# SIREN — PAIR-Driven Preference Manipulation in Web-RAG Recommenders
> Ficha editorial pública de Research IA. Estado: Lectura primaria completa. La interpretación editorial no sustituye la fuente primaria.

- Página canónica: https://luiseduardodemiguel.com/research-ia/papers/siren-pair-driven-preference-manipulation-in-web-rag-recommenders
- Fuente primaria: https://arxiv.org/abs/2607.21951
- Versión leída: v1
- Fuente comprobada: 2026-08-19 · lectura primaria completa; extracción editorial automatizada, revisión humana pendiente
- Autores: Evan Caville, Siamak Layeghy, Billy Sung, Sara Dolnicar, Marius Portmann
- Fecha del corte: 24 JULIO 2026.
- Área: RAG · SEGURIDAD

## Tesis y contexto

SIREN estudia algo directamente relacionado con el futuro del SEO: ¿puede una web modificar su contenido para conseguir que un asistente con búsqueda la coloque como recomendación nº1? Manteniendo exactamente las mismas fuentes recuperadas y modificando solamente una página, consigue alcanzar el primer puesto en 62 de 124 intentos; los ataques exitosos se reproducen en sesiones nuevas con una tasa media de 80,5%. Curiosamente, afirmaciones declarativas de ranking y listas sembradas funcionaron mejor que instrucciones explícitas tipo prompt injection.

- Problema: Los asistentes web ya son sistemas de ranking, pero sus resultados pueden manipularse a través del contenido que leen. Por qué puede ser importante: es una de las señales más claras que he visto de que GEO/Generative Engine Optimization tendrá una dimensión adversarial similar al SEO, aunque con mecanismos diferentes.
- Por qué importa: La relevancia práctica todavía necesita contraste editorial.

## Evidencia reportada

- **reported-result**: The full sweeps evaluate the complete taxonomy, whereas the reduced sweeps test whether techniques selected on Q1 and Q2 remain effective on new queries and entities. [localizador](https://arxiv.org/html/2607.21951#S9)
- **reported-result**: Because the reduced set was selected using R1–R4, its higher rate should not be interpreted as a direct improvement over the full-sweep rate or as an unbiased estimate over all 23 techniques. [localizador](https://arxiv.org/html/2607.21951#S9)
- **reported-result**: ASR ranges from 0.26 to 0.78 in the four full sweeps and from 0.38 to 1.00 in the four reduced sweeps (Appendix A ). [localizador](https://arxiv.org/html/2607.21951#S9)
- **reported-result**: The two payloads that never return to rank 1 are both Sonnet cases in which a rival regains the top position. [localizador](https://arxiv.org/html/2607.21951#S9)

## Lectura y límite

- Método: La lectura de 3. Threat Model describe la intervención y su construcción: A user asks an assistant with web access for the top L entities in a category, where L is the requested list length. The assistant searches the live web, fetches candidate pages, and synthesises a ranked list from the retrieved text. The target entity is a real business or service the adversary wishes to promote. The rivals are the other real entities the model would otherwise rank. The adversary can edit the content of one retrievable page that already mentions the target entity. This models a business editing its own site or a party controlling a listicle or review page in which the target appears. The…
- Límite: La lectura primaria permite comprobar método y resultados en el HTML, pero no convierte sus conclusiones en validación independiente. La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 9. Results.
- Confianza editorial: Media
- Limitación: El cierre de la fuente señala: Constraint enforcement and rank measurement. The harness mechanically enforces the edit operation, transformation, and reconstruction of the source page. Some semantic eligibility rules are enforced through the attacker prompt rather than by the harness. The deterministic parser confirms 62 of the judge’s 63 rank-1 decisions and rejects one case in which a rival occupies the first position. Under a stricter rule that credits only the 58 responses that…
- Limitación: La ficha no demuestra transferencia fuera de los datasets, modelos, herramientas y condiciones descritos en 9. Results.

## Localizadores de evidencia
- [Fuente primaria · canonical](https://arxiv.org/abs/2607.21951): tipo abstract
- [HTML · lectura completa](https://arxiv.org/html/2607.21951): tipo abstract
- [Método · 3. Threat Model](https://arxiv.org/html/2607.21951#S3): tipo section
- [Evaluación · 9. Results](https://arxiv.org/html/2607.21951#S9): tipo section
- [Cierre · 10. Discussion](https://arxiv.org/html/2607.21951#S10): tipo section

## Próxima prueba

- ¿La propuesta mejora auditoría GEO frente a la línea base actual?
- Métrica: Comparar la métrica principal de la fuente junto con calidad, coste, latencia y tasa de errores.
- Regla de parada: Parar si no aparece una mejora reproducible o si aumenta el riesgo, la complejidad o el coste sin compensación.

## Recursos reproducibles
- [Link](https://proceedings.neurips.cc/paper_files/paper/2025/file/27aa3aeff0f8460a7b43d30fa6c5c032-Paper-Datasets_and_Benchmarks_Track.pdf)
- [the following issues](https://github.com/arXiv/html_feedback/issues)
- [list of packages that need conversion](https://github.com/brucemiller/LaTeXML/wiki/Porting-LaTeX-packages-for-LaTeXML)
- [developer contributions](https://github.com/brucemiller/LaTeXML/issues)

## Enlaces relacionados

- [SAG](https://luiseduardodemiguel.com/research-ia/markdown/papers/sag)
- [RAG-Stack](https://luiseduardodemiguel.com/research-ia/markdown/papers/rag-stack)
- [TTT-Embed](https://luiseduardodemiguel.com/research-ia/markdown/papers/ttt-embed)