定向幻觉：生成式AI时代的供应链攻击与主动防御

定向幻觉：生成式AI时代的供应链攻击与防御ORIGIN生成式AI的时代下的我们过去这段时间发生了

……生成式引擎优化（GenerativeEngineOptimization）专门针对AI大模型做的内容优化，让AI能够读懂、信任、采信这段信息，并且在回答用户问题时，主动引用、输出这些内容。如今大家直接向各类AI工具提问，

AI会自动整合全网信息，直接给出完整答案，全程不需要点开任何网页。GEOGenerativeEngineOptimization生成式引擎优化排名输出结果SEOSearchEngineOptimization搜索引擎优化排名搜索结果为什么选择GEO？GEO又是什么？定向幻觉(DirectedHallucination)攻击者通过供应链攻击手段(GEO投毒、RAG投毒、微调劫持等)，人为设计精准操纵模型输出方向，使其生成逻辑自洽但具

有误导性的内容。①目的性：攻击者有明确的操纵目标（推

荐特定产品、诋毁竞争对手等）②可控性：攻击效果可预测、可复现、可

持续③隐蔽性：输出内容逻辑自洽，难以被用

户识别④供应链性：不攻击模型本身，而是污染

模型的”信息源”传统AI幻觉的成因数据层①噪声注入：高频错误--高概率的真实②时效衰弱：基于过时的模式进行外推③偏见放大:训练数据反映历史性偏见架构层缺陷：Transformer自回归生成①单向表征局限②误差累积效应

RLHF三阶段：SFT→奖励模型训练

→PPO优化什么是定向幻觉？他和传统的AI幻觉有啥区别？传统的AI幻觉是指大语言模型在不经意间，不可控的随机性的，编造其认为看似合理、实则错误或不存在的信息。定向幻觉≠投毒攻击定向幻觉是结果，

GEO投毒/RAG投毒等只是实现的方式传统AI幻觉≠定向幻觉ATTACK--CoTType1--Poisoningoftrainingdata对公开互联网上文章、数据、网页、书籍等进行投毒，模型在预训练阶段会混入许多有毒的数据，影响范围是全局且持久的攻击者通过爬虫抓取高权重站点（百科、政府网、学术预印本），利用编辑权限或评论注入植入错误事实。由于模型训练具有滞后性（数据集通常冻结在发布前3-6个月），

一旦毒药进入预训练语料，将永久固化在模型权重中，事后修正需全量重训。注入点风险描述典型场景第三方API通过API集成的外部数据源可能已被污染实时数据馈送、合作伙伴数据接口网页抓取内容爬虫抓取的网页可能包含恶意隐藏文本竞品监控、新闻聚合RAG客户上传文档用户提交的文件可能嵌入隐藏指令客服知识库、工单系统共享

Wiki页面企业内部Wiki

可被恶意编辑内部知识管理系统维基百科等公共源短暂编辑在回滚前被索引通用知识RAG供应链数据第三方数据集或模型可能被投毒预训练数据、开源数据集维度具体实现针对机制语义优化嵌入向量逼近目标问题邻域稠密检索（语义相似度）词频优化TF-IDF/BM25特征高密度填充稀疏检索（关键词匹配）权威性伪装伪造引用来源、虚假DOI号模型对于学术来源的偏见时效性伪装强制打上“2026年最新报告”时间戳模型对时效性的偏好Type1--PoisoningAttacksandStrategies投毒攻击面

投毒策略自动化后台监管Case1：

(Q：想了解AI可以看哪些媒体？)投毒内容Ring3

CorruptRAG投毒攻击Case3：

GEO投毒+第三方供应链投毒通过GEO黑灰产投毒使AI输出恶意Skills或者是钓鱼链接诱导用户访问，造成敏感数据泄露、执行恶意操作等行为通过GEO黑灰产投毒使模型coding时主动填充恶意内容（如API、

Url等）导致造成数据泄露等风险Case3：

GEO投毒+第三方供应链投毒Case3：

GEO投毒+第三方供应链投毒通过GEO黑灰产投毒配合供应链投毒造成模型定向输出恶意内容Defense--CoTSummary,OutlookandAcknowledgements总结与展望定向幻觉是AI时代的供应链攻击，本质是数据、模型、检索链路投毒，单一防御无法覆盖。但是定向幻觉攻击能够成立的前提条件——用户对AI的深度依赖•

1.使用者的认知边界决定了对AI结果善恶的分辨程度•2.对AI信任度和ai自托管度越高，