Los modelos de IA con capacidad de búsqueda están asumiendo una tarea muy cotidiana: ayudar a elegir qué comprar. Preguntas por auriculares con cancelación de ruido por menos de 200 dólares, el modelo consulta la web en tiempo real y ofrece una respuesta. Precisamente esa cadena es la que pone a prueba el nuevo benchmark FORGE: hasta qué punto puede envenenarse. Si alguien construye deliberadamente una página para engañar al modelo, ¿terminará este promocionando un producto que no existe?
El artículo se titula "One Polluted Page Is Enough", firmado por Minghao Luo y Liang Chen. Su segunda versión se actualizó el 24 de agosto, ya ha sido aceptado en EMNLP 2026 Findings, y tanto el benchmark como el código de evaluación están disponibles en GitHub.
27 % y 73,8 %
El método de FORGE es sencillo: se congelan páginas reales de resultados de búsqueda, se reescriben localmente los productos reales que muestran convirtiéndolos en un producto falso inexistente, y luego se mide con qué frecuencia el modelo recomienda ese producto falso. La prueba cubre 225 productos reales en 15 categorías y cinco escenarios de compra, evaluados sobre doce modelos, tanto comerciales como de peso abierto.
El resultado: los doce modelos caen en la trampa, sin excepción. Basta con envenenar una sola página para engañar a un modelo hasta en el 27 % de los casos; si se sustituyen los tres primeros resultados de búsqueda por páginas envenenadas, la cifra sube al 73,8 %.
Las diferencias entre categorías son notables: cuando un modelo carece de conocimiento previo estable sobre una categoría, es más fácil arrastrarlo. Tiene sentido: sobre un iPhone el modelo cuenta con toda una memoria acumulada, pero ante un deshumidificador de una marca poco conocida solo puede fiarse de las pocas líneas escritas en la página.
Con el razonamiento activado, la cosa empeora
El hallazgo más contraintuitivo del artículo: el razonamiento no mitiga esta vulnerabilidad, sino que a menudo fabrica pruebas sociales falsas para justificar la recomendación errónea. Una vez engañado, el modelo llega a defender activamente la legitimidad del producto falso, con una argumentación que suena incluso más convincente que una recomendación normal.
Los cuatro mecanismos de defensa probados tampoco funcionan bien. Añadir una instrucción que empuje al modelo a la desconfianza produce un efecto similar al del razonamiento, y en ocasiones agranda la vulnerabilidad; los dos métodos de filtrado por consenso terminan eliminando también los productos legítimos junto con los falsos; el reordenamiento por credibilidad ayuda a todos los modelos, pero solo elimina una sexta parte de los productos falsos.
Estos fallos ocurren de formas distintas, pero comparten algo: todos parchean a nivel de texto. Si se induce al modelo a desconfiar, esa desconfianza también recae sobre los productos legítimos; el filtrado por consenso exige que varias páginas se corroboren entre sí, y plantar tres páginas envenenadas no supone ninguna barrera para quien se dedica a esto. Mientras la capa de recuperación no se toque, cualquier ajuste posterior es solo aritmética sobre los mismos datos ya envenenados.
Otro detalle incómodo: entre los doce modelos hay tanto comerciales cerrados como de peso abierto, y no se abre ninguna brecha entre ambos grupos. El problema radica en una premisa compartida: que una página web recuperada es de confianza por defecto. Todos los productos construidos sobre RAG se apoyan en ese supuesto, y ningún ajuste de alineación, por fino que sea, puede compensarlo.
La siguiente etapa de la guerra del SEO
Los autores clasifican este tipo de manipulación como GEO, optimización para motores generativos, la versión actualizada del SEO. La lógica es la misma: el SEO buscaba colocar una página ante los ojos humanos, el GEO busca ahora meterla en el contexto de un modelo. La diferencia está en el coste: basta una sola página, y ni siquiera necesita ocupar el primer puesto.
La exposición es mayor de lo que parece, porque la búsqueda con IA y los asistentes de compra con IA ya funcionan ampliamente bajo el esquema de "recuperar y resumir", y el conjunto de páginas consultadas está lleno de contenido de marketing creado únicamente para posicionar. Echando cuentas: si el coste marginal de envenenar una página se mide en pocas decenas de dólares, y el producto objetivo cuesta varios cientos, los actores de sombrero negro tienen pocas razones para no intentarlo.
La conclusión realmente aprovechable del artículo es esa sexta parte: el reordenamiento por credibilidad funciona, pero está lejos de ser suficiente. Para avanzar, el criterio de evaluación tendría que pasar de "el modelo confía en este dominio" a "cuántas fuentes mutuamente independientes respaldan esta afirmación". Por ahora, nadie ha llevado esto a un producto.
Fuentes: artículo de arXiv "One Polluted Page Is Enough", CocoLoop, repositorio de FORGE en GitHub, información sobre su aceptación en EMNLP 2026 Findings; las tasas de engaño del 27 % y el 73,8 %, así como las cifras de 225 productos, 15 categorías y 12 modelos, se han verificado con el resumen del artículo.