20 分鐘騙過 Google AI：一篇部落格就能汙染 25 億人看到的「唯一答案」

BBC 記者 Thomas Germain 今年 2 月只花 20 分鐘，發一篇個人網站文章，隔天 Google、ChatGPT、Gemini 就同步散播謊言：「他是世界冠軍熱狗大胃王」。同樣的手法，現在被商業操作者用來扭曲醫療補充品、退休理財、選舉等嚴肅議題的 AI 答案。
（前情提要：Google 搜尋迎史上最大變革:重新定位 Search 成 AI 代理人一站式入口）
（背景補充：Anthropic 報告:2028 年 AI 霸主之爭,美國不守住算力優勢恐被中國反超）

本文目錄

在所有 AI 公司都還在比拚誰的模型引數更大、誰的 benchmark 分數更高的這個夏天，Google 在開發者檔案深處，安靜地多加了一條規則：「操弄生成式 AI 回應」正式列為違反搜尋反垃圾政策。

這不是技術升級公告，而是 Google 第一次官方承認：它最被仰賴的功能，正在被人用最廉價的方式汙染。

一篇文章，20 分鐘，騙過全球最大的 AI

BBC 資深科技記者 Thomas Germain 在 5 月 19 日的調查報導中還原了他今年 2 月做過的實驗：他在個人網站發布一篇宣稱自己是「世界冠軍熱狗大胃王」的文章，接著等待。

不到 20 分鐘，Google、ChatGPT 和 Gemini 就開始向詢問的用戶確認這個謊言。

背後的機制並不複雜。AI 聊天機器人通常從訓練資料回答問題，但 ChatGPT、Claude 和 Google AI 在處理時事或人物查詢時，會直接從網路抓取資料。這些工具的特性是傾向從「單一網頁或社群貼文」提取答案，而不是交叉比對多個來源，這就是所謂的 indirect prompt injection（間接提示詞注入，意思是攻擊者透過 AI 會讀取的外部內容來操控輸出，不需要直接接觸模型本身）。

操作成本幾乎為零：一篇精心設計的部落格文章，放到 Google 能索引的地方，就能讓三家全球最大 AI 公司的產品同步散播虛假資訊。

Germain 把這次經驗形容為自己做過「最蠢的事」之一，但他在追查過程中發現，有人早就把這件事變成了商業模式。

謊言的商業用途：醫療建議到退休理財都是標的

Germain 的熱狗實驗是無害的示範。但同樣的攻擊手法被有心人士拿來操控的，是截然不同量級的議題。

調查發現的案例包括：否定某些醫療補充品的健康疑慮、扭曲 AI 對退休理財產品的推薦、操弄 AI 在選舉或廠商評比上給出偏頗答案。Microsoft 的研究進一步量化了問題規模：50 個以上的 AI 推薦汙染案例，來源橫跨 14 個產業的 31 家公司。

這不是偶發的個人惡作劇，而是已在產業中擴散的系統性操作。

SEO 與 AI 搜尋顧問公司 Algorythmic 創辦人 Lily Ray 點出了結構性問題：「以前 Google 給你 10 條藍色連結，你會自己去研究；現在 AI 只給你一個答案，把它當真太容易了。」

AI 把「資訊篩選」這件事從用戶手上收走，集中到一個黑盒子裡。能汙染這個黑盒子輸出的人，擁有的不只是廣告影響力，而是對用戶認知本身的操控能力。

儘管 Google 在 2025 年反垃圾 AI 報告中早已詳列各項防禦努力，但 Germain 的實驗是在那份報告發布約一年後做的，結果顯示那些努力並未真正奏效。

Google 偷改規則，但打地鼠沒有終局

Google 在 5 月 15 日前後悄悄更新了搜尋反垃圾政策，正式把「操弄生成式 AI 回應」列入違規，違規網站可能遭到降權或從搜尋結果中移除。

Google 自家的 Security Blog 也在 4 月揭露：2025 年 11 月到 2026 年 2 月之間，惡意 prompt injection 偵測量上升了 32%。間接提示詞注入已從實驗室裡的理論威脅，變成公開網路上的實戰攻擊。

防禦端也在演化：Ray 觀察到 Google 和 ChatGPT 似乎已開始悄悄把「疑似自我推銷的來源」從 AI 答案中移除。ChatGPT 與 Claude 在部分查詢中開始明確提示「正在篩掉垃圾內容」；Google 對購買決策類問題，開始建議用戶參考第三方評論。OpenAI 和 Anthropic 均拒絕對 Germain 的報導置評。

但 SEO 顧問 Harpreet Chatha（Harps Digital）直接點出了攻防不對稱的本質：「Google 在玩打地鼠。宣布政策更新是為了嚇阻人，但戰術會轉移。你可以懲罰某個網站，卻無法阻止它花錢找 20 個 YouTube 網紅誇自己最好，而 Google AI 現在已經在引用 YouTube 影片了。」

Ray 給出了她認為目前最誠實的建議：「在更好的系統就位之前，你應該預設自己正在被操控。」