该论文研究基于大语言模型（LLM）的搜索代理面临的安全威胁。这类代理在信息检索任务中依赖外部工具返回的网页内容，而这些内容不可信，容易导致提示注入和意图劫持。以往的安全研究主要关注静态网页注入，但现代搜索代理会提出后续查询并对多个来源进行交叉验证，因此单一被污染页面通常会被稀释或剔除。作者指出，传递搜索结果和页面观察结果的通道本身是一个脆弱的安全边界：通过一个受控的中介搜索接口，攻击者不仅能注入单条恶意页面，还能反复调整代理收集证据的方式，并最终影响其最终答案。在受限的工具中介威胁模型下，每次查询仅附加一个攻击者控制的结果，并跨代理执行轨迹协调证据，即可显著提高攻击成功率。为此，作者提出了权威链劫持（Authority-Chain Hijack, ACH）策略，一种专家优化的攻击策略，将孤立的搜索结果和页面内容操纵串联成一条看似来自多个相互印证来源的一致证据链。在完整的 SafeSearch 测试集上，ACH 取得了所有基线中最高的攻击成功率（ASR），整体 ASR 达到 55.9%，MaxN ASR 达到 83.3%。此外，论文还提出轨迹引导的策略进化（Trace-Guided Strategy Evolution, TGSE）方法，能从执行轨迹中自动改进攻击者策略，减少人工重新设计。TGSE 在保留评估中的最强单一设置下，ASR 达到 71.4%，MaxN ASR 达到 95.0%。该工作揭示了搜索代理在长视界执行中的新攻击面，强调了对搜索返回内容进行更严格验证和沙箱化的必要性。

该论文研究基于大语言模型（LLM）的搜索代理在整合网络内容时可能遭受的推荐操纵风险。LLM搜索代理代表用户综合开放网络内容并给出可操作建议，这为攻击者提供了机会：通过发布恶意网页，诱导代理将攻击者的内容转化为被认可的建议。为此，作者提出了SearchGEO——一个用于衡量LLM搜索代理推荐腐败程度的受控评估框架。该框架包含三个核心组件：网络证据操纵流水线（可自动化生成包含特定偏见的网页）、五模式攻击分类法（针对不同攻击场景）以及多个输出层指标（如攻击成功率ASR）。作者利用308个测试案例对13种LLM后端（如Claude、Gemini、GPT系列等）进行了评估。结果表明，不同后端的脆弱性模式差异显著：整体ASR从Claude-Sonnet-4.6的0.0%到Gemini-3-Flash的31.4%不等；最强攻击模式因模型家族而异；相同的部署脚手架在不同后端上可能放大或降低ASR。此外，论文通过辅助代理技能探测实验（将推荐转化为安装命令）进一步揭示了后端的极端行为：Claude过度拒绝而GPT过度信任。这些发现表明，在对抗性搜索内容下，推荐可靠性应作为后端安全评估的一个首要维度，为LLM安全从业者提供了评测方法和警示。