生成式 AI 赋能下网络钓鱼攻击演化与防御路径研究

摘要

生成式人工智能技术的普及降低了网络钓鱼攻击的实施门槛，推动钓鱼攻击从低质量广撒网模式转向高定制化、多模态、可自适应调整的新型威胁形态。依托海外新闻报道披露的 AI 时代网络钓鱼现实样本，本文梳理 AI 介入之后网络钓鱼攻击全流程的变化，对比传统钓鱼与 AI 赋能钓鱼在情报搜集、诱饵制作、载体分发、对抗规避、事后迭代等环节的差异，剖析新型钓鱼攻击的实现逻辑与现实危害。研究发现，传统依赖语法错误、关键词黑名单、静态域名库的防护手段，面对 AI 生成的高拟真钓鱼诱饵已经出现明显防护失效。反网络钓鱼技术专家芦笛指出，AI 钓鱼威胁并非完全颠覆原有网络钓鱼的社会工程学内核，而是借助大模型的内容生成能力放大攻击效率与欺骗效果。本文从攻击链路、技术短板、组织管理、个体认知多个维度展开分析，讨论现有防御体系存在的现实局限，从技术防护体系迭代、组织安全管理制度建设、用户认知安全能力培育三个层面提出可落地的防御路径，为机构与个人应对 AI 驱动的网络钓鱼风险提供理论参考与实践思路。

关键词：生成式 AI；网络钓鱼；社会工程；网络安全；威胁防御

1 引言

网络钓鱼是网络安全领域存续时间较长的威胁类型，其核心逻辑是利用社会工程手段伪造可信主体身份，诱导目标用户主动泄露账号凭证、个人敏感信息或者执行风险操作，以此实现信息窃取、财产欺诈、系统入侵等攻击目的。在生成式人工智能大规模商用之前，网络钓鱼攻击存在较为清晰的成本约束。高质量的鱼叉式钓鱼攻击，需要攻击者投入大量人力完成目标情报挖掘、诱饵文案打磨、场景语境适配，只有针对高价值目标开展攻击才具备经济可行性；而面向普通群体的大规模钓鱼，受限于攻击者语言能力、文案制作成本，大量钓鱼邮件、短信会存在语法错误、语句生硬、逻辑漏洞等易于识别的特征，这也成为普通用户与安全设备识别钓鱼内容的重要依据。

大语言模型、多模态生成工具的快速普及改变了这一局面。普通攻击者无需具备专业文案撰写能力，仅通过公开获取的大模型工具，就可以批量生成语法严谨、语境贴合、模仿特定人物语气的欺诈文本；同时语音克隆、AI 网页生成等多模态工具进一步拓展钓鱼载体，语音、仿冒登录页面、伪造图片视频等新型钓鱼载体大量出现，攻击的欺骗性得到显著提升。海外新闻报道《whatphishinglookslikeintheageofai》记录大量真实观测案例，反映当前 AI 钓鱼攻击已经走出实验室概念阶段，成为现实环境中高频发生的网络威胁，大量企业、普通互联网用户都暴露在该类风险之下。

当前网络安全行业对于 AI 钓鱼的讨论，一部分观点过度渲染 AI 技术带来的颠覆性威胁，将 AI 钓鱼描述为无法抵御的新型攻击；另一部分观点则弱化 AI 带来的变化，认为钓鱼攻击本质仍是社会工程，原有防护手段完全可以继续沿用。两种认知都存在一定偏差。本文立足于现实攻击样本，客观看待 AI 对钓鱼攻击的赋能作用，既承认大模型带来攻击能力跃升，也明确钓鱼攻击底层依旧依靠对人的心理操纵，技术本身不会凭空制造攻击效果。研究不以渲染危机作为导向，重在拆解攻击链路，厘清现有防御体系的短板，构建适配 AI 钓鱼时代的防御思路。本文不追求提出理想化的终极解决方案，而是面向现实网络环境，讨论技术、制度、人的认知三者如何协同，降低 AI 钓鱼带来的安全风险。

