摘要：假冒登录页面长期存在于凭据钓鱼的技术谱系之中，其威胁水平此前主要受制于制作成本与仿冒精度。生成式人工智能的介入改变了这一约束条件：页面外观的复刻、组织情境的定制、仿冒域名的批量部署与投递渠道的组合，均可在低成本条件下完成，攻击者由此获得更高的单位时间产出与更强的针对性。更为关键的变化发生在窃取对象上，攻击目标已从静态的用户名与口令，扩展至一次性验证码与已认证会话令牌，中间人代理技术使多因素认证在一次成功的登录之后失去后续约束力。本文以 2026 年 Verizon 数据泄露调查报告所披露的钓鱼在人工智能辅助初始访问中占比 44% 这一观测为经验起点，分析伪造登录页生产成本结构的重构、从凭据窃取到会话接管的攻击链演进，以及意识培训、邮件过滤、网址信誉与传输层加密等传统防线的失效边界。在此基础上，本文论证抗钓鱼认证的密码学根基在于凭据与站点域名的绑定关系，讨论登录现场的检测能力应如何在设备端部署以兼顾隐私与时延，并说明会话收缩、权限最小化与响应流程的制度化安排为何构成与检测同等重要的环节。文章最后提出可检验的研究议题与治理度量口径，主张防御重心从页面真实性的主观判断，转向凭据不可用性与会话可控性的工程实现。
关键词：生成式人工智能；钓鱼攻击；账户接管；中间人代理；抗钓鱼认证；会话劫持
1 引言
假冒登录页面并非新出现的攻击形态。过去二十余年间，它始终是凭据钓鱼最稳定的载体，其威力量级长期受两项条件约束：复制一个足以乱真的登录界面需要人工投入，而让目标员工在正确的时间点击正确的链接需要额外的社会工程成本。攻击者必须在逼真程度与投放规模之间做出取舍，安全团队也因此获得了可利用的缝隙 —— 排版错位、图标失真、语法错误、域名拼写异常，这些瑕疵构成了意识培训课程中最常被引用的识别线索。
生成式人工智能削弱的正是这一约束。当界面复刻、文案撰写、多语言适配与域名批量注册的成本同时下降，攻击者不再需要在逼真与规模之间取舍，而可以同时获得两者。2026 年 Verizon 数据泄露调查报告给出的观测是，在其考察的人工智能辅助初始访问手法中，钓鱼占 44%。这一比例的意义不在于钓鱼重新成为主要入口，而在于钓鱼的产出效率发生了结构性变化：单位时间内可生成的仿冒站点更多，可覆盖的组织情境更具体，可在被识破后迅速替换的变体更廉价。
由此产生的学术问题具有明确的边界。它不是在追问「钓鱼是否变得更严重」，而是在追问认证信任的锚点究竟落在何处。企业身份的验证在很长时间里被理解为一次事件：用户在某个时刻提交口令与第二因素，系统确认其身份，此后授予访问。若登录页面本身可被完美复制，则这一事件的输入端便不再可信；若认证之后的会话状态可被转移，则这一事件的输出端同样不再可信。两端同时松动，意味着以页面辨识为核心的防御叙事难以支撑现有的账户安全假设。
本文的分析依循这一线索展开。第二节考察生成式人工智能如何改变伪造登录页的生产与投递结构；第三节解析从凭据窃取到会话接管的攻击链，重点说明多因素认证为何在会话层面失效；第四节界定传统防线的能力边界；第五节讨论抗钓鱼认证的技术根基及其部署约束；第六节分析登录现场检测的工程实现与研究缺口；第七节说明会话收缩与权限治理的配套安排；第八节提出研究议程与治理度量；第九节收束全文。
2 伪造登录页生产成本结构的重构
理解威胁变化，需要先拆解仿冒站点的成本构成。一个具备实战价值的伪造登录页，其成本可分解为四个部分：视觉复刻、情境定制、基础设施与投递。生成式人工智能对四者的影响并不均等，但方向一致。
视觉复刻的成本下降最为直接。品牌标识、配色方案、字体层级、表单控件、页脚法律声明，这些元素在公开渠道均可获取，模型可依据一张截图或一段页面描述生成结构完整、样式一致的前端页面。更值得注意的是自适应能力的获得：仿冒页面可以随目标设备的屏幕尺寸、语言环境与浏览器类型调整呈现方式，从而避免因渲染异常而暴露。传统识别训练所依赖的「看起来不像」这一直觉，在视觉层面被系统性削弱。
