基于 ASCII‑Smuggling 的不可见 Unicode 字符钓鱼攻击威胁研究

摘要

随着邮件安全防护体系持续迭代，传统钓鱼攻击的内容特征被大量安全网关识别拦截，攻击者开始挖掘字符编码层面的对抗手段，ASCIISmuggling 便是其中具备现实威胁的新型攻击技术。该技术利用 Unicode 标签块（U+E0000U+E007F）范围内的不可见字符插入钓鱼邮件文本内部，在用户客户端展示层面不改变原始阅读效果，却能够割裂安全设备的关键词、正则匹配逻辑，实现对邮件安全过滤机制的规避。本文以微软威胁情报团队披露的大规模金融主题钓鱼活动为实证样本，梳理 ASCIISmuggling 攻击的技术实现逻辑、攻击活动演化时序、攻击基础设施特征，剖析传统邮件安全检测体系面对该类混淆手段的固有缺陷，同时厘清该技术与 AI 提示注入攻击之间的技术同源关系。反网络钓鱼技术专家芦笛指出，该类攻击的核心风险不在于单一字符本身，而在于安全检测链路中 Unicode 标准化处理环节的普遍缺失。在此基础之上，本文从邮件网关处理流程、第三方邮件平台治理、AI 助手输入预处理、企业安全运营四个维度提出可落地的防御实施路径，同时分析现有防御手段的能力边界，为企业应对编码混淆类高级钓鱼威胁提供理论依据与实践参考。 关键词：网络钓鱼；ASCIISmuggling；不可见 Unicode 字符；邮件安全；威胁规避

1 引言

电子邮件作为企业内部业务沟通、对外商务往来的核心载体，长期是网络钓鱼攻击的主要投递渠道。多年以来，安全厂商持续部署包括 IP 信誉研判、域名黑名单、SPF/DKIM/DMARC 邮件协议校验、关键词特征匹配、机器学习语义识别在内的多层防护机制，对大量特征明显的钓鱼邮件实现有效拦截。攻防对抗具备此消彼长的客观规律，防护能力提升的同时，攻击者不断开发各类内容混淆、特征变异技术，以此消解安全设备的检测能力，编码混淆类攻击已经成为高级钓鱼活动的重要技术分支。

以往行业内较多关注零宽空格、软连字符等传统不可见字符带来的绕过风险，而 ASCIISmuggling 技术使用 Unicode 标签块字符，在混淆效果、适用攻击场景上与传统零宽字符攻击存在明显差异，除邮件钓鱼场景之外，该技术还被运用于 AI 提示注入攻击，威胁边界从传统邮件安全延伸至大模型应用安全领域。微软威胁研究团队观测到的大规模钓鱼活动证明，攻击者已经将该技术产业化落地，形成规模化投递的攻击链路，在 2026 年 2 月下旬攻击峰值阶段每日可产生最高 237 万条恶意邮件，即便攻击流量回落之后，相关攻击活动依旧没有完全终止，具备长期持续性威胁特征。

现有安全研究多数聚焦该技术的单点技术演示，缺少结合真实大规模攻击事件的完整分析，对攻击活动的基础设施、攻击生命周期、防御落地难点缺少系统性梳理。部分安全产品仅将该类威胁归为普通字符混淆，没有充分认识到其跨场景的衍生风险。基于公开威胁报告实证材料，本文完整还原该钓鱼活动的攻击链路，解析技术底层的对抗原理，辨析现有防护体系存在的短板，同时客观评估各类防御方案的实际约束，避免脱离真实业务场景的理想化防护设想，为企业安全建设提供可参考的分析结论。

2 ASCIISmuggling 技术基础与攻击原理

2.1 Unicode 标签块字符的原始设计用途

Unicode 标准内部 U+E0000 至 U+E007F 区间被定义为标签块字符集合，该字符集最初的设计目标是用于文本元数据标记，为文本附加不参与界面渲染的附属标记信息。按照标准定义，该区间内的字符在绝大多数主流邮件客户端、网页浏览器的渲染逻辑中属于不可见字符，用户肉眼读取文本内容时，无法感知该类字符的存在，但是底层文本解析程序会完整读取、保留该字符的编码信息，不会自动丢弃该部分字节数据。

