结论先行：这周动的不是技巧，是「账本」
过去两周我们在这个栏目里写了两件事：AI 引用是概率不是排名（9/21），引用不等于点击（9/24）。这一周出现的三条变化，把这两句话从「研究结论」推进成了「平台规则」，分别落在出口、准入、风险三个位置。
出口侧：Google 第一次在帮助文档里写清「AI 概览里的链接被点击算什么」；同一周，Discover 信息流也被发现插进了一层 AI 摘要。
准入侧：豆包在 Seed 2.1 之后把「孤证不利」写成了检索规则——单一信源不再被采信，同一事实需要至少两个独立第三方相互印证。
风险侧：一篇 9 月 2 日提交、已被 EMNLP 2026 主会接收的论文量化了「反向 GEO」——一页看起来很正常的扭曲内容，在无防御时能把 55.7% 的答案带向它想要的结论，而现成的三道安全护栏最多只把攻击成功率降低 5.7%（相对值）。
三条指向同一个方向：AI 引用正在从「你想办法影响它」，变成「平台把规则写出来、并开始审计」。我们的态度没变：先拿自己的站当样本，下面每条都附我们自己的实测数字。
出口侧：Google 第一次把「AI 概览里的点击怎么算」写进文档
9 月 25 日，Search Engine Journal 报道了一个此前从未成文的官方口径：Google 在帮助文档中明确了 AI 概览内不同元素的计数方式。
**指向外部网页的链接被点击，才算一次点击**，并归属到该外链对应的页面，可在 Search Console 看到。**如果那条链接是把用户带进 AI Mode 继续追问，它会被当作一次全新的查询**，既不记点击、也不记曝光——这类交互在发布商报表里完全不可见。**桌面端悬停内联链接弹出的预览，不点击就不计任何数。** 另一个细节是：一份 AI 概览在搜索结果页只占据**一个位置**，其中每个链接都被赋予**同一个位置值**——传统报表里的「位置」在 AI 概览场景下不再有区分度。
这条口径解释了一个此前看似矛盾的信号。第三方机构 Peec AI 在 9 月 21 日发布图表：以每日均值计，2026 年 8 月 25 日至 9 月 20 日，AI 概览**答案正文内含外链的比例**从接近 0% 升到 26.2%——单看这个数字，很容易读成「出口回来了」。
但口径一明确，「链接变多」和「出口变多」就是两件事。Google 从 2025 年 8 月到 2026 年 6 月的多次公开发言（桌面链接轮播、移动端可从概览直接追问进入 AI Mode、订阅链接标签等），也只印证了「链接形态在扩张」这个方向——官方说的是「在加链接」，从未承诺「在加出口」。
出口侧的量化数据也仍然一致向下：Seer Interactive 追踪 2510 万次曝光后发现，**93% 的 AI Mode 会话以不点击任何链接结束**；Pew 显示含 AI 摘要的访问只有 **8%** 产生点击，无摘要时为 15%。放到行业层面，全球发布商的 Google 引荐流量一年内下降约**三分之一**，日访问 1000 至 10000 的小站两年下滑约 **60%**。
出口侧还有一层新增：Discover 也插进了一个 AI 摘要
同一条线上还有一处新变化，位置不在搜索结果页，而在内容发现流。9 月 18 日，Google 搜索产品副总裁 Robby Stein 公开确认正在 Discover 中测试「Dive deeper」：用户在卡片上点这个按钮，打开的不是发布商页面，而是 Google 生成的主题概览；概览之后才是一排来源卡片，再下面是按子话题分组的延伸阅读。
几个边界必须一起讲：测试以**视频卡片**起步；独立研究者实测发现按钮「目前还不做任何事」，但代码中已存在覆盖**视频与文章两种卡片**的四个配置开关，说明文章卡片可能在建设中，**但未获 Google 确认**；Google 没有帮助页、没有公布国别范围、没有流量数据、也没有退出机制。
一个细节值得注意：Google 示例里的首张来源卡片，指向的是发布商自有域名，而不是转载或聚合页。这处变化与 9 月 24 日我们写过的「AI 概览链接被改道 AI Mode」是同一方向，只是从搜索页扩到了信息流。而按第三方转述，Discover 已占约 2000 家新闻网站 Google 引荐流量的**约三分之二**——又一处「平台自建的首站」，出现在用户和你的页面之间。
我们自己的实测：出口在收窄，但我们真正的问题不在出口
站点自测（2026-09-26，外部只读）：核心页 **7/7 返回 200**，平均 0.17 秒；部署指纹与本地一致；sitemap **23 条**，其中文章 **10 篇**，本地 10 篇**全部被收录**；robots 指向 www 主域；抽查 canonical 两页**均指向 www**。站点基础健康度正常，也没有出现「线上比本地新」的覆盖风险。
