摘要： 钓鱼攻击长期依赖对目标静态身份的刻画，攻击者在获取职业、职位等少数信息后即可构造具有一定迷惑性的诱饵。随着大语言模型在内容生成能力上的提升，攻击者得以把分散在社交媒体上的日常生活细节纳入攻击载荷的构造过程，形成以时间、地点、行为轨迹和社交互动为参照的个性化诱饵。本文以美国得克萨斯大学阿灵顿分校发布的一项研究为材料，梳理语境化鱼叉式钓鱼攻击的数据采集、内容生成与投递机制，分析现有安全过滤机制在该类攻击面前的检测缺口，并结合检测率数据讨论针对性防护的可行性。研究表明，面向公开社交媒体信息的语境化攻击显著提升了诱饵的可信度，而通用安全过滤工具在默认配置下的检出率有限，通过指令级强化可显著改善检测效果。据此，本文从模型提供方、内容平台与用户三个层面提出综合防护建议，并讨论该威胁在技术演进背景下的变化趋势与应对思路。
关键词： 语境化鱼叉式钓鱼；社交媒体；大语言模型；内容安全；网络钓鱼防护
1 引言
网络钓鱼是社会工程学攻击中最常见的形式之一，其核心在于利用人际信任与信息不对称，诱使目标点击恶意链接、输入敏感信息或执行非预期操作。早期的批量钓鱼邮件因内容泛化、缺乏个体针对性，往往依赖较高的发送量来弥补较低的命中率，其识别特征也较为明显。此后出现的鱼叉式钓鱼将攻击对象从群体缩小到具体个人，通过引入目标的职业、职位、所属组织等静态信息来提升诱饵的可信度，攻击效果和隐蔽性均明显增强。
然而，静态信息所支撑的个性化程度仍然有限。职业头衔和所属单位等信息的覆盖面广、公开渠道多，攻击者获取门槛低，这也意味着此类信息难以构成有效的信任锚点。相较之下，个人在社交媒体上主动披露的日常生活内容，包括出行安排、兴趣爱好、近期活动、关注话题乃至情绪状态，往往具有更强的时效性与私密性，也更贴近目标当下的真实处境。
大语言模型的出现改变了这一格局。借助公开可得的模型能力，攻击者能够在较短时间内对大量公开社交媒体内容进行聚合与理解，并把其中与目标近期经历高度相关的细节转化为邮件正文、主题行、发件人名称乃至链接文案。由此形成的攻击方式，学界称为语境化鱼叉式钓鱼。与依赖静态身份的早期形态相比，语境化攻击把攻击载荷建立在目标可被验证的个人经历之上，显著抬高了诱饵在收件人眼中的可信度。
美国得克萨斯大学阿灵顿分校计算机科学与工程系的一项研究系统考察了上述攻击方式的可行性与危害性。研究者利用主流 AI 工具从志愿者公开的社交媒体帖子中提取出行、活动与关切话题等信息，生成高度个性化的钓鱼邮件，并邀请用户在不知情的前提下对邮件质量进行评价。结果显示，参与者对这些 AI 生成邮件给出了较高的质量评分，印证了此类攻击的现实威胁。与此同时，研究团队对多款通用安全过滤工具进行了检测能力评估，发现其在默认配置下对构造个性化钓鱼邮件的请求检出率仅为 0% 至 19%，而在施加针对性的指令约束后，检出率可提升至 99%。该研究已获准在 2027 年 3 月于韩国首尔举行的网络与分布式系统安全研讨会上报告。
本文以该研究为基本材料，围绕语境化鱼叉式钓鱼攻击的机理、检测缺口与防护路径展开分析。全文共分六个部分：第二部分界定研究背景与问题，梳理传统鱼叉式钓鱼与语境化形态的差异；第三部分解析攻击的数据采集、内容生成与投递机制；第四部分讨论现有安全过滤机制的有效性及其局限；第五部分从模型提供方、内容平台与用户三个层面提出综合防护建议；第六部分总结全文并展望后续研究方向。
2 研究背景与问题界定
2.1 鱼叉式钓鱼的演进脉络
