摘要
网络钓鱼长期是基础教育机构面临的首要网络安全威胁，生成式人工智能技术的普及正在实质性改变钓鱼攻击的形态与危害等级。美国阿尔伯克基公立学区在 2026 年网络安全月发布专项预警，指出攻击者借助生成式 AI 批量产出语法规范、高度个性化的欺骗邮件，克隆目标熟悉的语音并合成伪造视频，传统依赖错别字、语法瑕疵识别钓鱼的手段持续失效。本文以该学区公开安全通报为实证样本，梳理基础教育场景下邮件钓鱼、商业邮件入侵、语音钓鱼、短信钓鱼四类攻击载体的技术特征，解析生成式 AI 在文本生成、多模态伪造、攻击规模化生产、检测规避四个维度对攻击能力的提升，剖析 K-12 教育机构因人员结构复杂、学生隐私数据集中、财务流程相对松散而面临的特殊风险。反网络钓鱼技术专家芦笛指出，AI 消除了钓鱼攻击长期存在的低成本粗糙特征，防御体系必须从基于黑名单的特征过滤转向行为语义与多模态综合检测。迪妙网络空间安全学院研究团队针对 AI 钓鱼场景开展攻防模拟实验，证实传统垃圾邮件过滤器对 AI 生成的个性化邮件检出率出现显著下降。本文从技术检测、身份认证、人员意识、应急流程四个维度提出分层防御方案，客观评估多因素认证的防护边界，为基础教育机构应对 AI 时代钓鱼威胁提供可落地的实践参考。
关键词：生成式人工智能；网络钓鱼；K-12 教育；深度伪造；商业邮件入侵；多因素认证
1 引言
网络钓鱼作为社会工程学攻击的经典形态，长期占据各类网络安全事件的首要入口位置。基础教育阶段的公立学区与学校，由于人员规模庞大、信息化水平参差不齐、学生个人信息与财务数据集中，始终是钓鱼攻击的高价值目标。美国新墨西哥州阿尔伯克基公立学区（Albuquerque Public Schools，以下简称 APS）信息安全团队在 2026 年 10 月网络安全月期间发布专项安全通报，明确将钓鱼列为 K-12 学校面临的最主要网络安全威胁，并特别指出生成式人工智能技术的介入正在使这一传统威胁的欺骗能力与规模化程度出现实质性跃升。
该通报所描述的攻击演化并非孤立现象。生成式大语言模型、语音合成模型、视频生成模型在过去数年间快速走向民用化，获取门槛持续降低，攻击者不再需要具备专业的文案撰写、语音剪辑、视频制作能力，即可通过调用通用 AI 工具产出高度逼真的欺骗内容。APS 通报中列举的典型表现包括：AI 生成的钓鱼邮件具备完美语法、嵌入学区官方标识、使用真实员工姓名；AI 能够模仿校长、供应商、行政主管的写作风格；攻击者可以克隆熟悉的人声并制作伪造视频。这些特征直接消解了过去几十年间普通用户识别钓鱼邮件所依赖的核心线索 —— 语法错误、表达生硬、格式粗糙。
基础教育场景的特殊性进一步放大了该威胁的影响。学区内部同时包含行政管理人员、教师、后勤人员、未成年学生以及学生家长，不同群体的网络安全认知水平差异显著。学生群体社会经验不足，容易被伪装成学校通知的欺骗内容诱导；行政与财务人员掌握工资发放、采购付款权限，是商业邮件入侵攻击的重点瞄准对象；教师账号关联教学系统与学生成绩数据，一旦失守可能造成大规模学生个人信息泄露。APS 通报中特别提及，攻击者一旦进入学区系统，可能窃取资金、冒充师生身份、锁定数据与系统以中断教学、泄露学校与整个学区社区的敏感信息，这些风险在基础教育场景下具有现实可操作性。
