AI 钓鱼攻击正让熟悉的警示信号失去可靠性

Google News 突出报道了一则直截了当的安全警告：AI 钓鱼攻击如今已足够自然，足以通过许多人仍然信赖的快速检查。如今的对抗不再是精心润色的商务邮件与明显笨拙的骗局之间的较量，而是可信的请求与被精心设计、看起来同样日常的仿冒信息之间的较量。

这一差别至关重要，因为生成式 AI 消除了过去常常暴露钓鱼攻击的几项弱点。攻击者可以生成流畅的信息，针对目标进行调整，并完成翻译，而不会出现旧式攻击活动中常见的错误。他们还可以将隐藏在信息背后的基础设施自动化。

Google 自身的威胁研究人员为最耸人听闻的说法提供了重要的平衡视角。他们观察到由国家支持的团体利用大语言模型开展研究、锁定目标并制作更具迷惑性的钓鱼诱饵。不过，他们并未将每一起 AI 辅助攻击活动都描述为新的技术突破。

更站得住脚的结论也更有实用价值。AI 无需发明一种全新的黑客攻击形式，就能让钓鱼攻击变得更危险。它只需提升语言的可信度、减少攻击者的工作量，并将成熟技术衔接为更快的工作流程。

这一转变同时给员工、安全团队、电子邮件服务商、银行和 AI 公司带来压力。它也削弱了那些围绕识别拼写错误、生硬称呼和不合常理故事而建立的安全意识培训项目。

Google News 的警告究竟改变了什么

AI 钓鱼攻击已从一种不寻常的手段，变成攻击者的常规生产工具。

BankInfoSecurity 的标题经由 Google News 呈现，并作出严厉描述：AI 钓鱼攻击正变得令人不安地寻常且难以发现。现有最有力的证据支持这一总体趋势，但并不意味着每一封钓鱼邮件都同样复杂。

Google Threat Intelligence Group 报告称，受政府支持的行为者正利用大语言模型开展技术研究、锁定目标以及快速制作诱饵。其 AI threat tracker 描述了与来自朝鲜、伊朗、中国和俄罗斯的行为者相关的活动。

钓鱼诱饵是指为诱使目标采取不安全行动而设计的信息或情境。这类行动可能包括打开文档、输入凭据、批准登录，或发起付款。

AI 以多种实际方式改进了诱饵构建阶段。它可以为特定职位重写信息，模仿预期语气，并快速生成本地化版本。它还可以在生成看似合理的接触方式前，汇总关于目标的公开信息。

这些功能无需模型破解加密，或发现软件漏洞。它们让社交工程这一环节成本更低、执行更稳定。攻击者可以花更少时间编辑每条信息，同时仍避免明显的语言错误。

因此，首先发生的是经济层面的变化，而非技术层面的变化。优质写作、翻译和个性化过去会提高攻击活动的成本。生成式工具则将这些任务压缩为可重复的工作流程。

这并不意味着每一封措辞精良的邮件都是 AI 生成的。归因仍然困难，因为人类同样可以写出规范的信息，而较早的自动化工具也能插入姓名和公司详细资料。仅凭文本很少能够证明是由哪种工具生成。

因此，“AI 钓鱼攻击解析”版本的结论比危言耸听的说法更有限。AI 帮助攻击者以更快的速度生成、变换和运营熟悉的骗局。恶意目的地往往仍依赖可识别的基础设施，包括伪造的登录页面和被盗会话。

Google 的研究人员也发现了重要限制。他们表示，在对 2025 年末的观察中，被追踪的高级行为者尚未获得从根本上改变威胁格局的突破性能力。这些行为者获得的是生产力提升，而非自动绕过一切防御的路径。

这一限定反而加强了核心警告。组织无需等到科幻式攻击出现后再采取行动。当可信的语言与运营自动化同时可用时，现有的钓鱼攻击体系就会变得更加危险。

这些信息的日常外观，构成了文章真正的张力。用户可能收到一项语法无误、且与真实项目、服务或高管相关的请求。可见信息可能看上去合情合理，但其背后的身份验证路径却充满敌意。