情境定制的成本下降更具威胁。攻击者可将组织内部的术语、假想的安全通知格式、常见的单点登录入口名称嵌入页面与诱饵文案，使一封「密码即将到期」的内部通知在语气与格式上与真实的行政邮件难以区分。这类定制过去依赖对目标组织的长期侦察，如今可由模型基于有限的公开信息快速生成多个版本，并在投放后依据点击与提交数据筛选有效变体。攻击由此具备了实验属性：不是一次性投放，而是持续迭代。
基础设施成本的下降改变了投放的时间结构。仿冒域名可批量注册，证书申请已高度自动化，页面托管可依托廉价或免费的边缘服务完成，站点生命周期因此可以压缩至数小时乃至数十分钟。短生命周期与批量替换相结合，使依赖历史信誉积累的拦截机制难以形成有效覆盖。
投递渠道的多元化则绕开了单点封锁。报道明确指出，攻击者通过短信、协作平台与搜索广告分发恶意链接，使钓鱼尝试得以避开以邮件网关为核心的防护体系。协作平台内的链接往往继承平台自身的信任，搜索广告则将仿冒站点置于用户主动检索的路径之上，二者都不经过企业邮件过滤的检查环节。
四项成本同时下降的净效应，是攻击的经济学发生位移。单次尝试的成本降低，允许攻击者接受更低的成功率；成功率的分布右移，使少量高质量的定向攻击足以支撑整个战役。防御方因此面对的不再是数量有限的粗糙仿冒，而是数量充裕、质量参差但整体上移的连续投放。以抽样方式评估钓鱼风险的传统做法，在这一结构下会系统性低估暴露面。
3 从凭据窃取到会话接管的攻击链演进
伪造登录页的传统功能是收集用户名与口令。这一功能在双因素认证普及之后被削弱，因为仅凭口令难以完成登录。攻击链的演化正是围绕这一阻碍展开，并分化为两条技术路线。
第一条路线针对一次性验证码。仿冒页面在多步流程中完整复现验证码输入环节，用户在仿冒站点提交验证码后，攻击者立即在真实站点发起认证并在验证码有效期内完成提交。该路线成立的前提是时间窗口足够短，且攻击者能够实时获取提交内容。它不需要复杂的代理设施，但对交互时序高度敏感，一旦用户在仿冒页面停留过久或验证码采用抗重放的强绑定机制，攻击即告失败。
第二条路线针对认证会话，技术形态为中间人代理。仿冒站点作为用户与合法服务之间的透明代理，将认证请求实时转发至真实身份提供方，再把响应回送给用户。用户所见页面、所历流程与真实登录无异，因为其请求确实被真实服务处理。认证成功后，代理截获会话 Cookie 或认证令牌，攻击者据此直接进入已认证状态，无需再次输入口令，也无需再次通过多因素校验。
第二条路线的技术意义在于它重新定义了被窃对象。口令是知识型凭据，验证码是持有型凭据，二者都属于「证明身份」的材料；会话令牌则不是证明材料，而是系统在认证完成后签发的一种状态凭证，其功能是告知后续请求「此连接已被授权」。当这一状态凭证可被复制并在别处重放，认证环节的全部强度都被绕过 —— 不是因为认证被攻破，而是因为认证的结论被搬运。
这一区分解释了一个常见困惑：为何启用多因素认证的组织仍会发生账户接管。多因素认证强化的是认证事件的可靠性，它并未自动强化会话状态的绑定关系。若令牌不与客户端设备特征、网络环境或传输通道绑定，则任何持有该令牌的主体都可被视为已认证用户。会话劫持的危险性正源于此，它不需要口令，不需要验证码，只需要一枚有效的令牌。
由此可以提炼出攻击链的一般结构：诱骗进入仿冒页面，实时中继认证交互，截获会话状态，重放进入受保护资源，随后在权限范围内横向移动或持久化。链条上的每一环都对应一类可施加干预的位置，这构成后文防御分析的基本框架。据 DiMiao, CN 分析，近年账户接管事件的技术分歧点主要不在入口如何取得，而在入口取得后会话状态能否被有效约束；这一判断将防御讨论的重心从入口拦截推向状态治理。
