Dark Sourcery：被投毒的网页、374 个品牌，以及无人核查的答案

2026年9月23日，安全公司Vigilance Security发布研究，描述了一场它称为Dark Sourcery的活跃活动：攻击者向开放网络大量投放经过优化的帖子、PDF、评论和虚假支持页面，使ChatGPT、Google Gemini和Google AI Overviews将欺诈性电话号码、电子邮件地址和登录页面作为公司的官方联系方式返回。Dark Reading同日报道了这项研究，并指出Delta、Lufthansa、Qatar Airways、Chase、Bank of America、Airbnb和TripAdvisor等至少374家公司卷入其中，其背后有数万个恶意页面。没有任何模型遭到入侵——被投毒的页面只是模型读取到的内容，而欺诈则带着助手自身的可信度到来。本条记录是the OrcaRouter AI Incident Archive中的一项，该档案以与此处相同的字段追踪AI事件和研究发现：严重性、置信度、争议状态和实际危害。

Vigilance Security 实际发布了什么

这项研究是 Vigilance 研究副总裁 Ariel Simon 在 Medium 上发布的一篇文章，题为《Dark Sourcery：黑客如何操纵 AI 来诈骗你》，发布于 2026 年 9 月 23 日。Dark Reading 的报道由特约撰稿人 Elizabeth Montalbano 撰写，时间戳为当天 14:47 UTC，直接链接到该文，并通篇引用了 Simon 的话。这篇文章描述的是一种内容操作，而非漏洞利用：没有利用任何漏洞，攻击者没有直接窃取任何凭据，也没有向模型发送任何模型能够学会拒绝的内容。

Vigilance 表示，它已识别出“数万个恶意页面”，这些页面包含虚假的支持电话号码、电子邮件地址、登录页面、软件更新信息及其他欺诈性细节，旨在影响聊天机器人的表述。它称受影响公司的数量“至少为 374 家”，据说包括《财富》100 强组织、大型航空公司、银行、旅游公司和软件提供商。Dark Reading 报告中点名的品牌包括 Delta、Lufthansa、Qatar Airways、Chase、Bank of America、Airbnb 和 TripAdvisor。

无论是研究帖文还是后续报道，都没有给出按品牌划分的明细——哪个虚假数字属于哪家公司、有多少投毒页面是针对每个品牌的，以及任何单个页面是何时上线的。374这一数字是作为总数呈现的，记录也以同样的方式沿用它。

西蒙还引用了Exploding Topics于2026年8月发表的一项研究，该研究发现，使用AI聊天机器人的人中有91%不会核实所提供的答案。这个数字是这场活动的前提，而非其测量结果：它在研究中被引用，并被Dark Reading和IANS反复提及，而本文所审查的任何报道均未描述其自身的方法论。用西蒙的话说，“如果攻击者控制了AI，而我们又盲目信任它，那他们实际上就控制了我们。”

投毒是如何构建的

该机制分为三部分，而按任何常规理解，只有第一部分属于攻击者。首先，向网络中投放陈述虚假联系方式的网页。其次，让这些网页看起来像是来自检索系统应当信任的某个来源。第三，让助手去完成引用。

第二步是 Vigilance 最为强调的环节。“我们怀疑，高权威域名（大学、政府）与舆论来源（社交媒体、论坛、用户评论）相结合，在污染 AI 回答方面取得了很高的成功率，”Simon 对 Dark Reading 表示。“取决于模型，如果内容来自权威实体，AI 会查看来源并更加信任该内容。”这是对借用声誉的描述：一个被攻陷或被滥用的大学页面提供了权威性，而零散的论坛帖子和评论则提供了该说法在其他地方得到佐证的表象。

Ground Truth是一家核查AI说法与其来源的媒体机构，它总结了Simon帖子中列出的信息植入手法：相同或相似的虚假联系方式散布在用户生成的帖子、PDF、托管页面、评论、筹款与招聘平台以及问答式内容中；细节经过调整以便检索，使用重复的格式以及“24/7”和“更新于2026”之类的短语；同一个电话号码用空格、点、表情符号、Unicode形近字符或拼写出的单词来呈现。最后一种手法一举两得——它既能躲过重复字符串检测，又能让模型仍然读出一个号码。Ground Truth精准概括了其目标：不是单个病毒式传播的页面，而是“独立佐证的表象”。