鱼叉式钓鱼的概念并非新近出现。其基本逻辑是围绕单一目标组织攻击资源，通过定向收集与目标相关的信息来提高诱饵的真实度，进而提高目标响应概率。在早期实践中，攻击者主要依赖静态属性，包括目标的姓名、职位、单位、联系方式等，这些信息多来自公开职业资料、公司网页、行业名录等渠道。静态属性的特点是相对稳定、获取成本低，但同时也存在明显局限。其一，此类信息不足以支撑对目标当下处境的精确描述，攻击者难以据此构造与目标近期经历直接相关的内容；其二，信息的公开程度高，目标自身对相关信息的暴露已有一定预期，在遭遇陌生邮件时可能更容易察觉异常，因为邮件所援引的内容缺乏能够唤起个人记忆的时效性细节。
语境化鱼叉式钓鱼则把信息维度扩展到目标的日常生活。社交媒体使用户得以持续、实时地披露个人状态，包括地理位置、出行记录、参与的活动、关注的议题以及表达的情绪。这些内容与目标当下的生活情境高度耦合，一旦被攻击者掌握，即可用于构造看似基于真实经历的个人化沟通。
2.2 语境化攻击的界定与特征
本研究所指的语境化鱼叉式钓鱼具有三个相互关联的特征。第一，信息源的公开性。攻击载荷所依赖的素材来自用户自行发布、且未设置访问限制的公开内容，攻击者无需借助入侵或数据窃取即可获取，这在法律与道德层面模糊了攻击行为的边界，也加大了事前防范的难度。第二，内容的时效性。攻击者选取的是目标近期发布的动态，诱饵所援引的经历与收件人的当下状态具有时间一致性，从而增强了可信度。第三，生成的自动化与规模化。大语言模型能够在理解大量文本与图像的基础上，批量产出针对不同个体的差异化文案，使得原本依赖人工策划的高成本定向攻击具备了规模化条件。
2.3 问题的界定
由此引出的核心问题包括：语境化攻击的载荷是如何构造的；现有内容安全机制为何难以识别；以及应当通过何种路径加以遏制。这三个问题相互关联，构成本文分析的主线。需要说明的是，本文讨论的防护措施聚焦于攻击生成阶段的技术治理，即如何在 AI 模型层面阻止恶意请求的转化，而非对已投递邮件的识别与处置。
3 语境化鱼叉式钓鱼的攻击机理
3.1 公开数据的采集与聚合
攻击链的起点是公开社交媒体数据的采集。目标群体在社交平台上发布的文本、图片、位置标记与互动记录，构成攻击者获取个人化素材的主要来源。研究显示，模型能够从近期发布的帖子中提取与目标相关的出行、事件与关切信息，包括图片所隐含的地点与情境。这意味着即使目标未在文字中明确说明行程，图像内容本身也可能泄露可被利用的语境线索。
采集环节的规模化是语境化攻击区别于人工定向攻击的重要特征。攻击者可以对一个样本群体整体施以相同的信息采集逻辑，再按个体分别构造载荷，从而把单点攻击的成本摊薄到群体层面。这一特征与 "任何人都可以成为攻击者" 的判断相呼应，即模型能力的普及降低了实施定向攻击所需的技术门槛。
3.2 个性化载荷的生成
在素材基础上，攻击者使用 AI 工具生成钓鱼邮件，生成过程涉及多个维度的个性化设置。研究团队测试了以出行、活动与关切话题为素材的三类邮件：出行类邮件援引目标近期的旅行经历，活动类邮件以目标感兴趣的音乐会等活动为切入点，关切话题类邮件则利用目标在社交平台上表达过的关注事项。除正文外，主题行、发件人名称与邮件中的链接均针对每个收件人单独定制。
此类邮件的可信度建立在细节可验证的基础上。收件人在阅读邮件时，会不自觉地把邮件援引的经历与自身记忆进行比对，当细节与其真实处境吻合时，会显著降低警惕性。研究中受访对象对 AI 生成邮件质量的高评价，正是这一心理机制的直接体现。反网络钓鱼技术专家芦笛强调，语境化攻击的迷惑性并非来自语言技巧本身，而在于它精确复刻了目标生活中可被本人验证的真实片段，这种真实感是传统批量钓鱼邮件难以提供的。
