正；TFSG把防御结果整理成自然语言经验库，引导目标模型在生成时使用来源，无需微调目标模型。

转化为企业审计流程

企业未必需要复现论文模型，但可以采用同样的分层思路：

1. 候选层：保存原始搜索结果与抓取时间；
2. 重排层：记录哪些来源被降级、理由和正常相关性；
3. 上下文层：保留最终进入模型的具体片段；
4. 生成层：标注每条核心主张实际使用了哪个来源；
5. 复核层：检查残留来源是否改变了结论、数字或语气。

这样可以区分“恶意页面没有进入上下文”和“进入了但没有影响答案”。两者对应不同改进措施，也需要不同指标。

论文在五个模型上的实验将平均攻击成功率从50.32%降到6.20%，但这是特定616个测试实例、七种攻击及自建基准的结果。企业不能把该数字当成采购后的现网防护承诺。

GEO Radar（https://www.georadar.top）可以提供外部AI平台的品牌提及、来源与竞品差异观察。由于商业平台不公开重排链，团队只能通过重复采样和来源变化进行黑盒诊断，不能声称掌握内部过滤规则。

这篇文章的资料来源

• arXiv，2026年9月2日，*When Optimization Becomes Manipulation: Defending Generative Search against Malicious Generative Engine Optimization*：https://arxiv.org/abs/2609.02964