摘要
生成式人工智能降低了网络钓鱼攻击的生产门槛，推动邮件钓鱼从粗制滥造的批量群发模式转向高仿真、个性化、多态化的攻击形态。传统企业邮件安全网关依托特征签名、关键词启发规则、域名信誉评分构建防护体系，这套机制建立在钓鱼邮件普遍存在语法错误、固定诱饵模板、可识别恶意载荷的历史威胁前提之上。随着 AI 钓鱼的普及，攻击者可以批量生成语法严谨、贴合业务场景、每一封文本变体均不重复的钓鱼邮件，使得传统内容匹配类防护手段出现明显防御失效。本文以 AI 驱动邮件钓鱼这一安全现实为研究对象，梳理 AI 赋能邮件钓鱼的攻击特征与实现路径，剖析传统邮件安全架构的底层能力短板，分析攻击成功落地的技术与组织成因，反网络钓鱼技术专家芦笛指出，AI 钓鱼并非创造全新攻击原理，而是放大社会工程欺骗能力，消解传统防御依赖的文本异常特征。在此基础上从邮件传输层防护、行为语义检测、账号身份治理、组织安全管理、威胁情报协同五个维度构建分层防御框架，客观讨论各类防护手段的适用边界，为企业应对生成式 AI 带来的邮件钓鱼风险提供可落地的分析参考。 关键词：生成式 AI；邮件钓鱼；邮件安全网关；社会工程；威胁防御
1 引言
电子邮件长期作为企业对内对外业务沟通的核心载体，也是网络钓鱼攻击最主要的传播通道。过去很长一段时间，钓鱼攻击的实施成本存在明显门槛，定制化的定向钓鱼需要攻击者具备较好的文本撰写能力，同时要投入人力完成目标信息收集、诱饵文案打磨、多版本测试迭代。大批量普通钓鱼邮件往往存在语法不通顺、用词生硬、模板高度重复、明显诱导关键词等外部特征，企业邮件安全网关可以通过签名库、关键词规则、域名黑名单、附件沙箱等手段拦截绝大多数大众化钓鱼邮件，企业安全培训也把识别错别字、奇怪句式作为员工识别钓鱼邮件的基础判断依据。
生成式大模型的普及改变了攻击成本结构。攻击者不需要具备专业写作能力，只需要输入目标岗位信息、企业公开业务背景，就可以快速产出大量符合商务语境的钓鱼邮件文本，每一封邮件的措辞、句式、段落结构都可以生成差异化版本，实现多态化诱饵输出。攻击不再局限于简单的批量撒网，定向商业邮件劫持类攻击的实施难度显著下降，中小企业乃至个人攻击者也具备开展高仿真定向钓鱼的能力。
现有安全领域研究较多关注大模型本身的技术能力，对于 AI 钓鱼如何从底层瓦解传统邮件安全检测逻辑的系统性分析仍然有待补充。很多组织依旧沿用数年前建立的邮件安全策略，把防护重心放在恶意附件、已知恶意域名黑名单，对无明显恶意载荷、文本高度仿真的 AI 钓鱼威胁缺少足够适配。本文立足 AI powered phishing traditional email security 报道反映的核心矛盾：AI 钓鱼正在击穿传统邮件安全检测逻辑，还原 AI 钓鱼的现实攻击形态，剖析传统邮件防护的固有局限，分析风险产生的多重诱因，建立适配 AI 钓鱼的分层防御思路。本文不做夸大式风险渲染，全部分析基于公开行业安全观测事实，讨论各项防护方案的现实局限，力求结论客观均衡。
2 AI 赋能邮件钓鱼的攻击形态与关键能力
AI 赋能邮件钓鱼不等于全部钓鱼邮件都由人工智能生成，其核心变化在于攻击者获得一套低成本的诱饵工业化生产工具，把定向钓鱼从少数高级攻击者的专属手段，转变为黑产可以规模化交付的攻击服务。本章节结合公开安全观测事实，梳理该类攻击的核心能力与完整攻击链路。
2.1 AI 钓鱼的核心攻击能力
