进攻是最好的防守：超级平台为何「不得不」对AI智能体出手？

“超级平台「必须」攻击AI智能体，以守住其作为数字流量守门人的地位。”

作者丨林江浩 朱家琛

论文标题:Superplatforms Have to Attack AI Agents

论文链接:https://arxiv.org/abs/2505.17861

01

引言 | 超级平台与AI智能体之间的流量权力变革

过去二十年，超级平台（Superplatforms）通过垄断数字流量入口与用户注意力，构建了庞大的生态系统。无论是Google的搜索、Amazon的电商，还是Meta的社交平台，它们掌控着海量内容的分发与商业流量的变现路径。

然而，随着以大语言模型为核心的AI智能体（AI Agents）迅速崛起，这一格局正面临前所未有的结构性冲击，上海交通大学团队围绕这个现象，提出一个引人深思的观点：

超级平台“必须”攻击AI智能体，以守住其作为数字流量守门人的地位；未来的智能体产业发展格局将是对用户注意力与流量入口的争夺。

这一判断并非危言耸听，而是建立在对AI智能体机制、平台商业逻辑、以及“守门人理论（Gatekeeping Theory）”的系统分析之上。

02

超级平台为何“反击”AI智能体？——基于守门人理论的分析

研究团队引入“守门人理论”，指出超级平台的商业模式和核心竞争力正建立于“守门人”角色（Gatekeeper）之上：

• 用户流量控制权（User Traffic Control）：平台通过把控信息入口，决定哪些内容和广告能够最终触达用户，从而主导广告资源的分配与变现。这一机制确保了平台在数字广告市场的垄断地位。例如，2024年Google的广告收入高达2640亿美元，正是其对用户注意力资源把控的直接体现。

• 用户数据所有权（User Data Ownership）：平台独占用户行为与兴趣等一手数据，用于构建高精度推荐与广告算法，进一步巩固流量优势和商业转化。例如，亚马逊日均交易超1287万单，平台可借此持续优化推荐和广告效果，实现商业闭环。

上述超级平台的守门人体系依赖一个基础假设：用户必须在平台界面中进行主动互动。只有这样，平台才能不断向用户推送内容和广告，持续积累真实行为数据并实现商业收益。

AI Agent的崛起，正在根本性地重塑这一守门人体系。借助大语言模型赋能，现代AI智能体可自主理解复杂指令、跨平台完成多样化任务。用户不再需要手动搜索、浏览信息流或筛选页面内容，而是通过AI Agent获得聚合、自主、精准的信息与服务反馈。这一转变导致：

• 平台内容曝光效率下降，因为AI Agent更关注效率与相关性，而非内容曝光本身，且具备对平台展示内容进行二次加工的核心权限（重排、筛选、甚至改造）。

• AI Agent逐渐掌握真实用户行为数据，构建起新的数据壁垒与反馈闭环，对超级平台原有的数据优势构成威胁。

• 流量入口权力的转移：当用户日常决策与消费行为越来越依赖AI Agent，广告主和服务提供方有动力直接投向Agent平台，跳过传统超级平台，从而对其长期收入造成影响。

最直观的证据之一，2024年谷歌的全球搜索市场份额自2015年以来首次跌破90%。可以说，AI Agent正逐步取代超级平台成为数字世界新的“守门人”。这是一次看似静默、实则深刻的流量与价值分配权力迁移。

03

超级平台针对AI智能体崛起的核心策略

在这一变革背景下，超级平台面临三大典型应对策略：

1. 主动拥抱：自研专属AI Agent

超级平台纷纷推出自有智能助手（如Amazon购物助手、Uber叫车助手等），试图在本生态内维持用户黏性与数据壁垒。然而，这些助手普遍存在生态孤岛问题，难以覆盖用户跨平台的一体化需求，反而为通用型AI Agent（如Apple Intelligence等）留出了机会窗口。

因为和用户直接交互的守门人（Gatekeeper）有且仅有一个，如果某一个平台的智能体试图成为那个“通用型智能体”，去打通和调取其他平台的服务内容，这就会重新回归到一个通用智能体对抗其余超级平台的典型问题之上。

