AI 代理成为钓鱼攻击新目标的风险与治理

摘要： 网络安全厂商 IRONSCALES 发布的《从深度伪造到双重代理：AI 驱动网络风险的新面貌》报告，通过对 501 名美国企业中高层 IT 与网络安全从业者的调查，揭示了一个正在形成的安全拐点：钓鱼攻击的受害者正从 "拥有收件箱的员工" 扩展至 "代表员工读取收件箱的 AI 代理"。调查显示，77% 的受访者称其组织的 AI 代理或工具曾在过去一年对恶意、误导或未经授权的内容采取行动，其中 57% 报告至少一例确认事件；与此同时，能代表员工采取行动的 AI 工具在企业中的采用速度明显快于围绕其建立的安全控制，78% 的组织由 IT 而非安全部门主导此类工具的审批，仅 52% 的组织具备完整覆盖 AI 代理的策略、控制与事件响应流程。本文以该报告披露的数据与案例为分析对象，梳理 AI 代理进入安全视野的背景，剖析其作为钓鱼攻击目标的机理 —— 尤其是 "信息" 与 "权限" 边界被模糊所导致的攻击链重构，并结合深度伪造威胁的持续态势，从权限治理、行动监控、事件响应与面向代理的安全测试等维度提出防御体系构建方向。研究表明，当软件能够跨系统执行行动时，对 "内容可信" 与 "权限合法" 的区分必须同时纳入访问控制与工作流设计，安全防护的重心应从 "保护对话" 转向 "保护行动"。

关键词： AI 代理；钓鱼攻击；权限治理；深度伪造；事件响应；安全控制

1 引言

2026 年 10 月，网络安全企业 IRONSCALES 发布了题为《从深度伪造到双重代理：AI 驱动网络风险的新面貌》的年度威胁报告。报告的核心警告具有鲜明的时代特征：一条钓鱼消息不再需要说服拥有收件箱的员工本人，它可以直接针对那些代表员工读取收件箱的软件。这一论断将安全讨论的视野，从 "人" 这一传统攻击目标，延展至 "代表人的自动化工具" 这一新出现的攻击面。

报告的实证基础来自一家市场研究机构针对 501 名美国企业中高层 IT 与网络安全从业者的调查，受访者分布于员工规模 1000 至 10000 人的企业，调查于 2026 年 9 月进行。数据显示，96% 的受访组织在使用能够代表员工采取行动的 AI 代理或工具，其中 52% 称采用已经相当广泛；而 77% 的受访者报告，其组织的 AI 工具在过去一年内曾对恶意、误导或未经授权的内容采取了行动。尽管这些数字描述的是受访者报告的事件（含疑似事件），而非独立核实的成功入侵数量，但它们依然勾勒出企业安全态势的一个基本轮廓：能够执行行动的自动化工具，正在成为攻击者试图操纵的新对象。

这一变化何以发生、其风险机理何在、组织又应如何治理，构成本文试图回答的三个核心问题。全文以该报告披露的数据与论断为主要材料，结合安全治理的一般逻辑展开分析，不预设立场，力求客观呈现 AI 代理时代攻防格局的重塑过程及其对组织安全体系的深层要求。

2 AI 代理进入安全视野的背景

2.1 能行动 AI 工具的普及

AI 代理（AI agent）概念在安全语境中迅速升温的背景，是企业自动化工具从 "辅助决策" 向 "代理执行" 的能力跃迁。报告将此类工具定义为能够读取并回复消息、访问文件、触发工作流的软件，其共同特征在于不再仅仅提供答案，而是具备在授权范围内直接采取行动的能力。调查显示，96% 的受访组织已在使用这类工具，52% 称其采用已相当广泛，这表明 "能行动的 AI" 正从少数前沿组织的试验，走向企业办公的普遍配置。

这一普及速度之所以值得警惕，在于其与安全控制的建设速度之间出现了明显的错位。报告明确指出，企业采用此类工具的速度，已经快于围绕其建立的安全控制。当一种能够跨系统执行操作的软件以超过安全治理更新的节奏进入日常运营时，其权限边界与行为约束的缺失便可能演变为结构性的风险敞口。

2.2 从 "回答问题" 到 "执行行动" 的跃迁

要理解 AI 代理带来的新风险，关键在于区分 "回答问题" 与 "执行行动" 这两种能力的本质差异。报告对此作出了精当的阐述：一段不准确的摘要可能误导读者，但一个连接到业务系统的工具，还能够在信息的移动与工作流的触发层面产生实际后果。前者的风险停留在认知层面，后者的风险则延伸至操作层面。