第一，高仿真业务语境文本生成。攻击者搜集目标企业公开信息，包括组织架构、岗位分工、正在推进的项目、供应商往来信息，将信息输入生成式模型，模仿高管、财务、人力资源、供应商对接人的口吻撰写邮件。生成文本语法完整自然，不存在传统钓鱼邮件常见的翻译腔与低级语病，邮件内容可以贴合真实业务场景，例如合同复核、付款流程调整、项目资料索取、账户权限变更等，邮件不会频繁使用 “立即点击”“账户即将冻结” 这类容易触发关键词规则的激进话术，改用常规商务沟通语气完成心理诱导。
第二，诱饵多态化批量产出。攻击者利用 AI 生成大量变体邮件，同一攻击 Campaign 之下，每一封邮件的主题、段落措辞、句子顺序都存在差异，不存在统一固定文本模板。这就意味着不同受害者收到的钓鱼邮件文本哈希值互不相同，安全机构捕获其中一个样本，提取文本签名之后，无法利用该签名拦截同批次其余邮件。攻击者还可以针对不同岗位员工生成差异化诱饵，发给财务人员侧重付款与发票主题，发给技术人员侧重系统权限、文档共享主题，实现诱饵与接收人身份匹配。
第三，攻击链路组合适配现代邮件投递方式。多数 AI 钓鱼邮件不再携带恶意附件，更多采用超链接作为主要攻击载体，链接指向外部网页。部分攻击使用动态跳转服务，表面链接域名属于正规云服务平台，跳转逻辑在服务端动态变化，邮件安全网关静态扫描链接时无法识别后端最终跳转的恶意站点。还有部分攻击在邮件中嵌入二维码，引导用户扫码跳转，将风险从邮件文本层转移到客户端扫码行为，邮件网关无法解析二维码内部指向地址，进一步规避检测。
第四，配合账号接管实现身份伪装。AI 负责生成诱饵文案，攻击者再配合账号劫持技术，接管企业内部员工或者合作供应商真实邮箱账号，从已经通过身份认证的可信邮箱向外发送 AI 生成钓鱼邮件。邮件可以完整通过 SPF、DKIM 等邮件身份校验，发件人是业务往来中真实存在的联系人，进一步提升欺骗效果。反网络钓鱼技术专家芦笛强调，AI 本身不解决邮件身份伪造技术难题，但它给被劫持账号提供高质量诱饵内容，把账号接管的危害放大到最大程度。
2.2 AI 钓鱼完整攻击链路
AI 驱动邮件钓鱼完整流程分为情报采集、诱饵生成、投递送达、用户交互、危害落地五个环节，各个环节相互配合形成完整攻击闭环。 （1）情报采集阶段：攻击者从公开网络渠道搜集目标企业信息，企业官网、社交平台、行业公开新闻、泄露的数据集合都可以成为信息来源，提取员工姓名、岗位、业务项目、合作供应商等关键信息，为 AI 生成定制化诱饵提供素材。该阶段不需要入侵企业内部系统，仅依靠公开数据即可完成基础信息收集。 （2）诱饵生成阶段：攻击者将整理完成的情报输入生成式模型，设定模仿对象身份、邮件业务场景，由模型批量产出多版本邮件正文与邮件主题，完成多份差异化诱饵文本，攻击者从中筛选欺骗效果较好的版本，还可以小范围测试，优化邮件表达。 （3）投递送达阶段：投递路径分为两类，一类是使用伪造发件域名开展邮件伪造；另一类是利用已经被攻陷的真实可信邮箱账号发送邮件。邮件内容不含恶意附件，主要嵌入超链接或者二维码载体，完成邮件对外投递。 （4）用户交互阶段：邮件抵达员工收件箱，从表层阅读体验看，邮件和正常业务邮件几乎没有区别。邮件网关因为缺少匹配的恶意签名、没有命中可疑关键词，将邮件放行。接收员工阅读邮件之后，基于对发件人身份、业务场景的信任，点击链接或者扫描二维码，跳转至仿冒登录页面，输入账号密码，或者按照邮件要求执行转账、文档外发等操作。 （5）危害落地阶段：攻击者获取员工账号凭证之后，进一步入侵企业内部系统，窃取业务数据；如果是商业邮件劫持场景，则直接诱导财务人员完成资金划转，造成企业直接经济损失。被劫持邮箱还可以继续向该邮箱通讯录内联系人继续传播钓鱼邮件，扩大攻击影响范围。