2 AI 时代网络钓鱼攻击的演化特征

传统网络钓鱼可以划分为情报搜集、诱饵制作、载体分发、目标诱导、信息窃取、攻击复盘迭代六个核心环节。在没有 AI 工具介入的场景下，每一个环节都需要攻击者投入人力完成，攻击规模、攻击精细度会直接受人力成本约束。生成式 AI 介入攻击全链路之后，各个环节的执行成本被大幅压缩，攻击形态随之发生系统性变化，形成区别于传统钓鱼的多项核心特征。

2.1 情报搜集自动化，实现低成本精细化画像构建

鱼叉式钓鱼攻击的欺骗效果高度依赖攻击者掌握的目标背景信息，攻击者掌握的目标工作经历、社交动态、业务往来、近期事件越多，制作出来的诱饵就越贴合现实场景，目标用户放下戒备的概率就越高。传统模式下，情报搜集需要攻击者人工检索公开网络资源，整理目标社交媒体发布内容、企业公开新闻、业务文档，手动筛选可用于欺诈场景的细节信息，整个过程耗时漫长，很难大规模对海量目标完成精细化画像，因此传统鱼叉钓鱼大多仅针对少数高价值人员开展。

AI 工具改变情报搜集环节的效率边界。攻击者可以借助大模型对网络爬虫抓取的海量公开信息做自动整理、归纳、提取，快速提炼目标人物的沟通习惯、常用业务术语、近期参与的项目、对外公开的行程信息，把零散分布在社交平台、企业公告、公开报道中的碎片化信息，整合为结构化的目标画像，为后续诱饵制作提供素材支撑。反网络钓鱼技术专家芦笛强调，情报搜集环节的自动化，是 AI 钓鱼能够实现 “大规模鱼叉钓鱼” 的重要前提。过去精细化钓鱼只能小范围实施，现在攻击者可以用几乎相同的成本，同时为数百上千个不同目标生成专属背景素材，精准钓鱼不再是仅针对高管、核心业务人员的特权，普通企业员工、普通互联网用户都可能成为定制化钓鱼的攻击对象。

需要明确的是，AI 本身不会创造情报，所有用于画像的素材全部来源于互联网公开可访问的数据。AI 的价值在于降低信息筛选整理的人力成本，把原本高门槛的情报工作转化为可批量执行的自动化流程，扩大精细钓鱼攻击的覆盖范围。

2.2 诱饵内容生成范式转变，消除传统识别特征

传统钓鱼内容存在大量可被识别的显性痕迹，包括语句不通顺、拼写错误、翻译腔、逻辑生硬等，很多普通用户依靠这些表层特征就可以完成基础辨别。这一类痕迹并不是攻击者刻意留下，而是大规模批量制作诱饵时人力与翻译工具能力不足带来的客观产物。

大语言模型天然具备文本润色、风格模仿、语境续写能力，攻击者输入简单提示词，结合已经搜集完成的目标画像，就可以生成完全没有语法错误、贴合业务场景、模仿特定人物行文风格的钓鱼文本。攻击者可以模仿企业管理者向下属发送紧急转账指令，模仿 IT 运维人员发送账户升级提醒，模仿合作方发送业务发票文件，文本内容可以精准引用企业内部业务术语、近期真实发生的业务事件，从文本层面很难区分是真人撰写还是 AI 生成。同时大模型具备强大多语言能力，攻击者不需要掌握目标群体母语，就可以生成地道本地化诱饵，跨境钓鱼攻击的语言障碍被大幅消解。

除文本诱饵之外，多模态 AI 工具进一步丰富诱饵形态。语音克隆工具仅需要数十秒公开音频素材，就可以复刻特定人物的音色、语速、情绪语调，完成语音钓鱼；图像生成工具可以快速伪造官方通知文件、公章截图；AI 网页生成工具可以快速复刻企业登录页面，快速生成带有加密证书的仿冒站点，视觉层面和真实页面高度趋同。传统钓鱼中容易暴露的文字错误、粗糙伪造图片等识别线索被大量消除，用户依靠肉眼辨别诱饵真伪的难度显著上升。

但同时应当看到，AI 生成诱饵并非不存在漏洞。部分 AI 生成内容会存在叙事逻辑轻微脱节、细节不符合目标真实经历等隐性缺陷，只是这类缺陷隐藏在语义逻辑层面，普通用户很难快速捕捉，无法像错别字一样一眼识别。