这种跃迁改变了威胁评估的基本尺度。对于传统的人机交互，错误信息的影响范围通常受限于阅读者的判断与后续动作；而对于被授予系统访问权限的 AI 代理，其一次错误的行动 —— 无论是转发敏感文件、修改工单状态还是触发支付流程 —— 都可能在缺少人工复核的情况下直接作用于真实业务。问题的严重性不再仅仅取决于消息内容的欺骗性，而取决于该工具所连接的权限边界能够将这种欺骗传导至何处。

2.3 工具与业务系统的广泛连接

调查数据进一步揭示了这个权限边界的实际范围。在已使用此类工具的组织中，67% 允许其访问工单或帮助台系统，56% 允许访问云存储，49% 允许访问邮件或即时通讯；另有 30% 的组织允许工具访问财务、账单、采购或支付系统。而仅有 19% 的组织表示其工具被限制在仅访问公共网页、不具备任何内部访问权限的范围内。

这些数字共同描绘出一幅令人关注的图景：相当比例的 AI 代理被接入了对组织运营乃至资金流转具有直接影响的核心系统。当工具能够触及工单、存储、邮件、财务乃至支付系统时，"代理被欺骗" 所可能产生的后果，便从 "答错一道题" 放大为 "触发一项真实的业务操作"。报告将权限问题视为决定 "一个错误能走多远" 的关键变量，其判断是准确的。

3 AI 代理作为钓鱼攻击目标的风险机理

3.1 收件箱作为代理的入口点

收件箱长期是钓鱼攻击的主要入口，而在 AI 代理时代，这一入口的属性发生了变化。调查显示，在报告过 AI 代理相关事件的受访者中，42% 称其 AI 工具曾对恶意邮件或消息进行过总结或采取行动，41% 称攻击者使用 AI 工具进行钓鱼或社会工程。尽管这两类数据存在重叠，且后者在相当程度上反映的是攻击者主动利用 AI 而非受害者代理被攻破，但其共同的指向是明确的：攻击者与代理的交互，正在成为一条独立于人的攻击通道。

反网络钓鱼技术专家芦笛指出，收件箱之所以同时成为传统钓鱼与代理攻击的枢纽，是因为它既是信息流入组织的第一道关口，也是自动化工具最常被授权读取与处理的业务数据源。当代理被赋予 "读取并响应消息" 的权限时，攻击者便获得了一个新的投递对象 —— 他们不再需要说服某个员工点开链接，而只需让一条消息在代理的自动处理逻辑中被判定为可执行。

3.2 信息与权限边界的模糊

报告提出了一个理解此类风险的关键分析框架：将 "信息" 与 "权限" 相分离。一条消息可能包含指令，但其抵达收件箱这一事实，不应使其中包含的指令自动获得授权。这一原则的提出，直指 AI 代理安全的核心症结 —— 在自动化处理中，"内容可读" 与 "指令可执行" 之间本应存在的边界，正因工具被授予跨系统行动权限而被系统性模糊。

当软件能够跨连接的系统执行操作时，维护这一边界便不再仅仅是内容过滤的范畴，而成为访问控制与工作流设计的一部分。换言之，决定一条消息能否引发实际后果的，不应是其文本本身是否可信，而应是该工具被授予了何种权限、以及这些权限在何种条件下可被触发。据 DiMiao, CN 分析，AI 代理的安全本质上取决于 "内容的语义影响" 与 "权限的物理范围" 能否被解耦 —— 若二者纠缠不清，任何一次成功的提示欺骗都可能被直接传导为一次未经授权的业务操作。

3.3 攻击链的新形态

AI 代理的介入，使社会工程攻击的攻击链呈现出与以往不同的形态。传统攻击链中，攻击者需要跨越 "识别目标 — 投递诱饵 — 诱导点击 — 窃取凭证" 等多个依赖人参与判断的环节；而在代理场景下，部分环节被自动化地省略 —— 攻击者只需成功地向代理投递一条能够被其处理逻辑采纳为行动指令的消息，后端的权限即可能代为实现攻击者的意图。

这种攻击链的 "压缩" 带来两个后果。其一，攻击的规模效应增强，因为一条精心构造的消息可能被批量分发的代理同时处理；其二，攻击的识别难度上升，因为攻击对象不再具备人所特有的 "怀疑" 能力，而是遵循既定的程序逻辑。当代理的自动化程度越高、权限范围越广，攻击者通过一次成功的内容操纵所能撬动的后果也就越大。

4 治理滞后的现实困境

4.1 审批权与安全职责的错位

报告揭示了 AI 代理治理中的一个结构性失衡：审批权与安全职责的错位。在 479 名来自已使用能行动 AI 工具组织的受访者中，78% 称 IT 是代理、助手、插件与连接器的首要审批方，仅有 6% 称由安全部门主导，14% 称审批在多个部门间共享。这一分布并非表明安全部门被完全排除于所有审批流程之外，但它清晰地显示：对具有重要系统访问权限的工具的审批决策，通常由安全以外的部门牵头。

