AI检测公司GPTZero于5月公开调查，踢爆四大会计师事务所安永（EY）加拿大分部2025年底发布的一份44页资安白皮书存在严重造假。报告名为《Points of Attack：Uncovering Cyber Threats and Fraud in Loyalty Systems》，聚焦会员忠诚点数系统安全。GPTZero逐条核查27条引用，发现其中16条是AI幻觉（捏造或失效），超过70%。整份报告约72%的文字被判定为AI生成。
27条引用16条幻影：GPTZero如何拆穿
报告没有学术脚注，改用内文标注，并在第41至43页附一张“资源表”，列出标题、描述、URL、部分出版者与日期。问题集中在这张表：几乎所有URL要么失效，要么根本不存在，超过一半的来源标题对不上任何真实出处。GPTZero工程团队为这种现象发明了一个词：vibe citing——研究者或顾问懒得查真实来源，直接让AI生成参考文献，结果产出一堆外表像引用、内容凭空捏造的假条目。
2,000亿美元的前后矛盾与假引用
最直接的矛盾是一组数字：执行摘要声称“全球忠诚点数市场规模达2,000亿美元”，同时指出30%到50%的点数从未被使用。报告第10页却换了个说法，称“2,000亿美元”是“未兑换点数的总价值”。如果50%点数未兑换其价值已等于2,000亿，那么全球市场规模至少应该是4,000亿——两个页面数字彼此打架。更关键的是，这两个数字各自附了一条引用：一条假Forbes，一条假麦肯锡。GPTZero追查“McKinsey & Company: Loyalty Economics Report (2022)”，发现这份文件根本不存在。往前翻半年，他们在一篇Financial IT博客文里找到几乎一模一样的句子，同样标注了这份不存在的麦肯锡报告为来源。
从低流量博客到四大的“引用链污染”
GPTZero指出，有人先在低流量博客捏造学术引用，EY的报告后来又把假引用“洗白”成四大事务所的出版物。这就是所谓的引用链污染。GPTZero近几个月建立自动化pipeline，系统性地扫描大型顾问公司的公开报告，初步结果��示vibe citing已成“流行病”，连产业龙头也中招。GPTZero还把这种假信息上传网络的行为称为“数据投毒”：注入假信息等于污染所有人的知识池，误导未来研究者和决策者。EY Canada每年向加拿大政府提供数百万美元的审计与顾问服务，当报告放在高流量官网时，毒素扩散更快、信任损耗更难修复。这份报告已引发涟漪：一篇引用它的《坎培拉时报》报道被转载至澳洲60多家报纸。
GPTZero实测发现，Claude、ChatGPT、Perplexity在被问及“忠诚计划诈骗的平均检测时间”等问题时，都曾引用过这份充满幻觉的EY报告。AI“深度研究”工具挑选来源时更依赖品牌光环，对这类数据投毒更加脆弱。GPTZero的幻觉检测工具目前已被IJCAI、ICLR、ICSE等顶尖学术会议用于筛查论文投稿，此前也查过政府文件及两份勤业众信报告。
调查发布后，EY Canada已从官网下架该白皮书，并声明：“EY Canada严肃对待所有发布内容的准确性，对负责任使用AI有全组织承诺，正在检讨为何会发布这份报告。”一家以严谨审计立身的全球顶尖事务所，用一份AI生成的白皮书，将自己的品牌信用交给了一个连引用都懒得查的语言模型。被三人小团队��众拆穿，才意识到问题严重性。这绝非个案，而是整个产业正在发生的事——当“AI生成”取代“专业判断”，品牌背书本身就成了风险最大的那条“引用”。