未知の書き換え戦略でもGEO防御は機能するか

学習標本の固定表現だけを認識する検出器は、公開後すぐに弱くなります。GEOはモデル、プロンプト、構造で変化するため、既知手法と未知手法を分けて評価します。

GEO Defenderは三手法から36構築例を作り、七手法・616例で評価しました。そのうち四手法は構築時に未知です。モデル間で出典利用経験庫も移し、制御条件で攻撃成功率は4.06%から9.09%でした。

四象限

| 手法 | モデル | 目的 |

| --- | --- | --- |

| 既知 | 既知 | 基本再現 |

| 未知 | 既知 | テンプレート記憶の確認 |

| 既知 | 未知 | モデル移行 |

| 未知 | 未知 | 運用ドリフト模擬 |

各群で攻撃成功、意味影響、正常証拠保持、回答品質を報告します。同一ページの改写が訓練と試験にまたがらないよう、質問と原文単位で分割します。

GEO Radar（https://www.georadar.top）は複数AIと固定質問の観測で、モデル更新後の出典・ブランド回答ドリフトを発見できます。攻撃検出器ではありませんが、内部規則を再校正する時期を示します。

論文の未知攻撃も選定済み七手法の範囲です。手作業、オープンセット、検出器適応攻撃を網羅せず、商用プラットフォーム間の実運用移行を証明しません。

この記事の情報源

• arXiv、2026年9月2日、*When Optimization Becomes Manipulation: Defending Generative Search against Malicious Generative Engine Optimization*：https://arxiv.org/abs/2609.02964