引用战争：GEO 跑五轮把内容改坏了，而解法是奖励可核查的事实

一项模拟实验让内容供应方和搜索平台互相对抗了五轮。供应方用一套自动 GEO 系统改写页面争取更多引用，平台用标准的提示警告式防御来拦操纵。

跑到最后，改写质量变成了负值，平台的防御恢复能力衰减，答案效用低于干净基线。论文附了一份改写前后的对照，把新增的无支撑断言用红色标了出来 [1]。

两边都输了。而这篇论文给出的解法里有一句话值得内容团队记住：要钻它提出的那套防御的空子，最赚钱的办法就是真的去加读者能核查的事实。

---

先给结论

论文把供应方与平台的互动建模为带部分监控的重复 Stackelberg 博弈，并提出平台侧机制 VCR，即可验证内容奖励（verifiable-content rewards）[1]。

1. 纯惩罚的防御会停滞。 一旦潜在内容质量与操纵强度的相关性足够高，平台的局部最优反应就会完全停止惩罚操纵——因为惩罚操纵信号的同时也会压制真实质量。
2. 由此形成的状态是惰性的。 有用内容没被诱导出来，可疑内容只被弱惩罚，平台再改规则也几乎不产生联合效用。
3. 奖励可核查的实质，胜过把它一起过滤掉。 VCR 给那些让"原文支持的事实"更显著的改写加分，与可疑度分数相抵后对来源做软重排。在三个基准、三个答案引擎共九种设置下，它的 Net 防御-效用分数全部最高，比每个设置下最强基线平均高 12.1 个百分点。
4. 机制在规则公开后依然成立。 把规则明确告诉供应方让它持续针对规则优化，Net 会下降，但全程仍远高于提示警告式防御——因为这个奖励只为可验证的事实实质付钱。

硬边界：所有结果都来自模拟实验，由大模型分别扮演答案引擎和质量评判者。这是一篇 arXiv 预印本，没有任何证据把 VCR 与任何在产平台联系起来。

---

纯惩罚的防御为什么会失效

作者是 Zitian Guo（加州大学圣地亚哥分校）与 Chen Xu、Chenyan Xiong（卡内基梅隆大学），代码已开源 [1][2]。

博弈按轮进行：供应方先观察平台当前的防御规则，再对目标文档承诺一套改写策略；平台只能看到文档级的改写前后配对，据此估计是什么规则产生了它们，并更新答案生成时的防御。这个不对称是关键——供应方可以直接针对一条已公布的规则做适应，平台却只能从那一次编辑本身去推断：这是真实的质量提升，还是策略性操纵。

模型给每份文档赋一个潜在质量分和一个操纵强度分，引用概率是两者线性组合的 softmax：质量乘正权重，减去操纵乘平台防御强度。这两个量之间的相关性，就是驱动全文核心结论的变量。

三个推导结论叠在一起指向同一件事。

第一行的来源是误判成本：它正比于"防御强度 × 质量权重 × 质量与操纵的协方差"。只要这两者同向变动，惩罚操纵就会连带压制质量 [1]。

论文自己的总结是：默认博弈是单边的——它惩罚操纵，但不直接奖励任何与平台和用户效用对齐的特征。

---

VCR 怎么改变激励

VCR 加了一条奖励通道。对每一组改写前后配对，机制统计那些同时满足三条的内容单元：出现在改写里、被原文支持、且比改写前被更显著地呈现。符合的可以是事实断言、数值细节或具名引用，计数由一个配对级的大模型 oracle 产出 [1]。

论文给的例子是一副耳机。改写呈现了三个可对照原文核查的事实：8 小时电池续航、防汗、单只耳塞重量，计数为 3。而原文里没有任何支撑的添加——论文点名的是"专家推荐"和"业界领先"——拿不到任何加分，反而进入操纵信号。

这个区分一句话就能说完整套机制：一个在你的源材料里真实存在的数字能挣到分，一个哪里都不存在的形容词会让你扣分。 加分还设了单次改写的上限，限制任何一份文档最多能"刷"到多少奖励。

惩罚那一侧来自供应方自己的改写历史。平台复用了 AutoGEO 的规则提取流水线，但把方向反了过来：AutoGEO 比较"被偏好的"和"较少被用的"文档来推断引擎喜欢什么，平台则比较"原始的"和"改写后的"文档来推断供应方在做什么 [4]。每份文档拿到的可疑度基线分等于规则匹配强度乘以近期编辑幅度，合并分就是用它减去可验证内容的加分。

最后一步是软重排：更不可疑、更便于验证的来源被放到上下文更靠前的位置。没有文档被移除——高可疑度的文档在提供独有必要证据时仍可能被引用。

---

实验结果

三个基准：商业搜索（E-commerce）、开放域事实型查询（GEO-Bench）、研究型查询（Researchy-GEO）。每个查询配 5 个候选文档，留出测试集最多 1,000 个查询 [1][3]。

