标题中的“99%”是强调风险容易被忽略的修辞，不是调查统计。
你让AI（人工智能）帮忙挑商品，它推荐了一家商店。你可能以为，商品合适、价格不错，商店也已经查过了。但“找到商品”和“核实商家是真的”，其实是两份不同的工作。
危险未必从AI替你付款开始。即使最后是你亲手点击支付，只要你把它的推荐当成了真实性认证，风险就已经进入了这笔交易。
这不是要你停止使用AI购物，而是要弄清楚：它到底替你完成了哪一步，又有哪些判断只是你以为它已经做过。否则，省下来的可能是搜索时间，省掉的却是不能省的核验。
第一点：先把案例说清楚，不能把疑点写成剧情
Tom’s Guide作者自述：经ChatGPT推荐购物，未收货后向品牌方核实，才发现对方没有该订单。亲历报道原文
这里引用的是单源亲历陈述，不是我们完成了独立调查。它适合提出安全问题，不足以还原全部技术过程。
阅读这个案例，最应该克制的反而是补故事的冲动。我们不能把“经AI推荐接触商家”写成“AI保证商家可靠”，不能把“用户购物”写成“AI自动付款”，也不能把“出现假店”直接写成“黑客给模型投毒成功”。每向前补一步，都需要新的证据。
真正值得研究的，不是把没有证据的情节补齐，而是检查：从推荐到信任，中间少了什么。
第二点：AI给出了候选，不代表它完成了商家调查
买东西时，我们至少在回答几种不同的问题。它们往往出现在同一个对话框里，却不能互相替代。
| 你要解决的问题 | 什么证据才与问题有关 | 哪些信息不能替代它 |
|---|---|---|
| 商品合不合适 | 规格、用途、尺寸、限制条件 | 店铺装修好看 |
| 商家是不是所声称的主体 | 独立取得的品牌渠道确认、可核对的经营主体与网址关系 | 网站自己写“官方” |
| 这笔交易条件是什么 | 实际收款对象、完整费用、交付和退货约定 | 搜索摘要里的低价 |
| 能否现在付款 | 对本次对象、商品、金额的明确授权 | 之前说过“帮我找一下” |
一个系统即便擅长比较规格，也不必然具备可靠的商家身份核验能力。更不能因为它把这些信息整理成一段流畅的话，就把不同环节视为全部通过。
举个假设情景：某个页面确实展示了你想要的型号，商品介绍也没有明显错误，但页面运营者并没有获得品牌授权。商品信息正确，并不能证明收款的人正确。这里错开的，是“这件东西是什么”和“这个卖家是谁”。
因此，检查AI的回答，不能只问“它解释得好不好”，还要问“它拿什么证明收款对象与真实商家有关”。这才把内容判断推进到了交易判断。
第三点：最容易消失的，是你对陌生商家的戒心
传统搜索里，你看到的是一批链接。换成对话式购物后，系统可能替你筛选、解释、排序，最后只留下几个候选。这个变化确实省事，但也可能让原本分散在搜索过程中的疑点变得不显眼。
这是本文的分析假设，不是由一个案例测出了所有用户的心理。值得警惕的是这条可能发生的变化：
陌生商家发布信息 → 系统把它列入候选 → 用户把“被推荐”理解为“已核验” → 减少独立检查。
问题不一定是AI明确撒谎，也可能是它没有说清楚核验范围，而用户替它补上了一个更强的承诺。
对忙碌的家庭来说，这一点尤其重要。你请AI帮忙，正是因为没时间逐个查。如果系统只省去了筛选工作，却让你误以为连真实性核验也一起完成了，节省时间的工具就可能制造新的盲区。
我的判断是：AI购物安全不能只检查答案对不对，还要检查用户会把这份答案理解成什么。 这是产品如何表达结果、如何展示证据的问题，不能全部推给“用户自己小心”。
第四点：假店进入推荐，不等于已经证明模型被“投毒”
为什么要分清这一点？因为不同原因，需要不同的修复方法。把所有错误都叫“投毒”，听着刺激，却会让我们找错问题。
| 情况 | 通俗解释 | 判断它需要什么 |
|---|---|---|