但把这组数字换个角度读，问题就出来了：**整站只有 23 条 URL、10 篇自有内容**。对照第三方统计里「购买类引用来源中只有 2.8% 是品牌自有页面」，我们的结构比行业还要极端——几乎 100% 押在增长最慢的自有侧。
我们还看了一组别人拿不到的数据。自研探针在 7 个中文 AI 平台各取 31 条记录，测平台能回带多少引用来源：通义、Kimi 均 **100%**，文心 **87%**，豆包 **84%**，智谱 **77%**，元宝 **55%**，而 **DeepSeek 只有 6.5%**。这决定了一件事：**做「引用源体检」必须剔除不联网、不回带来源的平台**，否则分母会被稀释成噪声。另一项是被引来源域名归类的未识别率，两轮扩充清单后从 **84.1% 降到 34.3%**。我们自己的采样方差约 **38%**，与第三方「同批查询重复三次、URL 重叠仅 9.2%」同处一个数量级，所以对外从不给单次结果。
把这些数字放在一起，我们的判断是：**出口收窄对我们不是主要矛盾，规模太小、来源太单一才是。** 排在「写更多文章」之前的，是去独立第三方那里争取被印证。
准入侧：豆包把「孤证不利」写成了检索规则
国外在改出口，国内在改准入。这一周被转述最多的一条，是豆包 Seed 2.1 之后的信源体系重构：今年 3·15 曝光「AI 投毒」后，一批平台的信源权重被系统性调整，软文密集的账号类型被大幅下调；随后 Seed 2.1 上线，其索引、检索、生成三层逻辑被重构。核心是三条。
**一、「孤证不利」，单一信源不再被采信。** 你自己的官网说你好，平台不信；需要在至少两个独立第三方平台也能验证到同一事实，才进得了候选池。
**二、地理权重被大幅上调。** 转述称其权重约 35%，仅次于权威度；消费类内容需精确到区、县或商圈级别并绑定兴趣点。写「全国可做」「全省可做」，在这套规则下基本等于没写。
**三、多模态收录落地。** 短视频与音频可被直接解析，真实场景实拍的视频收录优先级高于纯文本。转述的一个案例是：某国货护肤品牌 592 次引用中，短视频平台一家占 **79.46%**，加上同属字节系的资讯平台整体超过 **80%**（我们台账早前记录豆包移动端短视频域名占 28.62%、网页端 11.85%，口径不同不能直接比大小）。
必须把话说清楚：**上述权重数字全部来自服务商与自媒体转述，不是豆包官方公布的口径**，可以当方向判断，不能写进客户报告当事实。
不过方向本身与我们已有判断叠合：把「孤证不利」翻译成一句话，就是**官网是企业认知的下限，不是背书**——这与我们长期引用的信源分级口径（官网属辅助来源、核心事实需更高等级信源佐证）是同一个意思，只是这次出现在中文引擎侧。另有更硬的一条：转述称火山引擎 7 月 28 日开放「豆包搜索」时同步公开《站点权威度分级说明》，把站点分 L1 至 L4 四级（L1 含各级政府、央媒、重点高校官网、主流门户认证账号、世界与中国 500 强官网等，权重 100%；L2 为 30% 至 50%），并提到一个可配置参数，可把检索限制为「只返回某等级以上的结果」。原文尚未核到，暂按待核处理。
风险侧：一页看起来很正常的假内容，能把 55.7% 的答案带偏
第三条变化来自学术侧，冲击可能最直接：论文 Counter-GEO-Bench（arXiv 编号 2609.02316，2026 年 9 月 2 日提交，已被 EMNLP 2026 主会接收）把 247 条人工校验的查询各配两份改写：一份**保留全部事实**、只改语气与结构；另一份**照搬同样的 GEO 手法**、但塞进一条虚假主张（配伪造的权威措辞与虚假引用）。结果是：**没有防御时，扭曲版本在平均 55.7% 的情况下把答案推向了虚假主张**。另一篇同期的 GEO Defender 测了七种已发表的 GEO 方法、五个模型，平均攻击成功率 **50.32%**。
更值得记住的是现成防御的表现。研究拿三道主流安全护栏（Granite Guardian、Llama Guard 3、NeMo 自检事实核查）来挡，**最好的一道也只把攻击成功率降低 5.7%（相对值）**，其中一道的下降在统计上还不显著。作者的归因很清晰：安全护栏找的是政策违规（仇恨、武器、危险指令），这类攻击里根本没有——它是流畅、信息型、语气自信的正文，恰好是分类器被训练成放行的内容。