这就形成一组关键的矛盾：面向人类使用者的展示层忽略该类字符，面向安全检测设备、程序解析引擎的原始文本层完整保留字符。攻击者正是利用这种 “人机解析差异” 构建对抗手段，也就是 ASCIISmuggling 技术。需要明确的是，该类字符本身不属于漏洞，是 Unicode 标准定义的合法编码，安全风险来源于攻击者对字符特性的恶意滥用，而非字符编码本身存在设计缺陷。

从技术溯源来看，ASCIISmuggling 最早被用于 AI 提示注入攻击场景。攻击者将恶意提示指令通过标签块字符进行编码隐藏，普通用户阅读文本看不到恶意指令，但是大语言模型在读取原始文本字节的时候，可以完整解析被隐藏的恶意载荷，实现提示词注入，诱导模型执行非预期操作。而本次大规模钓鱼活动，是攻击者将这套已经成熟的混淆技术迁移到电子邮件钓鱼场景，属于攻击技术的跨场景复用。反网络钓鱼技术专家芦笛强调，攻击技术的跨领域迁移是网络威胁演化的典型特征，AI 安全领域出现的混淆手段，会快速向邮件、文档等传统攻击载体扩散，安全防护需要打通不同业务场景的威胁认知，不能割裂看待邮件安全与大模型安全问题。

2.2 绕过邮件安全检测的实现逻辑

传统邮件安全网关的内容检测存在一类典型工作模式：将邮件正文、主题提取为原始文本字符串，调用关键词黑名单、正则表达式规则进行匹配，当文本中出现 “funding”“loan”“credit” 等预设高危关键词时，就触发告警、拦截处置逻辑。该检测流程成立的前提，是待检测文本的字符序列和规则库内的目标关键词字符序列完全匹配。

ASCIISmuggling 的核心绕过逻辑，就是在高危关键词的字母中间插入标签块不可见字符。以单词 funding 为例，攻击者在单词中间嵌入 U+E0000U+E007F 区间内的任意不可见字符，原始单词被拆分为两段字符序列。在邮件客户端渲染展示环节，插入的字符不会显示，用户看到的依旧是完整可读的 funding 词汇；但是安全网关拿到原始文本之后，读取到的是两段被特殊字符隔开的碎片化字符串，字符串序列和规则库中完整的关键词无法匹配，静态关键词检测规则直接失效。

该绕过方式不会破坏邮件整体的阅读体验，邮件整体排版、语句通顺程度和正常钓鱼邮件没有区别，普通收件人无法依靠肉眼分辨文本是否经过混淆处理。和传统零宽字符对比，标签块字符具备完整的编码映射能力，可以对完整 ASCII 字符进行标记编码，混淆构造的灵活性更高，同时过往邮件安全网关针对零宽字符的检测规则，大多没有覆盖 U+E0000U+E007F 这一标签块区间，大量存量安全设备原生缺少针对该区间字符的处理逻辑，这也是该攻击能够形成大规模传播的重要前提。

需要厘清一个客观事实，ASCIISmuggling 技术只能绕过静态关键词、正则签名类检测逻辑，无法完全规避基于发件 IP、域名信誉、发送行为、邮件整体语义的多维度检测。在微软观测的这起事件中，微软 Defender 产品依靠信誉体系等其他检测维度，依旧拦截超过 99% 的该类钓鱼邮件样本，说明单一混淆手段不能完全穿透成熟的多层防护体系，但是对于大量仅依赖关键词过滤的轻量化邮件防护系统，该技术可以实现有效逃逸。

2.3 与普通零宽字符混淆攻击的差异

行业内早已出现利用零宽空格 U+200B、软连字符 U+00AD 等不可见字符开展钓鱼绕过的案例，ASCIISmuggling 和传统方案存在明显区别。传统零宽字符属于通用格式控制字符，字符数量有限，主要用于简单插入分割文本；而标签块字符拥有完整的字符集合，不仅可以插入分割原有词汇，还可以对完整文本进行编码转换，载荷构造能力更强。

从防护历史来看，零宽类字符被大量恶意利用之后，不少邮件安全产品已经增加针对 U+200B 等零宽区间字符的清洗、检测逻辑，攻击者的绕过成本随之提升；而标签块字符的恶意使用属于较新出现的威胁，很多安全产品的字符清洗名单尚未纳入该编码区间，存在防护缺口。同时传统零宽字符大多仅用于邮件钓鱼，而标签块字符同时威胁邮件系统与接入大模型的业务系统，威胁影响面更广。二者的底层对抗逻辑一致，都是利用人机文本解析差异，但是攻击载荷的构造能力、现有防护的覆盖程度存在显著区别。

