操纵式GEO为什么失效：攻击成功率被压到6%

过去一年，围绕「让 AI 说你好话」的灰色服务一直有市场：批量发布带好评的内容、刷第三方平台评分、在站内堆砌对自家有利的统计数字。2026 年 9 月，两份独立研究从攻、防两头给出了同一组结论——这条路正在被系统性封死。

第一份是防御侧的实证。预印本论文 GEO Defender（arXiv:2609.02964，2026-09-02）测试了对抗性内容操纵攻击：攻击者把刻意美化、事实被改写的内容投放进 AI 的检索范围。在未设防状态下，这类攻击的成功率达到 50.32%——一半的概率能把答案带偏；而引入针对性防御框架后，攻击成功率被压到 6.20%，同时正常内容的证据保留率保持 94.12%，几乎没有误伤。

第二份是优化侧的复现。

Bajemon 与 Rochet 的复现研究（arXiv 预印本，2026-09-07，汇总见 GeoAura 的整理）重测了那篇被引用最广的 GEO 基准研究：一个不看查询、只给页面本身打分的「优化分数」，对 AI 引用可见度的解释力只有 ρ=0.114；把「查询与信源的相关性」加进去，才提升到约 0.37-0.38——三倍的差距说明，起作用的从来不是页面本身的「优化痕迹」，而是页面与具体问题的相关程度。

更扎心的是三类经典技巧——堆引用、堆统计数字、标注来源——在体积受控的对照实验里，合并效应为零甚至为负。

结论先行：AI 平台压制的不是某个具体渠道，而是「与事实不符的可信信号」。这个判断对灰产和普通企业各有一层含义。

机制拆解：为什么旧的过滤层拦不住，新防御能拦住

结论：旧过滤层只查内容特征这类代理指标，新防御改为拆出声明与可信信源交叉核对，正常内容保留率 94.12%。

先看攻击为什么曾经有效。Princeton 那篇 GEO 基准研究测出：专家引用、统计数字、流畅表达等特征能显著提升被引用概率。问题在于，这些特征是内容质量的「代理指标」，不是质量本身。对抗性改写恰好利用了这一点——把虚假好评写得事实自洽、统计齐整，表面特征与真实优质内容完全一致。

这就是为什么传统的安全过滤层失效：论文里四个现成的安全过滤器都没能拦住攻击，因为攻击内容在「事实层面」挑不出毛病，它骗的不是过滤器，是质量评分。

新防御的思路换了一层：GEO Defender 不再只看内容长什么样，而是做证据一致性校验——把内容里的声明拆出来，与可信信源交叉核对，一致才放行。

这正打在操纵式内容的软肋上：它们可以模仿「高质量的样子」，但模仿不出「与外部证据对得上的事实」。94.12% 的正常内容保留率说明这层校验的误伤率可控，因为它核对的是事实，不是风格。

同向证据：灌水在源头就没有解释力

结论：灌水在源头就缺乏解释力：单看页面优化特征对是否被引用的预测力约 ρ=0.114，查询与信源相关性才把解释力拉到 0.37-0.38。

防御侧是「平台开始压制」，优化侧的复现研究则是「灌水从一开始就没多大用」。ρ=0.114 这个数字值得展开：如果不看查询内容，光凭页面自身的「优化特征」，你几乎预测不了它会不会被引用。换句话说，那些宣称「按我们的模板改页面就能被 AI 引用」的服务，卖的是一个解释力只有 0.114 的公式。

真正把解释力拉到 0.37-0.38 的是查询-信源相关性：你的页面内容，与用户实际会问的那个问题，在语义和事实上有多匹配。这与此前「相关性优先」的实测结论互相印证（见GEO 技巧有效性研究）——有效的 GEO 动作是让内容对准真实问题，而不是给内容贴质量标签。