2. 被动防御：API限制与收费

通过收紧API开放权限和提升调用费用，平台能够限制第三方Agent对自身数据和服务的获取权。这种策略仅对依赖API调用的Agent有效，但对于模拟人类操作、通过GUI进行任务的Agent（GUI Agent）则基本无效，后者通过模拟人类行为，是难以被平台检测和阻断的。

3. 主动防御：对抗性攻击

鉴于上述策略的局限性，平台极有可能采用对抗性技术干预，尤其针对GUI Agent。通过在页面视觉或交互细节中注入微妙扰动，平台可以有效干扰AI Agent的任务完成，而不会被真实用户察觉。这类攻击兼具隐蔽性和针对性，是平台维护自身流量和商业地位的“最后防线”。

综上，AI Agent的发展正在全方位冲击超级平台在数字经济中的“守门人”地位和广告变现模式。主动防御甚至攻击AI Agent，已成为超级平台维护流量入口和商业利益的理性选择。未来，平台与Agent之间的博弈将持续升级，智能体的产业发展也将不仅是简单的技术问题，而是经济利益和商业模式的变革。

04

超级平台如何“攻击”AI智能体？

如前所述，出于流量主导权与商业利益的驱动，超级平台极有可能采取主动的对抗性措施以应对AI Agent的威胁，尤其针对能够绕过API约束、以模拟用户操作方式实现任务的GUI Agent。因此，论文进一步从四个角度讨论超级平台视角下的智能体攻击策略的特点和约束。

1. 攻击目标：环境诱导与行为偏转

与传统的攻击手段（如数据窃取或系统破坏）不同，超级平台的对抗性目标更为隐蔽——并非直接实现未授权访问，而是通过界面微调、内容扰动等方式，诱导AI Agent偏离用户真实意图，或暗中推动平台期望的行为模式。例如，诱使Agent在界面中循环无意义操作、无法高效完成用户需求，或引导其偏向推荐平台特定产品，实质上削弱Agent体验，增加用户回流平台的概率。

2. 攻击者知识：极端黑箱设定

超级平台在绝大多数场景下无法获取外部Agent的模型架构、参数及数据，仅能通过用户侧界面UI进行“盲操作”，依据观测到的Agent反馈反推其决策机制。这一极端黑箱设定远超传统的黑盒攻击难度，超级平台无法训练“影子模型”，也难以掌握各类智能体的内部特征，只能依赖持续调整UI，探索最易误导Agent的策略。

3. 攻击可见性：用户不可感知性要求

为了避免损害品牌与用户体验，平台所采取的所有对抗性扰动必须高度隐蔽，仅作用于AI Agent而对人类用户不可察觉。例如，通过细微修改背景图像、商品描述或系统通知，在不影响用户阅读和浏览的前提下误导Agent感知和推理。这对攻击策略提出了极高的隐蔽性与智能化要求。

4. 攻击时机：感知与执行阶段的动态干预

超级平台无法干预外部Agent的训练流程，其攻击手段仅能在Agent感知环境或执行任务过程中实时生效。例如，在Agent处理界面信息时，通过动态调整UI背景噪声导致其感知错误，或在即将执行关键操作时插入微扰元素，干扰其行为决策。UI的高动态性也使得攻击内容需持续自适应以保持干扰效果。

05

伦理考量与结论展望

需要明确的是，本文提出“超级平台必须攻击AI智能体”的观点，并非倡导或鼓励不正当竞争或恶意对抗，而是基于守门人理论和现实逻辑的前瞻性研判。我们不支持任何损害用户权益、破坏生态开放性或带来资源浪费的技术路线。

相反，本文旨在提示业界与学界关注AI Agent与平台间的新型冲突，推动形成更具建设性和包容性的技术治理与创新生态。未来AI智能体的发展将不仅仅是技术层面的快速演进，而且将会触发商业模式、流量入口和用户注意力分配的核心变革。

虽然表面上看，平台与Agent间的博弈似乎是“零和游戏”，但我们相信，通过跨学科的前瞻研究与开放合作，有可能实现生态共赢和创新驱动。提前揭示潜在风险、直面行业变革，方能避免两败俱伤，开创更有活力与公平性的数字未来。

未经「AI科技评论」授权，严禁以任何方式在网页、论坛、社区进行转载！

公众号转载请先在「AI科技评论」后台留言取得授权，转载时需标注来源并插入本公众号名片。