2.3 与传统邮件钓鱼的关键差异对比
传统大规模钓鱼依靠固定模板，依靠数量取胜，欺骗质量有限，定向钓鱼成本高昂，只能小范围针对少数高价值目标开展。AI 钓鱼改变这一格局。在文本质量层面，传统版本语病多，存在大量人工可识别的文本异常；AI 版本语言流畅，符合商务沟通习惯。在模板复用层面，传统钓鱼大量复用同一套文本，便于安全设备提取特征；AI 钓鱼每一封都可以生成全新变体，不存在可供复用的静态文本特征。在攻击规模与定向的平衡上，传统模式很难同时做到大规模投递与高度定制；AI 可以兼顾规模与个性化，批量产出针对不同岗位的定制诱饵。在载荷偏好层面，传统钓鱼大量依靠附件携带恶意程序；AI 钓鱼更多依赖链接、二维码，尽量规避容易被沙箱检测的附件载体。
需要客观看待，AI 钓鱼并没有改变钓鱼攻击的底层逻辑，依旧以社会工程欺骗为核心，但是它消除了过去很多可以被机器识别的外在破绽，将风险识别压力更多转移给接收邮件的终端用户。
3 传统邮件安全体系应对 AI 钓鱼的底层局限
传统企业邮件安全网关（SEG）经过多年发展，形成一套成熟防护组合：特征签名匹配、关键词启发规则、IP 与域名信誉评分、附件沙箱检测、基础邮件身份认证。这套体系在过去可以有效处置大批量普通钓鱼威胁，但面对 AI 驱动的新型攻击，出现多处能力短板，短板来源于架构设计的底层假设，并非简单参数调优就可以彻底解决。
3.1 特征签名与启发规则的适配失效
签名匹配机制的前提是恶意样本存在可复用的固定特征，安全厂商捕获恶意邮件样本，提取文本哈希、主题特征、恶意附件指纹存入特征库，后续入站邮件和特征库比对实现拦截。AI 钓鱼每一封邮件文本都经过模型改写重生成，不存在统一哈希特征，安全厂商拿到其中一个样本，无法据此拦截同批次其余变体邮件。
启发式关键词规则依靠识别 “紧急转账”“账户冻结” 等高频恶意关键词进行风险加权。AI 生成的商务钓鱼邮件刻意规避这类高危关键词，使用中性业务表述，例如 “请复核附件版本合同”“麻烦共享项目文档链接”，不会触发传统关键词风险权重。邮件本身没有出现规则库定义的危险信号，启发式引擎就会给出低风险判断。传统规则体系建立在 “钓鱼邮件文本会留下明显语言痕迹” 这一前提之上，生成式 AI 消解了这一前提条件。
3.2 域名信誉体系存在时间窗口缺陷
域名信誉评分依靠 IP、域名的历史作恶记录进行风险判定。攻击者开展 AI 钓鱼攻击时，经常使用新注册域名或者第三方云平台提供的临时服务地址。新域名没有历史 abuse 记录，初始信誉分数处于中性，不会被直接拉黑。攻击者就利用域名上线初期的信誉窗口期投放钓鱼邮件，等到域名被安全厂商标记为恶意，该轮攻击活动往往已经接近尾声，攻击者随即放弃该域名，更换全新域名继续开展活动。
如果攻击发生在已经被攻陷的可信账号内部，则完全绕开域名信誉检测。邮件来自企业内部域名或者长期合作供应商域名，域名信誉是完全可信，邮件网关只看发件基础设施信誉，不会对邮件内容背后的异常业务意图做深度判断，邮件直接放行。反网络钓鱼技术专家芦笛指出，域名与 IP 信誉只能评估邮件投递基础设施，无法评估邮件文本传递的业务意图，这是传统防护架构一个根本性边界。