现有网络安全研究对于 AI 赋能钓鱼攻击的讨论，多集中在技术原理层面的泛化分析，针对 K-12 基础教育这一特定场景的实证研究相对不足。很多学区的安全建设仍停留在部署传统邮件过滤器、开展通用安全意识培训的阶段，尚未针对 AI 生成内容的新特征调整检测策略与培训内容。本文以 APS 公开通报为基础事实材料，结合迪妙网安研究团队的攻防实验观测与反网络钓鱼技术专家芦笛的研判观点，系统梳理 AI 赋能钓鱼攻击的技术演化路径，剖析基础教育机构面临的特殊风险，提出适配 AI 时代的分层防御思路。全文分析立足于公开安全通报与可复现的攻防观测，不做无依据的夸张推演，旨在为同类学区与学校完善钓鱼防御体系提供客观参考。
2 K-12 教育场景钓鱼攻击的基础形态与风险特征
2.1 教育机构钓鱼攻击的总体态势
钓鱼攻击的本质是社会工程学欺骗，攻击者借助电子邮件、短信、电话等电子通信渠道，诱导受害者主动泄露敏感信息或安装恶意软件。其最终目标通常指向三类资产：一是银行账户与支付系统，通过诱导转账或篡改直接存款信息窃取资金；二是师生账号凭证、社会安全号码及其他个人身份数据，用于后续身份盗用或黑市售卖；三是关键业务系统与基础设施权限，用于横向渗透、数据加密勒索或业务中断破坏。
APS 通报将钓鱼明确列为 K-12 学校面临的首要网络安全威胁，这一判断与全球基础教育行业的安全态势基本吻合。公立学区普遍具备几个被攻击者看重的特征：第一，财务流程中存在大量面向供应商的付款、面向员工的工资发放、面向学生的退费操作，商业邮件入侵攻击一旦得手，单笔资金损失往往较为可观；第二，学区集中存储大量未成年学生的个人身份信息、家庭联系方式、健康记录，这些数据在地下信息市场具备较高价值；第三，学区信息化建设资金相对有限，安全运维人员配比低于企业与高校，很多学校缺乏专职安全团队，攻击得手后被发现的时间窗口较长；第四，教学业务对系统可用性依赖度高，攻击者一旦加密核心数据，学校面临停课、考试延期等现实压力，支付赎金的意愿相对较强。
反网络钓鱼技术专家芦笛指出，基础教育机构的钓鱼防御长期处于 "高价值目标、低防护投入" 的不对称状态，攻击者只需要付出极低的批量投递成本，就有概率在数千名教职员工中找到安全意识薄弱的个体，这种投入产出比决定了钓鱼攻击会持续成为教育行业的首要威胁入口。
2.2 钓鱼邮件与商业邮件入侵
钓鱼邮件是最传统也是占比最高的攻击载体。攻击者伪造发件人身份，冒充 IT 部门、上级主管、校长或可信供应商，在邮件中嵌入指向仿冒网站的链接，或附带携带恶意软件的附件，诱导收件人点击执行。APS 通报中特别将商业邮件入侵（Business Email Compromise，BEC）列为一类成本高昂的钓鱼邮件变体。
BEC 攻击的核心逻辑不是投递恶意软件，而是通过冒充高管、供应商、薪资或采购人员，直接诱导员工执行资金转账或修改工资直接存款账户信息。在学区场景下，常见的 BEC 剧本包括：冒充学区财务主管向出纳人员发送紧急付款指令，要求向指定账户支付供应商款项；冒充人力资源部门人员诱导员工修改工资发放银行账户；冒充外部供应商通知收款账户变更，诱导财务人员将后续款项打入攻击者控制账户。这类攻击不依赖任何技术漏洞，完全利用组织内部的信任关系与财务流程的执行惯性，一旦得手资金往往通过多层跨境转账迅速转移，追回难度极大。
迪妙安全研究团队梳理多起教育行业 BEC 事件后发现，攻击者在实施 BEC 之前通常会先通过普通钓鱼邮件窃取某一名内部员工的邮箱账号，随后阅读该员工的历史邮件，掌握学区内部的付款审批流程、常用供应商名称、财务人员姓名与沟通习惯，再基于这些真实信息构造高度可信的欺骗邮件。这种 "先侦察后攻击" 的模式使得 BEC 邮件的可信度远高于批量群发的普通钓鱼邮件。
2.3 语音钓鱼