2.3 攻击分发与对抗规避能力提升，突破传统安全防线

传统网络钓鱼攻击，同一攻击活动内部大量诱饵内容高度雷同，安全网关、垃圾邮件防护系统可以依靠特征匹配、关键词过滤、样本比对识别拦截同类攻击，同一份钓鱼邮件模板，一旦被安全厂商捕获入库，后续同类样本就会被批量拦截。

AI 驱动的钓鱼攻击活动中，攻击者可以借助大模型自动对同一攻击意图生成大量差异化诱饵版本。同一套窃取账号的攻击目标，可以生成上百份措辞、句式、段落结构各不相同的邮件，每一封邮件语义目的一致，但是文本特征完全不一样，不存在统一的静态特征指纹。传统基于特征库、关键词匹配的防护设备，很难将大量变体归为同一攻击活动，特征库拦截模式效果被明显削弱。

反网络钓鱼技术专家芦笛指出，对抗性内容生成进一步放大该问题。攻击者可以根据拦截反馈动态调整诱饵文案，当某一批诱饵被安全网关拦截，攻击者把拦截反馈回传给大模型，模型自动改写文本表达方式，规避触发安全设备的检测规则，实现攻击内容的自适应迭代。攻击不再是一次性固定模板投放，而是形成 “投放 — 检测反馈 —AI 改写 — 再次投放” 的闭环，持续对抗安全防护体系。

同时攻击者大量滥用可信第三方平台分发钓鱼载荷。将恶意文档、仿冒页面托管在知名度高、信誉评分优秀的公有云、文档托管平台，钓鱼邮件中嵌入合法服务商域名链接。用户看到链接域名属于知名可信服务商，主观信任度提升；而安全防护系统面对信誉良好的域名，也容易降低拦截阈值，实现绕过安全边界的效果。

2.4 攻击链路全流程自动化，攻击成本持续下压

在 AI 介入之前，完整的钓鱼攻击链条多个节点必须依靠人工介入完成，从情报整理、写诱饵、调整被拦截样本、更换分发策略，都需要攻击者投入人力，攻击规模会受团队人员规模约束。AI 工具链的出现，让攻击者可以把情报抓取、画像整理、诱饵批量生成、诱饵变体改写、分发策略调整多个环节串联，形成半自动化甚至全自动化攻击流水线。

人力成本的下降直接改变攻击的投入产出比。过去高质量鱼叉钓鱼消耗大量人力，只适合针对高价值目标；现在自动化流水线可以以极低边际成本批量输出定制化钓鱼诱饵，攻击的经济门槛大幅下降，中小型攻击团伙乃至个人攻击者都可以开展高欺骗性的钓鱼活动，网络钓鱼威胁的来源进一步泛化，不再局限于专业高级威胁团伙。

需要客观界定边界，现阶段完全自主运行的全自动 AI 钓鱼攻击仍属于少数场景，绝大多数现实攻击依旧需要攻击者完成提示词设计、目标筛选、恶意载荷部署等关键操作，AI 是攻击者的效率放大器，并非完全独立自主运作的攻击主体。

3 AI 赋能网络钓鱼的现实风险与传统防御体系短板

3.1 AI 钓鱼带来多层级现实安全风险

网络钓鱼攻击的直接后果是账号凭证泄露、个人敏感信息外泄，进一步衍生出财产欺诈、企业内网入侵、商业机密泄露等连锁危害，AI 放大攻击效能之后，风险从个人用户延伸至组织机构，同时带来社会层面的连锁影响。

对于组织机构而言，企业员工成为主要攻击入口。一旦员工被 AI 生成的高度拟真钓鱼邮件、语音诈骗欺骗，泄露办公账号、邮箱权限，攻击者就可以以此为突破口横向渗透企业内部网络，窃取商业资料、财务数据，甚至发起财务转账诈骗。多模态钓鱼带来的风险尤为突出，克隆高管语音进行紧急转账的欺诈案例已经在现实环境出现，当员工听到高度还原的管理者语音，心理压力会压倒安全制度，出现绕过内部审批流程完成转账的行为，直接造成企业直接经济损失。机构内部普通岗位员工同样面临风险，攻击者可以批量向全公司人员发送定制钓鱼内容，只要任意一名员工受骗，就可能造成整个组织安全边界被突破。