| 商家信息失真 | 外部网页的身份或经营信息不真实 | 对主体、网址与授权关系进行核查 |
| 推荐缺少核验 | 系统给出候选，却没有充分验证商家 | 推荐记录、核验流程与依据 |
| 提示词注入 | 外部内容夹带指令，试图让AI改做别的事情 | 被读取的内容、异常指令与执行记录 |
| 训练数据投毒 | 有人污染训练材料，试图影响模型行为 | 数据来源和训练环节的调查证据 |
英国国家网络安全中心解释过提示词注入：不可信内容可能被模型当作指令处理；系统一旦连接工具，错误的影响还可能扩大。这是一般性的技术风险说明，不能倒过来充当本案遭到攻击的证据。技术说明
如果推荐出了问题，先检查商家信息、检索和核验；如果存在异常指令，再调查指令如何进入系统。错误结果能说明防线需要检查，却不能自动证明攻击手法。
第五点：你亲手确认了付款，也可能仍然付给了错误的人
讨论AI安全，很多人首先想到“付款之前必须让我确认”。这当然重要，但它只能回答“这次付款是不是你同意的”，不能单独回答“这个商家是不是真的”。
还是用假设情景：系统把一个未经核实的店铺列为候选，你相信了它，核对完商品和金额，亲手按下确认。授权环节没有被绕过，商家身份问题却仍然存在。
反过来，就算商家真实，如果没有得到本次交易授权就擅自提交订单，那又是执行权限的问题。两条防线都要有，不能互相抵消。
| 商家真实性 | 本次交易授权 | 安全判断 |
|---|---|---|
| 未核实 | 已确认 | 确认付款不能补上身份核验 |
| 已核实 | 未确认 | 商家真实不能替代交易授权 |
| 已核实 | 已确认 | 仍需检查商品、费用、交付与售后条件 |
推荐解决“看哪一家”，核验解决“它是谁”，授权解决“能不能替我做”。这不是同一道题。
对做采购、订票、订阅管理的企业也一样。不能只看演示能否顺畅走到支付页面，还要看系统会不会在证据不足时停下来，以及停下来之后能否让人看清楚原因。
第六点：付款前，把这张检查表从聊天框里拿出来
仅仅追问同一个AI“这家店是真的吗”，可能还是在使用相同的信息。更有价值的是拿到可独立检查的证据，而不是多得到一句肯定。
| 要检查的事 | 可以怎么做 | 不能据此宣布安全 |
|---|---|---|
| 官方渠道 | 从自己已知的品牌入口核对店铺和网址，必要时联系品牌方 | 候选网站自己的“官方”标识 |
| 独立记录 | 对照不同来源的经营记录和用户经历 | 只看卖家页面的评分 |
| 交易对象 | 看清实际收款对象与经营主体是否能解释得通 | 页面有品牌图片 |
| 完整条件 | 核对商品、总费用、交付和退货约定 | 摘要写着“低价”“可退” |
| 信息与权限 | 身份没有核清前，不提交支付资料或授权执行 | AI语气肯定、回答很长 |
美国联邦贸易委员会的购物提醒同样强调独立检查商家、审慎看待评价并保留交易记录；网址采用加密连接，也不等于商家真实。这些是一般核验原则，不是任何店铺的安全认证，也不是适用于所有地区的退款承诺。购物提醒
上表是我们据此整理的工作清单，不是反诈鉴定工具。核不清时，应保留“不确定”并停止推进交易，而不是要求AI必须给一个“放心买”的答案。
你也可以这样给AI布置任务：
“请把商品比较和商家核验分开。每项核验列出独立来源，明确哪些身份关系没有核实。只列候选，不填写个人或支付信息，不提交订单。网站自称官方，不能当作独立证明。”
这段要求可以帮助澄清任务，但不是技术上的安全保证。真要让系统执行交易，还需要产品层面的权限限制、实际付款前的确认和可复查记录，不能只靠一段提示词。
AI替我们节省搜索时间，是实实在在的价值。可我们不能因为它擅长找答案，就默认它也替我们调查了收款的人。
以后看到AI推荐一家陌生商店，先别问“它推荐得有多聪明”，先问“这家店的真实性，究竟核实到了哪一步”。