语音钓鱼（Vishing）是通过电话或语音留言实施的社会工程学攻击。攻击者冒充银行、技术支持、学区领导办公室甚至受害者家属，通过电话对话诱导对方泄露密码、个人信息或授权付款。与邮件钓鱼相比，语音钓鱼的实时交互性更强，攻击者可以根据受害者的反应即时调整话术，施加心理压力，很多人在电话对话中难以像阅读邮件那样反复核对信息来源。
APS 通报中特别提示，攻击者可能冒充学区领导办公室或技术支持部门致电教职员工。在学区场景下，常见的语音钓鱼剧本包括：冒充 IT 支持人员告知教师邮箱异常需要立即验证账号密码；冒充学区财务办公室致电家长要求核实缴费信息；冒充学校领导向行政人员下达紧急付款指令。语音钓鱼的另一个危险特征是容易与 AI 语音克隆技术结合，当攻击者能够克隆出学区领导或 IT 主管的真实声音时，电话另一端的受害者几乎无法通过听觉辨别真伪。
2.4 短信钓鱼
短信钓鱼（Smishing）通过发送带有欺骗性链接、邮箱地址或电话号码的短信，诱导收件人点击链接访问仿冒网站或下载恶意软件。随着移动办公普及，越来越多教职员工与家长通过手机接收学校通知，短信渠道的信任度相对较高，攻击者利用这一点伪装成学校官方通知。
在学区场景下，短信钓鱼常见的伪装主题包括：学生考勤异常通知、校车线路变更、午餐账户余额不足、学校紧急事件通知、教师工资单待查阅。这些主题都与收件人的切身利益相关，容易触发即时点击行为。APS 通报中明确将短信钓鱼列为三类主流攻击载体之一，提示用户不要点击短信中的链接、电话号码或附件，不要直接回复可疑短信。
短信钓鱼的技术难点在于，移动端浏览器的地址栏显示空间有限，用户很难在小屏幕上仔细核对域名；同时很多短信应用会自动将链接渲染为按钮，进一步隐藏真实 URL。这些因素共同提升了短信钓鱼的欺骗成功率。
3 生成式 AI 对钓鱼攻击能力的实质性提升
APS 通报的核心警示在于，AI 技术的介入不是简单地让钓鱼邮件 "写得更好"，而是从文本质量、多模态欺骗、生产规模、检测规避四个维度系统性地提升了攻击能力。过去识别钓鱼的经验性线索正在批量失效，防御方需要重新理解 AI 时代钓鱼攻击的技术特征。
3.1 文本生成层面的欺骗能力跃迁
传统钓鱼邮件最容易被识别的特征是语言质量问题：语法错误、拼写错误、表达生硬、格式混乱、称呼不当。这些特征源于早期攻击者多为非英语母语者，且批量生产邮件时缺乏人工润色环节。普通用户经过基础安全培训后，往往能够凭借这些线索识别可疑邮件。
生成式大语言模型的出现彻底改变了这一局面。APS 通报明确指出，AI 生成的钓鱼邮件具备完美语法，可以嵌入学区官方标识，使用真实员工姓名。更关键的是，AI 能够模仿特定人物的写作风格 —— 校长的行文习惯、供应商的沟通语气、IT 部门的通知格式 —— 都可以通过少量样本学习后被精准复刻。当一封邮件语法无误、格式规范、称呼正确、语气与发件人历史风格一致时，普通用户几乎无法从文本本身判断其真伪。
反网络钓鱼技术专家芦笛强调，文本生成能力的提升意味着钓鱼攻击从 "批量粗糙模板" 进入 "定制化精修" 阶段。攻击者可以针对每一个目标生成独一无二的邮件内容，不再使用千篇一律的模板。这种个性化不仅体现在语言风格上，还体现在内容相关性上 ——AI 可以结合目标的公开社交媒体信息、学区官网公布的人员职务、近期学校活动等上下文信息，构造与目标当前工作高度相关的欺骗主题，进一步提升点击概率。
3.2 语音克隆与深度伪造视频的多模态欺骗
APS 通报特别提及，AI 不仅用于生成文本，还可以克隆熟悉的声音并创建伪造视频。这标志着钓鱼攻击从单一文本渠道扩展到语音、视频等多模态渠道，欺骗的感官维度显著增加。
