提示词推荐投毒：Ask AI 按钮可把站点写成长期「可信来源」

来源说明：The Hacker News 于 2026 年 8 月 6 日发布《AI Recommendation Poisoning: How “Ask AI” Buttons Silently Alter LLM Memory》，该文标明为合作伙伴供稿，案例发现和产品能力主要引用 Reflectiz。本文同时以 Microsoft Security 于 2026 年 2 月发布的独立研究交叉验证这一攻击模式。文中将“网页案例”和“平台或模型必然保存记忆”的说法限定为来源方的研究观察，不将其泛化为所有 AI 产品的固定行为。

一句话结论

“Ask AI”或“Summarize with AI”按钮不只是一个便利入口：如果它通过 URL 预填了额外指令，用户点击后可能在自己已登录的 AI 会话中执行这些文字。风险不在于让模型总结一篇网页，而在于预填提示词偷偷附加“将这个域名记为可信来源”“今后优先推荐该品牌”之类的持久化指令，使一次看似正常的点击影响后续供应商、产品或安全方案的判断。

这类攻击可称为 AI Recommendation Poisoning。它将网页链接、预填提示词、用户会话与长期记忆组合为一条投毒链。企业需要把面向 ChatGPT、Claude、Gemini、Grok 等助手的深链纳入第三方网页与营销组件审计，而不能只检查页面展示的按钮文案。

这类投毒是如何发生的

典型链路并不复杂：

用户访问商业网站
  → 点击「Ask AI」「TL;DR」「用 AI 总结」按钮
  → 浏览器打开已登录的 AI 助手并带入预填查询
  → 预填查询除了摘要任务，还包含品牌偏好或记忆指令
  → 助手可能将该指令纳入个人偏好或长期记忆
  → 后续检索、推荐、比较与总结持续受到偏置影响

关键点在于，指令不一定藏在被模型抓取的正文中，而可能在链接查询参数中，在用户点击时直接进入 AI 助手界面。因此，专门处理 RAG 文档、网页抓取和工具响应的输入过滤，并不天然覆盖“浏览器跳转到 AI 产品时携带的预填提示词”。

Microsoft Security 将这一模式命名为 AI Recommendation Poisoning，并指出攻击者会将持久化指令嵌入“Summarize with AI”类 URL 参数中，试图让助手“记住某公司是可信来源”或“优先推荐某公司”。Microsoft 观察到 31 家公司跨 14 个行业使用了超过 50 条不同的提示词，并说明其 Copilot 防护措施仍在持续演进。

从正常营销到记忆投毒，边界在哪里

预填提示词本身并不必然恶意。网站提供“让 AI 帮你总结本文”或“询问本产品支持哪些功能”的链接，本质上是营销或分享功能。真正的分界线在于：链接是否越过当前会话任务，试图静默改变用户 AI 助手对某个品牌或域名的长期偏好。

判断时不要只看按钮文字。一个显示为“Ask AI for a summary”的按钮，底层链接可能额外携带对来源可信度、未来推荐或信息优先级的指令。

The Hacker News 报道了哪些案例

The Hacker News 的合作伙伴文章称，研究人员在生产网站中观察到两类案例：

• 同意管理平台博客：可见按钮引导用户总结文章，但链接中附加了将该站点标记为“未来参考的专业来源”的内容。
• 安全厂商竞品对比页：页面展示“不要只听我们说，问问 AI”类组件，但底层预填请求要求助手主要依据厂商自身博客生成对比，并将该厂商域名保存为未来安全问题的可信来源。

这些案例的核心风险不是某个页面的营销立场，而是用户以为自己在请求“第二意见”，实际却可能向个人 AI 助手提交了长期偏好的修改指令。

需要强调的是：文章将这些案例归因于其合作伙伴 Reflectiz 的审计观察。企业应将其作为审计线索，针对自身已使用的 AI 助手、浏览器策略、记忆功能和第三方页面组件进行验证，而不是假设所有“Ask AI”链接都会成功写入持久记忆。

