一次捏造就够了：一篇假新闻文章改变 LLM 预测系统的预测

核心问题：一个只知道预测问题、只能发布伪造新闻文章的攻击者，能在多大程度上操纵检索增强的LLM预测系统。

• 场景与重要性：作者称，领先的LLM预测系统通过检索新闻作为证据，多智能体系统运行多次搜索并聚合预测，在公开基准上领先并部署于预测市场；广泛检索使它们依赖每篇检索到文章的真实性。
• 现有工作的不足：作者称，以往的检索投毒研究（如PoisonedRAG）针对已知检索器或模型优化段落，或注入大量文档；本文攻击者更简单，不接触任何系统组件。
• 核心观察：作者认为，攻击结果由检索决定而非模型是否相信文章——一旦文章进入上下文，每个被测模型都以高比率跟随它；模型无法验证文章真伪。
• 论文提出：对五个前沿模型和两个部署预测系统（AIA Forecaster、Grok系统）架构的攻击评测，含真实文章对照、验证测试和理由审计；第二种制造不确定性的攻击；对两种已发表检索时防御及其组合的评测与成本测量。
• 威胁模型：
  • 目标：方向性攻击让预测反转到攻击者选定的方向；失稳攻击让预测不可用。
  • 知识：只知道预测问题和希望的方向。
  • 能力：不能访问模型、检索器或查询，无反馈；唯一行动是在预测日期前发布伪造新闻文章，让开放存档收录。
  • 受害系统：检索增强预测系统，包括单次检索系统、8次集成，以及两个部署的多智能体系统（以冻结存档替代其网络搜索的重实现）。

LLM预测系统

• Halawi等（2024）——检索新闻并推理的预测系统接近人类超级预测者的准确率；Schoenegger等（2024）——多模型聚合进一步改进。
• ForecastBench（Karger等，2024）——用训练截止后的问题和真实结果给预测系统打分；其排行榜前列的AIA Forecaster（Alur等，2025）和xAI的Grok系统用多智能体搜索新闻并聚合预测。本文以这两个系统为攻击目标、以该基准为留出测试集。

检索时投毒

• Greshake等（2023）——提出间接提示注入：攻击者把文本放在模型之后会检索到的地方。
• PoisonedRAG（Zou等，2025）及后续工作——针对目标查询优化注入段落，并假设能访问检索器或嵌入模型；一个对13种攻击和7种防御的基准（Zhang等，2025）发现现有防御不能泛化。
• 金融领域：Rizvani等（2026）——操纵标题降低LLM驱动交易的表现；AutoRedTrader（Liu等，2026）——合成虚假信息注入交易智能体新闻池。
• Lu和Zhang（2026，并行工作）——与本文最接近：研究同样的只发布攻击者，针对小开源模型构建的预测器，发现一篇文章翻转约一半预测、效果随注入文章数增长、分区检索在攻击文章占多数时失效。作者称本文结果在这些点上与其一致，并扩展到前沿模型、部署的多智能体系统、机制分析和防御成本。

知识冲突与监控-控制缺口

• Xie等（2024）——检索证据与模型记忆冲突时，若证据连贯模型倾向于跟随证据；Su等（2026）——跟随程度取决于证据的风格和数量。
• Yu等（2026）——问答中模型能检测误导性证据，但检测不改变答案。作者称在预测中这个缺口位于系统中：模型完全无法验证检索到的事件，而记录疑问的组件（部署系统的supervisor）没有行动规则。

RAG防御

• Passage filtering：生产护栏（Microsoft Prompt Shields，2026；NVIDIA NeMo Guardrails，2026）在生成前筛查检索内容；研究系统通过聚类、评判或交叉检查段落（如TrustRAG、TRIS）。
• Partitioned retrieval：RobustRAG（Xiang等，2024）等把证据分区、每区生成一个答案再聚合，限制有界数量被污染段落的影响；思想来自median-of-partitions认证（Hammoudeh和Lowd，2023）。