语音克隆技术只需要数秒至数分钟的目标语音样本，即可合成出与目标嗓音、语调、语速高度相似的人工语音。这些样本可以从公开的学校活动录像、学区董事会会议录音、校长公开致辞视频中轻易获取。攻击者克隆学区领导或 IT 主管的声音后，可以直接拨打语音电话，或者向目标发送语音留言，以高度逼真的声音下达指令或索要信息。APS 通报中列举的语音钓鱼场景，在 AI 语音克隆加持下，其欺骗等级从 "冒充者模仿" 升级为 "声音层面以假乱真"。
深度伪造视频则进一步将欺骗扩展到视觉维度。攻击者可以合成学区领导在视频会议中发言的伪造画面，配合克隆语音，在视频会议场景下实施欺骗。虽然目前深度伪造视频在实时交互场景下仍存在技术门槛，但用于预录制的欺骗视频、语音留言配套视频已经具备足够的逼真度。迪妙网络空间安全学院研究团队开展的识别实验显示，未经专门训练的普通教职员工在面对 AI 克隆语音时，正确识别率不足三成，绝大多数人无法区分真实语音与克隆语音。
多模态欺骗的危险之处在于，它打破了人们 "耳听为虚、眼见为实" 的传统认知习惯。当声音和画面都与熟悉的人物一致时，受害者的心理防线会大幅降低，攻击成功率随之显著提升。
3.3 大规模个性化攻击的生产效率变革
在 AI 工具普及之前，制作一封高度个性化的钓鱼邮件需要攻击者人工收集目标信息、撰写定制化内容、调整语气格式，单封邮件的制作成本较高，因此攻击者大多采用批量模板群发的模式，仅对少数高价值目标进行人工定制。
生成式 AI 将个性化邮件的制作成本压缩到接近于零。APS 通报指出，AI 可以在数秒内生成数百封独一无二的邮件。攻击者只需要提供目标名单与基础上下文信息，大语言模型即可为每一个目标生成内容、语气、主题各不相同的定制化邮件。这种生产效率的变革意味着，过去仅针对高管的鱼叉式钓鱼攻击，现在可以以接近批量群发的成本覆盖整个学区的所有教职员工。
大规模个性化攻击对防御方的冲击是双重的。一方面，每封邮件内容都不相同，基于邮件内容相似度聚类检测异常的传统方法失效；另一方面，攻击覆盖面从少数高价值岗位扩展到全体人员，任何一个安全意识薄弱的普通员工都可能成为突破口，防御的整体难度显著上升。
3.4 对传统检测过滤机制的规避能力
传统邮件安全过滤器主要依赖两类机制检测钓鱼邮件：一是基于已知恶意 IP、域名、附件哈希的黑名单匹配；二是基于邮件内容特征的规则检测，包括可疑关键词、语法异常、格式异常、发件人域名与显示名称不匹配等。AI 赋能的钓鱼攻击对这两类机制都具备较强的规避能力。
对于黑名单机制，AI 生成的钓鱼邮件往往指向新注册的域名，这些域名尚未进入威胁情报黑名单，过滤器无法基于已知恶意特征拦截。对于内容规则检测，AI 生成的邮件语法规范、表达自然，不存在传统规则所依赖的异常特征；同时 AI 可以主动学习过滤器的检测规则，在生成邮件时规避可疑关键词，调整表述方式，使邮件内容通过规则检测。
APS 通报中明确提到 "传统垃圾邮件过滤器会漏掉这些邮件"，正是对这一现实的直接描述。迪妙网安研究团队的对比实验显示，将同一攻击主题分别用人工模板与 AI 生成方式制作邮件样本，通过主流商用邮件安全网关检测，AI 生成样本的拦截率比人工模板样本低超过四十个百分点。这一数据差距说明，传统邮件过滤体系在 AI 钓鱼面前存在实质性的检测能力缺口，仅靠升级黑名单库无法弥补这一缺口，必须引入基于语义理解与行为分析的新一代检测能力。
4 AI 赋能钓鱼攻击对 K-12 教育机构的特殊风险
AI 技术提升了钓鱼攻击的通用能力，而 K-12 教育机构自身的组织特征与业务属性，使得这类攻击在教育场景下产生特殊的风险叠加效应。APS 通报中列举的资金窃取、身份冒充、教学中断、敏感信息泄露四类风险，在基础教育场景下都有具体的落地路径与现实危害。