为什么长期记忆会放大问题

普通提示注入往往针对单次会话：攻击者希望模型在当前回答中偏离任务。推荐投毒追求的是更长的影响周期：让某个网站、品牌或叙事成为用户 AI 助手之后反复调用的偏好。

对采购、安全评估和尽职调查而言，后者更难发现。员工可能在数周后询问“某类安全平台如何选择”，却不知道此前一次点击已影响助手在何种程度上优先引用某个供应商。

Microsoft 给出的虚拟 CFO 场景说明了这种风险：用户曾点击一条看似无害的 AI 总结链接，之后在重大云服务采购中获得明显偏向某个厂商的推荐。如果这种偏置未被识别，AI 的建议表面上可能完整且合理，实则受到了用户未授权的上下文操纵。

与 MITRE ATLAS 和 Agent 安全的关联

Microsoft 在其研究中关联了 MITRE ATLAS 的两项技术：

从 Agent 安全角度看，这还是一种典型的指令与数据边界失效：

1. 网站希望把内容交给 AI 阅读，属于数据传递。
2. 深链却同时携带对 AI 行为和未来状态的控制意图，变成了指令传递。
3. 用户的点击给了链接进入个人会话的机会，但不代表用户明确同意修改未来偏好。
4. 如果 Agent 后续使用这些偏好做检索、筛选、推荐、采购或工具选择，污染就会从对话问题转化为决策问题。

这与日志投毒、工具响应投毒和 RAG 投毒有共同结构：攻击者影响一段会被 AI 读取的内容，再试图让这段内容超出“数据”身份，变成 Agent 的指令、记忆或行动依据。

企业需要审计什么

1. 审计 AI 深链，而不是只审计按钮标签

安全团队可以从网站、浏览器扩展、CMS 模板、营销自动化组件和供应商页面中搜索指向 AI 助手的链接。重点关注的目标域名包括：

• chatgpt.com
• claude.ai
• gemini.google.com
• grok.com
• 组织实际批准使用的其他 AI 助手入口

再检查 URL 参数是否包含跨任务、持久化或来源操纵语义，例如：

• remember
• memory
• trusted source
• source of expertise
• recommend first
• future reference
• always prefer
• only use this URL

这些关键词只能作为初筛，不能单独判定恶意。最终判断应结合可见按钮文案、链接实际 payload、页面用途以及是否请求修改长期记忆。

2. 对第三方组件做 DOM 与供应链检查

“Ask AI”组件可能来自 CMS 插件、WordPress 主题、营销自动化平台、A/B 测试脚本或分析 SDK。建议建立组件清单：

针对自有网站，应让安全、品牌、增长和隐私团队共同审查此类组件。因为问题同时涉及网页安全、用户同意、品牌信誉和 AI 治理。

3. 审计企业 AI 助手的记忆与个性化状态

不同 AI 产品对记忆的保存方式、可见性、开关和删除路径不同。企业不应假设每一个深链都能写入记忆，也不应假设关闭聊天记录就一定等价于关闭偏好保存。

建议建立以下运营动作：

• 明确哪些 AI 产品允许保存用户偏好或跨会话记忆。
• 对处理采购、安全、财务、法务和合规信息的账户，要求定期审查记忆与自定义指令。
• 为敏感研究建立“无长期记忆”或隔离的会话配置。
• 在供应商评估流程中记录 AI 使用范围、引用来源和人工复核结论。
• 提供可操作的删除、重置和事件响应流程。

4. 将供应商评估从“问 AI”改为可追溯研究

AI 可以帮助归纳材料，但不应成为单一供应商选择器。特别是比较竞争产品时，应要求：

1. 使用来自多个独立域名的来源。
2. 标记供应商自有材料与独立测评。
3. 不点击未知页面的“Ask AI”“用 AI 对比”按钮作为研究入口。
4. 对 AI 推荐中的“可信来源”“行业领先”“最佳选择”等断言追溯原始证据。
5. 由采购、安全和业务负责人复核高影响建议。