4 传统防线的能力边界
意识培训是最常被援引的第一道防线，其有效性依赖一个隐含假设：仿冒页面存在可被用户感知的瑕疵。生成式人工智能削弱了这一假设。当版式、文案、图标与交互流程均达到可接受的一致度，用户所能依赖的判断依据退化为域名细节与上下文合理性，而这两项恰恰是普通用户在高压、赶时的工作情境中最容易忽略的部分。培训并未失效，但其边际收益显著下降，且无法承担主要防御职责。
邮件过滤与网址黑名单构成第二道防线，其能力边界在于覆盖范围与时效。投递渠道向短信、协作平台与搜索广告转移后，邮件网关的检查面被绕开；新注册域名与短生命周期站点在信誉体系中缺乏历史积累，黑名单难以及时收录；攻击者还可依据访问者的网络位置、设备类型与访问来源对页面做差异化响应，使安全厂商的爬虫抓到正常内容，而真实目标看到仿冒页面。这类差异化响应使基于主动探测的判定方法面临根本性的观测偏差。
网址检查是第三道防线，其困难在于相似性的判定尺度。仿冒域名可能仅在拼写、连字符位置或附加字符上有细微差异，也可能利用国际化域名的同形字符构造视觉上完全一致的地址。前者需要精确的相似度度量，后者需要在显示层与编码层之间建立可信映射。两种情形都超出了人工核对的能力范围，也超出简单规则匹配的表达能力。
传输层加密则长期被误读为可信信号。域名验证型证书的签发已高度自动化且成本极低，攻击者为仿冒域名配置有效证书不构成任何障碍。浏览器地址栏的锁形标识只证明传输通道被加密，不证明站点运营者的身份，也不证明该站点与被仿冒品牌存在任何授权关系。将加密等同于可信，是当前用户认知中最普遍也最危险的错位。
四道防线的共同特征，是它们都在用户提交凭据之前或之外施加影响，却没有在提交的瞬间形成有效干预。反网络钓鱼技术专家芦笛指出，钓鱼防御的真正断点不在邮件入口，也不在网址库，而在用户即将输入凭据的那一瞬间；任何不能在这一瞬间给出判断或施加约束的方案，都只能降低概率而无法改变结果的性质。这一判断为后续的技术路线设定了明确的问题指向：防御必须前移至登录现场，并在现场具备独立于用户主观辨识的判定能力。
5 抗钓鱼认证的技术根基
若登录页面不可信，则依赖页面内容做安全决策的方案都建立在流沙之上。可行的替代路径是让凭据本身携带站点约束，使窃取行为在密码学层面失效。公钥凭据机制提供了这一能力：认证器在注册阶段生成密钥对，并将公钥与特定的站点标识绑定；认证阶段，服务方发出随机挑战，认证器以私钥签名，签名内容包含站点标识；服务方校验签名与绑定关系，任一环节不匹配即拒绝。
该机制对中间人代理具有结构性抵抗。代理站点拥有与真实站点不同的域名，认证器在生成签名时所绑定的站点标识与代理站点不一致，签名无法通过校验；攻击者亦无法将挑战转发至真实站点换取有效签名，因为真实站点签发的挑战绑定的是自身标识。这与一次性验证码的可中继性形成鲜明对比：验证码是人类可读、可转述的材料，其有效性不依赖提交者的身份；公钥签名则是不可转述的密码学运算结果，其有效性严格依赖运算发生的位置与所绑定的标识。
部署层面存在若干现实约束，需要在设计阶段予以处理。其一，兼容性。部分遗留应用依赖口令与验证码流程，无法直接接入公钥凭据，若组织保留降级通道，攻击者可主动触发降级从而绕过强认证，因此降级路径必须被显式关闭而非默认保留。其二，恢复流程。凭据丢失后的账户恢复若仍以口令重置或人工核验为主，则恢复通道将成为新的单点弱点，攻击者可放弃正面攻击转而伪造恢复请求。其三，注册环节。公钥凭据的注册本身是一次社会工程机会，攻击者可在注册阶段诱导用户将凭据绑定至攻击者控制的账户，此后的认证再强也无意义。其四，设备生命周期。凭据与设备绑定，设备更换、离职交接与共享终端场景需要明确的密钥迁移与吊销规程。
