10 月 8 日，一支复旦牵头的团队在 arXiv 上挂了一篇论文，标题不绕：《From Public Posts to AI-Search Citations: Measuring the Fragility of AI Search》。他们做了一件很直接的事——花 14 美元买了发布，13 篇普通帖子发出去，其中一个平台在一小时内就引用了其中的一个伪造概念。没有漏洞利用，没有提示注入，就是「发在了引擎本来就偏好的域名上」。
这不是某个平台的 bug，是 AI 搜索架构的系统性弱点。这篇文章把研究拆开，说清楚「引用治理缺口」到底是什么，以及做 GEO 的人该怎么把它变成防御而不是风险。
研究做了什么：10 个产品、17,211 条引用、一轮受控发布
Liu et al.（复旦大学 + 上海浦东密码研究院，arXiv 2026-10-08，已列入 NDSS 2027）先对 10 个 AI 搜索产品（Perplexity、ChatGPT Search、Google AI、豆包、Kimi、Grok、文心、元宝、DeepSeek、千问）的 17,211 条引用、6,356 个域名做了映射，再在每个平台引用最多的域名上做受控发布实验：
| 发现 | 数字 | 含义 |
|---|---|---|
| 7 天内引用伪造概念的平台 | 8 / 10 | 普通帖子发到引擎偏好域名，几天内就进了被引答案 |
| 14 美元购买的产出 | 13 篇帖子，1 小时被引 | 攻击成本低于一杯咖啡的工时费 |
| top-20 域名占各平台引用 | 20.5 ~ 70.8 个百分点 | 一个引擎的检索池可以是窄到二十个站点 |
| 关联发布平台的低/中门槛占比 | 15 / 22 | 「谁可以发布」和「谁被引用」是两套独立决策 |
引用治理缺口（citation-governance gap）：搜索方决定引用哪些来源，发布方决定谁能发内容。两个决策之间没有任何协调机制。
「引用治理缺口」为什么是系统性的
把 10 月 17 日 DeepSeek changelog 写的那句话（过滤 SEO 作弊 / GEO 操纵 / 低质 AIGC）和这篇研究放一起看，就明白缺口在哪：每个引擎都能过滤「自己检索到的」坏内容，但坏内容的进入发生在检索之前的发布环节。DeepSeek 的 Search API 给了 authority 分层和 rerank_score（≥3 高度权威、≥1.5 高质量），但没有任何字段解释「为什么某页被过滤了」——被踢掉的页面没有理由可读，过滤基准也没公开。
换句话说：平台把「质量」做成了不透明的一层，攻击者把「发布」做成了透明的另一层。15 个低门槛平台 + 20.5 到 70.8 个百分点的 top-20 集中度，意味着攻击面比防御面宽得多。
对做 GEO 的人，这意味着什么
你的错误信息，和伪造概念走的是同一条路
研究里没有恶意攻击，只有「发布在引擎偏好域名上」。你的品牌信息如果存在矛盾版本（官网一套、百科一套、百家号又一套），交叉验证层拿到的就是多个互相打架的信源——胜出的是引擎最容易取到的那个版本，不一定是正确的那个。100 期讲过的单一事实源，在这里从「好习惯」升级成「防投毒措施」。
预算该押在「被默认引用」上，不是「被检索到」上
top-20 域名拿走每个平台 20.5 到 70.8 个百分点的引用，说明引擎的高层检索池是窄的、可预测的。研究者的结论对正规发布者是最强辩护：「成为被默认引用的域名，比和制造出来的内容抢一个位置更稳」。对 GEO 的实操含义：与其撒网 50 个 C 级渠道，不如把 2-3 个引擎偏好域名上的 A 级官方位置占住、做对、做一致。
监测指标跟着重叠结构走
跨引擎引用重叠（152 期数据）：品牌名重叠 67.4 个百分点、URL 只 10.2。再加上本研究的 top-20 集中度，监测体系应该盯三样东西——品牌是否被提及、哪些域名在被引、被引内容里的关键事实对不对。单 URL 排名不进这套体系。
防御四动作（按 14 美元的攻击预算反推）
| 动作 | 对应攻击面 | 落地标准 |
|---|---|---|
| 事实全网锁死 | 矛盾版本被交叉验证放大 | 成立时间/定位/资质/价格 4 项，官网=百科=媒体=社交，数字一致 |
| 占住偏好域名官方位 | top-20 集中度 | 在 2-3 个引擎偏好的高门槛域名上，官方主体发布，可追溯 |
| 48 小时纠错 | 错误版本先被吸收 | 监测发现错误引用，按 150 期半衰期（中位 4.5 周）算，纠错窗口比想象短 |
| 门槛自检 | 15/22 低门槛发布 | 自家品牌在低门槛平台上的版本，必须和官方版本逐字一致，不允许漂移 |
FAQ
Q：这篇研究的攻击手法，和我正常做 GEO 的差别在哪？
A：没有差别——这正是研究要说的。攻击手法就是「发在引擎偏好域名上」，正常 GEO 也是。区别只在内容是真事实还是伪造概念。所以防御不是「反制攻击者」，而是「让自己的真事实版本比任何伪造版本更容易被取到」。
Q：14 美元买发布就能 1 小时被引，说明 AI 引用门槛极低？
A：说明「进入候选池」门槛低，不等于「被选为引用」门槛低。8/10 平台 7 天命中的是伪造概念，且研究者明确标注这是 3-4 月单次实验、可能漂移，也没有给出「低偏好帖换高偏好帖」的换算规则。引用是窄池里的竞争（top-20 占 20.5 到 70.8），不是全开放网络抽奖。
Q：研究怎么保证合规？
