SAFE：Google 用四个 Agent 抓「看不出问题」的垃圾站

Google 公开了一篇三页的论文，描述反垃圾系统 SAFE。四个 Agent 分工，判定对象不是单个页面，而是一组频道的内容、行为与基础设施关系。论文称系统已部署，但没有公布任何测试数字。

论文能确认的只有三件事

第一，系统存在且已部署。论文标题是《The Synthetic Gap: Automating Forensic Investigation of 「AI Slop」 with the Scaled Abuse Forensics Examiner》，SAFE 即 Scaled Abuse Forensics Examiner，据论文原文与 Search Engine Journal 的转述，全文只有三页。

第二，它命名的问题叫「合成缺口」：新的生成式攻击手段出现，到对策上线之间有一段空窗。人工审核能看出协同关系，但速度跟不上生成速度。

第三，早期部署「显著加快」了新型合成威胁的识别。这句是论文自己的表述，原文是 early deployment results indicate，后面没有任何数字。

三页是什么概念。系统论文通常会交代数据集规模、基线对比、消融实验。这一篇没有样本量，没有召回率，没有误杀率；评估章节用的是将来时，列的是 Google「将使用」的指标，后面不带数值。

这个空白要写在最前面，因为后面所有推论都得按它打折。能确认的是 Google 在做多 Agent 的反垃圾取证；不能确认的是这套东西已经在网页搜索里大规模清站。

四个 Agent 各看一层

分工的逻辑是把一次人工取证拆开。人做这件事的顺序是：先看内容有没有问题，再看这批账号的行为像不像人，最后看它们之间有没有关系。SAFE 把这个流程固化成四个角色，root 只负责汇总与裁决。

判定的落点在最后一行。论文的结论粒度是「一簇频道」，不是「一条内容」。这一句比前面三个 Agent 的职责描述加起来更重要。

对站长的翻译：一页写得干净，不构成豁免。它和谁一起发、发在什么设施上、和哪些站互链，同样进入判定。

还有一点要补。论文描述的输出形态是给分析员的结论与摘要，它加速复核，不替代复核。把它读成「全自动过滤器」，是超出论文的读法。

从匹配规则到匹配意图

传统反垃圾是特征匹配：命中规则就判违规。这条路的问题是行为可预期，改措辞、换画面、调结构，特征就不命中了。

content understanding 走两条路。已知的违规类型交给微调过的模型；没有现成规则可匹配、但违反政策意图的内容，交给 few-shot 训练的 LLM。论文管后者叫 spirit of policy violation。

这不是新政策。Google 2024 年 3 月引入 scaled content abuse，写明不论内容由自动化、人工还是两者混合生产，只要目的是操纵排名、不为用户提供价值，都适用。人写的垃圾从来都在范围内。

所以变的不是边界，是执行能力。政策写的是「意图」，过去只能靠人判；现在先由模型判一遍，人再复核。同一个标准，处理速度差一个量级。

技术细节值得多看一眼。处理已知违规用的是 LoRA 微调后的模型，处理意图违规用的是 few-shot。前者靠样本训练，后者靠少量示例现场判断——后者才是应对「每天都在变形」的那一类。

单页干净，组合不干净

behavior 看时序。论文举的例子很具体：一组频道 100% 使用相同的操作系统版本，并且在同一 5 秒窗口内上传。

这个信号拆开看，任何一个频道都读不出来。每页单独打开可能都合格，但发布节奏、环境指纹、上传密度连成一条线，人做不到，脚本可以。

cluster 看关系。它把账号、内容、基础设施画成一张图，找共用节点：同一个模板、同一批域名、同一套上传工具。图一画出来，孤立的个案就变成了一张网。

三层叠起来，才是「看不出问题」的页面被抓到的原因。不是某一页被判定为 AI 写的，是这一组页面的组合方式不像自然生长出来的。

论文的语境是频道，不是网页

边界要说清。论文的图表标注里出现「YT Channel signals」「YT Channel Connections」，示例围绕频道、视频、频道元数据展开。据 PPC Land 与 Search Engine Journal 的拆解，全文没有提到 Google 搜索、网页或排名。