GIGAZINE对该研究的报道提供了一个具体例证：一篇伪造的惠普打印机支持帖子及其配图，其中附带的电话号码并非惠普所有。这只是一个说明此类模式的示例，而非经过审计的案例，并且该媒体将此归因于Vigilance的研究，而非其自身的调查。

不是提示注入——但被那样记录了

这一区别很重要，Simon明确指出了这一点。Dark Reading引用他的话说，该行动不同于提示注入，“因为它不涉及攻击者向AI给出明确指令或提示，而这些可能会被AI防御措施挫败。”他更尖锐的表述是：“在这里，被当作事实展示的虚假信息使AI用虚假信息回答用户，而从未遵循攻击者的任何指令/提示，实质上绕过了所有防御。”

它也有别于训练数据投毒——后者破坏的是模型在部署前学到的东西。而这里的一切都发生在检索时，针对的是实时网络，且是在模型上线之后——这正是为什么重新训练无法修复它，也正是为什么即使把被投毒的页面撤下，答案也未必会改变。

档案馆将这条记录归档在 IPI 下，也就是它的间接提示注入标签。仔细阅读：该标签与研究描述的是相邻但不相同的事情：IPI 涵盖的是间接到达模型的内容，即位于模型被要求处理的材料之中，而不是由其用户键入的内容。Dark Sourcery 是移除了指令的那个通道——其载荷是一个事实，而不是一条命令。该标签是关于通道的归档决定；Simon 的叙述是关于载荷的主张，二者并不冲突。不应将该标签解读为断言已投递了攻击者提示，因为按照该研究自身的叙述，并没有任何此类提示被投递。

记录确立了什么，以及没有确立什么

档案将这条记录评为 B 级——有文献记载，但来源单一或为二手来源——而这个评级正是其中最有价值的部分。此处所审查的报道内容与该项研究并无矛盾。问题不在于矛盾；而在于证据链仅有一份文献的宽度。

• 已确认：Vigilance Security 于2026年9月23日以 Simon 的名义发表了该研究，其中提出了上述主张——374家公司、数万页文件、被点名的品牌、相关机制，以及借用权威的策略。

• 已确认：Dark Reading 于同日报道了该研究；五天内，IANS（9月24日）、GIGAZINE 和 Ground Truth（9月25日）、援引以色列媒体 Israel Defense 的 NEWSru.co.il（9月27日），以及 Aviatrix（9月23日）和 Kronus Intelligence Group（9月28日）的厂商研究页面也进行了报道。

• 由此无法确立：独立验证。那些文章每一篇都可追溯到 Simon 的帖子或 Dark Reading 对此的报道，因此它们是在传播这些说法，而不是检验它们。该档案自身引用的第二个 URL——bestsec.net——是一个每日更新的网络安全新闻摘要；2026 年 10 月 26 日，其首页上没有 Dark Sourcery 条目，因此 Dark Reading 的那篇文章才是持久可用的引证。

• 尚未确立：规模。Ground Truth 明确表示，“披露中关于 374 家受影响公司和数万页内容的说法尚未经过独立审计”，并且没有发布任何公开数据集、恶意页面语料库或可复现的查询日志。Kronus Intelligence Group 9 月 28 日的分析得出了相同结论，并提出了一个有用的标签：将机制描述为已确立，而将规模描述为“已报告但未经核实”。

• 未证实：按照研究人员自己的说法，可复现性尚未确立。Ground Truth 报道称，Simon 将这些结果描述为统计性的，并表示并非每次运行查询都能复现。这是检索增强系统的一种常见特性——排名、模型版本、地点、时机和措辞都会发生变化——这也正是该发现无法按需演示的原因。

• 尚未确定：损害规模。该档案将实际损害记录为存在，但其依据很有限。西蒙告诉 Dark Reading，Vigilance 曾见过“少数几起”案例，有人抱怨因聊天机器人回答中提供的欺诈号码而被骗交出支付信息或支付卡数据。研究人员还亲自拨打了一些假号码，联系到一名代表，对方提出可以“帮我们改签航班”或“解锁我们的银行账户”，随后索要卡片信息。没有点名任何受害者，没有量化任何损失，也没有引用任何投诉或执法行动。