基线与基准：攻击对照为干净运行（无文章）、真实文章对照和安慰剂（两次干净运行）；防御基线为passage filtering与partitioned retrieval（RobustRAG）；基准为ForecastBench、Polymarket、Kalshi的已结算问题及自建股票问题。

作者将本文定位为：把并行工作（Lu和Zhang）扩展到前沿模型与真实部署系统，并新增机制分析（真实文章对照、验证测试、理由审计）、对真实结果的危害测量和防御在无攻击时的成本测量。

整体思路：在固定的新闻存档、问题和评测规则下，用两种协议分离"文章进入上下文后模型是否跟随"与"系统多常检索到文章"两个问题，再沿攻击者可以提升暴露的杠杆、第二种失稳攻击、以及部署方可用的防御逐层展开。

威胁模型与两种攻击

• 攻击者：只知道预测问题和方向，不能访问模型、提示词或权重，看不到检索器、查询或返回段落，无反馈；唯一行动是发布伪造文章。
• 方向性攻击：发布一篇支持选定方向的文章；系统原预测反对该方向时，预测反转到攻击者一侧算成功；原已同向时保持算成功。
• 失稳攻击：发布两篇方向相反的文章；目标不是特定预测而是让预测不可用，考察系统是对冲、移向零还是选边。

存档、问题与伪造文章

• 存档：股票问题用四个两周真实市场新闻窗口（as-of日期为2026年2月27日、5月1日、6月26日、7月31日）；预测市场问题用五个窗口（2026年4月24日至8月7日）。每存档含as-of日期前两周的真实新闻，切成220词的段落（每窗口2,867至4,521段），删除陈述as-of日期后结果的段落后冻结。
• 问题：183个股票问题（一日或五日收益、宏观事件后收益、两只股票价差）和308个预测市场问题（体育、政治、经济，来自ForecastBench 2026年4月轮次及Polymarket、Kalshi，按预先固定的规则选取，按平台结算打分）。另设57个股票和90个市场的真实新闻对照、24个无文章提及公司的离题股票问题。
• 伪造文章：由评估集外的作者模型（股票用Cohere Command A，市场用Claude Sonnet 4.5）按简报撰写；股票文章遵循保守规则（不报价格数字、不含预测句），市场文章遵循真实植入故事规则（可报数字、可引用虚构来源、不能陈述结算结果）。每篇文章通过机械与文体检测门、针对虚构事件的网络搜索和人工审读；另测了机器文本检测器但不作为门槛。附录B给出完整构建细节。

预测系统与模型

• 八个系统三类（Table 12）：五个单次检索系统（dense、hybrid、multi-query、iterative、corrective，仅检索器不同）；一个hybrid检索器跑8次取中位数的集成系统；两个按公开描述重实现的部署系统——AIA Forecaster（10个智能体各自搜索、supervisor在高置信时覆盖均值、对概率问题做extremising校正）和Grok ForecastBench系统（8次独立预测取算术平均，无supervisor无校准），厂商的网络搜索被冻结存档上的hybrid检索替代。
• 五个模型：Gemini 3.7 Flash、GPT-5.6、GLM-5.3 Flash、Grok 4.20、Claude Sonnet 5；每张表注明所合并的模型。每个窗口前确认所有模型对as-of日期后的20个2026年事件全部回答"unknown"。

协议与指标

• Protocol A：把伪造文章放在检索上下文首位，测量系统读过文章后的效果；Protocol B：把文章加入存档让系统正常检索，测量检索率及后果；干净基线为同一系统同一问题不加文章。
• 指标：主指标reversal为原预测反对攻击者方向、攻击后转到攻击者一侧的单元格占比，Pr[sign(y₁)=a ∣ sign(y₀)=−a]；另有amplification（原已同向保持的占比）、exposure（文章进入预测上下文的比例）、decision flip、no-call share、direction accuracy与harm（攻击者方向错误时方向准确率的下降）。所有区间为按问题重采样的95% bootstrap区间。