研究	性质	关键数字
GEO Defender（arXiv:2609.02964）	攻防实验	攻击成功率 50.32%→6.20%；正常内容证据保留 94.12%
Bajemon & Rochet 复现（arXiv）	基准复现	查询盲分数 ρ=0.114；加相关性后 0.37-0.38；堆引用/统计合并效应 ≤0
Princeton GEO（KDD 2024，被复现对象）	原始基准	专家引用 +41%、统计 +33% 等特征效应（在对抗与复现下被重新解释）

对普通企业的两层含义

结论：对普通企业而言，0.114 意味着模板化结构优化预测引用的能力接近安慰剂，把结构优化说成能带来引用与实验数据不符。

第一层：凡是向你承诺「按模板改就能被 AI 引用」的服务，现在可以要它出示解释力数据。0.114 的含义是，这个公式对结果的预测能力接近抛硬币的安慰剂。模板本身不是原罪——结构清晰、层级工整当然有价值——但把结构优化包装成引用保证，与实验数据不符。

第二层：之前被各类 GEO 服务渲染的「不优化就出局」的焦虑，也可以降一降。复现研究的另一面是，绝大多数页面被引用与否，取决于它和真实问题的相关程度，而不是它做了多少「优化动作」。把预算花在对准问题的内容上，比花在任何「优化套餐」上都便宜且持久。

反直觉的一点：过度优化和恶意攻击是同一个问题

结论：过度优化与恶意攻击其实是同一个问题：描述写得漂亮些若偏离事实，就与被操纵内容面对同一种失效机制。

多数企业觉得「黑帽是别人的事，我们只是把产品描述写得漂亮一点」。但把两组研究放在一起看，界限没那么清楚。

批量塞好评、虚构统计数字、模板化引用来源——这些做法与对抗性攻击的区别只在动机，不在特征：都是在制造「与事实不符的可信信号」。平台防御升级后，压制的对象是这一整类特征，不会先替你区分「恶意」还是「着急」。

所以真正反直觉的判断是：合规不是成本，是这轮防御升级里唯一的安全区。把「让答案变好看」的预算挪到「让事实字段可核验」上，短期看慢，长期看是唯一不被平台规则变化清零的投入。

我们在服务中看到的分界也很清楚：交付里坚持只做事实层与结构层的工作——可验证的产品参数、对齐的资质信息、真实的数据出处——凡是客户问「能不能把评价做得更好看」，我们的回答都是不做。这不是道德姿态，是 6.20% 这个数字已经说明了性价比。

可执行的做法

步骤	动作	要点
1	自查站内可验证事实密度：关键声明有没有出处	逐条列出核心产品/服务声明，标注「可核验/不可核验」
2	删模板化引用腔：无出处的数据、来路不明的统计数字全部下架	宁缺毋滥——放着的假数字是负债
3	给关键声明配可核验出处	官方文档、检测报告、公开备案，都是可对账的信源
4	不碰第三方刷量与代发好评服务	渠道本身在失效，且已成为防御系统的重点识别对象
5	把预算从「灌水」挪向事实字段与信源建设	与平台防御方向同向，而不是对着干

关于刷量渠道为什么先失效，之前已有专门分析（见Reddit 引用占比从 3.83% 跌到 0.5%）；企业合规的完整红线清单，另见GEO 合规边界一文。

边界与不适用

结论：关于操纵式 GEO 的结论有边界约束：不覆盖医疗、金融、K12 行业，不涉及删除真实差评，也不构成排名与收录效果承诺。

三点说在前面。第一，两份研究都是 arXiv 预印本，未经同行评审，数字应作方向性参考。

第二，防御实验在受控环境完成，线上平台实际部署这类防御的进度和覆盖面没有公开数据——「攻击成功率 6.2%」是实验值，不代表今天每个平台都已经做到。

第三，反过来也不成立：合规内容不承诺获得更高引用，相关性优先依然是内容被引用的主要条件，合规只是不在错误的赛道上消耗预算。

我们自己的边界照例说明：灵曦GEO 不做医疗、金融、K12 行业，不删真实差评，不做跨地域排名，不承诺任何排名与收录效果。

想看这些做法在实际企业里的落地方式，可以看灵曦GEO的案例页。