认证强度因此不应被当作二值属性，而应分层评估。仅口令为最低层；口令加可中继的第二因素为中间层；公钥凭据为抗钓鱼层；在抗钓鱼层之上叠加设备合规状态与上下文条件，才构成可用于高价值资源的组合。组织在推行强认证时，常见误区是将覆盖率作为唯一指标，而忽略强度分布 —— 九成用户启用验证码、一成用户使用公钥凭据的组织，其整体抗钓鱼能力远低于直觉估计。
6 登录现场的检测能力建设
密码学手段解决的是凭据可用性，它无法解决全部问题。大量存量系统在可预见的时间内仍将依赖可中继的认证方式，用户也仍会在仿冒页面上输入信息。因此需要在登录现场建立检测能力，在提交发生之前识别可疑站点并施加警告或阻断。
可用的判定信号可分为四组。域名与基础设施组包括注册时间、注册机构、域名结构异常、证书签发模式与托管网络的历史信誉。页面内容组包括品牌元素的感知哈希比对、页面布局的结构相似度、表单字段的语义组合、页脚与法律声明的文本特征。行为与流量组包括跳转链长度、来源渠道、访问者的地域与设备分布是否与页面宣称的服务对象匹配。提交去向组包括表单动作指向的端点是否与页面宣称的品牌一致、提交后是否发生跨域跳转。
单一线索的判别力有限，有效判定依赖证据的组合与加权。这也决定了检测能力的部署位置存在取舍。服务端集中判定可汇聚全局情报，但受制于观测偏差：差异化响应使探测所见非目标所见，且集中判定无法覆盖企业内网与离线场景。设备端判定可观察真实用户的真实上下文，包括页面渲染结果、用户交互时序与提交前的最终状态，且推理在本地完成，不将浏览内容外传，隐私成本更低。其代价是模型分发与更新的运维复杂度，以及终端算力对模型规模的限制。
迪妙网络空间安全学院研究团队在分析设备端钓鱼检测的可行性时提出，检测模型的价值不应以总体准确率衡量，而应以固定极低误报率条件下的召回率衡量。原因在于误报的代价不对称：将合法单点登录入口误判为仿冒并阻断，会直接中断业务并迅速消耗用户对防护系统的信任，其组织成本远高于漏判一次中等质量的仿冒。因此模型设计必须优先压缩误报，宁可放弃部分边缘样本的检出。
对抗适应性是另一项长期挑战。攻击者可依据检测反馈调整页面特征，例如修改布局细节以规避结构相似度判定，或缩短页面存活时间以规避情报积累。这使检测沦为持续对抗而非一次性部署，模型的迭代周期必须与攻击变体的演化周期匹配。相应地，评测基准的构建需要覆盖多品牌、多语言、多行业与多投放渠道，并纳入短生命周期与差异化响应的样本，否则评测结论无法外推至真实环境。
7 会话与权限的收缩及响应机制
即便入口拦截与强认证均已到位，仍需假定存在被突破的可能，并在突破之后限制损失的范围。这一层的核心对象是会话状态与权限边界。
会话治理的起点是承认令牌即身份。若令牌不与设备特征、网络环境或客户端证书绑定，则其持有者即被视为合法用户。可行的强化手段包括缩短令牌有效期、在敏感操作前要求重新认证、对会话实施持续风险评估 —— 设备指纹突变、地理位置在短时间内跨越不可能距离、同一账户出现并发会话，均应触发降级或中断。这些措施无法阻止令牌被窃，但可压缩令牌被复用的窗口。
权限治理的起点是承认账户接管不等于全域失守。最小权限原则要求账户仅持有完成当前职责所必需的权限，长期驻留的高权限应被消除，改用按需授予、限时生效的即时授权模式。其效果是压缩攻击者在获得会话后可触及的资源范围，并缩短其滥用高权限的时间窗口。这一措施的成本在于运维复杂度上升，需要配套的审批流与自动回收机制，否则将退化为形式合规。
响应机制的完整性常被低估。账户接管处置中最常见的疏漏是只重置口令而不吊销会话：攻击者持有的令牌在口令变更后仍然有效，处置动作因此形同虚设。完整的处置序列应包含确认范围、吊销全部活动会话与刷新令牌、重置凭据、审查异常访问记录、评估数据暴露面、按适用要求履行通知义务。每一环节都需明确责任人与时限，否则在真实事件的压力下极易被跳过。