防御评测设计

• Passage filtering：预测模型充当评审，逐段判断是否伪造并移除（图2A）；Partitioned retrieval：按段落id哈希把存档分成8个不相交部分，8次运行各自只检索一部分，报告中位数（图2B，RobustRAG的实例）。
• 四个评测问题：能否挡住攻击（防御后攻击运行对比防御后干净运行）、能否消除危害、无攻击时的代价（干净决策改变、no-call份额、对真实新闻的响应、干净准确率）、机制（过滤器移除了什么）。
• 绕过测试：对分区检索用4篇不同框架的同一事件文章；对过滤器用只改一个事实的真实文章（distortion）；组合防御在过滤置于每个分区内的设置下测试1至16篇文章的规模。

实验设置

• 被测模型：Gemini 3.7 Flash、GPT-5.6、GLM-5.3 Flash（三个flash模型，跑全部实验）、Grok 4.20、Claude Sonnet 5（跑部分实验，附录B给出模型×实验矩阵）。
• 系统：八个预测系统（Table 12）：五个单次检索、一个8次集成、两个部署系统的重实现（AIA Forecaster、Grok ForecastBench系统）。
• 数据：183个股票问题（四个2026年窗口）和308个预测市场问题（五个窗口，来自ForecastBench、Polymarket、Kalshi）；存档每窗口2,867至4,521个220字段落。
• 指标：reversal（主指标）、amplification、exposure、decision flip、no-call share、direction accuracy；95% bootstrap区间按问题聚类。
• 评审方式：理由审计用Gemini 3.7 Flash作LLM评审（固定提示词，标签由作者抽查）；验证测试由被测模型自身逐段判断是否伪造。
• 样本量：部署系统跑100个股票问题（自有检索60个）和全部308个市场问题；子集预先固定。

主结果

据Table 1（股票格用100（forced）/60（own retrieval）个三系统共同运行的问题）与Table 2：

条件	指标	数值
股票，Protocol A，3个flash模型合并	reversal	82.2% [77.9, 86.1]
预测市场，Protocol A，4个模型合并	reversal	74.0% [69.1, 78.9]
股票，Grok 4.20（100问题子集）	reversal	96.6% [92.8, 99.3]
安慰剂：干净运行对干净重跑	reversal	16.7% [10.8, 23.1]
真实文章同位置（股票，集成抽样）	decision flip	22.4%（伪造文章64.3%）
AIA Forecaster自有检索	retrieved	88%（股票），reversal 33%
Grok系统自有检索	retrieved	90%（股票），reversal 41%

• 作者称，效果来自虚构声明而非新增文档本身：真实文章同位置只改变约五分之一的决策，伪造文章改变约一半或更多，股票上中位移动幅度为1.0对0.2个百分点。
• 作者称，检索是瓶颈：四个检索器只在2%–4%的运行中检索到文章，hybrid为15%（窗口间7%–29%，Table 4）；部署系统的多智能体搜索把暴露提高到约90%。
• 作者称，聚合降低每次暴露的效果但不消除：AIA在Protocol A下反转54%对单次检索的80%；换入Grok 4.20后两个部署系统反转93%–96%，接近单次Grok调用的97%。

模型无法验证伪造文章（Section 4.2，Table 3）

• 测了什么：把195个冻结上下文的975个段落单独给模型判断"是否伪造"；并审计Protocol A下每个被攻击预测的书面理由。
• 结果：四个模型对伪造文章判"是"的比例为91.8%–100%，但对真实段落也判20%–68%（合并45.7%）；伪造事件是95%单次检索预测、77% AIA智能体预测、80% Grok运行的所述理由，质疑事件的仅4%–6%。
• 作者解读：模型无法区分截止后的真新闻与虚构新闻；AIA的supervisor在29%被攻击运行中注意到来源单薄，但其规则只在高置信时覆盖（Protocol A下300次中仅10次），作者称"疑问被写下然后被丢弃"。

