生成式推荐模型采用自回归解码，已成为传统排序系统的替代方案。虽然其建模灵活性被广泛研究，但对数据投毒的鲁棒性仍鲜有探讨。本文在一个现实设定下进行实验：攻击者只能注入极少量的恶意交互（不足 1%），并以黑盒方式查询推荐 API。实验表明，少量合成交互即可显著提升触发条件下恶意目标的曝光概率。为解释这种脆弱性，我们从两个角度分析恶意交互的合成：(i) 解码对齐，即前缀与模型的转移动态保持一致；(ii) 前缀流行度，即前缀在模型生成过程中出现频率高。我们发现，短小且与上下文对齐的前缀，如果同时在模型的转移图中常见且与高频触发词强关联，能够持续放大目标的推广效果。基于此洞察，提出 AlignPoison——一种黑盒框架，能够从 API 输出中发现并抽样上下文对齐前缀。我们在单模态和多模态生成式推荐基准上进行实验，结果显示这些前缀相较于竞争基线提升了 ASR 最多 16.3 个百分点，凸显了生成式推荐模型中解码依赖、上下文敏感的投毒漏洞。
点评