Assessing Attack Surfaces in Generative Search Engines through Publisher Attributes: A Case Study in Political Domains

In der modernen digitalen Landschaft ist eine neue Art von Suchmaschine entstanden, die nicht bloß Links auflistet, sondern das Web liest und eine direkte Antwort auf Ihre Frage schreibt. Diese Systeme, bekannt als generative Suchmaschinen, verbinden die enorme Reichweite des Internets mit der konversationsorientierten Fähigkeit fortgeschrittener künstlicher Intelligenz. Sie fungieren als Brücke, indem sie die Anfrage eines Nutzers aufnehmen, Millionen von Webseiten scannen und eine Zusammenfassung synthetisieren, die ihre Quellen angibt. Dieser Wandel verändert die Art und Weise, wie Menschen auf Informationen zugreifen – weg vom Durchforsten einer Liste von Ergebnissen hin zum Erhalt eines kuratierten Narrativs. Da diese Maschinen jedoch auf Inhalten basieren, die von jedem im offenen Web veröffentlicht werden können, stehen sie vor einer einzigartigen Verwundbarkeit. Genau wie ein Koch durch eine einzige schlechte Zutat getäuscht werden kann, können diese Motoren von böswilligen Akteuren in die Irre geführt werden, die falsche Informationen veröffentlichen, die legitim erscheinen sollen. Wenn es einem Angreifer gelingt, das System dazu zu bringen, eine Fake-News-Seite als Quelle anzugeben, könnte die Suchmaschine diese Unwahrheit als Fakt präsentieren und damit die Zuverlässigkeit der gelieferten Informationen untergraben.

Forscher der Keio University und der QueryLift Inc. unternahmen den Versuch, genau zu messen, wie verwundbar diese Systeme in der hochsensiblen Arena der Politik sind. Sie konzentrierten sich auf eine spezifische Frage: Wie einfach ist es für einen Angreifer, falsche Informationen in die Antworten einzuschleusen, die diese Motoren generieren? Um dies zu beantworten, entwickelten sie eine Methode, um die Quellen, die eine Suchmaschine zu zitieren wählt, danach zu kategorisieren, wie schwierig es für einen böswilligen Akteur wäre, eine Website wie diese zu erstellen. Sie stellten sich eine Skala der Schwierigkeit vor. An der Spitze der Skala stehen „Primärquellen“, wie etwa die offiziellen Websites politischer Parteien, die schwer zu fälschen sind, da sie von den Parteien selbst kontrolliert und verwaltet werden. Am unteren Ende befinden sich „Quellen mit niedriger Barriere“, wie soziale Medien oder persönliche Blogs, auf denen jeder sofort und mit wenig Aufsicht alles veröffentlichen kann. Die Forscher argumentierten, dass, wenn eine Suchmaschine stark auf diese Quellen mit niedriger Barriere zurückgreift, sie auf einer breiten, exponierten Angriffsfläche sitzt, was es einfacher macht, dass Fehlinformationen in die endgültige Antwort hineinschlüpfen.

Das Team testete drei große generative Suchmaschinen unter Verwendung von Modellen von OpenAI, Anthropic und Google, indem es hunderte Fragen über politische Parteien in den Vereinigten Staaten und in Japan stellte. Sie fragten nach den Positionen sowohl der Regierungsparteien als auch der Oppositionsparteien und variierten die Fragen, um zu sehen, ob sich das Verhalten der Suchmaschine je nach Fragesteller änderte. Sie simulierten verschiedene Typen von Nutzern, einschließlich solcher mit hohem politischem Wissen und solcher ohne, sowie Nutzer mit unterschiedlichen politischen Neigungen. Das Ziel war zu sehen, ob sich die Wahl der Quellen der Suchmaschine je nach Nutzerprofil oder politischem Kontext verschob und um zu messen, wie viel der endgültigen Antwort tatsächlich aus diesen Quellen stammte.