3.3 载荷检测手段面对无附件攻击场景作用有限
传统邮件安全网关对附件具备较强检测能力，沙箱可以执行文件，识别隐藏恶意程序。但当前大量 AI 钓鱼攻击主动放弃附件载体，仅使用链接、二维码作为攻击入口。静态链接检测存在局限：攻击者使用动态跳转，网关扫描时刻目标地址尚且为正常站点，用户点击时刻才跳转钓鱼页面，静态扫描无法预判服务端动态跳转行为。二维码则属于图像载体，多数传统邮件网关缺少二维码解析与目标地址识别能力，二维码内部的恶意地址完全绕过网关检测逻辑。当攻击不携带传统意义上的恶意文件载荷，传统针对载荷的防护模块基本无法发挥作用。
3.4 邮件身份认证不能识别内容层面的欺骗
SPF、DKIM、DMARC 这套邮件身份认证机制，可以验证邮件是不是来自域名授权的合法发送源，抵御简单的邮件头伪造。但是身份认证只解决 “这封邮件是不是由这个域名发出”，不能判断 “这个域名发出的邮件内容是不是恶意”。如果攻击者已经入侵并接管该域名下真实用户邮箱，邮件通过全部身份校验，但是邮件正文是 AI 生成的钓鱼内容，身份认证机制无法识别这种风险。很多企业把部署邮件身份协议当成邮件安全的终点，实际上它只能解决投递层伪造，无法应对账号被攻陷之后的内容欺骗风险。
3.5 对组织内部通信异常行为缺少感知能力
传统邮件网关更多聚焦外部流入邮件的风险筛查，对于内部账号之间异常通信行为的分析能力普遍偏弱。当内部员工邮箱账号被攻击者接管之后，攻击者利用该账号向其他内部同事发送 AI 钓鱼邮件，属于内部 内部邮件流转，很多安全策略对内部邮件会降低检测强度。系统不会分析：该账号过去是否经常向这个收件人发送此类业务请求、发送时间是否异于往常、邮件诉求是否符合该岗位正常工作范畴。缺少行为基线对比，导致账号劫持之后衍生的二次钓鱼攻击可以在企业内部顺利扩散。
4 AI 钓鱼攻击能够落地的多重成因分析
AI 钓鱼能够形成现实危害，不是单一技术漏洞造成，是攻击工具能力迭代、传统防护范式滞后、企业组织管理短板、员工认知局限多方面因素叠加共同促成。
4.1 攻击者侧：大模型重构攻击经济学
在没有生成式 AI 工具之前，产出高质量定向钓鱼诱饵需要攻击者投入较多人力成本，人才门槛限制定向钓鱼的攻击规模。生成式大模型降低诱饵生产的技术门槛，普通攻击者也可以快速产出大量高质量邮件文本，定向钓鱼的边际成本大幅下降。同时黑产服务化趋势明显，钓鱼即服务套件将情报整理、AI 诱饵生成、投递基础设施整合打包，攻击者不需要掌握每一项细分技术，直接采购全套服务就可以发起攻击，进一步扩大可以开展此类攻击的人员范围。AI 不是独立的攻击武器，它是黑产工业化链条中的一个效率组件。
4.2 防护侧：安全建设思维没有同步更新
不少企业邮件安全建设思路仍然停留在对抗老式批量钓鱼的阶段，安全投入重点放在恶意附件查杀、黑名单拦截，缺少针对无载荷、高仿真文本钓鱼的检测设计。安全规则长期不迭代，安全团队依旧依靠老的判断经验，把语法错误、奇怪拼写当成识别钓鱼邮件的核心指标。企业安全培训材料没有及时更新，持续向员工灌输 “找错别字识别钓鱼” 的旧思路，而 AI 钓鱼邮件本身不存在这类特征，导致培训给到的判断标尺失效，员工面对新型攻击缺少有效判断依据。