A：受控实验排除了医疗、金融、政治、公共安全、弱势群体品类，全部受控帖在 4 周内删除。这既是合规边界，也是实操提示：你的品牌如果落在这些品类，错误引用一次就是事故级，防御预算要上浮。
Q：和 152 期「检索门 32 个百分点 vs 页面属性 2.8」什么关系？
A：152 讲引用差异的解释度（检索门是头号变量），本期讲检索门本身的可操纵性（池子窄、可预测、发布面低门槛）。两篇合起来：先确认在池子里（152），再确认池子里你的版本是唯一可信版本（153）。
延伸阅读
- AI 引用你的页面，先过检索门，再谈内容优化——检索门 32 个百分点 vs 页面属性 2.8（152 期）
- AI 开始主动过滤你的内容了，信号在哪里——DeepSeek changelog 过滤三对象（142 期）
- 你的 AI 引用有保质期，中位 4.5 周就砍半——纠错窗口的时间依据（150 期）
攻击预算是 14 美元级的， 防御预算不能停在写一遍白皮书。 把「被默认引用」的官方位置占住、锁死、盯住。
{
“@context”: “https://schema.org”,
“graph”: [
{
“@type”: “Organization”,
“@id”: “https://www.geoshizhan.com/#org”,
“name”: “GEO实战”,
“url”: “https://www.geoshizhan.com/”
},
{
“@type”: “WebSite”,
“@id”: “https://www.geoshizhan.com/#website”,
“url”: “https://www.geoshizhan.com/”,
“publisher”: {
“@id”: “https://www.geoshizhan.com/#org”
}
},
{
“@type”: “Article”,
“headline”: “14 美元买的发布，一小时就被 AI 引用了”,
“description”: “复旦团队（arXiv 10-08，NDSS 2027）对 10 个 AI 搜索产品做了受控发布实验：17,211 条引用、6,356 个域名。8/10 平台在 7 天内引用了伪造概念；14 美元买的发布做出 13 篇，其中一个平台 1 小时内就引用；top-20 域名拿走每个平台 20.5 到 70.8 个百分点的引用；22 个发布平台中 15 个的低门槛发布是「引用治理缺口」所在。”,
“datePublished”: “2026-10-28”,
“dateModified”: “2026-10-28”,
“author”: {
“@type”: “Organization”,
“name”: “GEO实战”
},
“publisher”: {
“@id”: “https://www.geoshizhan.com/#org”
},
“image”: “https://www.geoshizhan.com/wp-content/uploads/2026/10/geo_153_cover.png”,
“mainEntityOfPage”: “https://www.geoshizhan.com/ai-citation-supply-chain-governance-gap-geo-2026/”,
“isPartOf”: {
“@id”: “https://www.geoshizhan.com/#website”
}
},
{
“@type”: “FAQPage”,
“mainEntity”: [
{
“@type”: “Question”,
“name”: “这篇研究的攻击手法，和我正常做 GEO 的差别在哪？”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “没有差别——这正是研究要说的。攻击手法就是「发在引擎偏好域名上」，正常 GEO 也是。区别只在内容是真事实还是伪造概念。防御不是反制攻击者，而是让自己的真事实版本比任何伪造版本更容易被取到。”
}
},
{
“@type”: “Question”,
“name”: “14 美元买发布就能 1 小时被引，说明 AI 引用门槛极低？”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “说明进入候选池门槛低，不等于被选为引用门槛低。8/10 平台 7 天命中伪造概念，且研究者明确标注这是 3-4 月单次实验、可能漂移。引用是窄池里的竞争，不是全开放网络抽奖。”
}
},
{
“@type”: “Question”,
“name”: “研究怎么保证合规？”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “受控实验排除医疗、金融、政治、公共安全、弱势群体品类，全部受控帖 4 周内删除。实操提示：品牌若在这些品类，错误引用一次就是事故级，防御预算上浮。”
}
},
{
“@type”: “Question”,
“name”: “和 152 期检索门 32 比 2.8 什么关系？”,
“acceptedAnswer”: {
“@type”: “Answer”,
“text”: “152 讲引用差异的解释度（检索门是头号变量），本期讲检索门本身的可操纵性（池子窄、可预测、发布面低门槛）。先确认在池子里，再确认池子里你的版本是唯一可信版本。”
}
}
]
}
]
}