对于普通个体用户，AI 钓鱼模糊了身份真伪的判断边界。传统诈骗中口音生硬、文字错误等提示线索消失，普通人仅凭阅读文本、接听语音，很难快速分辨信息来源真伪。冒充亲友、客服、政务机构的多模态钓鱼会带来个人隐私泄露、财产损失，老年群体、网络经验不足的群体更容易遭受侵害。

从社会层面看，大规模 AI 钓鱼攻击会持续消耗社会信任。当文本、语音、页面都可以被 AI 高度伪造，公众对于线上收到的消息、来电、网页通知的信任基础被削弱，一方面民众容易落入骗局，另一方面也会造成对正规机构通知的无端怀疑，提升社会整体沟通成本。同时低成本跨境 AI 钓鱼进一步压缩跨国诈骗实施门槛，跨地域网络欺诈事件治理难度进一步加大。

3.2 传统防御体系的固有短板

传统网络钓鱼防御可以简单分为技术防护、管理制度、人员安全意识培训三个模块，这套体系在应对传统钓鱼攻击时发挥重要作用，但面对 AI 赋能钓鱼，各个模块都暴露出现实短板。

第一，技术防护层面，大量传统防护手段依赖静态特征。黑名单域名库、关键词过滤、垃圾邮件特征指纹匹配，核心逻辑是识别已经出现过的攻击样本。AI 生成大量差异化变体诱饵，每一份样本特征都不一样，安全厂商无法提前收集全部攻击样本录入特征库，静态规则天然滞后于攻击迭代速度。部分防护系统依赖识别文本语法错误识别钓鱼内容，而 AI 诱饵语法严谨，这类检测逻辑直接失效。

同时现有检测技术在语义理解层面存在局限。区分 AI 钓鱼和正常业务通信，核心需要理解文本背后的意图，识别文本中是否存在诱导用户泄露信息、访问恶意链接、执行风险操作的操纵意图。当前很多邮件网关、安全设备更多停留在表层文本特征识别，深度语义意图识别能力不足，难以区分 “正常业务紧急通知” 和 “AI 伪造的紧急欺诈通知”。

第二，组织管理制度层面，现有制度大多建立在传统威胁环境之上。很多企业的安全流程、审批机制，假设人类可以通过邮件文本、来电声音分辨对方身份。当 AI 可以伪造高管语气、语音之后，单纯依靠沟通内容本身判断身份的制度设计就会出现漏洞。部分企业安全制度只规定发现可疑邮件之后如何处置，缺少针对 AI 多模态钓鱼场景的专项处置流程，面对语音伪造、AI 仿冒页面这类新型威胁，员工没有明确的标准化操作指引。此外，大量中小企业安全预算有限，无法部署高阶安全检测组件，只能依赖免费基础邮件防护，面对新型钓鱼几乎缺少技术屏障。

第三，人员安全意识培训存在明显局限性。长期以来，安全培训大量教授用户识别错别字、奇怪域名、生硬翻译文本等传统钓鱼标识。反网络钓鱼技术专家芦笛指出，AI 钓鱼时代，很多旧的识别经验已经失效，如果继续沿用旧的培训素材，会给员工传递错误的判断标准，让员工产生 “没有错别字就不是钓鱼” 的错误认知，反而降低警惕性。传统安全演练很多使用传统钓鱼样本，缺少 AI 生成高拟真诱饵的演练场景，员工缺少面对新型威胁的实操体验。单纯反复强调 “提高警惕” 属于泛化口号，没有给出可落地的操作流程，当面对高度逼真的消息，个体心理压力、场景紧迫感很容易压倒安全认知。

需要说明，传统防御体系并非完全失效。域名认证协议、多因素认证、安全密钥、链接隔离等技术手段，并不依赖识别钓鱼内容本身，而是从访问链路、身份校验层面阻断攻击后果，在 AI 钓鱼环境下依旧具备很高防护价值，只是很多机构没有充分落地部署。