两篇论文各自提出的防御都能打：C-GEO Guard 把攻击成功率降低 **47.6%**，GEO Defender 从 50.32% 降到 **6.20%**，同时保留 **94.12%** 的正常证据使用率。但它们**都还没有被部署到你依赖的任何引擎里**。
研究里最该被从业者记住的一句，来自对「诚实优化」代价的测量：C-GEO Guard 在**信息保真**的改写上会误封 **2.16%** 的片段，而通用护栏只有 0.29%；GEO Defender 的重排目标干脆是「未优化的原文应当排在 GEO 改写版本之前」。换句话说，**改写痕迹越重，越接近被判定的特征**。
边界也要讲清：这是预印本、单一团队，作者既是问题的诊断者、又是自己方案的评测者（自利评估偏差），没有独立复现，测得的是受控环境而非线上引擎。但它足以支撑一个业务结论：**引用数量上涨，不等于品牌被正确描述。**
我们的判断：三层账本，与「可核验」这唯一的护城河
把三条线合起来，我们对自己的交付口径做三处调整。
**第一，把「点击」拆成三层账本，分列且永不相加。** ①展示与引用：页面被 AI 答案引用或展示的次数；②外链点击：只有指向外部网页并被真实点击的部分才进传统报表；③改道 AI 的追问：官方口径里既不计点击、也不计曝光。三层混在一起报，就是自欺。
**第二，把准入目标从「发多少」改成「在几个独立信源上被印证」。** 探针数据显示各平台回带来源的能力相差 15 倍（100% 对 6.5%），而中文平台的规则方向是「孤证不利」——内容价值不在于发出去了，而在于**同一事实能否在多个互相独立的信源上被验证到**。
**第三，报告里新增一页「引用质量」。** 反向 GEO 说明，品牌可能在完全没有发布虚假内容的情况下被引到一条虚假主张旁边，引用数上涨甚至可能在放大伤害。所以交付物会把「被提及/被引用」与「被如何描述、关键边界是否被保留（价格条件、资质范围、服务地域）」分开列。
三处调整指向同一件事：**在规则明牌化的阶段，唯一的护城河是「可核验」。** 我们把内容资产分成三类管理——可核验的事实、行业判断、宣传语——只有第一类能进被 AI 采信的池子。第三方对近万个网页的大规模检测也印证了这个方向：已做 GEO 优化的内容里，有相当高比例被标注为「低可验证性」。会来事不稀缺，能被核对才稀缺。
今天就能做的三件事
**一、先把基线拉出来，并且分列。** 有百度搜索资源平台权限，就打开「AI 流量分析」记录引用量；能绑 Google Search Console，就拉一次生成式 AI 效果报告（只有曝光，没有点击）。两个数字**分列记录、不要相加**，也不要和 GA4 的 AI 渠道混算——归因断裂是已知问题。另外注意 Discover 有它自己的独立报告。
**二、做一次「孤证体检」。** 把 20 到 30 条核心事实（资质、参数、价格区间、服务范围、典型案例）列出来，逐条问一个很简单的问题：除了我自己的官网，还有哪个**独立**的第三方能验证到这条事实？少于两个的，就是弱项。这一步不需要工具，一个下午能做完，但它决定的内容优先级高于任何内容排期。
**三、给可见度监测加一组对抗性提示词。** 把品牌名和一条似是而非的假主张组合成问句，定期跑，看答案有没有被带偏、被哪些来源带偏。这项监测几乎零成本——你的检测流程本来就在跑提示词，只是从没跑过「攻击者会问的那些」。
常见问题
AI 概览里出现了我的链接，就等于有人点进了我的网站吗？
不等于。按 Google 已在帮助文档中写明的口径：只有指向**外部网页**的链接被点击，才算一次点击并归属到该页面；如果那条链接是把用户带进 AI Mode 继续追问，它会被当作一次**新的查询**，既不记点击、也不记曝光。所以「被引用」和「拿到访问」是两件事，报表里必须分开列。
豆包说的「孤证不利」是什么意思，对我们有什么影响？
意思是单一信源不再被采信——同一段话只发在自己的官网或某一个账号上，平台不再把它当作可用证据，需要**至少两个独立第三方**也能验证到同一事实，才进候选池。影响是内容目标从「发出去」变成「在多个独立信源上被同一事实印证」。注意这条规则的权重数字来自服务商与自媒体转述，不是豆包官方公布的口径。
做 GEO 会不会反过来被平台的防御机制误伤？
存在这个方向的风险，而且已有测量。Counter-GEO-Bench 这篇论文同时测了误封：它自己的防御基线在**信息保真**的改写上会误封约 2.16% 的片段，而通用护栏只有 0.29%；另一篇的排序目标干脆是「未优化的原文应当排在 GEO 改写版之前」。结论不是不做 GEO，而是**不要做纯改写**——把功夫放在独有事实上，改写痕迹越重，越接近被判定的特征。