Model bahasa besar yang dilengkapi pencarian kini diam-diam mengambil alih satu hal yang sangat sehari-hari: membantu orang memilih barang. Tanya "headphone noise-cancelling di bawah 2 juta", modelnya langsung mencari di web, lalu memberi jawaban. Benchmark baru bernama FORGE dibuat untuk mengukur seberapa jauh jalur ini bisa dirusak — jika ada pihak yang sengaja membuat halaman untuk menipu model, apakah model itu akan ikut merekomendasikan produk palsu.
Makalah berjudul "One Polluted Page Is Enough" ini ditulis oleh Minghao Luo dan Liang Chen. Versi keduanya dirilis 24 Agustus, dan penelitian ini sudah diterima di EMNLP 2026 Findings, dengan benchmark dan kode evaluasinya dirilis di GitHub.
27% dan 73,8%
Cara kerja FORGE sederhana: mengambil sejumlah halaman hasil pencarian asli, mengganti produk asli di halaman itu secara lokal dengan produk palsu yang tidak ada, lalu melihat seberapa besar kemungkinan model tetap merekomendasikan produk palsu itu. Pengujian mencakup 225 produk asli dari 15 kategori dan lima skenario belanja, dijalankan pada 12 model komersial dan open-weight.
Hasilnya, ke-12 model tanpa kecuali gagal. Meracuni satu halaman saja sudah cukup untuk menipu model hingga 27%; ketika tiga hasil pencarian teratas semuanya diganti dengan halaman beracun, angka itu naik menjadi 73,8%.
Perbedaan antar kategori cukup jelas: ketika model tidak punya pengetahuan awal yang kuat tentang jenis produk tertentu, model jauh lebih mudah digiring. Ini masuk akal — model punya banyak "hafalan" soal iPhone, tapi untuk dehumidifier dari merek yang kurang dikenal, model hanya bisa mengandalkan beberapa baris teks di halaman itu.
Mode reasoning justru memperburuk keadaan
Temuan paling berlawanan dengan intuisi dalam makalah ini: reasoning tidak menutup celah ini, malah kerap menciptakan bukti sosial palsu untuk membenarkan rekomendasi yang salah. Setelah tertipu, model bahkan secara aktif menyusun argumen yang masuk akal untuk produk palsu itu, dan hasilnya justru terbaca lebih meyakinkan dibanding rekomendasi normal.
Keempat metode pertahanan yang diuji sama-sama kurang efektif. Menambahkan prompt yang membuat model lebih curiga memberi efek serupa dengan reasoning, dan kadang malah memperlebar celahnya. Dua metode consensus filtering justru ikut menekan produk yang sah. Trustworthiness reranking membantu semua model sampai taraf tertentu, tapi hanya berhasil menyingkirkan seperenam dari produk palsu.
Keempat metode ini gagal dengan cara yang berbeda-beda, tapi punya satu kesamaan: semuanya hanya menambal di level teks. Prompt yang membuat model curiga, ujung-ujungnya membuat model curiga juga pada produk yang sah. Consensus filtering mengandalkan asumsi bahwa beberapa halaman harus saling menguatkan, padahal menyebar tiga halaman beracun sama sekali bukan hal yang sulit bagi pihak yang memang berniat melakukannya. Selama lapisan pencarian itu sendiri tidak diperbaiki, apa pun yang diubah di tahap berikutnya tetap hanya menghitung ulang dari input yang sama-sama sudah tercemar.
Ada satu detail lagi yang kurang nyaman: dari 12 model yang diuji, ada yang komersial tertutup dan ada yang open-weight, dan tidak ada perbedaan berarti di antara keduanya. Masalahnya berasal dari satu asumsi yang sama — bahwa halaman web hasil pencarian dianggap otomatis bisa dipercaya. Semua produk yang dibangun di atas pola RAG bersandar pada asumsi ini, dan seberapa pun rapi proses alignment yang dilakukan, asumsi dasarnya tetap tidak tertolong.
Babak selanjutnya dalam perang SEO
Para penulis mengelompokkan taktik semacam ini sebagai GEO — generative engine optimization, semacam versi baru dari SEO (search engine optimization). Logikanya sama: SEO dulu dibuat agar halaman muncul di depan mata manusia, GEO sekarang dibuat agar halaman masuk ke dalam context model AI. Bedanya ada di biaya — satu halaman saja sudah cukup, dan bahkan tidak perlu berada di posisi teratas.
Eksposur risiko ini lebih besar dari yang dibayangkan. Layanan pencarian AI dan asisten belanja AI di banyak pasar sudah lebih dulu mengadopsi pola "cari lalu rangkum" seperti ini, dan kumpulan konten yang dijadikan sumber pencarian sendiri sudah penuh dengan halaman marketing yang dibuat semata-mata untuk mengejar ranking. Kalau dihitung kasar, jika biaya meracuni satu halaman hanya beberapa ratus ribu rupiah sementara harga produk targetnya mencapai jutaan, hampir tidak ada alasan bagi pelaku black hat untuk tidak mencobanya.
Kesimpulan yang benar-benar bisa dipakai dari makalah ini adalah angka seperenam itu — trustworthiness reranking memang efektif, tapi masih jauh dari cukup. Untuk melangkah lebih jauh, standar penilaian perlu bergeser dari "apakah model mempercayai domain ini" menjadi "berapa banyak sumber independen yang mendukung klaim spesifik ini". Sampai sekarang, belum ada satu pun produk yang benar-benar menerapkan hal ini.
Sumber: makalah arXiv "One Polluted Page Is Enough", CocoLoop, repositori open-source FORGE, informasi penerimaan EMNLP 2026 Findings; dua angka tingkat keberhasilan penipuan 27% dan 73,8%, serta data skala 225 produk, 15 kategori, dan 12 model, semuanya dicocokkan dengan abstrak makalah.