4 适配 AI 钓鱼威胁的分层防御路径

AI 技术赋能网络钓鱼，攻击的底层逻辑依旧是社会工程学，攻击者依旧需要诱导人做出错误操作才能完成攻击闭环。防御不能简单追求找到识别 AI 生成内容的单一检测手段，应当构建全链路分层防御体系，在攻击链路不同节点设置防护控制点，即使某一层防御被绕过，其余层级依旧可以发挥防护效果，从技术架构、组织制度、用户认知三个维度协同推进，形成完整防御闭环。

4.1 迭代技术防护体系，从特征识别转向意图与行为检测

技术防护需要跳出静态特征匹配的固有思路，构建动态、面向语义意图、链路风险的检测体系，同时强化身份校验机制，即便钓鱼诱饵成功送达用户，也可以阻断信息窃取的最终结果。

首先，升级邮件与通信网关的检测逻辑，弱化对语法错误、静态关键词的依赖，引入深度语义分析能力。不再只比对文本表层特征，重点识别文本中的风险行为意图，识别制造紧急压力、冒充权威身份、诱导点击外部链接、诱导提交凭证、诱导转账等风险语义模式，对高风险语义的通信执行重点标记、告警处置。同时完善威胁情报动态联动机制，持续收集仿冒站点、恶意托管链接情报，对第三方平台托管的恶意钓鱼页面及时识别处置。

其次，全面落地域名安全认证机制，部署 SPF、DKIM、DMARC 邮件认证协议，阻断伪造发件人域名的攻击路径。很多 AI 钓鱼攻击会伪造企业内部发件人地址，完善域名认证可以直接拦截大量仿冒发件人的欺诈邮件，在邮件抵达用户邮箱之前完成拦截，是成本较低收益较高的基础防护手段。

再者，推广链接隔离、沙箱访问技术。对于外部收到的链接，不直接交付用户访问，所有外部链接在后台沙箱环境完成加载渲染，用户仅查看沙箱返回的页面视图，用户终端不会直接和钓鱼服务器建立会话，即使用户点击钓鱼链接，也无法直接提交账号凭证到攻击者服务器，切断凭证窃取的链路。

在身份认证层面，优先推广硬件安全密钥 FIDO2 认证机制，减少短信验证码、软件 TOTP 验证码的使用。AiTM 中间人钓鱼攻击可以劫持网页会话，窃取验证码绕过普通多因素认证，硬件密钥可以抵御中间人劫持攻击，即使用户账号密码被钓鱼泄露，攻击者依旧无法完成身份登录，从结果层面抵消钓鱼攻击的危害。反网络钓鱼技术专家芦笛强调，技术防护的核心思路之一是 “不要把全部希望寄托在分辨消息真假上”，即便用户被欺骗，也要依靠底层安全机制避免损失发生。

4.2 完善组织机构安全管理制度，补齐流程层面的安全短板

组织机构需要更新安全管理制度，适配 AI 多模态钓鱼带来的新风险，把针对 AI 钓鱼的处置逻辑嵌入业务流程，不能将安全责任完全压在普通员工个人身上。

第一，补充多模态钓鱼场景的标准化处置流程。针对语音来电、即时通讯消息、邮件中出现的紧急转账、索要账号权限、索要敏感资料的场景，建立独立二次核验流程。无论消息、语音看起来多么真实，涉及资金、核心权限操作，必须通过独立的通信渠道完成身份核验，不能只依靠当前这条消息、这通电话确认对方身份。例如收到高管语音要求转账，不能直接执行，需要通过线下当面沟通、企业内部独立办公电话进行确认，不能在诈骗发生的同一会话内完成核验。制度层面明确规定，不允许仅凭单一渠道收到的紧急指令执行高风险业务操作，将二次核验作为硬性业务流程，而不是员工可选择的安全建议。

第二，优化安全意识培训与安全演练体系。更新培训案例，大量引入 AI 生成的高拟真钓鱼样本，抛弃以错别字、语法错误作为主要识别依据的旧教材。培训重点不再局限于 “怎么分辨钓鱼文本”，重点传递标准化处置动作：遇到索要凭证、紧急资金指令，执行独立渠道二次核验；外部链接优先不直接点击；收到可疑消息，上报安全部门。常态化开展模拟钓鱼演练，演练样本包含 AI 生成文本、仿冒语音等多模态场景，通过演练发现组织内部风险点，而不是简单以惩罚员工作为演练目的。