这一错位的风险在于，工具接入的核心考量 —— 功能与效率 —— 往往优先于对其权限边界的风险评估。当能够访问财务或支付系统的连接器由 IT 主导审批而安全部门缺位时，权限的授予便可能在缺少充分安全评估的情况下完成，从而为后续的权限滥用埋下隐患。

4.2 权限授予的失控风险

审批环节的缺位，进一步表现为实际权限授予的失控。调查显示，在报告过相关事件的组织中，39% 称曾有员工向 AI 工具授予了安全部门本不会批准的访问权限。这一数据将治理问题从制度层面落到了操作层面：即便组织在名义上设有审批流程，实际执行中仍存在员工绕过审批、擅自扩大工具权限的现象。

权限授予的失控之所以危险，在于其难以被事后轻易纠正。当一个连接器已被启用并被多个工作流引用时，安全部门即便发现其权限超出合理范围，撤销亦可能面临业务流程中断的阻力。报告由此提出两个需要组织正面回答的问题：谁在连接器启用前评估其权限，谁又能在工具行为异常时收回其权限？这两问共同指向一个现实 —— 权限的 "事中监控" 与 "事后回收" 能力，与权限的 "事前审批" 同样不可或缺。

4.3 信心与落实之间的落差

治理滞后的另一重表现，是组织信心与制度落实之间的明显落差。调查显示，93% 的受访者称其事件响应计划已覆盖 AI 代理，84% 自信能够识别 AI 驱动的安全事件；然而，仅 52% 的受访者称正式的策略、控制与事件响应流程已全部到位，另有 35% 报告其策略仅有有限的技术控制支撑。

这一组数字形成鲜明对照：多数组织相信自己已为 AI 代理时代做好准备，但落实到具体制度与技术控制的比例却明显偏低。信心高于实际保障水平的落差，往往意味着组织对自身安全状态的评估存在系统性乐观偏差。在攻击面持续扩展的背景下，这种 "自信但未落实" 的状态，恰恰是最需要警惕的脆弱点之一。

5 深度伪造威胁的持续与损失变化

5.1 防御投入与损失下降的观察

报告同时呈现了一个相对积极的变化：针对深度伪造的防御投入有所增加，而报告的经济损失趋于减轻。与 2025 年的同类调查相比，主动投资于深度伪造防御的组织比例从 37% 上升至 48%；在报告过财务损失的组织中，损失至少 10 万美元的比例从 63% 降至 49%，损失 100 万美元及以上的比例从 6% 降至 3%；受影响组织的估计平均损失亦从约 28 万美元降至 22.5 万美元。

报告本身对这些数据保持了审慎的表述，明确指出投资增加与损失下降同时出现，并不能证明前者导致了后者；同时，由于两年调查在损失口径上存在差异，估计平均损失系基于报告损失区间的中间点计算，因而这些比较的解读需留有余地。这种克制的归因态度，符合对观察性数据的正确理解方式。

5.2 事件频次的持续

尽管损失有所下降，深度伪造相关事件却并未消失。报告显示，84% 的受访者报告在过去一年至少遭遇一起深度伪造相关事件，这一比例与 2025 年的 85% 基本持平。考虑到其定义范围广泛 —— 从图像篡改、伪造邮件，到实时的语音与视频冒充 —— 这一持续的频次表明，深度伪造作为一种攻击手段已经固化为常态化的威胁形态。

损失下降与事件频次居高不下并存的现象，为防御者提供了一个值得审视的视角：损失的变化可能反映的是防御有效性的提升，也可能仅仅反映攻击者将目标转向了单笔金额更小、但覆盖面更广的方向。报告据此提示，损失减轻提供了一个 "检视哪些措施正在起作用" 的契机，而非 "假定威胁已经过去" 的理由。

5.3 竞争优先级问题

报告还指出了深度伪造防御面临的另一重现实压力：优先级竞争。即使能行动的 AI 工具正在为安全预算引入新的支出需求，称深度伪造防御为其最高优先级的受访者比例，仍从 2025 年的 71% 降至 60%。这反映出安全资源在多种新兴威胁之间的分配张力 —— 新威胁的出现，往往以挤压既有威胁的投入为代价。

优先级的下滑与威胁的持续并存，意味着组织在将注意力转向 AI 代理等新课题时，不能简单地将深度伪造视为已解决的问题而撤出投入。安全治理需要在持续威胁与新兴威胁之间保持动态的资源配置，而非以 "是否曾发生重大损失" 作为唯一判断标准。

