黑色星期五购物季前夕，消费者越来越习惯向AI助手询问哪里能买到正品或折扣商品，但屏幕上带引文角标的链接可能直接通向钓鱼网站。2026年11月12日，《The Verge》记者Mia Sato披露了品牌保护公司Podqi联合AI搜索公司Gauge开展的一项测试：在未登录的消费级版本下，研究人员围绕Lululemon、Birkenstock、Stüssy、Madhappy和Le Creuset等151个大小品牌设计了5个购物提问模板，于2026年9月分两波收集了ChatGPT、Gemini和Perplexity共6,795个回答（每个系统2,265个）。测试发现，三大工具跨系统平均有约9%的回答向用户暴露了高风险网站。
这一结果击中了AI大厂将聊天机器人包装为电商导流入口的核心叙事，但表面数字与真实网购风险之间存在两层落差。拆解Podqi的原始数据与近期安全学界的研究可以发现，所谓高风险链接中有超过一半其实是失效死链，部分提及甚至是AI在主动警告用户防骗；而真正在背后作祟的并非大模型底层参数被篡改，而是实时检索增强生成（RAG）机制在面对长尾黑帽SEO时缺乏免疫力。
拆解9%平均暴露率：死链占半数，长尾提问放大风险
单看媒体标题，读者很容易得出AI满嘴跑火车、每十次导购就有一次把人往火坑里推的印象，但Podqi审查的4,437个域名样本展现了另一番结构。研究团队共将其中的718个高风险域名纳入统计，这里面真正仿冒正规零售商或售卖假货的假冒网站有351个，而另外367个其实是失效死链——即已经被弃用、尚未被他人重新激活但存在被抢注风险的旧品牌域名。
把暴露高风险链接直接等同于推荐假网站，同样混淆了AI在对话中的实际态度。在暴露了风险网站的回答中，属于正向推荐的占57%，有34%只是不置可否的中立提及，还有9%的案例是AI明确警告用户避开该欺诈网站。在这方面，ChatGPT表现出了最高的警惕性，在其浮现的每一个风险网站中，有24%的概率会同步向用户发出警告。
测试方法本身的构造也放大了这一比例。Podqi与Gauge并未抽样真实用户的日常对话，而是人工设计了5个固定提问模板，不仅未披露151个品牌是否随机抽取及具体模型版本号，还专门包含了询问国际直邮渠道和区域性子网站等高危长尾问题。当品牌本身根本没有海外区域站点时，AI为了强行回答问题，踩中假冒区域网站的频率显著飙升；且小品牌的受灾概率大约是大品牌的两倍。
为什么主打精准引文的Perplexity暴露率是Gemini的近四倍
横向对比三家产品的数据可以发现一个反常现象：向来以精准搜索和引文溯源为卖点的Perplexity表现最差，在15%的回答中展示了风险网站，甚至在一次对话中把错误页面指认为街头服饰品牌Stüssy的官方网站，并称其为正品保障的最佳起点；ChatGPT以8%居中，而Google旗下的Gemini暴露率最低，仅为4%。
这种悬殊并非孤例，近半年的多项独立安全调查都指向了同一个结构性短板。2026年8月3日，网络安全公司Netcraft测试了ChatGPT、Copilot、Gemini和Perplexity的2,905个回答（含20,706个链接），发现1.7%的回答包含恶意链接，其中同样是Perplexity返回的恶意结果最多。到了2026年11月4日，NordVPN的调查又挖出一个包含超过10,000个假冒购物域名的庞大黑产网络，共仿冒了166个品牌；Perplexity将其中的两个假店铺推荐为值得信赖的渠道，ChatGPT和Gemini也引用了该网络中的其他假店铺。更早之前的2026年6月，Ask Silver及英国国家贸易标准局（National Trading Standards）就曾警告，AI搜索推荐中出现了仿冒鞋履品牌Russell & Bromley和家居品牌Dunelm的克隆零售网站。
越依赖实时抓取全网长尾网页的RAG系统，越容易踩中黑产蜜罐。
Perplexity发言人Jesse Dwyer回应称，该产品四年来在权威研究基准上一直是最准确的AI，虽不宣称100%准确，但始终专注于此。然而，正是因为Perplexity高度依赖实时抓取全网网页来拼接答案，当用户询问冷门购买渠道时，它缺乏Google在传统搜索领域积累多年的庞大域名信誉库与反钓鱼过滤层，更容易把刚上线不久的克隆网站当成有效信源抓取进来。
检索层沦为黑帽SEO提款机，13个词就能劫持推荐逻辑
面对频频出现的假网站，外界最容易产生的误解是AI大模型在训练阶段被黑客植入了木马。事实上，《卫报》（The Guardian）就曾在2026年6月12日专门刊登修正声明，撤回了此前报道中关于底层AI模型本身被投毒的暗示。独立安全研究者反复强调，必须将训练数据投毒与检索内容污染严格区分开来。
这一轮AI导购翻车，本质上是传统黑帽SEO在RAG时代的借尸还魂。早在2024年10月31日，安全机构HUMAN Security发布的Phish ’n’ Ships报告就曾拆解过底层黑产机制，记录了攻击者如何利用超过1,000个被攻陷的合法网站和121个假店铺来操纵传统搜索引擎排名。如今，这套打法直接无缝迁移到了AI检索层。
两项前沿学术研究量化了RAG管线在面对恶意网页时的脆弱程度。2026年6月发布并于8月24日修订的FORGE基准测试了12个模型对15个类别、225种产品的推荐表现，发现在检索证据中仅仅污染1个页面，最高就能使模型推荐虚构品牌的成功率达到27%；如果替换前3个检索页面，成功率更是飙升至73.8%。而在2026年5月22日发布的WARP研究中，学者发现在检索到的用户生成内容里只需添加约13个词，在单一URL暴露条件下，就能让STORM等深度研究Agent以38%至51%的概率提及攻击者指定的实体。
围绕这一漏洞，各方已经展开了新一轮博弈。Podqi（其中被测品牌Madhappy就是其客户）与Gauge等品牌保护与AI监测公司借机跑马圈地，迫使各大消费品牌在传统的搜索引擎保护预算之外，额外掏钱采购针对AI答案的监控服务。而在AI厂商一侧，Google发言人Jessica Levis Boord表示很高兴看到Gemini在测试中表现最好，并强调会在回答旁展示来源链接以便用户核实；OpenAI发言人Taya Christianson及公司在2026年6月11日更新的另一份购物诈骗报告中均承认，ChatGPT购物结果中出现了潜在欺诈网站，目前已对识别出的网站采取行动并持续升级安全护栏。
- 提醒.正如Podqi首席执行官兼联合创始人Trevor West所言，消费者在黑五期间使用AI比价或寻找冷门海淘渠道时，切勿因为链接带有AI引文角标就视同官方背书，在输入信用卡号或个人信息前，最好回到传统搜索或品牌官方渠道二次核验域名真伪。
- 结论.AI助手想要真正接管电商收银台，光靠提升大模型推理能力无济于事，接下来谁能在RAG检索管线中建立起毫秒级的实时域名信誉过滤与商户白名单机制，谁才能守住商业化的信任底线。