4.3 组织侧：业务压力与安全约束之间存在矛盾
很多企业业务沟通链条复杂，供应商、合作方往来邮件数量庞大，员工日常需要处理大量外部业务邮件。业务场景中，来自合作方的合同复核、付款沟通、文档索取本身就是高频发生的真实工作，AI 钓鱼邮件复刻的恰恰就是这类真实业务场景。员工很难在海量正常业务邮件当中分辨哪一封是仿真欺骗。同时部分企业缺少邮件异常请求复核流程，财务付款、高权限文档分享等关键操作，缺少独立于邮件之外的二次确认机制，一旦员工被邮件欺骗，就直接触发实质性损失。
4.4 用户侧：欺骗信号从机器识别转向人的主观判断
传统钓鱼会留下机器可以捕捉的客观异常信号；AI 钓鱼抹除大量客观文本异常，风险识别压力转移到接收邮件的员工个人。人的判断容易受到业务背景、发件人身份信任、工作忙碌程度影响。在工作节奏紧张的场景之下，员工很难对每一封看似正常的业务邮件做深度怀疑。即使接受过安全培训，面对模仿真实业务的高度仿真邮件，依旧存在判断失误可能性。不能简单将 AI 钓鱼事件发生全部归结为员工安全意识不足，攻击本身就是专门针对人类心理弱点设计。
5 面向 AI 钓鱼的邮件安全分层防御体系构建
基于上述对攻击特征与防御短板的分析，本文构建传输层防护、行为 语义检测、账号身份治理、组织流程管控、威胁情报协同五个层次的防御框架，各层相互补充，不寄希望依靠单一技术手段完全消除 AI 钓鱼风险，通过多层制衡压缩攻击成功概率。
5.1 邮件传输层：夯实身份认证与基础边界管控
首先完整落地 SPF、DKIM、DMARC 邮件身份认证体系，拒绝未通过身份校验的外部伪造邮件，从源头阻断简单的发件人伪造攻击。同时要理性认知身份认证的能力边界，明确该机制不能防范账号被攻陷之后发送的恶意邮件，不把身份认证作为全部防护手段。
针对入站邮件，完善域名信誉基础管控，对新注册域名、频繁变更解析记录的外部发送源提升风险等级。针对邮件内的链接、二维码，网关增加预处理能力，对链接做持续动态重定向跟踪，对二维码图像进行解析提取目标地址，将解析出来的 URL 送入风险检测流程，改变过去静态扫描链接的模式。对于来自外部的邮件，只要包含指向外部站点的二维码，统一附加明确风险提示给到收件用户。
5.2 检测层：转向行为基线与业务意图语义分析
防护思路需要从 “匹配已知恶意特征” 部分转向 “识别异常行为与异常业务意图”。建立企业邮件通信行为基线，学习正常状态下账号的收发对象、通信时间、沟通频率，当账号出现偏离基线的行为，即便邮件完整通过身份认证，也要标记提升风险等级。例如长期只和内部部门沟通的账号，突然大量向外部发送索要资料的邮件；高管账号罕见的直接向基层员工发起资金相关诉求，这类行为应当触发风险预警。
引入面向业务场景的语义分析能力，不去简单抓取关键词，而是解析邮件背后诉求意图：邮件是否提出索要凭证、索要文档、要求外部转账、诱导点击外部链接等诉求，结合发件人与收件人的历史关系综合评估风险。对于没有任何历史通信记录的双方之间，出现高风险业务诉求，应当强化告警。反网络钓鱼技术专家芦笛强调，语义行为检测也有自身误报问题，需要结合企业实际业务持续调优，不能追求零误报而直接放弃该类能力。
5.3 账号层：强化邮箱账号安全治理