Net = Def.（平台回滚掉的那部分操纵可见度）+ Welf.（目标来源曝光相对无攻击基线的变化），单位百分点。默认答案引擎 Gemini 2.5 Flash-Lite 上的结果：

三种经典防御的失败方式各不相同。提示警告和关键词清洗落在零附近，正是理论预测的惰性结果。硬拒绝则是用几乎一对一压制创作者曝光来换防御：在 Researchy-GEO 上它回滚了 63.8 个百分点的被操纵可见度，同时把创作者曝光压到基线以下 63.3 个百分点，净值 0.5 [1]。

VCR 在九种数据集-引擎组合里 Net 全部最高，引擎换成 GPT-4o-mini 或 Claude Haiku 4.5 时是唯一 Net 严格为正的防御，创作者曝光在全部九种设置里都留在预先设定的 5 点等价带内。

文档本身的评分也更高。大模型 rubric 评分里 VCR 在五个文档维度上点估计全部最高，差距最大的是事实性：0.820，三个基线在 0.778 到 0.788 之间。换五个不同攻击方（AutoGEO、RAID、IF-GEO、SAGEO Arena，以及出自最初那篇 GEO 论文的"统计数据添加"）都成立 [3][5][6][7]。

消融实验里有一项最该看：保留奖励、但把验证结果改成以提示文本交给引擎（LLM 预算和信息量完全相同），结果退回"无奖励"水平。收益来自通过来源排序强制执行验证信号，而不是来自多花一次大模型调用。

---

两项最锋利的测试

验证能不能信任外部页面。 每次改写之后，攻击方额外创建一个外部"支持页"，为自己编造的断言背书。用这个页面做验证，几乎消除了它赚到的奖励，但同时也削弱了编造惩罚，让相当一部分无支撑断言未被检出。外部验证开启了一个循环的、可被操弄的通道；锚定在原始文档配对上的验证，才留在攻击方的控制之外。作者把"可信的外部验证者"列为未来工作 [1]。

规则公开之后还成立吗。 作者把 VCR 规则明确告诉供应方，让它跨轮持续针对规则优化。Net 相对不知情的供应方下降了，但全程仍远高于提示警告式防御。论文的解释是最值得记住的那一句：因为奖励只给可验证的事实实质，"钻" VCR 空子最赚钱的方式就是真的去加可核查的内容。策略意识会削弱联合收益，但无法把它反转。

作者还单独验证了奖励范围：事实型单元绝大多数可验证，而奖励归属或权威类信号会给一类以不可验证断言为主的内容加分，直接招来编造来源。

---

最直观的结果是一张规则表

平台从改写行为里推断规则，而两种条件下使用的提取器完全相同。所以规则分叉，来自供应方对激励的不同反应 [1]。

两列的起点完全一样：排版。到第三轮已经分开，基线那列漂向伪装，VCR 那列先漂向解释再漂向可验证性。

内容团队可以把右边那一列当规格书读，把左边那一列当警告读。

---

这项研究不能证明什么

还有几条限制属于同一个框架 [1]：

• 这是预印本，没有可引用的同行评审记录。
• 评判者是语言模型。 作者在三个评判者下做了稳健性检查且排序不变，但大模型评判者之间达成一致，与人工验证不是一回事。
• 5 点等价带是预先设定的，依据先前运行约 5 个百分点的标准差，不是显著性检验。作者同时报告了按查询的 bootstrap 区间，其中 VCR 的 Net 区间在每个数据集上都与所有基线分离。
• 范围是单一平台和单一创作者池，作者自己把扩展列为下一步。
• 一个部署论据的数据很旧。 论文引用先前研究称约 40% 的页面一周内变化、约 8% 是新建的，用来说明 VCR 针对有版本内容的覆盖面。那两项研究分别来自 2003 年（Fetterly 等，WWW 2003）和 2004 年（Ntoulas、Cho 与 Olston，WWW 2004），只能当方向性参考。

还有一条论文自己写得很清楚的披露：Chenyan Xiong 既是 AutoGEO（实验里作为默认攻击方的那套系统）的共同作者，也是这篇防御论文的共同作者 [4]。同一个研究组搭了模拟实验的攻防两侧，代码开源让这一点可被核查。

---

内容团队能从一项模拟里拿走什么

这个机制是假设性的，但激励逻辑可以迁移——它描述的是任何一个想把"实质"与"装饰"分开的平台都不得不去测量的东西。

第 2 步有一个容易被跳过的细节：论文只在一个事实"被原文支持、且在改写中被更显著地呈现"时才计数。加分来自把已有的实质变得更容易被找到，而不是来自添加没有来源背书的实质。换成运营语言——规格表、检测报告、内部数据拉取必须比页面更早存在。一个由"没有上游记录的断言"拼起来的页面，在奖励通道得零分，同时在惩罚通道继续累积可疑度。