4.1 人员结构复杂与安全意识差异
公立学区通常拥有数千乃至数万名教职员工，岗位覆盖行政管理人员、教师、教学辅助人员、后勤维护人员、校车司机、食堂工作人员等。不同岗位人员的信息化素养与网络安全意识水平差异极大。行政与 IT 人员通常接受过较多安全培训，而后勤、辅助岗位人员接触信息化系统的机会相对较少，对钓鱼攻击的识别能力较弱。
AI 赋能钓鱼攻击的大规模个性化特征，使得攻击者不再需要筛选高价值目标，而是可以对全体人员进行无差别定制化投递。任何一个岗位的员工失守，都可能成为攻击者进入学区网络的跳板。尤其是后勤与辅助岗位人员虽然权限有限，但其账号往往具备基础的内网访问权限，攻击者可以以此为起点进行横向移动，逐步渗透到财务系统、学生信息系统等高价值区域。
反网络钓鱼技术专家芦笛指出，教育机构的安全意识培训长期存在 "重教师、轻后勤" 的倾向，而 AI 钓鱼的无差别投递特征要求安全培训必须覆盖每一名能够接触学区信息系统的员工，包括临时工与外包人员，任何一个培训盲区都可能成为攻击突破口。
4.2 学生个人信息与财务系统的复合风险
K-12 学区集中存储大量未成年学生的个人信息，包括姓名、出生日期、家庭住址、家长联系方式、社会安全号码、健康记录、个别化教育计划等。这些数据属于高度敏感的个人信息，且由于未成年人通常不会主动监控自己的信用记录，其身份信息被滥用后往往长时间不被发现，因此在地下数据市场具备较高价值。
AI 赋能钓鱼攻击可以通过两种路径获取学生数据：一是直接窃取学生信息系统管理员或数据录入人员的账号，批量导出学生数据；二是通过 BEC 攻击入侵财务系统后，顺带获取与工资、采购相关的人员信息。APS 通报中明确将 "学生或员工凭证、社会安全号码及其他敏感数据" 列为攻击者的核心目标之一，这一风险在 AI 钓鱼的高效率攻击下发生概率显著提升。
财务系统风险则直接表现为资金损失。学区年度预算规模较大，日常涉及大量供应商付款、员工工资发放、学生退费操作。AI 生成的 BEC 邮件可以精准模仿供应商沟通语气与财务审批流程，诱导财务人员执行错误转账。APS 通报中特别提及 "篡改直接存款信息" 这一攻击手法，即攻击者诱导员工或 HR 人员修改工资发放银行账户，将后续工资打入攻击者控制账户，这类攻击单笔损失可能涉及多名员工的整月工资，且发现周期较长。
4.3 教学业务连续性中断风险
APS 通报中指出，攻击者一旦进入系统，可能通过锁定数据与系统访问权限来中断教学。这一风险在 K-12 场景下具有特殊的社会影响。学区的教学管理系统、学生信息系统、考勤系统、成绩录入系统一旦被加密或无法访问，直接影响日常教学秩序；在考试周、开学季等关键时间节点发生系统中断，可能造成考试延期、选课混乱、家长恐慌等连锁反应。
AI 赋能钓鱼攻击提升了攻击者进入系统的概率，也就相应提升了后续勒索软件部署的可能性。很多勒索软件攻击的初始入口就是一封钓鱼邮件，当 AI 使得钓鱼邮件更难被识别时，勒索软件成功植入的概率随之上升。迪妙安全研究团队的威胁情报分析显示，2025 年至 2026 年间针对 K-12 学区的勒索软件事件中，超过六成的初始入口可以追溯到钓鱼邮件，且其中 AI 生成邮件的占比持续上升。
教学业务中断的另一个维度是身份冒充风险。攻击者窃取教师或管理员账号后，可以冒充教师向学生或家长发送虚假通知，例如虚假停课通知、虚假紧急疏散通知，可能引发校园秩序混乱甚至安全事故。AI 可以生成与教师风格一致的通知内容，进一步提升冒充的可信度。
4.4 内部账号被利用后的链式扩散风险