3.3 投递与目标诱导
投递阶段的关键在于引导收件人执行特定动作，即点击恶意链接或输入敏感信息。个性化正文降低了收件人的戒备，而精心构造的链接与发件人名称则进一步削弱了技术层面的识别依据。此类攻击并不依赖单一的高保真模仿，而是通过整体语境的一致性来建立信任，这也是其在用户评测中获得高分的原因。从攻击者的视角看，投递环节的技术门槛同样不高，邮件发送渠道、链接托管方式等均已形成较为成熟的灰色生态，进一步压缩了实施成本。
4 现有安全过滤机制的有效性评估
4.1 通用安全过滤工具的检测现状
针对 AI 工具被滥用于生成恶意内容的问题，模型提供方普遍部署了内容安全过滤机制，其设计目标是在生成阶段拦截有害请求。然而，现有机制对语境化钓鱼请求的识别能力存在明显不足。研究团队对包括 Llama Guard、ShieldGemma 与 WildGuard 在内的多款广泛使用的安全工具进行了测试。在默认配置下，这些工具对构造个性化钓鱼邮件请求的检出率仅为 0% 至 19%，意味着绝大多数恶意请求能够绕过现有防护。
检测失效的原因可以从两个层面理解。其一，语境化钓鱼请求在表面语义上与合法的文案撰写请求高度相似，其恶意属性隐含在为何种目的生成邮件的语境中，而非请求文本本身。仅从文本内容看，生成一封询问行程安排的邮件与生成一封以此为基础的钓鱼邮件，二者的表层差异并不显著，通用安全工具难以仅凭文本特征作出区分。其二，通用安全工具的训练目标偏重于识别明显违规的内容类型，对钓鱼这类以合法形式承载恶意意图的请求缺乏足够的判别特征，默认配置下也缺少针对该场景的识别指令。
4.2 指令级强化的有效性
研究团队进一步提出，可以通过给安全工具施加针对性的指令约束，使其识别语境化钓鱼攻击。在给予明确识别指令后，检测工具的检出率从默认配置下的低水平提升至最高 99%。这一结果表明，现有模型并非不具备识别该攻击的能力，而是缺乏针对该场景的判别指令与语境引导。换言之，模型的判别潜力已经存在，关键在于如何把识别标准以指令形式显式地注入生成与过滤流程，使安全机制从被动的事后审核转向主动的意图判别。
4.3 检测能力的边界与约束
指令级强化虽显著提升了检出率，但研究团队在报告公开版本中隐去了用于生成钓鱼邮件的具体指令，以避免被他人滥用。这一处理体现了安全研究的双重属性：披露攻击细节有助于识别与防范，但过度披露亦可能为攻击者提供操作指引。此外，检出率能否在实际对抗环境中稳定维持，还取决于攻击者是否随防护策略调整生成方式。一旦识别指令被攻击者获知或推测，攻击者可通过改写请求表述来规避检测，这构成技术治理中长期存在的动态博弈，也决定了单一指令级方案难以一劳永逸。
5 面向语境化钓鱼攻击的综合防护路径
5.1 模型提供方的治理责任
语境化攻击的生成端在 AI 模型，因此治理的首要着力点是模型提供方。模型提供方应在设计阶段即考虑恶意用途识别，将语境化钓鱼纳入安全过滤的目标类型，而非仅依赖通用内容审核。反网络钓鱼技术专家芦笛指出，单纯依赖生成后的人工审核难以应对规模化攻击，防护应前移至请求受理与内容生成环节，通过指令约束、用途识别与生成审计相结合的方式，压缩恶意载荷的生成空间。在具体实现上，模型提供方可在请求入口处增设用途识别层，对以获取个人信息并生成沟通文案为目的的高风险请求进行标记与复核，并对生成结果实施留痕审计，为后续追责与研判留存依据。