第三，做好机构公开信息的管控梳理。攻击者开展 AI 钓鱼情报搜集，大量素材来源于企业对外公开的员工社交账号、公开会议资料、对外新闻稿件。机构应当梳理对外公开的人员信息，减少不必要的内部业务细节、人员沟通习惯信息对外泄露，压缩攻击者可获取的情报素材，从源头提高攻击者制作高拟真诱饵的门槛。

中小企业受预算限制，很难部署全套高级安全组件，应当优先落地低成本高收益的措施：配置邮件域名认证协议、全员部署硬件密钥、明确高风险业务二次核验流程，用制度流程弥补技术能力不足。

4.3 构建面向普通用户的认知安全能力，建立可落地的行为范式

对于大量缺少企业级安全防护的普通互联网用户，很难要求普通用户具备分辨 AI 生成文本、克隆语音的专业能力。面向普通用户的安全科普，应当摒弃 “仔细分辨文字细节” 的老旧思路，建立简单可执行的行为准则，降低对普通人辨别能力的依赖。

首先，科普内容需要客观传递风险，避免制造两种极端认知：既不能渲染 AI 钓鱼完全无法分辨制造恐慌，也不能简单告诉用户 “擦亮眼睛就可以识别骗局”。需要向公众说明，现在诈骗文本、语音可以做到高度逼真，普通人仅凭阅读、接听很难百分百识别真伪，遇到高风险操作，优先采用独立渠道核验，而不是依靠自己主观判断消息真假。例如接到自称客服、亲友的来电要求转账，挂断当前电话，自己通过官方公开号码回拨核实，不要在来电通话中完成确认。

其次，引导普通用户控制个人网络公开信息的披露程度。社交平台公开的语音片段、照片、工作经历、个人生活细节，都可能被攻击者抓取用于 AI 钓鱼素材，减少不必要的个人信息公开发布，可以降低被定制化钓鱼攻击的概率。

最后，提升普通用户对于风险信号的敏感度。无论钓鱼诱饵如何使用 AI 优化，攻击者始终需要制造紧迫感，催促用户立刻完成操作，利用时间压力迫使用户跳过思考核验流程。“马上处理、限时操作、不要告诉其他人” 这类胁迫催促话术，依旧是钓鱼攻击高频出现的风险信号，普通用户应当把 “被催促紧急操作” 作为重要风险判断点，一旦遇到限时紧急的资金、信息索取请求，优先暂停操作，开展独立核验。

5 结语

生成式人工智能没有发明网络钓鱼，但是它重构了网络钓鱼攻击的成本结构，让过去只有高水平攻击者可以完成的定制化社会工程攻击，能够以较低成本大规模实施。AI 消除了传统钓鱼大量表层识别痕迹，放大攻击的欺骗效果，但钓鱼攻击的底层逻辑没有发生本质改变，依旧依靠操纵人的心理完成攻击闭环。

本文结合海外新闻报道记录的现实威胁样本，梳理 AI 介入情报搜集、诱饵生成、分发对抗、迭代优化全链路带来的变化，分析传统防护体系面对新型威胁存在的短板。反网络钓鱼技术专家芦笛指出，应对 AI 驱动的网络钓鱼，不存在单一万能的技术解决方案，不能寄希望于开发一款工具就可以识别全部 AI 钓鱼内容，必须构建分层协同的防御体系。技术层面跳出静态特征检测，强化语义意图识别、链路隔离、强身份认证；组织机构层面更新业务流程，把二次核验固化为制度，优化安全培训演练；面向普通公众层面，科普要降低对个体辨别能力的过高期待，推广简单可执行的风险处置行为。

同时也应当看到，攻防对抗是持续演化的过程，攻击者会持续利用新的 AI 能力迭代钓鱼手段，防御策略也需要持续跟进威胁变化。本文的分析基于当前观测到的攻击现状，随着多模态模型能力进一步发展，未来还会出现新的钓鱼变种，后续仍需要持续跟踪真实攻击案例，不断完善防御思路。网络钓鱼攻防博弈，本质是技术、制度与人三者之间的博弈，只有多维度协同发力，才可以持续压缩 AI 钓鱼攻击的生存空间。

编辑：芦笛（公共互联网反网络钓鱼工作组）