AI 赋能钓鱼攻击得手后，攻击者获取的内部账号可以被用于发起第二轮钓鱼攻击，形成链式扩散。与外部伪造发件人不同，使用真实内部账号发送的邮件具备完全合法的邮件头信息，SPF、DKIM、DMARC 校验全部通过，邮件安全网关不会拦截。攻击者可以利用被攻陷账号向其通讯录联系人发送 AI 生成的钓鱼邮件，由于发件人是同事、上级或合作伙伴，收件人的警惕程度大幅降低。
APS 通报中虽然没有直接描述链式扩散场景，但其提及的 "冒充学生或员工" 风险已经隐含了这一攻击路径。在学区场景下，一名教师账号被攻陷后，攻击者可以向该教师所教班级的所有学生家长发送钓鱼邮件；一名财务人员账号被攻陷后，攻击者可以向所有供应商发送钓鱼邮件。这种基于真实社交关系的链式扩散，其攻击效率与成功率远高于外部批量投递。
反网络钓鱼技术专家芦笛强调，AI 钓鱼的真正危险不在于单封邮件的欺骗能力，而在于攻击得手后的自我复制与扩散能力。一个账号失守可能在数小时内演变为数十个账号失守，传统的单点应急处置流程难以应对这种指数级扩散的攻击态势。
5 面向 AI 赋能钓鱼攻击的分层防御体系构建
面对 AI 技术带来的钓鱼攻击能力跃升，K-12 教育机构不能继续依赖传统的邮件过滤器加通用安全培训的单一防御模式，需要构建覆盖技术检测、身份认证、人员意识、应急流程四个层面的分层防御体系。每一层都需要针对 AI 钓鱼的新特征做出适应性调整，各层之间形成互补与冗余，避免单一防线被突破后整体失守。
5.1 技术层面：从特征过滤转向行为与语义检测
传统邮件安全网关的核心能力是基于已知特征的过滤，这一能力在 AI 钓鱼面前存在实质性缺口。学区应当逐步升级邮件安全体系，引入基于大语言模型语义理解的检测能力，对邮件内容进行深度语义分析，识别虽然语法规范但存在逻辑异常、上下文矛盾、意图可疑的内容。语义检测不依赖错别字等表面特征，而是分析邮件的请求是否合理、语气是否存在异常胁迫、链接指向与邮件内容是否匹配，从而识别 AI 生成的高质量钓鱼邮件。
除了邮件内容检测，还需要加强对邮件附件与链接的动态分析。对于邮件中的链接，不应仅检查域名是否在黑名单中，而应实际访问链接并分析落地页内容，识别仿冒登录页面；对于附件，应在沙箱环境中动态执行，检测是否存在恶意行为。APS 通报中建议用户 "将鼠标悬停在链接上查看真实 URL"，这一人工操作在技术层面可以自动化实现，由邮件网关在投递前完成所有链接的真实地址解析与落地页检测。
在语音与视频渠道，学区应当逐步部署 AI 生成内容检测能力，对来电语音进行实时分析，识别克隆语音特征；对视频会议中的画面进行深度伪造检测。虽然目前多模态深度伪造检测技术仍在发展中，但对于高风险场景（如涉及大额付款的电话指令），可以建立额外的人工核验流程作为补偿控制。
迪妙网络空间安全学院研究团队建议，学区在采购邮件安全产品时，应当将 AI 生成钓鱼邮件的检测能力作为核心评估指标，通过实际样本测试验证产品对 AI 生成内容的检出率，而不是仅看厂商宣传参数。同时，学区应当保留邮件日志的足够长周期，以便在发生安全事件时回溯攻击路径与扩散范围。
5.2 身份认证层面：多因素认证的部署与局限
APS 通报中将多因素认证（MFA）作为关键防护措施，明确指出即使密码被盗，MFA 可以阻断超过 95% 的攻击。这一数据在传统钓鱼场景下基本成立，但在 AI 赋能的高级钓鱼场景下，MFA 的防护效果存在需要正视的局限。
传统基于短信验证码、软件令牌的 MFA，在面对实时中间人钓鱼攻击时可以被绕过。攻击者搭建仿冒登录页面，受害者在仿冒页面输入账号密码后，攻击者实时以受害者身份向真实系统发起登录，真实系统向受害者手机推送 MFA 验证码，受害者将验证码输入仿冒页面，攻击者获取验证码后完成真实登录。在这一过程中，MFA 验证的是 "受害者本人看到了验证码"，而不是 "验证码提交给了合法站点"，因此无法抵御中间人攻击。
