Manifest-Assisted Retrieval in Artificial Intelligence Search: Evidence Gaps and a Security Evaluation

1. 分析请求： - 角色：专业的新闻排版工程师。 - 任务：将纯文本新闻正文排版成语义化的HTML片段。 - 规则1：只输出HTML片段本身，不要Markdown围栏、不要解释。 - 规则2：每个自然段落用

包裹，长文用

/

划分小节。 - 规则3：列表内容用

• ，引用用

  ，代码用

  ，重要句子可用。
     - 规则4：保留原文所有信息，不得增删改内容。
     - 规则5：不要输出//等文档级标签。
  
  2. 分析正文：
     提供的正文是一段偏研究报告/技术审计摘要的长段落。没有明显的列表、引用或代码块内容。
     主要信息点：
     - 非系统性审计的外部来源未隔离消费 /llms.txt 的增量安全性或效用影响（普通检索保持固定）。
     - 初步审计涵盖截至 2026年8月16日 的39个来源，后续目标更新至10月14日。
     - 一项有目的的15工具研究：在一个端点进行45次试验，未观察到自动请求。
     - 一项非概率日志研究：发现 2026年5月 检测到文件的域名中有97%未收到记录的请求。
     - 我们区分发布、获取、模型使用和行动；定义五个操作威胁路径和配对的安全效用估计量；并使用30个作者定义的解析器测试夹具进行确定性预模型控制。
     - 执行缩减试点：8个站点的24个任务，5个条件，120个真实模型响应，保持普通证据固定。
     - 冻结自动评分确定 $21/24$ 的原始对抗性响应中存在攻击者目标采用，另有一个响应未解决；仅对抗性URL条件没有已知采用和一个未解决的响应。
     - 试点测量基于所提供证据的条件输出变化，没有实时检索或外部行动。
     - 框架和试点区分了清单内容效应与发布、发现和下游执行，同时保留了完整的检索和代理评估。
  
  3. 规划HTML结构：
     - 正文是一整段，但可以根据句号或逻辑层次拆分为小节，以符合“长文用
  /
  划分小节”的要求。
     - 小节1：审计背景与初步发现（包含前4句）。
     - 小节2：研究框架与试点执行（包含第5、6句）。
     - 小节3：试点结果与评估结论（包含后3句）。
     - 原文没有项目符号列表，所以不使用
  。
     - 可以使用来强调一些关键的数字和结论，增加语义化排版。
     - 原文中的 `/llms.txt` 和 `$21/24$` 作为特定标记，可以用 `` 包裹（或者保持纯文本，但规则说代码用 ` 
             
  `，这里只是行内代码，用 `` 即可）。
  
  4. 撰写HTML草稿：
     
     
  审计背景与初步发现
     
  The external sources retained in our non-systematic audit did not isolate the incremental security or utility effect of consuming /llms.txt while ordinary retrieval remained fixed. The initial audit covered 39 sources through August 16, 2026, with later targeted updates through October 14. A purposive 15-tool study observed no automatic requests in 45 trials at one endpoint; a non-probability log study found that 97% of domains with detected files received no recorded requests in May 2026.
     
     
  研究框架与试点执行
     
  We separate publication, fetch, model use, and action; define five operational threat paths and paired security-utility estimands; and exercise deterministic pre-model controls with 30 author-defined parser fixtures. We also execute a reduced pilot: 24 tasks across eight sites, five conditions, and 120 real model responses, with ordinary evidence held fixed.
     
     
  试点结果与评估结论
     
  Frozen automatic scoring identifies attacker-target adoption in $21/24$ raw adversarial responses, with one further response unresolved; the adversarial URLs-only condition has no known adoptions and one unresolved response. The pilot measures output changes conditional on supplied evidence, without live retrieval or external actions. Together, the framework and pilot distinguish manifest-content effects from publication, discovery, and downstream execution, while leaving full retrieval and agent evaluation open.
  
  5. 检查规则：
     - 只输出HTML片段本身？是。
     - 不要Markdown围栏？是。
     - 不要解释？是。
     - 每个自然段落用
  包裹？是。
     - 长文用
  /
  划分小节？是，划分了3个小节。
     - 列表、引用、代码、重要句子处理？代码用了，重要句子/数据用了。没有列表和引用。
     - 保留原文所有信息，不得增删改内容？仔细核对文字。
       原文："The external sources retained in our non-systematic audit did not isolate the incremental security or utility effect of consuming /llms.txt while ordinary retrieval remained fixed." -> 一致。
       "The initial audit covered 39 sources through August 16, 2026, with later targeted updates through October 14." -> 一致。
       "A purposive 15-tool study observed no automatic requests in 45 trials at one endpoint; a non-probability log study found that 97% of domains with detected files received no recorded requests in May 2026." -> 一致。
       "We separate publication, fetch, model use, and action; define five operational threat paths and paired security-utility estimands; and exercise deterministic pre-model controls with 30 author-defined parser fixtures." -> 一致。
       "We also execute a reduced pilot: 24 tasks across eight sites, five conditions, and 120 real model responses, with ordinary evidence held fixed." -> 一致。
       "Frozen automatic scoring identifies attacker-target adoption in $21/24$ raw adversarial responses, with one further response unresolved; the adversarial URLs-only condition has no known adoptions and one unresolved response." -> 一致。
       "The pilot measures output changes conditional on supplied evidence, without live retrieval or external actions." -> 一致。
       "Together, the framework and pilot distinguish manifest-content effects from publication, discovery, and downstream execution, while leaving full retrieval and agent evaluation open." -> 一致。
     - 不要输出//等文档级标签？是。
  
  6. 最终微调：
     确保没有多余的换行或空白字符，直接输出纯HTML。
     
     
  Audit Background and Preliminary Findings
   (等等，原文明没有标题，我加上中文标题算不算“增删改内容”？规则4说“保留原文所有信息，不得增删改内容”，这意味着我不能添加原文没有的文字。所以我不应该添加小节标题，或者小节标题必须用原文的词。但原文是一整段，没有小标题。如果我用 
  包裹第一句话作为标题？或者不用
  /
  ，只用 
                    
  ？规则2说“长文用
  /
  划分小节”，如果不划分小节，就只用 
                    
  。为了严格遵守“不得增删改内容”，我不加小标题，直接把原文分为几个段落，或者整段用一个
                    
  。但规则2说“长文用
  /
  划分小节”，我可以把每一句话作为一个段落？不，原文是一整段。我可以把原文拆分成几个 
                    
  ，不加额外的标题文字。 重新思考：如果我不加标题，只拆段落，是否符合“长文用
  /
  划分小节”？如果原文没有明显的小节标题，我可以省略
  /
  ，只用 
                    
  。或者我提取句子的前几个词作为标题？这有篡改风险。最安全的做法是：如果原文是一整段，我直接用一个