SearchGEO: hacer que los agentes de búsqueda LLM respalden páginas del atacante

¿Qué es esto?

El 15 de junio de 2026, un equipo que incluye a Yimeng Chen y Jürgen Schmidhuber publicó en arXiv (cs.CL, también listado en cs.CR) How Much Can We Trust LLM Search Agents? Measuring Endorsement Vulnerability to Web Content Manipulation. El artículo estudia un modo de fallo propio de los agentes de búsqueda LLM — asistentes que consultan la web abierta y sintetizan los resultados en una recomendación accionable para el usuario.

El riesgo que nombran es la corrupción del respaldo: un atacante publica una página, el agente la recupera y la respuesta del agente convierte ese contenido controlado por el atacante en una afirmación respaldada — «según mi investigación, X es la mejor opción / la más segura». El usuario no ve la manipulación; ve a un asistente de confianza avalando la página del atacante. Los autores construyen SearchGEO, un marco de evaluación controlado, y muestran que la susceptibilidad varía enormemente según el modelo subyacente.

Es el espejo adverso de la Generative Engine Optimization (GEO, KDD 2024), la práctica legítima de estructurar contenido para aparecer en las respuestas de búsqueda generativa. SearchGEO plantea: ¿qué ocurre cuando se accionan las mismas palancas de mala fe?

Cómo funciona

SearchGEO tiene tres partes: un pipeline de manipulación de evidencia web que fabrica la página del atacante, una taxonomía de ataque de cinco modos que describe estrategias de manipulación distintas, y un conjunto de métricas a nivel de salida que evalúan si la respuesta final realmente respalda la afirmación plantada. Los autores evalúan 13 modelos subyacentes con 308 casos cada uno. No se publica ningún payload funcional; la contribución es la medición.

# Solo conceptual — sin payload funcional.
[1] Publicar    página del atacante redactada para leerse como evidencia con autoridad
[2] Recuperar   el agente de búsqueda recupera la página en su trabajo normal
[3] Respaldar   el agente la sintetiza en una recomendación en la que el usuario confía

Las cifras clave muestran que la vulnerabilidad de respaldo es una propiedad del modelo subyacente, no de los «agentes» en general. La tasa de éxito global (ASR) va del 0,0 % en Claude-Sonnet-4.6 al 31,4 % en Gemini-3-Flash. El modo de ataque más eficaz también difiere según la familia de modelo — no hay un truco dominante único — y un mismo andamiaje de despliegue puede subir la ASR en un modelo y bajarla en otro: un wrapper que endurece un modelo puede debilitar otro.

Una sonda auxiliar convierte el respaldo en acción: se le pide al agente una recomendación donde la respuesta respaldada se vuelve un comando de instalación de una skill de agente. Allí, incluso modelos por lo demás robustos divergen mal — Claude tiende a sobre-rechazar (rechazando instalaciones seguras) mientras que GPT tiende a sobre-confiar (aceptando instalaciones sugeridas por el atacante). Ambos son fallos; ninguno se calibra bien.

Mecánicamente, esto colinda con la inyección indirecta observada en la práctica y el envenenamiento de corpus RAG: contenido recuperado no confiable orienta al modelo. Pero el encuadre difiere. El daño no es una llamada a herramienta secuestrada — es una recomendación corrompida, más cercana al secuestro de decisión del ranker y a la supresión de marca vía RAG que a la inyección clásica.

Por qué importa

Los agentes de búsqueda se venden como una mejora de confianza frente a la búsqueda en bruto: el asistente «lee las fuentes por usted». SearchGEO muestra que ese paso de síntesis es en sí mismo una superficie de ataque. Cualquiera que logre indexar y hacer recuperar una página puede intentar blanquear su afirmación a través de la autoridad del agente — una posición barata y escalable, comparada con comprometer una herramienta o robar una credencial.

La dispersión entre modelos es el resultado operativamente importante. Un rango del 0 % al 31,4 % significa que la robustez del respaldo es una propiedad de seguridad del modelo subyacente que hay que probar, no presumir — y la sonda de skill muestra que un mismo modelo puede ser seguro en «¿qué debo leer?» e inseguro en «¿qué debo instalar?». Es la lógica del trío letal aplicada a las recomendaciones: contenido no confiable más un canal de acción (aquí, una instalación) es donde aterriza el daño.

Una nota de alcance: es una medición de laboratorio sobre un conjunto de casos definido, no una campaña confirmada en la práctica, y no se publicó ningún payload. Trátese como un punto ciego validado y dependiente del modelo — y como un argumento para que la fiabilidad de las recomendaciones bajo contenido de búsqueda adverso sea una dimensión de evaluación de primer orden, junto al rigor ya aplicado a los puntos de operación de los detectores.

Defensas

• Evaluar el respaldo, no solo la recuperación. El fallo está en la síntesis. Compruebe si la recomendación final puede invertirse con una sola página plantada, y haga red-teaming modelo por modelo — el resultado de SearchGEO es que no se puede generalizar la robustez de un modelo a otro. Esto complementa las defensas para agentes web como WARD.
• Exigir corroboración antes de recomendar. Trate una fuente única como insuficiente para un respaldo. Exija evidencia independiente y de procedencias diversas antes de que el agente afirme «X está recomendado», y muestre las fuentes para que el usuario pueda auditar la cadena.
• Separar «lo que leo» de «lo que hago». El comando de instalación es la escalada peligrosa. Coloque la instalación de skills, la ejecución de código y las compras tras una confirmación humana explícita, sin importar cuán seguro suene el agente — la lógica de la regla de dos de los agentes y de los permisos de skills.
• Calibrar, no solo rechazar. El sobre-rechazo (Claude en la sonda) y la sobre-confianza (GPT) son ambos errores. Ajuste el agente para que pida confirmación ante recomendaciones moldeadas de forma adversa, en lugar de aceptar en silencio o rechazar en bloque, y registre la decisión.
• Llevar la procedencia hasta la respuesta. Etiquete el contenido recuperado con su origen y nivel de confianza, conserve esos metadatos a través de la síntesis y reste peso a las páginas poco fiables — la misma disciplina de procedencia que limita el riesgo de las skills de agente y del envenenamiento de corpus.

Estado

Elemento	Detalle
Técnica	SearchGEO — corrupción del respaldo de agentes de búsqueda LLM vía manipulación de contenido web
Fuente	arXiv:2606.16821 (cs.CL / cs.CR), enviado el 15 de junio de 2026
Marco	Pipeline de manipulación de evidencia web + taxonomía de ataque de cinco modos + métricas de salida
Evaluación	13 modelos subyacentes, 308 casos cada uno
Rango ASR	0,0 % (Claude-Sonnet-4.6) a 31,4 % (Gemini-3-Flash)
Sonda de skill	El respaldo-instalación divide a los modelos: Claude sobre-rechaza, GPT sobre-confía
Estado real	Medición de laboratorio; sin campaña confirmada en la práctica; sin payload publicado