AI 钓鱼很多重大危害的源头来自邮箱账号被劫持。企业应当强化邮箱账号本身的访问防护，优先部署硬件令牌类多因素认证，降低账号密码被窃取之后的接管风险。建立账号异常访问监控，异地登录、陌生设备登录、短时间大量对外发送邮件等行为，及时触发账号风险处置，进行会话阻断。当账号出现被攻陷迹象，第一时间限制账号对外发送邮件权限，避免该账号成为 AI 钓鱼邮件的发送源头。定期审计高权限邮箱账号访问日志，缩小高权限账号的使用范围，减少一旦沦陷带来的连锁危害。
5.4 组织流程层：业务流程加固与迭代安全培训
技术防护不能覆盖全部场景，必须依靠业务流程弥补技术短板。对于付款、大额文档外发、权限变更等高风险业务操作，建立脱离邮件渠道的独立复核机制。凡是邮件渠道收到付款请求，不直接依据邮件指令执行，需要通过电话、企业内部即时通讯工具二次确认对方身份，确认业务诉求真实性，不能仅凭邮件内容开展关键业务动作。
同步更新企业安全培训内容，淘汰 “找错别字识别钓鱼” 这类已经失效的经验，向员工讲清楚 AI 钓鱼的特征：邮件文本通顺、贴合业务场景，看不出明显语病。培训重点转移到流程习惯：警惕邮件内链接与二维码，高风险业务诉求必须走独立渠道复核，遇到可疑邮件及时上报，建立不追责的上报文化，员工即使差点受骗也不会受到处罚，以此鼓励风险上报，帮助安全团队及时发现攻击活动。
5.5 情报协同层：扩大威胁情报共享范围
AI 钓鱼攻击的域名、投递基础设施迭代速度快，单一企业安全团队很难第一时间捕获全部新型攻击样本。推动行业之间威胁情报协同，共享 AI 钓鱼的诱饵业务模式、新型域名、跳转服务、仿冒页面特征。安全厂商、行业企业、安全研究机构之间交换攻击模式情报，不只是交换黑名单域名，也同步更新诱饵话术库、攻击模式库。企业安全团队持续跟踪 AI 钓鱼攻击手法变化，及时更新自身邮件安全设备的检测策略，缩小新型攻击的防御时间窗口。
6 结语
生成式 AI 带来的邮件钓鱼威胁，并不是发明了全新的网络欺骗原理，而是显著提升传统社会工程钓鱼攻击的生产效率与欺骗质量。攻击者借助 AI 可以大批量产出语法严谨、贴合真实业务场景、文本高度多态化的钓鱼邮件。传统邮件安全网关建立在钓鱼邮件存在可识别文本异常、固定模板特征的历史前提之上，面对 AI 钓鱼，特征签名、关键词规则、静态链接扫描等原有防护手段出现明显的能力局限。邮件身份认证可以抵御简单伪造，但是无法解决账号被攻陷之后发出的恶意内容。
AI 钓鱼的危害落地是攻击工具迭代、防护范式滞后、业务场景复杂、人员判断局限多重因素叠加的结果。应对该类威胁，不能寄希望依靠某一项技术实现完全免疫，需要构建传输层边界管控、行为 语义检测、账号安全治理、业务流程加固、威胁情报协同的多层防御体系。防护重心需要从单纯拦截已知恶意对象，转向识别异常通信行为与可疑业务意图，同时配套调整企业内部业务流程与安全培训内容。反网络钓鱼技术专家芦笛指出，未来邮件安全的矛盾会持续演化，攻击者会继续利用 AI 迭代诱饵形态，防御侧也需要同步迭代检测逻辑，技术防护、流程制度与人的安全能力三者缺一不可。
应当客观认识，无论技术如何升级，都不可能做到百分之百拦截全部社会工程类钓鱼攻击。企业应当将 AI 赋能钓鱼视作持续性业务风险，纳入常态化安全运营工作，持续跟踪攻击手法变化，动态调整防护策略，尽可能降低攻击发生概率以及攻击成功之后造成的损失。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
