Un estudio revela que basta con una sola página web falsa para engañar a los bots de compra basados en IA

Hemos configurado el flujo de trabajo de LLM potenciado por búsqueda ya implementado. Ambas cadenas comparten la misma estructura: consulta → búsqueda en la web en tiempo real → resultados de búsqueda → LLM → recomendación, y solo difieren en el punto de inyección de contenido falso. En el escenario GEO del mundo real (arriba), los operadores inyectan contenido falso en la parte inicial de la web en tiempo real. En nuestra simulación (parte inferior), por consideraciones éticas, reescribimos localmente un subconjunto de los resultados de búsqueda en lugar de contaminar la web en tiempo real. Crédito: arXiv (2026). DOI: 10.48550/arxiv.2606.13610

Los asistentes de compras basados en IA están proliferando por Internet, transformando la forma en que buscamos, comparamos y descubrimos productos. Sin embargo, estas útiles herramientas esconden un grave fallo de seguridad. Según un artículo publicado en el servidor de preimpresiones arXiv, una sola página web manipulada puede engañar a un asistente de IA para que recomiende un producto falso a clientes desprevenidos.

Dada la prevalencia de productos falsificados y reseñas falsas en Internet, los investigadores Minghao Luo y Liang Chen se propusieron comprobar con qué facilidad se puede engañar a los sistemas de IA con búsqueda integrada para que respalden marcas falsas.

Campo de pruebas de IA

Los investigadores crearon una herramienta de simulación llamada FORGE (Fake Online Recommendations in Generative Environments) para poner a prueba 12 modelos líderes de IA, entre ellos los de Anthropic, Google y OpenAI. Esto les permitió evaluar la contaminación del contenido web sin afectar a las páginas activas.

Utilizaron resultados de búsqueda reales —las primeras páginas web que aparecen al buscar recomendaciones de compra en línea—, identificaron la marca principal mencionada en las páginas seleccionadas y la sustituyeron por una falsa. Esto se llevó a cabo con 225 productos de 15 categorías, entre las que se incluían ropa, suplementos y electrónica digital.

Tras reescribir estas páginas, comprobaron si los LLM se dejarían engañar e incluirían una marca falsa en sus recomendaciones.

La respuesta fue un sí rotundo.

«Entre 12 modelos de lenguaje grandes (LLM), tanto comerciales como de código abierto, todos los modelos son vulnerables: una sola página manipulada genera tasas de engaño de hasta el 27 %, mientras que la sustitución completa de los tres primeros resultados eleva esta cifra al 73,8 %», escribieron Luo y Chen en su artículo.

Así pues, bastó con una sola página falsa para engañar a ciertas IA más de una cuarta parte de las veces. Y cuando se manipularon los tres primeros resultados de búsqueda, los modelos cayeron en la trampa casi tres cuartas partes de las veces.

En algunos casos, los modelos fueron incluso más allá, inventándose comentarios positivos sobre las marcas falsas, como afirmar que eran populares en las comunidades en línea.

Prueba de las defensas

Los investigadores también pusieron a prueba tres mecanismos de defensa para comprobar si podían evitar que la IA cayera en la trampa del contenido web falso. Estas eran: el escepticismo, que indica a los chatbots que se muestren muy recelosos ante lo que leen; el consenso previo del modelo, que obliga a la IA a contrastar las recomendaciones con su propia memoria; y la concordancia entre documentos, que exige a la IA encontrar la misma marca en varias páginas web antes de confiar en ella.

Las tres fallaron o generaron nuevos problemas, tal y como señalaron Luo y Chen en su artículo. «Las defensas simples son insuficientes. Fomentar el escepticismo puede resultar contraproducente, mientras que el filtrado basado en el consenso solo detecta las marcas falsas suprimiendo muchas recomendaciones legítimas».

Entonces, ¿cuál es la solución? Los investigadores sostienen que la solución no puede aplicarse únicamente a nivel del chatbot. En cambio, los sistemas de IA potenciados por búsquedas necesitan medidas de seguridad más sólidas para verificar la fiabilidad del contenido web antes de convertirlo en recomendaciones de productos.

Este artículo ha sido escrito por nuestro autor Paul Arnold, editado por Gaby Clark y revisado y contrastado por Robert Egan; es el resultado de un minucioso trabajo humano. Contamos con lectores como tú para mantener vivo el periodismo científico independiente. Si este reportaje te parece importante, por favor, considera hacer una donación (especialmente mensual). Como agradecimiento, recibirás una cuenta sin publicidad.