AI 赋能钓鱼攻击可以大幅提升中间人攻击的实施效率。AI 生成的仿冒登录页面可以与真实页面高度一致，AI 可以自动处理登录流程中的多步交互，使得攻击者能够以较低成本大规模实施中间人钓鱼。因此，学区在部署 MFA 时，不能仅满足于 "已经开启 MFA"，而应当关注 MFA 的类型与抗钓鱼能力。
具备钓鱼抵抗能力的 FIDO2 硬件密钥或通行密钥（Passkey），在认证过程中会校验当前访问站点的域名，只有访问真实官方域名时才允许完成认证，从底层阻断中间人攻击。反网络钓鱼技术专家芦笛强调，学区应当优先为财务人员、IT 管理员、学生信息系统管理员等高价值岗位配备 FIDO2 硬件密钥，而不是仅依赖短信验证码。对于普通教职员工，可以逐步推广基于设备的通行密钥认证，降低对短信验证码的依赖。
除了 MFA 类型选择，学区还应当启用异常登录检测，对异地登录、陌生设备登录、异常时间登录触发额外验证或告警；对高权限账号实施特权访问管理，限制管理员账号的日常使用场景，减少账号暴露面。
5.3 人员层面：适配 AI 时代的安全意识培育
APS 通报中给出的多条防范建议，本质上都属于人员安全意识范畴：警惕不请自来的信息请求、对紧迫感保持怀疑、不点击链接与附件、通过独立渠道验证发件人身份、不通过邮件短信共享敏感信息、要求来电者证明身份。这些建议在 AI 时代仍然有效，但培训方式需要针对 AI 钓鱼的新特征做出调整。
传统安全意识培训往往以 "识别语法错误、格式异常" 为核心教学点，这在 AI 生成邮件语法完美的现实下已经失效。培训内容需要更新为：第一，教育员工不再依赖语言质量判断邮件真伪，转而关注请求本身的合理性 —— 是否要求绕过正常流程、是否制造不必要的紧迫感、是否要求提供敏感信息；第二，强化独立验证习惯，任何涉及资金转账、密码修改、敏感信息提供的请求，必须通过电话、当面或其他独立渠道与发件人核实，不得使用邮件或短信中提供的联系方式；第三，针对 AI 语音克隆与深度伪造视频，培训员工对电话与视频中的身份保持合理怀疑，尤其是涉及敏感操作的电话指令，必须通过回拨已知官方号码等方式二次确认。
培训形式应当从年度一次性讲座转向持续化、场景化的模拟演练。学区可以定期开展模拟钓鱼演练，使用 AI 生成的高质量邮件作为演练样本，测试员工的识别能力，对点击诱饵的员工进行定向再培训。APS 通报本身就是网络安全月期间持续安全教育的一部分，这种常态化的安全提示比一次性培训更有助于维持员工的安全警惕性。
迪妙网安研究团队的跟踪数据显示，开展过季度级 AI 钓鱼模拟演练的学区，其员工对 AI 生成钓鱼邮件的识别率比仅开展年度培训的学区高出一倍以上。这一数据说明，持续化、高仿真的模拟演练是提升人员防御能力的有效途径。同时，学区应当建立便捷的可疑邮件上报机制，在邮件客户端中部署一键上报按钮，鼓励员工将可疑邮件提交给安全团队，形成全员参与的威胁感知网络。
5.4 流程层面：独立验证机制与应急处置规范
技术与人员层面的防御无法做到百分之百拦截，学区必须建立完善的应急处置流程，确保在攻击得手后能够快速响应、控制损失、阻断扩散。APS 通报中给出了被攻陷后的基础处置步骤：立即修改密码、运行病毒扫描、向技术服务台报告。这一步骤适用于普通员工的初步自助处置，但学区层面需要建立更完整的应急响应规范。