Die Ergebnisse zeigten ein klares und besorgniserregendes Muster. Die Verwundbarkeit dieser Systeme hängt weit mehr vom jeweils verwendeten Modell und der diskutierten politischen Partei ab als von der Person, die die Frage stellt. Eines der getesteten Modelle, OpenAIs GPT-5, neigte dazu, sich an offizielle Parteien-Websites und qualitativ hochwertige Quellen zu halten, wodurch die Tür für eine einfache Manipulation effektiv geschlossen wurde. Im Gegensatz dazu zitierte ein anderes Modell, Googles Gemini, häufig Quellen mit niedriger Barriere, was eine viel größere Öffnung für Angreifer hinterließ, um falsche Informationen einzuschleusen. Die Studie ergab, dass die Suchmaschine, wenn sie nach der Regierungspartei gefragt wurde, signifikant stärker auf diese leicht manipulierbaren Quellen zurückgriff als wenn sie nach Oppositionsparteien gefragt wurde. Dies deutet darauf hin, dass der Erfolg einer politischen Partei in der realen Welt, der eine massive Menge an Web-Inhalten generiert, paradoxerweise dazu führen kann, dass es für die Suchmaschine schwieriger wird, die offizielle Quelle zu finden, was sie stattdessen in das Meer unverifizierter Inhalte treibt, in dem Fehlinformationen gedeihen.

Die vielleicht beruhigendste Erkenntnis war, dass die Identität des Nutzers das Ergebnis nicht veränderte. Die Forscher testeten, ob die politische Ideologie oder das Wissensniveau eines Nutzers dazu führen würde, dass die Suchmaschine zu einem verwundbareren Satz von Quellen wechselt. Dies war nicht der Fall. Ob der Nutzer konservativ, progressiv oder politisch unkundig war, die Suchmaschine zitierte dieselbe Art von Quellen. Das bedeutet, dass das Risiko, die Antwort zu „vergiften“, keine Frage dessen ist, wer fragt, sondern ein struktureller Fehler darin, wie die Suchmaschine gebaut ist und wie sie sich im Web bewegt. Die Studie kommt zu dem Schluss, dass die Sicherheit dieser Werkzeuge durch das interne Design der Suchmaschine und das spezifische Thema bestimmt wird, nicht durch die Absicht des Nutzers.

Die Forscher untersuchten auch, wie getreu die Suchmaschinen den Inhalt wiedergaben, den sie zitierten. Sie fanden heraus, dass, wenn eine Suchmaschine eine qualitativ hochwertige, schwer zu fälschende Quelle zitierte, die Antwort in der Regel ein sehr genauer Spiegel dieser Quelle war. Wenn die Suchmaschine jedoch auf Quellen mit niedriger Barriere zurückgriff, war die Verbindung zwischen der Quelle und der Antwort oft schwächer, wobei die Suchmaschine die Inhalte auf eine Weise zusammenfasste oder interpretierte, die von dem Originaltext abwich. Dies schafft eine doppelte Gefahr: Die Quelle selbst ist leichter zu manipulieren, und die Suchmaschine neigt eher dazu, sich nicht strikt an das zu halten, was diese Quelle tatsächlich aussagt.

Letztendlich liefert diese Arbeit eine Karte der Stellen, an denen diese mächtigen Werkzeuge am ehesten versagen. Sie zeigt, dass der Weg zu einer „vergifteten“ Antwort nicht zufällig ist; er folgt spezifischen Mustern basierend auf der verwendeten Technologie und der politischen Landschaft. Die Studie legt nahe, dass Entwickler, um die Integrität von Informationen zu schützen, darauf fokussieren müssen, wie ihre Systeme Quellen auswählen, um sicherzustellen, dass sie nicht unbeabsichtigt jene Kanäle bevorzugen, in denen sich Fehlinformationen am leichtesten verbreiten. Die Ergebnisse deuten darauf hin, dass die Lösung nicht darin liegt, den Nutzer zu verändern, sondern die Fähigkeit der Suchmaschine zu verfeinern, zwischen einer zuverlässigen Quelle und einer gefährlichen zu unterscheiden – ungeachtet dessen, wer die Tastatur bedient.