---

Innflows 能帮上什么

这篇论文描述的是平台可以做什么。Innflows 站在那条边界的另一侧：它从外部跨主流 AI 平台、跨语言监测 AI 答案、引用和品牌提及。

围绕一轮内容修订，团队可以用它：

• 在改写之前记录哪些页面被 AI 答案引用，作为基线；
• 对某组页面在"提升事实密度"前后的引用形态做对比；
• 核对 AI 答案跨平台、跨语言对品牌的描述是否准确；
• 看清在同一批答案里，哪些竞品与品牌一同出现。

边界很具体。Innflows 不是平台，无法施加也无法观测 VCR 这类机制；它接触不到任何平台内部的可疑度分数、防御规则或来源排序，也无法告诉你某个平台是否在奖励可验证内容。修订之后观察到的引用变化是多次运行之间的关联，不是因果证明；任何监测工具都不能保证引用。

---

三个值得纠正的读法

1. 「平台现在开始奖励可验证的事实了。」

论文提出了一个机制并在模拟中测试了它。没有任何报道称某个平台已经部署了它 [1]。

2. 「这证明了 GEO 会把内容做坏。」

它展示的是：在一个五轮模拟里，一套特定的自动 GEO 系统对抗一种特定的提示警告式防御时出现了质量下降 [4]。这是一个被演示出来的失效模式，适用范围就是一次模拟的范围。

3. 「所以战术就是多加统计数据。」

出自最初那篇 GEO 论文的"统计数据添加"，是 VCR 所防御的五个攻击方之一 [3]。这个机制的加分只针对能追溯到源文档的事实，没有上游支撑的插入数字恰恰是它要惩罚的东西。

---

常见问题

这篇论文说的「引用战争」是什么？

指一种升级：内容供应方反复针对平台防御调整改写策略，产出追求引用的改写，这些改写降低文档质量并引入无支撑断言，而平台的防御每一轮都在失去有效性 [1]。

平台的最优反应为什么会停止惩罚操纵？

因为当两种信号相关时，惩罚操纵同时也会压制质量。论文对这个相关性推导出一个阈值，超过它之后局部最优的防御强度就是零 [1]。

如果规则公开，供应方能钻空子吗？

作者直接测了这一点。Net 相对不知情的供应方下降了，但仍远高于提示警告式防御，因为这个奖励只为可验证的事实实质付钱 [1]。

有真实平台在用这套机制吗？

没有任何来源这样说。结果来自以大模型作为答案引擎和评判者的模拟，而论文本身是 arXiv 预印本 [1]。

---

核心结论

这篇论文最有用的部分，是它形式化的那个失效：一个只惩罚操纵的平台，最后会变成什么都不惩罚——因为它想惩罚的那些信号，和它想留下的那些信号纠缠在一起。于是双方沉到一个谁也拿不到任何东西的状态里。

它给出的出路，是一条窄到难以伪造的奖励通道：一个在你的源材料里本来就存在的事实，被呈现在读者能找到的位置。作者围绕这条通道做的每一项测试都指向同一个方向——放宽到权威或归属类信号会招来编造；让攻击方自己提供验证页面，通道就被破坏；公开规则会削弱收益但不会反转收益，因为利用这条规则最便宜的方式就是遵守它。

这些都没有在任何在产平台上被观察到，而论文也没有这样声称。

去做那种每条断言都有上游记录的页面，然后把答案的测量和理论分开来做。

---

参考来源

[1] - Mechanism Design for Generative Engines: From Exploitation toward Win-Win Outcomes — Zitian Guo、Chen Xu、Chenyan Xiong，arXiv:2608.11390，2026 年 8 月 11 日提交（预印本）

[2] - GameTheory-GEO — 该论文的代码发布，GitHub

[3] - GEO: Generative Engine Optimization — Pranjal Aggarwal 等，arXiv:2311.09735，收录于 KDD 2024

[4] - What Generative Search Engines Like and How to Optimize Web Content Cooperatively（AutoGEO）— Yujiang Wu、Shanshan Zhong、Yubin Kim、Chenyan Xiong，arXiv:2510.11438

[5] - Role-Augmented Intent-Driven Generative Search Engine Optimization（RAID）— Xiaolu Chen 等，arXiv:2508.11158

[6] - IF-GEO: Conflict-Aware Instruction Fusion for Multi-Query Generative Engine Optimization — Heyang Zhou 等，arXiv:2601.13938

[7] - SAGEO Arena: A Realistic Environment for Evaluating Search-Augmented Generative Engine Optimization — Sunghwan Kim 等，arXiv:2602.12187