3 大规模 ASCIISmuggling 钓鱼攻击活动实证分析

3.1 攻击活动整体时间线与流量规模

微软威胁研究团队通过全域遥测数据观测到本次金融主题钓鱼活动，攻击活动的演化可以划分为多个阶段。整个攻击活动的启动时间早于 2026 年 2 月 9 日，在攻击早期阶段，攻击者尚未大规模使用 ASCIISmuggling 混淆手段。2026 年 2 月 9 日之后，攻击者正式将该混淆技术投入批量投递，进入高流量运行周期，在工作日邮件投递峰值阶段，每日恶意邮件数量平均达到 237 万封，高流量阶段持续大约三个月时间。

2026 年 5 月 15 日之后，使用该 Unicode 混淆技术的邮件数量出现急剧下滑，但并不代表整个钓鱼活动宣告终止。攻击者只是放弃使用 ASCIISmuggling 这一项特定混淆手段，原始钓鱼业务活动继续维持运行，只是不再嵌入标签块字符。从遥测统计曲线可以看到，5 月 15 日后邮件投递数量下降到较低水平，但样本数量持续存在，一直延续到 6 月之后仍然可以捕获到相关攻击样本。

该时间特征反映出黑产攻击活动的典型行为模式：攻击者会测试、部署某一类对抗技术，当该技术的逃逸效果尚可，就大规模批量投放；当安全厂商逐步更新检测逻辑，该技术的绕过收益下降之后，攻击者会放弃该技术，保留原有钓鱼业务主体，切换其他混淆手段继续开展攻击，而不是直接终止整个攻击项目。这也意味着，即便该批次带标签块字符的邮件流量下降，同类思路的变种攻击在未来依旧会重复出现。

3.2 攻击邮件内容与社会工程诱饵设计

本次攻击全部围绕金融业务开展社会工程欺骗，邮件的诱饵主题集中在商业融资、信用贷款、企业资金授信等业务场景。攻击者在邮件中宣称收件企业已经获得最高 500 万美元的授信额度，推出信贷额度、过桥融资两类产品，并且罗列还款周期长、初始低年利率、无提前还款罚金等一系列利好条件，以此降低目标的戒备心理。邮件正文内设置醒目的红色确认按钮，诱导受害者点击按钮跳转外部页面完成信息确认，一旦用户完成交互，就会进入攻击者控制的钓鱼链路，后续开展凭据窃取、业务欺诈等后续攻击动作。

钓鱼邮件的文本样本中，攻击者专门在 funding、capital、loan、advance、credit 这类金融高危关键词内部插入不可见标签块字符。从用户视角阅读完整邮件，整篇邮件格式正规，带有伪造的业务专员签名、业务介绍条目，模仿正规商业邮件的排版范式，普通企业办公人员很难直接从文本阅读层面识别异常。

攻击者选择金融主题作为诱饵具备明确的收益逻辑：企业内部财务、业务岗位人员对于融资、授信类业务存在天然关注度，钓鱼邮件更容易获取目标的点击交互；同时 “funding”“loan” 等词汇属于邮件安全系统重点监控的高危关键词，攻击者使用 ASCIISmuggling 分割这些关键词，刚好精准对抗安全网关的关键词拦截规则，攻击诱饵和混淆技术之间形成完整的配合关系。

3.3 攻击基础设施与投递渠道特征

攻击者注册了一批专门用于投递钓鱼邮件的域名，微软在 2 月 9 日的观测中识别出 148 个金融主题相关发送域名，这批域名产生的邮件，占到 Defender for Office365 告警标签块字符特征样本总量的 96%，是本次攻击活动的核心投递资产。域名命名大量使用 funding、capital、loan、advance、credit 等金融相关词汇，域名本身的命名就贴合钓鱼邮件的业务主题。

值得关注的一点，这批恶意邮件并非通过攻击者自建的非法邮件服务器向外发送，而是滥用 ActiveCampaign 正规商业邮件营销平台的服务能力完成投递。攻击者利用平台账号，借助成熟合法第三方邮件服务商的基础设施分发钓鱼内容。这类做法是当前高级钓鱼攻击的常见手段，合法第三方邮件平台的 IP 地址、域名本身具备较高的基础信誉，能够降低邮件被 IP 信誉黑名单直接拦截的概率，提升恶意邮件送达用户收件箱的可能性。