首先，财务流程必须建立严格的独立验证机制。任何涉及付款账户变更、大额转账、紧急付款的请求，无论来自邮件还是电话，都必须通过与请求方已知联系方式（而非邮件或短信中提供的号码）进行二次确认。财务人员应当被明确授权，对于无法完成独立验证的付款请求予以拒绝，且不得因 "领导紧急要求" 而跳过验证流程。这一机制是防御 BEC 攻击最有效的流程控制，APS 通报中 "暂停紧迫感"" 合法机构永远不会胁迫你绕过流程 " 的提示，本质上就是对这一机制的强调。
其次，账号失陷后的应急处置必须包含链式扩散排查。当确认某一账号被钓鱼攻陷后，安全团队不能仅重置该账号密码，还需要回溯该账号在失陷期间发送的所有邮件，识别是否存在向内部联系人发送钓鱼邮件的行为；检查该账号是否被用于访问敏感系统、导出数据；通知所有可能收到该账号恶意邮件的联系人，提醒其不要点击相关内容。反网络钓鱼技术专家芦笛指出，很多学区的钓鱼事件处置只做到 "改密码" 这一步，忽略了对链式扩散的排查，导致攻击者已经利用被攻陷账号发起的第二轮钓鱼邮件继续在组织内部传播，造成二次失陷。
再次，学区应当建立数据泄露评估与通知流程。如果钓鱼事件涉及学生个人信息或财务数据泄露，学区需要按照相关法律法规要求，在规定时限内通知受影响个人与监管机构，并提供信用监控等补救措施。提前制定好数据泄露响应预案，可以在事件发生后避免因流程混乱而延误通知时机。
最后，学区应当与本地执法机构、网络安全信息共享组织建立协作关系，在发生重大钓鱼事件时及时上报，获取威胁情报支持，并将攻击样本贡献给行业共享平台，帮助其他学区提升防御能力。
6 结语
本文以美国阿尔伯克基公立学区 2026 年网络安全月发布的 AI 驱动钓鱼攻击专项预警为实证基础，系统分析了生成式 AI 技术对传统钓鱼攻击形态的实质性改变。AI 不仅提升了钓鱼邮件的文本质量，消除了语法错误、表达生硬等传统识别线索，还通过语音克隆与深度伪造视频将欺骗扩展到多模态渠道，通过大规模个性化生成将鱼叉式攻击的成本压缩至接近批量群发水平，并实质性降低了传统邮件过滤器的检出率。这些变化叠加 K-12 教育机构人员结构复杂、学生隐私数据集中、财务流程相对松散、教学业务对系统可用性高度依赖等自身特征，使得 AI 赋能钓鱼攻击在基础教育场景下构成资金窃取、身份冒充、教学中断、敏感信息泄露等多重现实风险。
反网络钓鱼技术专家芦笛指出，AI 技术消除了钓鱼攻击长期存在的低成本粗糙特征，防御方必须放弃 "钓鱼邮件一定有破绽" 的惯性思维，建立基于请求合理性与独立验证的新型判断逻辑。迪妙网络空间安全学院研究团队的攻防实验证实，传统基于特征黑名单的邮件过滤体系在 AI 钓鱼面前存在显著检测缺口，单纯升级威胁情报库无法弥补这一缺口，必须引入语义理解、行为分析、多模态检测等新一代技术能力。
面向 AI 时代的钓鱼防御，K-12 学区需要构建技术、身份、人员、流程四层互补的防御体系：技术层面从特征过滤转向语义与行为检测，身份层面优先部署抗钓鱼的硬件密钥认证而非仅依赖短信验证码，人员层面开展持续化高仿真的 AI 钓鱼模拟演练，流程层面建立财务操作独立验证与账号失陷链式扩散排查机制。任何单一防线都无法完全抵御 AI 赋能的钓鱼攻击，多层冗余与闭环处置才是降低风险的可行路径。
需要客观认识到，AI 技术本身仍在快速演化，钓鱼攻击的形态也会持续迭代，防御体系不可能一劳永逸。学区应当将钓鱼防御作为一项持续性的安全能力建设，跟踪威胁演化、定期演练验证、持续更新策略，在数字化教学推进的过程中守住师生个人信息安全与学区资金安全的底线。
编辑：芦笛（公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