• 无争议：档案将该条目记录为未受质疑，这一点经得起检验——报道中悬而未决的问题属于披露内容的遗漏，而非对披露内容的分歧。

两个平台说了什么

据 NEWSru.co.il 援引 Israel Defense 报道，研究人员向两家厂商都通报了这一行为。谷歌方面所表明的立场是，此类虚假信息不属于其漏洞披露计划的范围。据报道，OpenAI 以“鉴于语言模型响应的可变性，相关发现无法被可靠复现”为由关闭了该报告。这两段概述均为转述：文章既未点名任何一家公司的发言人，也未给出直接引语，亦未注明回应的日期。

两个回应都没有否认被投毒的答案存在。若将其视为分诊决策而非反驳，二者至少各自内部自洽——漏洞赏金本就旨在奖励代码中可复现的缺陷，而这既不能按需复现，也不是代码缺陷。被投毒的页面在别人的网站上。这次交锋真正表明的是一个缺口：伤害真实到足以产生受害者，行为又多变到无法通过复现测试，因此它落在“安全漏洞”与“内容问题”之间的地带，而那里没有任何披露渠道在等着它。

截至Kronus 9月28日的分析，OpenAI和Google均未公开证实或反驳374家公司这一数字，而在本文所审阅的任何报道中，也均未出现这两家公司任何一方的声明。

后来发生了什么变化？

作为回应，尚未宣布任何平台变更。在9月23日发布时，该活动被描述为仍在进行中，而西蒙自己的评估是，相关核算尚未完成：“我们认为这些骗局的真正影响正在当下发生，而我们仍无法完全理解或衡量其全部影响。”

取而代之的是建议。据 Dark Reading 报道，Simon 的建议分为三个方向。对用户而言：要核实助手告诉你的内容，而不是将其视为绝对可信。对品牌而言：认真对待客户关于诈骗的投诉，监测客户实际收到的 AI 回答以及这些回答引用的来源，并优先关注错误号码会带来高昂代价的类别——支持、账户恢复、退款、支付和软件下载。对运行智能体的组织而言：在运行时进行监控，核实进入模型上下文的每一个来源和每一部分内容，并在据此采取行动前检查关键细节——电话号码、链接、软件包、命令行。他建议的比对步骤是刻意手动进行的：“将返回的电话号码、电子邮件地址和 URL 与经过验证的公司记录进行比对，然后调查不熟悉的细节以及在不相关网站上重复出现的迹象。”

IANS 将同样的建议提交给其师资评审，Josh More 将这场行动归入一个谱系——“我们在搜索引擎上已经见过这种做法很多年了”——而 George Gerchow 则把其机制浓缩成一句值得记住的话：“没有人闯入模型。他们只是在它信任的来源中埋下种子，然后让它自己说话。聊天机器人没有被黑；它是被投喂了。”IANS 的师资建议在核查建议之外，增加了品牌监测和对智能体自主性的限制，而它们没有一项构成真正的修复。

为什么这份记录值得保留

搜索结果投毒由来已久。这份记录所描述的，是搜索结果不再成为用户所看到之物的那个节点。在传统版本中，受害者会落到一个页面上，而页面本身就是证据——拼写错误百出、托管位置古怪、明显不是那家银行。在这里，页面从未被渲染。模型读取它、认同它，并写下一句以品牌名称开头、以攻击者的号码结尾的话。引用可能还在，但引用通常所支撑的那个判断，已经由某种不会疲倦、也不会起疑的东西做出了。

这也是为什么记录中的置信度评级是在发挥实际作用，而不是在做例行整理。该机制本身并无严重疑问——检索增强系统就是这样构建的，撰写相关内容的行业分析师一看到就认为它合理可信。存疑的是规模，而且在有人发布语料库或查询日志之前，这种疑问会一直存在。单一公司的测量结果，经由全都引用同一篇帖子的媒体传播，既构成了记录该事件的理由，也构成了不应把这个数字当作已被重复统计过一样复述的理由。

档案自身的定性将其列为高严重性，已确认涉及 AI，记录了真实损害，且未附带任何争议。该条目真正记录的是信任的转移：品牌声誉是原材料，助手的流畅表达是交付机制，而本可发现问题的那一步核验，据称正是 91% 的用户会跳过的一步。