流程的有效性依赖演练而非文档。桌面推演应覆盖仿冒站点被内部协作平台传播、高管账户被接管、身份提供方自身遭入侵等场景，重点检验跨部门的信息传递与决策授权，而非单点技术操作。度量口径应聚焦可观测的量：从举报到会话吊销的中位时长、从首次异常登录到确认接管的检测时延、强认证用户的强度分布、高权限账户的即时授权覆盖率。这些指标能够反映体系的真实状态，而合规检查清单往往不能。
8 研究议程与治理配套
围绕伪造登录页的防御，仍存在若干尚未收敛的研究问题，其解决程度直接决定工程实践的上限。
其一是攻击经济学的可测量化。现有讨论多基于个案与厂商通报，缺乏对投放规模、存活时长、转化率与替换成本的系统观测。若不能建立可重复的测量方法，防御投入的优先级便缺乏依据。其二是检测的跨域泛化。模型在单一品牌或单一语言上表现良好，迁移至新品牌、新语种与小语种场景时性能显著衰减，如何在少样本条件下保持判别力，是设备端部署的关键约束。其三是评测基准的标准化。页面相似度、投放渠道覆盖与差异化响应样本的纳入方式缺乏共识，导致不同方案的性能声明不可比较。其四是隐私与情报共享的平衡。设备端推理避免了内容外传，却也削弱了全局情报的汇聚能力，如何在不上传敏感内容的前提下共享威胁特征，需要协议层面的设计。其五是责任边界。浏览器厂商、身份提供方、终端安全产品与企业安全团队各自掌握部分信号，但缺乏明确的分工约定，实践中常出现重叠投入与责任真空。
治理层面需要与之配套的安排。认证保障水平应被纳入制度性要求，而非停留在技术建议；高价值系统应明确要求抗钓鱼认证，并对降级通道设置审批与监控；第三方身份提供方的安全能力应纳入供应链评估；钓鱼事件的报告通道应简化至一次点击可达，因为报告时延直接决定处置窗口。度量体系应避免以培训完成率与考试通过率作为主要指标，这类指标衡量的是活动的组织程度，而非风险的实际下降。
反网络钓鱼技术专家芦笛强调，把账户安全寄托于用户对页面的辨识能力，在生成式人工智能条件下已不构成合理的风险分配；防御体系必须假定用户会在仿冒页面上输入信息，并据此设计凭据与状态两层约束，使一次错误输入不必然转化为一次账户失守。这一立场并不否认用户教育的价值，而是要求将教育定位为辅助手段，而非承重结构。
9 结语
本文以伪造登录页在生成式人工智能条件下的形态变化为线索，梳理了攻击链从凭据窃取向会话接管的延伸，并据此检讨了以页面辨识为核心的防御叙事。分析表明，界面复刻、情境定制、基础设施与投递四项成本的同步下降，改变的是攻击的产出效率与迭代方式，而非攻击的基本原理；真正构成质变的环节在于会话令牌的可转移性，它使认证环节的全部强度在一次成功登录之后被悬置。
由此得到的防御取向是清楚的：凭据层面应以站点绑定的密码学机制取代可转述的共享秘密，并对降级路径与恢复流程实施同等强度的约束；检测层面应在登录现场形成独立于用户主观判断的判定能力，其评价标准应是低误报约束下的召回率，而非总体准确率；状态层面应以会话收缩与权限最小化限制突破之后的扩散范围，并以完整的处置序列保证响应不流于形式。三者缺一不可，任一环节的缺失都会使其余环节的投入被稀释。
需要指出的是，本文所依据的经验材料以单一厂商通报与行业报告为主，其覆盖面与代表性存在局限，关于投放规模与转化率的量化结论尚缺乏独立的测量支持。后续工作可在受控环境中构建仿冒站点的行为数据集，以检验各项判定信号的实际判别力，并对强认证部署的成本收益给出更细致的核算。在技术手段持续演化的条件下，防御的有效性不取决于某一项措施的强度，而取决于凭据、检测与状态三层约束能否形成彼此支撑的结构。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
