一句话定义：AI 推荐投毒（Recommendation Poisoning）是指攻击者污染模型所依赖的检索或推荐数据源，使 AI 在被问到“买什么、去哪买”时，稳定地把用户导向攻击者指定的商家、商品或链接。
原理：往 AI 的参考资料里放入虚假推荐
现在多数聊天机器人在回答购物类问题时，并不是凭记忆直接作答；它会先检索一轮（AI 词典：检索增强生成">检索增强生成，RAG，Retrieval-Augmented Generation），再把查到的网页、评论和榜单摘要成一段推荐语。这个“先查后答”的环节，就是投毒入口。
打个比方：AI 像一个诚实的导购，但它不看货架，只看你递给它的几张“群众推荐卡”。攻击者要做的不是骗过导购，而是提前把几十张写着“这家店便宜又靠谱”的卡片混进卡片堆里。导购照章办事、如实转述，假店就被“客观地”推荐了出来。
常见手法包括：批量生产看似中立的测评文、比价页和“Top 10 榜单”，让关键词和结构更符合检索器的偏好；在论坛、问答和评论区铺设带同一品牌名的一致表述；注册与知名品牌近似的域名，并配上完整的退换货条款，让页面“看起来很正规”。这些内容互相印证，模型就容易把它们当成多方共识。
和相邻概念的区别
| 概念 | 攻击对象 | 典型表现 |
|---|---|---|
| 推荐投毒 | 检索或推荐所依赖的外部数据 | AI 主动推荐恶意商家 |
| 提示注入（Prompt Injection） | 当前对话的指令流 | 网页里藏一句话劫持模型行为 |
| 数据投毒（Data Poisoning） | 训练语料本身 | 模型倾向被长期带偏 |
| 传统 SEO 作弊 | 搜索引擎排名 | 搜索结果前列出现垃圾站 |
关键区别在于：投毒者不必接触模型权重，只需在模型“会去读的地方”布置内容，成本低、见效快。传统 SEO 作弊追求排名，推荐投毒追求被模型“复述成建议”。
从业者与普通人的要点
普通用户：把 AI 的商家推荐当成“线索”，不要当成“结论”。需核对域名是否与官方一致，以及是否有可验证的企业信息和正规支付渠道。遇到异常低价、“限时最后几小时”、只收转账或加密货币的，先停下来；也可以让 AI 复述它引用了哪些来源，看是不是同一批无名站点。
从业者：把检索结果当作不可信输入，对来源做白名单与信誉评分，对同一实体的“多来源共识”做独立性校验，避免同源洗稿被算成多票；输出侧对商家链接做域名与资质核验，并在回答中显式标注来源；金融、医疗、电商等高风险品类可设引用门槛。各家平台实现差异较大，具体以官方文档为准。
一句话收尾：模型不会撒谎，但它会忠实地替你转述别人塞给它的谎话。