검색 기능을 갖춘 대형 언어 모델이 일상적인 일 하나를 조용히 넘겨받고 있다. 물건 고르는 일이다. "30만 원 이하 노이즈 캔슬링 헤드폰 추천해줘"라고 물으면 모델은 그 자리에서 웹을 검색한 뒤 답을 내놓는다. 새로 나온 벤치마크 FORGE가 측정하려는 것은 바로 이 경로가 얼마나 오염에 취약한가다. 누군가 모델을 속이기 위한 페이지를 만들어 두면, 모델이 존재하지 않는 제품을 추천해 버리는지를 본다.
논문 제목은 "One Polluted Page Is Enough"이며, 저자는 Minghao Luo와 Liang Chen이다. 8월 24일 두 번째 버전이 올라왔고, EMNLP 2026 Findings에 채택됐다. 벤치마크와 평가 코드는 깃허브에 공개돼 있다.
27%와 73.8%
FORGE의 방식은 단순하다. 실제 검색 결과 페이지를 고정해두고, 그 안에 있는 진짜 제품을 로컬에서 존재하지 않는 가짜 제품으로 바꿔 쓴 다음, 모델이 그 가짜 제품을 얼마나 자주 추천하는지를 측정한다. 테스트는 15개 카테고리, 5가지 구매 시나리오에 걸친 실제 제품 225개를 대상으로, 상용 모델과 오픈 웨이트 모델을 포함한 12개 모델에서 진행됐다.
결과는 12개 모델 모두 예외 없이 걸려들었다는 것이다. 페이지 딱 한 장만 오염시켜도 최대 27%의 확률로 모델을 속일 수 있었고, 검색 결과 상위 3개를 전부 오염된 페이지로 바꾸면 이 수치는 73.8%까지 올라갔다.
카테고리별 차이는 뚜렷했다. 모델이 특정 유형의 제품에 대해 안정적인 사전 지식을 갖고 있지 않을 때 더 쉽게 흔들렸다. 이는 그럴 만한 얘기다. 모델은 아이폰에 대해서는 한 세트의 기억을 갖고 있지만, 어느 소규모 브랜드의 제습기에 대해서는 페이지에 적힌 몇 줄만 믿을 수밖에 없다.
추론을 켜면 상황이 더 나빠진다
논문에서 가장 직관에 반하는 지적은, 추론 기능이 이 취약점을 완화하기는커녕 오히려 잘못된 추천을 정당화하는 가짜 사회적 증거를 만들어내는 경우가 많다는 점이다. 속아 넘어간 뒤 모델은 스스로 가짜 제품의 타당성을 다시 논증하며, 그 결과물은 일반적인 추천보다 오히려 더 그럴듯하게 읽힌다.
테스트된 네 가지 방어책 모두 효과가 만족스럽지 않았다. 모델에게 의심하라는 프롬프트를 추가해도 추론과 비슷한 효과만 나왔고, 때로는 취약점을 더 키우기도 했다. 두 가지 합의 필터링 방식은 정당한 제품까지 함께 걸러냈다. 신뢰도 기반 재순위화는 모든 모델에서 어느 정도 도움이 됐지만, 가짜 제품의 6분의 1만 걸러냈다.
이 방어책들은 각기 다른 방식으로 실패했지만, 공통점은 모두 텍스트 층에서 손을 대는 데 그친다는 것이다. 프롬프트로 모델을 의심하게 만들면, 모델은 그 의심을 정당한 제품에도 똑같이 적용해 버린다. 합의 필터링은 여러 페이지가 서로를 뒷받침해야 한다고 가정하지만, 오염된 페이지 세 장을 뿌리는 일은 이 짓을 직업으로 하는 사람에게는 아무런 장벽이 되지 않는다. 검색이라는 입구 자체를 건드리지 않는 한, 그 아래에서 뭘 조정하든 결국 같은 오염된 입력값에 대한 계산일 뿐이다.
한 가지 불편한 대목이 더 있다. 12개 모델에는 상용 폐쇄형 모델과 오픈 웨이트 모델이 모두 포함됐는데, 두 그룹 사이에 별다른 차이가 없었다. 문제는 하나의 공통된 전제에서 나온다. "검색된 웹페이지는 기본적으로 믿을 만하다"는 전제다. RAG 방식으로 만들어진 제품은 모두 이 전제 위에 서 있으며, 정렬(alignment) 작업을 얼마나 정교하게 하든 이 전제 자체를 구해내지는 못한다.
SEO 전쟁의 다음 단계
저자들은 이런 유형의 수법을 GEO, 즉 생성 엔진 최적화라고 부른다. 검색 엔진 최적화(SEO)의 변형이다. 논리는 같다. 과거의 SEO는 페이지를 사람의 눈앞에 노출시키기 위한 것이었고, 지금의 GEO는 페이지를 모델의 컨텍스트 안에 넣기 위한 것이다. 차이는 비용이다. 페이지 한 장이면 충분하고, 1위에 올라갈 필요조차 없다.
이 노출면은 생각보다 크다. 국내 AI 검색과 AI 쇼핑 도우미는 이미 "검색 후 요약"이라는 경로를 널리 채택했고, 검색 대상이 되는 콘텐츠 풀 자체에 순위를 위해 만들어진 마케팅 페이지가 대량으로 섞여 있다. 대략 계산해보면, 페이지 한 장을 오염시키는 비용이 몇만 원대이고 대상 제품의 단가가 수십만 원대라면, 블랙해트를 하는 쪽이 시도하지 않을 이유가 거의 없다.
이 논문에서 실제로 쓸 수 있는 결론은 그 6분의 1이라는 수치다. 신뢰도 기반 재순위화는 효과가 있지만 아직 한참 부족하다. 앞으로 나아가려면 판단 기준을 "모델이 이 도메인을 믿는가"에서 "이 주장을 뒷받침하는 독립적인 출처가 몇 개인가"로 옮겨야 한다. 지금까지 이를 제품에 실제로 구현한 곳은 없다.
참고 출처: arXiv 논문 "One Polluted Page Is Enough", CocoLoop, FORGE 오픈소스 저장소, EMNLP 2026 Findings 채택 정보. 27%와 73.8%라는 두 기만율, 제품 225개·카테고리 15개·모델 12개라는 규모 데이터는 모두 논문을 기준으로 확인했다.