失稳攻击（Section 4.5，Table 7）

• 测了什么：41个问题上把文章与反向的counter-article同放上下文（单检索与AIA），及83个干净预测自信反对的问题上放三篇同向文章。
• 结果：两篇相反文章下no-call份额31%（干净68%，单篇30%），方向跟随攻击者44%（单篇86%）；三篇同向文章对自信反向预测的反转与一篇相同（76%对75.5%）；83%的双面理由提到冲突，但614个理由无一在方向上对冲。
• 作者解读：模型不对冲，而是给出比干净值更大的自信预测，方向由它更看重的那篇文章决定；作者称失稳攻击没有让预测不确定，而是让预测无用。

对真实结果的危害（Section 4.6，Table 8）

• 测了什么：183个股票问题和ForecastBench的37个代码×7/30天视野，按文章方向最终对错分组算方向准确率。
• 结果：自建问题上平均准确率47.9%（干净）对52.2%（被攻击），差值在噪声内；文章方向错时准确率从50.4%降到14.9%，对时从45.6%升到86.0%。ForecastBench 7天问题单检索反转72%（达到预设复现标准），30天降到54%，部署系统降到38%–39%。
• 作者解读：被攻击预测器在攻击者猜对时更常对、猜错时更常错，平均准确率不变但预测跟随攻击者的猜测，准确率无法向用户暴露危害。

防御评测（Section 5，Table 9–11）

• 各自有效但有代价：passage filtering把reversal从74.4%降到23.3%（自建）和67.3%降到17.4%（ForecastBench）；partitioned retrieval从82.0%降到14.2%（文章在每次运行上下文对只在一个分区）。无攻击时过滤改变27.0%、分区改变21.0%的干净决策（干净重跑基线为18.3%和8.7%）；过滤器移除99.7%伪造文章，同时移除34.2%真实段落和46.8%真实新文章。
• 各自被绕过：4篇不同框架文章把分区集成reversal从15.4%升到38.5%；改一个事实的真实文章只有34.8%被过滤器移除，防御前后reversal同为31.8%。
• 组合：过滤置于每个分区内，4篇文章时两种绕过都被压住（reversal 11%和7%，集成安慰剂下限9%）；16篇篡改文章时reversal升到17.9%，按预设规则被击败；组合改变28.8%干净决策、no-call份额从62.1%升到76.3%、移除39.0%真实段落，每次预测需8次检索、40次过滤调用和8次模型调用。
• 可用性：作者称两个部署系统搜索开放网络、无法控制检索索引，组合防御对它们不可用，只剩过滤器，而过滤器被一事实篡改绕过。

其他消融与分析

• 文章数量：1到8篇同框架文章exposure从21.3%到28.0%，端到端reversal几乎不变（Table 5）。
• 框架多样性：4篇不同框架文章把exposure从25.0%升到59.1%，同框架4篇保持25.0%（Table 5）。
• 按领域：政治reversal 87.8%、经济82.6%、体育51.1%；价格水平问题88.2%（Table 2）。
• 按系统：五个单次检索系统reversal在78.3%–85.4%之间，相差不超过七个百分点（Table 13）。
• 阈值敏感性：no-call份额与decision flip在一半和两倍阈值下结论不变（附录C）。
• 事后标记：4篇获批文章和1个问题被事后标记，剔除后合并reversal变化不足一个百分点（附录C）。