当微软向 ActiveCampaign 反馈平台被滥用的安全事件之后，平台方对外披露，自身的内容审核系统已经可以识别这类不可见 Unicode 字符，大量嵌入该类字符的邮件内容会被判定为可疑行为。但平台的检测机制没有完全阻止攻击发生，侧面说明第三方邮件营销平台面对编码混淆攻击同样存在检测短板，攻击者可以通过载荷调整，规避平台侧的内容检测，实现恶意内容的批量外发。

反网络钓鱼技术专家芦笛指出，滥用合法 SaaS 邮件平台投递钓鱼邮件已经成为威胁趋势，传统安全防护更多聚焦于恶意自建服务器，对于第三方合规平台流出的恶意邮件的研判能力往往不足，这类基础设施会给钓鱼攻击提供天然的信誉掩护。

4 ASCIISmuggling 攻击暴露的邮件安全体系缺陷

4.1 静态特征匹配机制的固有局限

大量邮件安全网关把关键词黑名单、正则签名作为基础检测手段，该方案的优势是计算开销小、部署简单，对于特征明确的传统钓鱼样本拦截效果稳定。但该类检测模式建立在一个前提假设：恶意文本的字符序列是固定不变的，攻击者不会对文本字符序列做变形篡改。而 ASCIISmuggling 这类字符混淆技术，正是直接破坏该前提假设。

只要攻击者在高危关键词字符序列中间插入任意不可见字符，原始关键词的完整字符串就被拆解，静态规则无法命中目标。即便安全运维人员持续扩充关键词库，只要攻击者可以通过插入特殊字符打碎字符串，静态匹配规则就会持续存在被绕过的风险。这并不代表关键词规则需要被完全废弃，关键词匹配依旧可以作为检测链路的其中一环，但不能作为独立的核心检测手段，单纯依靠关键词过滤的轻量化防护架构面对该类高级对抗攻击会出现明显防护失效。

4.2 Unicode 文本规范化处理流程缺失

整个攻击能够生效的底层技术根源，是很多邮件安全检测链路没有做完整的 Unicode 文本归一化处理。安全设备提取邮件正文文本之后，直接将原始文本送入关键词、正则检测模块，没有对文本内部的特殊编码字符做清洗与标准化转换。

规范化处理的核心目标，就是消除那些不影响显示效果、但是会改变底层字节序列的特殊字符。如果安全网关在开展特征匹配之前，完成文本预处理，识别并且剔除 U+E0000U+E007F 标签块、各类零宽控制字符等无渲染意义的代码点，再将处理完成之后的干净文本送入关键词检测，那么被分割的关键词就会恢复完整形态，关键词规则就可以正常触发告警。

现实业务场景中，很多邮件安全产品的预处理流程只处理部分常见编码兼容转换，并没有完整覆盖标签块这类相对冷门的 Unicode 区间。部分产品甚至完全跳过文本归一化步骤，直接使用原始编码文本做检测，给字符混淆攻击留下操作空间。同时不同厂商的安全产品对于 Unicode 处理的实现逻辑并不统一，同样一份混淆邮件，在 A 设备上可以完成清洗，在 B 设备上就直接放行，造成防护效果参差不齐。

4.3 第三方邮件 SaaS 平台的安全治理短板

商业邮件营销 SaaS 平台面向海量客户提供邮件发送服务，平台内置内容审核系统，用于拦截垃圾邮件、违规内容。但从本次攻击事件可以看出，即便平台具备针对不可见字符的检测逻辑，依旧难以彻底杜绝攻击者滥用平台资源发起钓鱼攻击。

一方面攻击者会持续调整混淆载荷，不断尝试绕过平台检测规则；另一方面，平台的审核系统需要在拦截恶意内容和避免误拦截正常商业邮件之间寻找平衡，过高的检测阈值会带来大量业务误报，影响正常付费客户的使用体验，平台很难无限制收紧检测策略。大量企业在自身安全建设中，往往默认第三方 SaaS 平台已经完成全部安全校验，缺少对来自第三方平台邮件的二次安全检测，这就形成安全缺口。

