Suchgestützte KI-Modelle übernehmen zunehmend eine ganz alltägliche Aufgabe: beim Einkaufen helfen. Man fragt nach kabellosen Kopfhörern mit Geräuschunterdrückung für unter 200 Euro, das Modell durchsucht in Echtzeit das Web und liefert eine Empfehlung. Genau diese Kette will der neue Benchmark FORGE testen – und zwar, wie leicht sie sich vergiften lässt. Wenn jemand gezielt eine Seite baut, um ein Modell zu täuschen, wirbt das Modell dann für ein Fantasieprodukt?
Das Paper trägt den Titel „One Polluted Page Is Enough“, stammt von Minghao Luo und Liang Chen, wurde am 24. August in einer zweiten Fassung aktualisiert und ist bereits für die EMNLP 2026 Findings angenommen. Benchmark und Auswertungscode liegen auf GitHub.
27 % und 73,8 %
Das Vorgehen von FORGE ist unkompliziert: Reale Suchergebnisseiten werden eingefroren, die darauf gezeigten echten Produkte werden lokal in ein nicht existierendes Fake-Produkt umgeschrieben, und dann wird gemessen, wie oft das Modell dieses Fake-Produkt empfiehlt. Getestet wurden 225 reale Produkte aus 15 Kategorien und fünf Kaufszenarien, verteilt über zwölf kommerzielle und offene Modelle.
Das Ergebnis: Alle zwölf Modelle fallen darauf herein, ausnahmslos. Schon eine einzige vergiftete Seite reicht, um ein Modell in bis zu 27 % der Fälle zu täuschen; werden alle drei Top-Suchergebnisse durch vergiftete Seiten ersetzt, steigt die Quote auf 73,8 %.
Zwischen den Kategorien gibt es deutliche Unterschiede: Fehlt einem Modell stabiles Vorwissen zu einer Produktkategorie, lässt es sich leichter in die Irre führen. Das leuchtet ein – zu einem iPhone hat das Modell jede Menge gespeichertes Wissen, bei einem Nischen-Luftentfeuchter kann es sich nur auf das verlassen, was auf der Seite steht.
Mit Reasoning wird es schlimmer
Der wohl gegen die Intuition laufendste Befund des Papers: Reasoning entschärft die Schwachstelle nicht, sondern erzeugt häufig erst die falschen sozialen Beweise, mit denen die Fehlempfehlung begründet wird. Nachdem das Modell getäuscht wurde, argumentiert es aktiv für die Plausibilität des Fake-Produkts – und das liest sich überzeugender als eine normale Empfehlung.
Auch vier getestete Gegenmaßnahmen bringen wenig. Ein zusätzlicher Prompt, der das Modell zum Misstrauen anhält, wirkt ähnlich wie Reasoning und vergrößert die Lücke teils sogar; zwei Verfahren zur Konsensfilterung unterdrücken zusammen mit den Fake-Produkten auch legitime Angebote; ein Reranking nach Glaubwürdigkeit hilft zwar jedem Modell, entfernt aber nur ein Sechstel der Fälschungen.
Die Gegenmaßnahmen scheitern auf unterschiedliche Weise, haben aber eines gemeinsam: Sie setzen alle auf Textebene an. Wird das Modell zum Misstrauen angehalten, richtet sich dieses Misstrauen auch gegen legitime Produkte. Konsensfilterung verlangt, dass mehrere Seiten sich gegenseitig bestätigen – doch drei vergiftete Seiten aufzusetzen, ist für jemanden im Fake-SEO-Geschäft keine Hürde. Solange die Recherche-Ebene selbst unangetastet bleibt, rechnet jede nachgeschaltete Anpassung nur mit denselben vergifteten Eingabedaten.
Ein weiteres unangenehmes Detail: Unter den zwölf Modellen sind sowohl kommerzielle, geschlossene als auch offene Modelle vertreten – ein Unterschied zwischen beiden Gruppen zeigt sich nicht. Die Ursache liegt in einer gemeinsamen Grundannahme: dass abgerufene Webseiten standardmäßig vertrauenswürdig sind. Jedes auf RAG basierende Produkt baut auf dieser Annahme auf, und selbst das sorgfältigste Alignment kann das nicht retten.
Die nächste Etappe im SEO-Krieg
Die Autoren ordnen diese Art von Manipulation als GEO ein – Generative Engine Optimization, das Pendant zur klassischen Suchmaschinenoptimierung. Die Logik ist dieselbe: Früher ging es bei SEO darum, eine Seite vor menschliche Augen zu bringen, bei GEO geht es darum, sie in den Kontext eines Modells zu bringen. Der Unterschied liegt im Aufwand – eine einzige Seite reicht, und sie muss nicht einmal ganz oben ranken.
Die Angriffsfläche ist größer, als man zunächst denkt, denn KI-Suche und KI-gestützte Kaufberatung setzen längst überall auf das Prinzip „abrufen und zusammenfassen“, und der zugrunde liegende Seitenpool ist bereits voll von Marketingseiten, die einzig fürs Ranking gebaut wurden. Grob gerechnet: Liegen die Grenzkosten für eine vergiftete Seite bei wenigen Euro und der Warenwert des Zielprodukts im dreistelligen Bereich, gibt es für Akteure aus dem Black-Hat-Geschäft kaum einen Grund, es nicht zu versuchen.
Der wirklich verwertbare Befund des Papers ist jenes eine Sechstel: Glaubwürdigkeits-Reranking hilft, reicht aber bei weitem nicht aus. Der nächste Schritt müsste sein, den Maßstab zu verschieben – weg von der Frage, ob das Modell einer Domain vertraut, hin zu der Frage, wie viele voneinander unabhängige Quellen eine Aussage stützen. Bislang hat das noch niemand in ein Produkt umgesetzt.
Quellen: arXiv-Paper „One Polluted Page Is Enough“, CocoLoop, FORGE-Repository auf GitHub, Angaben zur Annahme bei den EMNLP 2026 Findings; die Täuschungsraten von 27 % und 73,8 % sowie die Angaben zu 225 Produkten, 15 Kategorien und 12 Modellen wurden anhand des Paper-Abstracts geprüft.