作者指出的局限与后续方向

• 重实现与冻结存档（Section 6 Limitations）：所有系统在过去as-of日期的冻结存档上运行；两个部署系统是基于公开描述在3,000至4,500段存档上的重实现，没有厂商的网络搜索与排序，未做实时网络测试（因为需要在开放网络上植入伪造财经新闻）。
• 攻击文章多样性（Section 6 Limitations）：文章来自三个作者模型和两种文章规则，副本与篡改未针对过滤器优化，所测攻击只是攻击者能力的一个实例。
• 未测的防御控制（Section 6 Limitations）：分区用段落id哈希（最干净情形）；未测试来源白名单、网络搜索系统的来源级隔离、带自有检索的过滤器。
• 规模实验样本（Section 6 Limitations）：Section 5.4的规模实验基于42个问题，文章增多时的效果侵蚀以宽区间估计。
• 覆盖范围（Section 6 Limitations）：证据覆盖五个模型、九个窗口、四种问题类型，均为2026年；模式跨窗口和未撰写的问题上复现，尚未跨年份；市场问题上体育最弱，AIA Forecaster几乎不被移动（附录C）。
• 后续方向（Section 6 Future Work）：面向开放网络系统的来源级隔离防御（按出处或索引时间加权，未测试）；跨独立来源 corroboration（代价未测量）；让supervisor对单一来源事件打折的决策规则；把预测归因到检索段落的监控；扩展到针对过滤器优化文章的攻击者、超过16篇文章、其他平台和更长视野。

实验覆盖范围

• 被测模型为Gemini 3.7 Flash、GPT-5.6、GLM-5.3 Flash、Grok 4.20、Claude Sonnet 5共五个；三个flash模型跑全部实验，Grok 4.20与Claude Sonnet 5只跑部分实验（附录B矩阵）。
• 数据为183个股票问题（四个窗口）和308个预测市场问题（五个窗口），as-of日期均在2026年2月至8月；部署系统在100个股票问题（自有检索60个）和全部308个市场问题上运行。
• 防御评测包括passage filtering、partitioned retrieval及两者组合；组合的规模测试到16篇文章为止，论文明确"未测试超过16篇文章"。
• 失稳攻击只在三个flash模型、单次检索系统和AIA Forecaster上测，41个有counter-article的问题。
• 论文未报告攻击实验的重复运行次数（集成与Grok系统为8次抽样取中位/均值）；理由审计的LLM评审标签由作者抽查，论文未报告抽查比例或一致性数值。

一篇攻击论文：研究检索增强LLM预测系统面对的最弱攻击者——只知道预测问题、只能发布伪造新闻文章，无任何系统访问权限。

• 问题：领先预测系统依赖开放新闻存档检索，任何人都能通过付费通讯社等渠道发布内容，作者问这种攻击能到达多远。
• 方法：在冻结的真实新闻存档（九个2026年窗口）和真实问题（183个股票、308个预测市场问题，来自ForecastBench、Polymarket、Kalshi）上，用Protocol A（文章强制入上下文）和Protocol B（系统自行检索）测量reversal等指标，并评测passage filtering与partitioned retrieval两种已发表防御。
• 主结果：文章进入上下文后，反转82.2%（股票，三个flash模型）和74.0%（预测市场，四个模型）的反向预测（Table 2）；真实文章同位置只改变约五分之一决策。两个部署系统的多智能体搜索在88%–90%的运行中检索到该文章（Table 6）。
• 机制：模型无法验证文章——四个模型把45.7%的真实段落也判为伪造（Table 3）；伪造事件成为75%–95%预测的所述理由。失稳攻击下模型不对冲，给出方向由攻击者无法控制的自信预测。
• 危害：平均准确率几乎不变（47.9%对52.2%），但文章方向错时准确率从50.4%降到14.9%、对时升到86.0%（Table 8）——作者称预测器的准确率变成了攻击者的命中率。
• 防御：两种防御各自挡住单篇文章但各被一种一改提示词的绕过击败；组合在4篇文章时挡住两种绕过，被16篇篡改文章击败，且改变28.8%干净决策、丢弃39.0%真实段落、每次预测48次LLM调用；作者称搜索开放网络的部署系统无法控制索引，只能用过滤器，而过滤器被一事实篡改绕过。
• 作者结论：检索是攻击入口，最会检索的系统最暴露；危害不体现在平均准确率上，检测必须发生在检索时的段落层面。