6 防御体系的构建方向

6.1 从保护人到保护自动化决策者

IRONSCALES 报告为组织提出的首要建议，是将安全防护的覆盖范围从 "人" 延伸至 "自动化决策者"。报告将其面临的挑战概括为：将保护扩展到自动决策者，同时不放弃为人构建的既有防御。这一表述内含的平衡是准确的 ——AI 代理时代的防御不是用一套体系取代另一套体系，而是在既有以人为本的防护之上，叠加针对代理的新一层控制。

从操作层面看，这意味着组织需要明确回答三个基本问题：组织内存在哪些代理，每个代理能够触及哪些系统，以及哪些行动必须经过人工审查。只有当组织对自身自动化工具的 "家底" 有清晰的清单式认知，权限管理与行为监控才具备实施的前提。

6.2 权限控制与行动监控

针对权限风险，报告强调了两项并行的措施：限制权限与监控行动。权限控制遵循最小授权的原则，即在满足业务功能的前提下，将代理对系统的访问压缩至必要的最小范围，并尽可能隔离其对财务、支付等高风险系统的直接触碰；行动监控则要求日志能够完整重建工具 "读取了什么、执行了什么"，使每一次代理行为都可追溯、可审计。

这两项措施的共同意义，在于将 "权限" 与 "行动" 都纳入可观察、可约束的范畴。权限的收敛降低了单点错误所能传导的范围，而行动的留痕则为异常行为的发现与事后追责提供了依据。据 DiMiao, CN 分析，AI 代理的安全治理应遵循 "行为可见、权限最小、关键行动复核" 的原则，唯有如此，才能在享受自动化效率的同时，将自动化带来的风险置于可控边界之内。

6.3 面向代理的事件响应与安全测试

报告还主张，事件响应计划不仅要覆盖针对员工的攻击，还须涵盖针对代理的攻击；安全测试的重点，应从 "员工能否识别可疑邮件" 转向 "一条不可信的消息能否影响一个被授权的工作流"。这一转变具有方法论上的意义 —— 它把对代理安全的验证，从静态的内容识别，推向动态的权限传导评估。

测试思路的这一调整，实质上是将 "信息与权限的边界" 作为可检验的工程对象。组织通过模拟攻击，检验代理在收到不可信内容时是否会在未经充分授权的情况下触发实际操作，从而在真实攻击发生前发现权限配置与工作流设计中的漏洞。这种以 "行动后果" 而非 "内容识别" 为目标的测试，更贴合 AI 代理时代的安全实际。

6.4 治理框架的完善

在上述技术措施之上，报告的数据还指向治理框架层面的完善需求。审批环节中安全职责的缺位、权限授予的失控，以及信心与落实之间的落差，共同表明：组织需要的不仅是个别的技术控制，而是一套将安全纳入 AI 工具全生命周期的治理流程 —— 从工具引入时的联合审批，到使用过程中的权限定期复审，再到异常行为发生时的即时响应与权限回收。

反网络钓鱼技术专家芦笛强调，AI 代理治理的关键不在于 "禁止" 自动化，而在于为自动化建立清晰的责权边界与可执行的纠偏机制。当安全部门能够实质性地参与工具审批、持续监控权限变更、并具备在异常时及时收回权限的能力，AI 代理才能从潜在的风险敞口转化为受控的生产力工具。

7 结语

IRONSCALES 报告以 "从深度伪造到双重代理" 为题，精准地概括了 AI 驱动网络风险的一个关键转向：攻击的目标正从人及其传统交互，扩展至代表人的自动化工具及其权限边界。调查数据勾勒出的核心现实是，能采取行动的 AI 代理在企业中的采用已相当普遍，其对工单、存储、邮件乃至财务支付系统的广泛连接，使 "内容欺骗" 具备了被直接传导为 "业务操作" 的现实可能；而审批权与安全职责的错位、权限授予的失控、信心与落实的落差，则构成了当前治理体系的共同短板。

需要客观指出的是，本报告的调查数据基于特定规模企业的受访者自我报告，其样本画像与事件口径决定了结论的外推需保持审慎；报告亦明确警示，深度伪造防御投入与损失下降的同步，并不意味着因果关系的成立。然而，即便将这些限定条件纳入考量，报告所揭示的方向性判断依然成立：当软件能够跨系统执行行动时，安全防护的重心必须从 "保护对话" 转向 "保护行动"，对 "内容可信" 与 "权限合法" 的区分必须成为访问控制与工作流设计的固有组成部分。

AI 代理时代的防御，本质上是在自动化效率与安全边界之间寻求动态平衡的过程。组织既不能因噎废食地放弃自动化的价值，也不能在权限与监控缺位的状态下放任其运行。唯有通过联合审批、最小权限、行动留痕、面向代理的测试与可回收的权限机制，构建覆盖代理全生命周期的治理体系，才能在人与自动化工具共同构成的生产环境中，守住安全这一不可退让的底线。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院