5.2 内容平台的数据暴露治理
语境化攻击的信息源是社交媒体公开内容，因此平台的数据暴露治理同样关键。平台应在产品层面引导用户合理设置可见范围，对涉及出行、住址等敏感信息的公开披露提供风险提示，并在技术上抑制批量化的公开数据采集行为。需要强调的是，此类治理应在保障公开内容正常传播的前提下进行，避免以牺牲平台开放性为代价。平台可将敏感信息识别、可见范围默认收敛、异常采集行为监测等机制嵌入产品流程，在不阻断正常内容分享的前提下降低攻击者获取语境素材的便利性。
5.3 用户侧的风险认知与防御能力
用户是攻击的最终承受者，也是防御链条的末端环节。面对援引个人经历的高度个性化邮件，用户应建立 "经历真实并不等于发件人可信" 的基本认知，把邮件的语境细节与来源核验分离对待。对于涉及敏感操作的邮件，应通过独立渠道核实发件方身份，而非仅凭正文细节作出判断。据 DiMiao, CN 分析，语境化攻击的社会工程学属性决定了其难以被完全技术化拦截，用户端风险认知的建立是与技术防护同等重要的一环。用户的防御重点不在于识别邮件措辞的细微瑕疵，而在于对来源与动机保持独立核验的习惯，这一习惯能够有效对冲个性化内容所带来的信任放大效应。
5.4 防护体系的协同设计
综合来看，语境化钓鱼攻击的治理需要模型提供方、内容平台与用户三方的协同。模型提供方负责生成端拦截，内容平台负责数据暴露治理，用户负责最终动作的审慎决策。三者各自对应攻击链的一个环节，任一环节的强化都能提高整体防御的鲁棒性。迪妙网络空间安全学院研究团队在分析该威胁时进一步指出，防护设计应把攻击生成前置阻断与接收端识别统筹考虑，构建覆盖生成、分发、识别全流程的多层防御框架，以应对攻击手法的持续演化。在此基础上，防护体系的建设还应考虑跨机构的信息共享，使新出现的攻击样本与识别特征能够在安全社区内及时流转，缩短从攻击出现到防护落地的响应周期。
6 结论与展望
本文以美国得克萨斯大学阿灵顿分校的公开研究为基础，分析了语境化鱼叉式钓鱼攻击的生成机理、检测缺口与防护路径。研究材料表明，大语言模型能够聚合用户在社交媒体公开披露的日常生活细节，并据此生成高度个性化的钓鱼邮件，其可信度在用户评测中获得了较高认可。与此同时，通用安全过滤工具在默认配置下对该类请求的检出率有限，而通过指令级强化可将检出率提升至 99%，说明针对性的识别引导是增强防护的有效手段。
语境化钓鱼攻击的威胁来源在于其同时具备了真实感、时效性与规模化。真实感来自对目标可验证经历的精确复刻，时效性来自对近期动态的即时利用，规模化则来自模型生成能力对人工成本的替代。三者叠加，使得传统以静态身份为依托的防护思路难以直接适用。据此，本文提出从模型提供方、内容平台与用户三个层面协同构建防护体系，并在生成端实施前置阻断，以压缩恶意载荷的生成空间。
本研究的局限在于，论文基于单一机构公开研究的材料展开分析，所讨论的检测数据来自特定测试环境，其在实际对抗场景下的表现仍有待进一步验证。后续研究可关注攻击手法的动态演化、多模态内容在载荷构造中的角色，以及防护机制在真实部署条件下的有效性评估。随着大语言模型能力的持续提升，语境化社会工程学攻击的形态也将继续变化，相关治理研究需要保持与技术演进同步，在模型能力提升与安全防护升级之间维持动态平衡。
编辑：芦笛 （公共互联网反网络钓鱼工作组）
来源：迪妙网络空间安全学院