但论文通篇用 synthetic media、adversarial synthetic media、multimodal signals，没有把适用范围限定在视频。这个模糊大概率是刻意的，也确实给了外界联想的空间。

联想之一是 9 月垃圾更新：9 月 24 日 9:15（太平洋时间）开始，10 月 8 日结束，约 13 天 16 小时，是 2026 年四次垃圾更新里最长的一次。论文在这段时间前后流出，于是有了「SAFE 参与其中」的推测。

Google 没有确认，论文也没有提。时间重叠不等于因果。把它当结论，后面所有动作都会建在沙上。

顺手记一个坐标：SAFE 是 2026 年第二个被外界识别的 AI 反垃圾系统，前一个是 S-CTS。同一年露出两套，说明这块在加投入，但两套系统各自的作用范围都没有公开。

规模化内容的五个风险面

这五项的共同点是：单看每一项都能解释，合起来很难解释。发布规律可以是运营纪律，模板相似可以是品类一致，互链可以是行业合作。三样一起出现，解释成本就超过了能拿到的收益。

最容易验证的是第一项。把发布时间导出来按天聚合，算标准差。人手运营的站，周末与工作日、月初与月末天然有波动；脚本跑的站，曲线平得像一条直线。

第二项要看差异在哪。只换地名的页面，去掉标签后重复率通常很高；有本地数据或自采数据的页面，重复率会掉下来。这个数不用买工具，写个脚本就能算。

第三项与第四项要一起看。互链本身不是问题，问题是互链两端共享同一套基础设施：域名注册时间接近、IP 段相邻、模板一致、互链密集。四条凑齐，就不再是「同行合作」。

第五项查的是来源。抽 30 页，每页挑一段有判断的句子，拿去搜。搜得到原文且措辞高度接近，说明是改写；搜不到，也不代表是原创，可能只是拼接得够碎。

排优先级时有个先后。第一项与第二项是站内可改的，改完当场能验证；第三项与第四项涉及域名和设施，动起来要运维配合；第五项最难，因为要回到写作流程本身。资源有限就先做前两项，见效最快。

处置：先停，再合，最后清

P0 是「停」不是「删」。停是可逆的，删不是。先把新增入口关掉，用两周看存量里有多少页经得起人工复核，再决定删哪一批、留哪一批。

验收口径要分开。停发之后盯两个数：索引总量是否下降、有效页曝光是否上升。两个方向相反，混在一起看，很容易得出「没变化」的错误结论。

还有一个容易忽略的点：P1 的「合并」比「删」贵。删一页是运维动作，合并两页要重写结构、处理 301、保住原有外链。所以顺序上先做 P0 的复核，用复核结果决定哪些真的需要合并。

这套动作有个前提：你得先有一份页面清单。不知道站上到底有多少页、哪些是脚本生成的，前面所有自查都做不了。清单不等于 sitemap 条数，新氧：948 万条 sitemap，只有 4 条能打开就是一个现成反例：文件很长，能打开的很少。清单属于基础工作，不单独占一行，但它是第一优先级。

SAFE 抬高的是解释门槛

它问的不是「这页像不像 AI 写的」，而是「这组页面为什么以这种方式存在」。这个问题人工审核问了很多年，只是问不过来。

现在问的速度上来了。判定单位从页面挪到行为、设施与网络之后，能通过的站有一个共同特征：每一页都能说清是谁写的、为什么发、数据从哪来。

答不上来的站，页面上看不出问题，组织上也解释不清。SAFE 真正抬高的不是技术门槛，是这种可解释性。

参考来源：Google Research 论文《The Synthetic Gap: Automating Forensic Investigation of 「AI Slop」 with the Scaled Abuse Forensics Examiner》、Search Engine Roundtable 与 Search Engine Journal 报道、Google 垃圾政策文档。

延伸阅读：

• 新氧：948 万条 sitemap，只有 4 条能打开
• 抓取 117 万次只收录 4 条：不是配额问题，是页面没有独立价值
• 科技站 -28%、旅游站 +22%：流量分化的真实原因