Quem os motores de busca generativos preferem citar — e como isso abre espaço para manipulação política
O estudo caracteriza a superfície de ataque de motores de busca generativos (GSEs) contra ataques de poisoning via citações, propondo a métrica 'content-injection barrier' para medir o quão difícil é inserir conteúdo malicioso na web com determinado nível de autoridade de publisher. Testado no domínio político nos EUA e no Japão, o trabalho encontra que partidos no poder têm superfície de ataque maior que a oposição, e que perfis de personalização do usuário têm pouca influência sobre quais fontes são citadas.
Motores de busca generativos combinam busca na web com geração de resposta por LLM, citando fontes para sustentar suas respostas. Isso os torna vulneráveis a um tipo de ataque diferente de poisoning de treinamento: como qualquer um pode publicar conteúdo na web, um atacante pode tentar inserir informação manipulada especificamente para ser citada e repassada como se fosse fato apurado pelo motor de busca — um risco maior em áreas sensíveis como política, saúde e finanças, onde a resposta 'com fonte' carrega uma autoridade que o usuário tende a não questionar.
A contribuição técnica central é uma métrica chamada 'content-injection barrier', que quantifica o esforço necessário para conseguir que um conteúdo arbitrário seja citado, em função da autoridade do publisher que o hospeda — essencialmente, o quão fácil é para um ator com pouca reputação 'furar a fila' e ser citado por um GSE. Combinado a isso, os autores avaliam como a personalização, o perfil do usuário embutido na consulta, altera esse comportamento de citação.
Nos experimentos, feitos em três GSEs importantes no domínio político dos EUA e do Japão, quatro achados se destacam: a superfície de ataque varia bastante entre motores diferentes, não há um padrão único de vulnerabilidade; a própria funcionalidade de busca na web de cada GSE, não só o LLM por trás dele, molda essa superfície; partidos que estão no poder têm superfície de ataque mais ampla que os da oposição, um resultado contraintuitivo que sugere maior volume de conteúdo, e portanto maior volume de conteúdo manipulável, associado a quem já está em posição de destaque; e, surpreendentemente, perfis de personalização do usuário têm pouca influência sobre quais fontes acabam sendo citadas.
O recado prático é para quem constrói ou audita GSEs usados por eleitores e consumidores de notícia: a defesa contra esse tipo de poisoning não pode se apoiar apenas em filtrar o conteúdo do LLM, porque a vulnerabilidade nasce na camada de recuperação e seleção de fontes, antes mesmo da geração de texto. Isso é particularmente relevante em ano eleitoral ou em contextos de alta polarização, onde a percepção de neutralidade de um motor de busca com IA é parte do próprio produto.