这正是传统建议愈发显得不完整的原因。“寻找错别字”针对的是呈现质量，却无法验证谁控制了发件人、目的地、登录会话或被要求执行的交易。

Google AI 钓鱼攻击不只是文案写得更好

更大的变化在于攻击链条的自动化，而不只是更干净的邮件文案。

Google 对 AI 钓鱼攻击的观察显示，攻击者正将模型用于侦察、内容创作、本地化、编码和运营支持。Google 的研究人员称，该公司还中断了与恶意活动有关的账户和项目。

OpenAI 也报告了其调查的滥用案例中存在类似模式。其 malicious-use research 表示，威胁行为者通常会将 AI 模型与网站、社交账户及其他传统工具结合使用。

这种结合至关重要。一条令人信服的信息创造了入口，但行动的其余部分才会攫取价值。攻击者仍需要能够窃取凭据、拦截身份验证、部署恶意软件，或说服他人汇款的基础设施。

钓鱼即服务降低了这一运营门槛。这些服务为无需自行构建每个组件的客户打包提供基础设施和攻击活动功能。AI 可以帮助运营者改善支持服务、处理窃取的信息，并更快地变换攻击活动。

设备代码钓鱼说明，这类攻击已超越单纯窃取密码。该方法滥用了为无法便捷输入密码的设备设计的合法登录流程。

目标会收到真实的设备登录流程，并输入攻击者提供的代码。如果目标批准该请求，攻击者便可能在无需展示传统伪造密码表单的情况下，获得已通过身份验证的会话。

Huntress 研究人员观察到，2026 年前四个月内，设备代码钓鱼攻击增长了 1,380%。据 Axios 报道，这一比较覆盖了 2025 年下半年，详见其 attack automation findings。

这一增长不应被解读为所有钓鱼攻击的增长率。它指的是一家公司的遥测数据中观察到的一种攻击类型。尽管如此，它仍表明，在工具变得更易操作后，一套工作流程能够以多快速度扩张。

同一原则也适用于个性化。攻击者可以从公开来源收集公司公告、职位名称、供应商关系和高管姓名。模型可以将这些碎片转化为与可信业务事件相吻合的信息。

以一名经常处理供应商银行账户变更的财务员工为例。犯罪分子并不需要完美冒充首席财务官，只需要在该员工预期会处理这类工作的时候，发送一项看似合理的请求。

信息可能提及真实供应商，并使用已在内部沿用的措辞。它还可能来自已被入侵的邮箱，从而消除另一个常见警示信号。此时，员工的判断力将受到看似正当的上下文考验。

语音生成又增加了一条渠道。后续电话可以强化邮件内容，而短信则能在受管理的企业设备之外制造紧迫感。防御者尚未将这些活动关联起来之前，攻击者就能引导目标在不同渠道之间转移。

这正是 Google AI 钓鱼攻击成为身份问题、而非写作问题的地方。语言质量开启互动，决定性的阶段则涉及身份验证、授权以及对账户或交易的控制。

因此，防御者需要检查完整的事件序列。他们必须关联发件人、目的地、设备、登录请求、会话行为和财务操作。邮件过滤器只能看到这段序列中的一部分。

当攻击者轮换域名、附件和投递方式时，静态规则也可能难以应对。自动化让运营者能够快速测试不同变体，并在防御者识别后放弃相关基础设施。

这种生产力优势并非没有边界。模型可能生成不准确的细节、暴露操作失误，或触发服务商的安全防护。攻击者仍需要访问权限、基础设施，以及将被盗凭据转化为有效控制权的方法。

但即使没有达到完美，效率依然重要。一场攻击活动不需要每个目标都上钩，只需要有足够多可信的互动，使其值得开展。

旧有的人类识别模型正在失效

训练人们识别糟糕文案，无法保护他们免受被设计成专业且寻常的信息侵害。

多年来，安全意识材料一直强调拼写错误、奇怪的称呼、可疑的紧迫感和不匹配的品牌元素。这些信号依然有用，但攻击者已不再需要保留它们。

生成式 AI 可以即时修正语法。它可以用采购团队或技术支持服务台的风格重写请求，也可以消除过去常会暴露跨境攻击活动的文化和语言错误。

生成的信息无需格外出众。它只需要像那些已经在争夺注意力的日常请求一样。忙碌的员工可能会以处理合法工作时的同样习惯来处理它。

ISACA 于 2026 年 6 月开展的欧洲调查发现，71% 的受访者认为，由 AI 驱动的钓鱼攻击和社交工程更难发现。根据该项 AI security survey，另有 58% 的受访者表示，AI 让数字信息更难验证真伪。

