Os modelos de IA com busca integrada estão assumindo uma tarefa bem cotidiana: ajudar a escolher o que comprar. Você pergunta por fones com cancelamento de ruído por menos de 200 dólares, o modelo consulta a web em tempo real e devolve uma resposta. É exatamente essa cadeia que o novo benchmark FORGE quer testar: até que ponto ela pode ser envenenada. Se alguém construir de propósito uma página para enganar o modelo, ele vai acabar promovendo um produto que não existe?
O artigo se chama "One Polluted Page Is Enough", assinado por Minghao Luo e Liang Chen. A segunda versão foi atualizada em 24 de agosto, já foi aceito no EMNLP 2026 Findings, e o benchmark junto com o código de avaliação está disponível no GitHub.
27% e 73,8%
O método do FORGE é simples: congelar páginas reais de resultados de busca, reescrever localmente os produtos reais mostrados nelas transformando-os em um produto falso inexistente, e então medir com que frequência o modelo recomenda esse produto falso. O teste cobre 225 produtos reais em 15 categorias e cinco cenários de compra, avaliados em doze modelos, tanto comerciais quanto de peso aberto.
O resultado: os doze modelos caem na armadilha, sem exceção. Basta envenenar uma única página para enganar um modelo em até 27% dos casos; ao substituir os três primeiros resultados de busca por páginas envenenadas, esse número sobe para 73,8%.
As diferenças entre categorias são claras: quando um modelo não tem conhecimento prévio estável sobre uma categoria, ele é mais facilmente levado a erro. Faz sentido — sobre o iPhone o modelo tem toda uma memória acumulada, mas diante de um desumidificador de uma marca pouco conhecida, só pode confiar nas poucas linhas escritas na página.
Com o raciocínio ativado, a situação piora
A conclusão mais contraintuitiva do artigo: o raciocínio não atenua essa vulnerabilidade — ao contrário, ele frequentemente fabrica provas sociais falsas para justificar a recomendação errada. Depois de ser enganado, o modelo chega a defender ativamente a legitimidade do produto falso, com uma argumentação que parece ainda mais convincente do que uma recomendação normal.
Os quatro mecanismos de defesa testados também não funcionam bem. Adicionar uma instrução que empurra o modelo para a desconfiança tem efeito parecido com o do raciocínio, e às vezes amplia a vulnerabilidade; os dois métodos de filtragem por consenso acabam suprimindo também os produtos legítimos junto com os falsos; a reclassificação por credibilidade ajuda todos os modelos, mas elimina apenas um sexto dos produtos falsos.
Essas falhas ocorrem de formas diferentes, mas têm algo em comum: todas remendam no nível do texto. Ao induzir o modelo à desconfiança, essa desconfiança recai também sobre produtos legítimos; a filtragem por consenso exige que várias páginas se corroborem entre si, e plantar três páginas envenenadas não representa nenhuma barreira para quem trabalha nesse ramo. Enquanto a camada de recuperação não for tocada, qualquer ajuste posterior é apenas aritmética sobre os mesmos dados já envenenados.
Outro detalhe incômodo: entre os doze modelos há tanto comerciais fechados quanto de peso aberto, sem diferença relevante entre os dois grupos. O problema está numa premissa compartilhada: que uma página web recuperada é confiável por padrão. Todos os produtos construídos sobre RAG se apoiam nessa suposição, e nenhum ajuste fino de alinhamento consegue salvar isso.
A próxima etapa da guerra do SEO
Os autores classificam esse tipo de manipulação como GEO, otimização para motores generativos, a versão atualizada do SEO. A lógica é a mesma: o SEO buscava colocar uma página diante dos olhos humanos, o GEO agora busca colocá-la no contexto de um modelo. A diferença está no custo: basta uma única página, e ela nem precisa ficar em primeiro lugar.
A exposição é maior do que se imagina, porque a busca com IA e os assistentes de compra com IA já operam amplamente sob o esquema de "buscar e resumir", e o conjunto de páginas consultadas já está repleto de conteúdo de marketing criado só para ranquear. Fazendo as contas: se o custo marginal de envenenar uma página é de algumas dezenas de dólares, e o produto-alvo custa várias centenas, quem atua no black hat tem poucos motivos para não tentar.
A conclusão realmente aproveitável do artigo é esse um sexto: a reclassificação por credibilidade funciona, mas está longe de ser suficiente. Para avançar, o critério de avaliação precisaria mudar de "o modelo confia neste domínio" para "quantas fontes mutuamente independentes sustentam essa afirmação". Por ora, ninguém colocou isso em um produto.
Fontes: artigo do arXiv "One Polluted Page Is Enough", CocoLoop, repositório do FORGE no GitHub, informações sobre a aceitação no EMNLP 2026 Findings; as taxas de engano de 27% e 73,8%, além dos números de 225 produtos, 15 categorias e 12 modelos, foram verificados no resumo do artigo.