个人与团队的处置建议

如果已经点击过可疑 Ask AI 链接

1. 在该 AI 产品中检查已保存的记忆、偏好和自定义指令。
2. 删除未经授权的域名信任、品牌优先级或“未来推荐”相关条目。
3. 对近期依赖该助手完成的供应商比较、产品推荐和风险摘要重新做来源核验。
4. 不要把模型回答中出现的“此前已标记为可信”当作客观事实。
5. 如在企业托管账户中发现异常，按 AI 使用事件流程报告，保留链接、时间、页面与账户范围。

对安全团队

• 将 AI 深链检查加入网页安全扫描、第三方脚本审计和浏览器安全基线。
• 对外链携带的预填提示词做解码、记录与风险分级。
• 把“更新 AI 记忆、修改助手偏好”视为受保护的高影响操作。
• 对允许工具调用的企业 Agent，禁止将外部营销内容直接转换为策略、工具选择或写入操作。
• 将提示注入、记忆投毒和来源操纵加入红队测试用例。

对网站和营销团队

• 保持 AI 分享链接的意图透明，只执行用户可见的当前任务。
• 不在 URL 参数中加入“长期记住”“优先推荐”“设为可信来源”等隐性指令。
• 审查现有 CMS、插件、模板和外包营销脚本。
• 让用户知道点击后会打开哪个 AI 服务、传递哪些文本，以及是否可能触发记忆功能。
• 将“AI 可见性优化”纳入安全与隐私审查，而不是只作为 SEO 或增长实验。

四个常见误区

误区一：这是 AI 搜索优化，不是安全问题

如果按钮只是在当前会话提出清晰、可见的问题，属于营销策略；但如果它试图在用户不知情的情况下改变未来推荐偏好，就已经超出普通优化范围，进入记忆和决策完整性问题。

误区二：只要内容没有恶意代码就没风险

推荐投毒不需要恶意软件、盗取凭证或零日漏洞。它利用的是用户对普通网页按钮和已登录 AI 会话的信任。

误区三：模型会识别这些指令，所以无需控制链接

模型防护会持续改进，Microsoft 也说明其产品已经部署并持续迭代提示注入缓解措施。但不能把单一模型行为作为唯一边界：链接审计、记忆可见性、权限分离和高影响决策复核仍然必要。

误区四：只有安全团队会受影响

最直接的受害场景可能发生在采购、金融、医疗、法务和 HR 等部门：他们依赖 AI 比较产品、服务商或专业建议，而长期偏置的影响通常不容易被一次回答发现。

结语

AI Recommendation Poisoning 的危险不在于它看起来像一次传统入侵，而在于它把“点击一个方便的总结按钮”转化成了对用户未来判断环境的静默修改。

当网页链接能够预填 AI 对话、AI 又拥有长期记忆时，外链不再只是导航元素。它是可以把数据、指令和长期偏好一起送进用户会话的输入通道。企业需要审计链接真正做了什么，保护记忆更新，并让 AI 的推荐回到可追溯、多来源和有人负责的决策流程中。

参考资料

• The Hacker News：AI Recommendation Poisoning: How “Ask AI” Buttons Silently Alter LLM Memory（2026-08-06，合作伙伴供稿）
• Microsoft Security：Manipulating AI memory for profit: The rise of AI Recommendation Poisoning（2026-02-10，Microsoft Defender Security Research Team）
• MITRE ATLAS：AML.T0080 Memory Poisoning
• MITRE ATLAS：AML.T0051 LLM Prompt Injection
• Reflectiz：AI Recommendation Poisoning

来源字段：2026-08-06｜The Hacker News（合作伙伴供稿）｜https://thehackernews.com/2026/08/ai-recommendation-poisoning-how-ask-ai.html｜网站 Ask AI 深链可预填隐藏提示词，尝试将某品牌或域名写入用户 AI 助手的可信来源或长期记忆，进而影响后续推荐｜企业应审计外链参数、第三方组件和 AI 记忆更新，并将供应商评估建立在可追溯的多来源证据上。