検索拡張型の大規模言語モデルは、買い物選びという日常的な作業を静かに担うようになっている。「3万円以内のノイズキャンセリングヘッドホン」と聞けば、モデルはその場でウェブを検索し、答えを返す。新しいベンチマーク「FORGE」が測ろうとしているのは、まさにこの経路がどこまで汚染に耐えられるかだ――もし誰かがモデルを欺くためだけにページを作ったら、モデルは存在しない製品を勧めてしまうのか。
論文タイトルは「One Polluted Page Is Enough」。著者はMinghao LuoとLiang Chen。8月24日に第2版が更新され、EMNLP 2026 Findingsに採択済みで、ベンチマークと評価コードはGitHubで公開されている。
27%と73.8%
FORGEの手法はシンプルだ。実在する検索結果ページを固定し、そこに載っている本物の製品名をローカルで存在しない偽製品に書き換え、モデルがその偽製品をどれだけの確率で推薦するかを見る。テストは15カテゴリー・5つの購買シーンにわたる225の実在製品を対象に、商用・オープンウェイトを含む12モデルで実施された。
結果は12モデル全てが例外なく引っかかった。汚染したページが1枚だけでも、最大27%の確率でモデルを欺けた。検索結果の上位3件すべてを汚染ページに置き換えると、この数字は73.8%まで上がる。
カテゴリーによる差は明確だ。モデルがある種の製品について安定した事前知識を持たない場合、より簡単に誘導されてしまう。これは理屈が通る話で、iPhoneについてはモデルは一通りの記憶を持っているが、ニッチブランドの除湿機についてはページに書かれている数行の記述しか信じる材料がない。
推論をオンにすると、むしろ悪化する
論文で最も直感に反する指摘は、推論機能がこの脆弱性を緩和するどころか、しばしば架空の社会的証明を作り出して誤った推薦を正当化してしまう点だ。騙された後、モデルは自ら偽製品の妥当性を論証し直し、その文章は通常の推薦よりもむしろ説得力があるように読める。
試された4種類の防御策はいずれも効果が不十分だった。モデルに疑念を持たせるプロンプトを加えても、推論と似た効果しか得られず、むしろ脆弱性を広げる場合もあった。2種類の合意フィルタリングは、正当な製品まで一緒に排除してしまった。信頼度による再ランキングはどのモデルにも一定の効果があったが、偽製品の6分の1しか取り除けなかった。
これらの防御策はそれぞれ違う形で失敗しているが、共通しているのはすべてテキスト層でのパッチにすぎないという点だ。プロンプトでモデルを疑い深くさせれば、モデルはその疑いを正当な製品にも向けてしまう。合意フィルタリングは複数のページが互いに裏付け合うことを前提にしているが、汚染ページを3枚用意することは、この手口をやる側にとって何のハードルにもならない。検索という入り口そのものを変えない限り、後段でどう調整しても、同じ汚染された入力に対する計算をしているだけだ。
もう一つ気になる点がある。12モデルには商用のクローズドソースとオープンウェイトの両方が含まれていたが、両者の間に差は開かなかった。原因は共通の前提にある――「検索されたウェブページはデフォルトで信頼できる」というものだ。RAGという方式に乗っている製品はすべてこの前提の上に成り立っており、どれだけアライメントを細かく詰めても、この前提自体は救えない。
SEO戦争の次のステージ
著者はこの種の手口をGEO(生成エンジン最適化)と呼ぶ。検索エンジン最適化(SEO)の焼き直しだ。論理は同じで、かつてのSEOはページを人の目の前に表示させるためのものだったが、今のGEOはページをモデルのコンテキストに入れ込むためのものだ。違いはコストで、ページ1枚あれば十分で、1位に表示される必要すらない。
この露出面は想像より大きい。国内のAI検索やAIショッピングアシスタントはすでに「検索してから要約する」という経路を広く採用しており、検索対象となるコンテンツプール自体に、ランキング目的で作られたマーケティングページが大量に混在している。ざっと計算すれば、1ページを汚染するコストが数千円程度で、対象製品の単価が数万円に達するなら、ブラックハットをやる側が試さない理由はほとんどない。
この論文で実際に使える結論は、あの6分の1という数字だ――信頼度による再ランキングは効果があるが、まだ全く足りない。前に進むには、判断基準を「モデルがこのドメインを信じるか」から「この主張を裏付ける独立した出典がいくつあるか」へ移す必要がある。今のところ、それを製品に組み込んだ例はまだない。
参考資料：arXiv論文「One Polluted Page Is Enough」、CocoLoop、FORGEオープンソースリポジトリ、EMNLP 2026 Findings採択情報。27%と73.8%という2つの被害率、225製品・15カテゴリー・12モデルという規模データはいずれも論文の要旨に基づく。