4.4 邮件与 AI 助手联动带来的衍生风险

ASCIISmuggling 的威胁并不局限于邮件钓鱼本身，该技术原本就来源于 AI 提示注入攻击。现在大量企业办公系统将邮件系统与大模型 AI 助手打通，AI 助手可以自动读取、解析企业邮箱邮件内容，完成邮件摘要整理、内容分析、邮件回复辅助等工作。

当一封携带标签块隐藏字符的钓鱼邮件被 AI 助手读取，即便人类用户看不出隐藏载荷，大模型会读取原始文本当中的标签块编码，触发隐藏的提示注入指令。攻击者不再仅仅依靠欺骗用户点击链接完成攻击，还可以借助接入系统的 AI 助手，诱导 AI 完成读取邮件内敏感信息、对外发送消息、提取联系人数据等一系列非预期操作，将传统钓鱼攻击升级为针对 AI 业务组件的攻击链路。很多企业在部署邮件AI 联动应用的时候，仅仅关注业务功能实现，忽略输入文本的编码预处理环节，带来新的安全攻击面。

5 面向 ASCIISmuggling 类混淆攻击的防御体系构建

针对 ASCIISmuggling 为代表的 Unicode 编码混淆钓鱼威胁，不能寄希望于单一技术手段实现完全阻断，需要构建多环节协同的防御体系，覆盖邮件网关预处理、第三方流量校验、AI 输入净化、企业安全运营多个层面，同时充分认识各类方案的现实约束，避免理想化的防护设想。

5.1 邮件安全网关层面完善文本预处理逻辑

邮件安全网关是抵御该类攻击的第一道技术关口，核心改进点是在关键词匹配、正则签名检测之前，增加完整的 Unicode 文本预处理流程。第一步识别并剥离 U+E0000U+E007F 标签块字符集合，同时同步清理零宽空格、双向文本控制字符等其他无显示意义的控制代码点。在完成特殊字符清洗之后，再把归一化完成的文本送入后续关键词、正则、语义检测模块，还原被特殊字符割裂的原始词汇，保障特征规则可以正常生效。

反网络钓鱼技术专家芦笛强调，安全设备不应当只把标签块字符作为恶意特征直接拦截。直接设置黑名单，只要检测到该区间字符就直接拦截邮件，会带来不可忽视的误报风险。部分合法业务场景，业务文档、邮件会合规使用标签块元数据标记，粗暴的黑名单拦截会干扰正常业务流转。更加合理的策略是将该区间字符视为强异常信号：当邮件中检测到标签块字符，一方面执行字符清洗，用于后续内容检测；另一方面标记该邮件为高可疑风险对象，提升该邮件整体风险评分，结合发件人信誉、邮件行为特征做多维度综合研判，而不是简单一刀切拦截。

除文本归一化之外，必须坚持多维度交叉检测，不能把关键词规则作为主要判断依据。将域名信誉、IP 历史行为、发送频率、邮件整体语义分析、链接沙箱检测互相结合。就如同本次攻击事件中，即便混淆手段干扰关键词检测，依靠其他维度的检测能力，依旧拦截绝大多数恶意样本。多重检测相互兜底，降低单一检测机制被绕过带来的安全损失。

5.2 针对第三方邮件投递流量的安全管控

企业会收到大量来自 ActiveCampaign 这类第三方邮件营销平台发送的邮件，不能默认第三方平台的内容审核可以替代企业自身安全检测。企业邮件网关应当把来自第三方 SaaS 邮件平台的流量视为外部不可信流量，全部纳入完整安全检测流程，不做特殊放行。

安全运营人员需要梳理企业业务实际需要的第三方邮件来源，建立业务白名单基线，对于业务场景不会用到的第三方邮件发送平台，在邮件网关层面做访问限制。同时持续跟踪威胁情报，关注攻击者正在滥用哪些邮件 SaaS 平台开展钓鱼活动，及时更新风险研判策略。当发现大量来自同一第三方平台的可疑钓鱼邮件，除了内部处置之外，同步向平台提交滥用事件报告，推动平台侧优化自身检测规则，形成外部治理闭环。

5.3 打通邮件AI 联动场景的输入净化机制

对于部署 AI 办公助手、支持 AI 读取邮件内容的企业，必须把文本归一化处理延伸到 AI 组件的输入入口。AI 在读取邮件文本作为输入之前，要完成和邮件网关同源的 Unicode 清洗操作，过滤标签块字符、各类零宽控制字符，再将净化完成的文本交给大模型处理，阻断利用 ASCIISmuggling 实现的隐形提示注入攻击路径。

