Estudo revela que basta uma única página da web falsa para enganar os bots de compras baseados em IA

Configuramos o pipeline de LLM aprimorado por pesquisa já implantado. Ambas as cadeias compartilham a mesma estrutura: consulta → pesquisa na web em tempo real → resultados da pesquisa → LLM → recomendação, diferindo apenas no ponto de injeção de conteúdo falso. No cenário GEO do mundo real (parte superior), os operadores injetam conteúdo falso a montante na web em tempo real. Em nossa simulação (parte inferior), devido a considerações éticas, reescrevemos um subconjunto dos resultados de pesquisa localmente, em vez de poluir a web ativa. Crédito: arXiv (2026). DOI: 10.48550/arxiv.2606.13610

Os assistentes de compras com IA estão se proliferando pela internet, transformando a maneira como navegamos, comparamos e descobrimos produtos. No entanto, essas ferramentas úteis abrigam uma grave falha de segurança. De acordo com um artigo publicado no servidor de pré-impressões arXiv, uma única página da web manipulada pode induzir um assistente de IA a recomendar um produto falso a clientes desavisados.

Dada a prevalência de produtos falsificados e avaliações falsas online, os pesquisadores Minghao Luo e Liang Chen decidiram testar com que facilidade sistemas de IA com recursos de busca podem ser induzidos a endossar marcas falsas.

Campo de Testes de IA

Os pesquisadores criaram uma ferramenta de simulação chamada FORGE (Fake Online Recommendations in Generative Environments) para testar 12 modelos líderes de IA, incluindo os da Anthropic, do Google e da OpenAI. Isso lhes permitiu avaliar a poluição do conteúdo da web sem afetar páginas ativas.

Eles utilizaram resultados de busca reais — as principais páginas da web que aparecem ao pesquisar recomendações de compras online —, identificaram a marca principal mencionada nas páginas selecionadas e a substituíram por uma falsa. Isso foi feito para 225 produtos em 15 categorias, incluindo roupas, suplementos e eletrônicos digitais.

Após reescrever essas páginas, eles testaram se os LLMs seriam enganados e incluiriam uma marca falsa em suas recomendações.

A resposta foi um “sim” inequívoco.

“Entre 12 LLMs comerciais e de código aberto, todos os modelos são vulneráveis: uma única página contaminada resulta em taxas de engano de até 27%, enquanto a substituição completa dos três primeiros resultados eleva esse número para 73,8%”, escreveram Luo e Chen em seu artigo.

Assim, bastou uma única página falsa para enganar certas IAs em mais de um quarto das vezes. E quando os três primeiros resultados da pesquisa foram manipulados, os modelos caíram no golpe em quase três quartos das vezes.

Em alguns casos, os modelos foram ainda mais longe, inventando comentários positivos sobre as marcas falsas, como alegar que elas eram populares em comunidades online.

Testando as defesas

Os pesquisadores também testaram três estratégias de defesa para verificar se elas poderiam impedir que a IA caísse em conteúdo falso na web. Essas defesas foram: o ceticismo, que instrui os chatbots a duvidarem fortemente do que leem; o consenso prévio do modelo, que obriga a IA a comparar as recomendações com sua própria memória; e a concordância entre documentos, que exige que a IA encontre a mesma marca em vários sites antes de confiar nela.

Todas as três falharam ou introduziram novos problemas, como observaram Luo e Chen em seu artigo. “Defesas simples são insuficientes. O estímulo ao ceticismo pode sair pela culatra, enquanto a filtragem baseada em consenso detecta marcas falsas apenas suprimindo muitas recomendações legítimas.”

Então, qual é a solução? Os pesquisadores argumentam que a solução não pode ser aplicada apenas no nível do chatbot. Em vez disso, os sistemas de IA complementados por pesquisa precisam de salvaguardas mais robustas para verificar a confiabilidade do conteúdo da web antes de convertê-lo em recomendações de produtos.

Este artigo foi escrito por nosso autor Paul Arnold, editado por Gaby Clark e verificado e revisado por Robert Egan — é o resultado de um trabalho humano meticuloso. Contamos com leitores como você para manter vivo o jornalismo científico independente. Se esta reportagem é importante para você, considere fazer uma doação (especialmente mensal). Você receberá uma conta sem anúncios como forma de agradecimento.