同时企业应当对 AI 助手的权限做最小化约束，即便发生提示注入的突破，也限制 AI 能够执行的操作范围，禁止 AI 无限制读取全量邮箱数据、对外主动发送邮件，通过权限收缩降低攻击成功之后的危害后果。需要明确，文本预处理属于防御的必要条件，而非充分条件，编码清洗只能防御基于不可见字符的提示注入，无法抵御其他类型的提示注入攻击，需要搭配其他 AI 安全手段共同使用。

5.4 企业安全运营与人员安全意识建设

技术防护无法做到百分之百拦截全部威胁，运营流程与人员意识是重要补充防线。首先，安全运维人员需要定期对邮件安全设备的配置进行审计，确认 Unicode 预处理、特殊字符检测相关功能已经正确启用，很多安全产品具备文本归一化的能力，但是默认配置没有开启完整的处理规则，导致防护能力没有落地。同时定期观测邮件告警日志，关注告警中出现的包含标签块字符的邮件样本，及时捕获新型混淆变种攻击。

针对企业内部员工，需要开展对应钓鱼安全培训，培训内容需要更新编码混淆类攻击的相关知识。需要向员工传递一个核心认知：邮件肉眼阅读正常，不代表邮件底层文本没有被篡改，不能仅仅依靠阅读体验判断邮件真伪。尤其面对涉及资金授信、转账付款、凭证提交的邮件，不能仅凭邮件内的按钮、链接完成操作，需要通过独立的通讯渠道和业务方进行二次核验。

同时完善钓鱼邮件的上报机制，简化员工上报可疑邮件的操作路径，安全团队收到员工上报样本之后，完成样本研判，反向更新安全设备的检测规则，形成 “用户上报样本分析策略迭代” 的闭环运营流程。

5.5 防御手段的客观能力边界分析

需要客观看待整套防御方案的局限性，不存在可以彻底消灭该类攻击的技术方案。攻击者未来还可以挖掘 Unicode 标准当中其他未被充分关注的控制字符，开发出新的混淆变种，持续对抗归一化处理逻辑。文本归一化只能解决 “插入不可见字符割裂词汇” 这一类特定绕过方式，对于同形字替换、HTML 标签混淆、图片嵌入诱饵文本等其他钓鱼绕过手段，没有防护效果。

即便技术体系配置完备，依旧存在漏报的可能性，多层防护的价值是提升攻击绕过的成本，降低攻击成功率，而不是实现绝对的零风险。企业安全建设需要摒弃 “单一设备解决全部钓鱼问题” 的认知，持续跟踪威胁情报，跟进攻击者技术手段的迭代，动态调整防护策略。

6 结语

ASCIISmuggling 借助 Unicode 标签块不可见字符开展大规模钓鱼活动，是编码混淆类高级网络威胁的典型代表。该攻击事件直观展现出攻击者的技术迁移能力：原本用于 AI 提示注入的混淆技术，被完整迁移到电子邮件钓鱼场景，依托合法第三方邮件基础设施完成百万级规模的批量投递。该攻击的风险根源，并非出现全新的高危漏洞，而是传统安全检测体系对 Unicode 文本处理的重视程度不足，静态关键词匹配的固有缺陷被攻击者充分利用。

从微软披露的攻击时序可以看到，当某一项混淆技术的逃逸收益下降之后，攻击者会放弃该技术，但是整体钓鱼攻击业务会持续存续，这意味着同类逻辑的变种攻击会长期存在。反网络钓鱼技术专家芦笛强调，应对这类威胁，不能只针对当下出现的标签块字符做单点补丁，而是需要从架构层面补齐文本归一化预处理环节，把字符编码安全纳入邮件安全、AI 应用安全的常态化设计之中。

防御工作需要技术产品、平台治理、安全运营、人员意识多方面共同配合。邮件网关完善文本预处理与多维度交叉检测，第三方邮件流量不豁免安全校验，对接大模型的业务组件做好输入净化，企业侧做好配置审计与安全运营，多重机制互相兜底，才能够有效降低编码混淆钓鱼攻击带来的业务风险。同时应当理性看待防护边界，持续跟踪攻防对抗演化，持续迭代安全策略，以此应对不断变化的网络钓鱼威胁。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院