该调查还发现了防御层面的益处。43% 的受访者表示，AI 提升了其组织检测和响应网络威胁的能力。这一结果比简单的“攻击者对抗人类”叙事更准确地呈现了正在形成的竞争局面。

AI 可以帮助防御者分类语言、关联行为信号并总结可疑活动。它能够识别任何单个员工都无法看到的跨信息模式。

然而，防御模型面临艰难的不对称性。攻击者可以尝试许多变体，并偶尔成功。企业控制措施则必须在不干扰大量合法通信的前提下阻止恶意活动。

误报很重要，因为商务邮件中包含异常但有效的请求。新供应商可能更改付款信息，高管可能意外联系员工，客户也可能发送陌生文档。

拦截所有异常情况的过滤器会损害工作；信任每一条措辞精良信息的过滤器又会漏掉攻击。有效的判断取决于文字之外的上下文。

这类背景信息包括：发送者是否通常会联系收件人、该域名是否首次出现，以及所请求的操作是否与过往行为相符。还包括提交凭据后所使用的设备和位置。

人工报告依然能提供宝贵信息。一名员工可能意识到某项请求与线下沟通相冲突。另一名员工可能发现供应商的流程在未作说明的情况下发生了变化。

安全团队应让此类报告变得便捷，且不会带来惩罚。一个藏在多层菜单后的举报按钮，会浪费员工产生疑虑的关键时刻。惩罚误报只会教会人们保持沉默。

培训也需要从识别可疑内容，转向验证所要求的操作。问题不应只是：“这封邮件看起来奇怪吗？”而应是：“这条信息要求我授予什么权限？”

请求审阅公开文件，与请求批准设备登录，风险截然不同。更改银行账户信息需要比确认会议时间更严格的验证。

这种基于风险的方法，即使语言变得无可挑剔，也能为员工提供一条持久的判断原则。敏感操作需要独立的确认路径。确认时不应重复使用可疑信息中提供的联系方式。

对于财务变更，员工可以拨打供应商记录中已保存的已知号码。对于账户恢复，用户可以直接进入相应服务，而不是点击信息中的链接。

从这个角度看，AI 钓鱼并没有那么神秘。内容质量提高了，但攻击者依然希望诱导受害者执行具有重大影响的操作。防御方可以通过控制这类操作的审批方式来获得主动权。

攻击者也在围绕机器防御进行设计

现代钓鱼活动会利用图片、重定向、CAPTCHA 页面和合法认证流程，隐藏恶意目标地址。

Microsoft 2026 年第一季度的电子邮件数据表明，信息质量只是问题的一部分。该公司观察到，二维码钓鱼攻击从 1 月的 760 万起上升至 3 月的 1,870 万起。

这意味着该季度内增长了 146%。Microsoft 还发现，3 月直接嵌入邮件正文的二维码增长了 336%，尽管其仍仅占观察到的总量的 5%。

二维码诱饵会将目标地址移出普通文本。它往往将目标引向个人手机，而企业浏览器控制和端点监控对这类设备的可见性可能较低。

在 Microsoft 的数据集中，3 月 PDF 附件占二维码投递方式的 70%。攻击者并不只依赖文字内容，而是将链接封装在会使自动化检测更复杂的格式中。

受 CAPTCHA 限制的钓鱼攻击也大幅增加。CAPTCHA 是一种用于区分人类用户与自动化系统的验证挑战。攻击者会使用伪造或看似真实的挑战来拖延扫描器，并让恶意页面显得合法。

Microsoft 在 3 月记录了 1,190 万起受 CAPTCHA 限制的攻击，是前一个月的两倍以上。其电子邮件威胁分析描述了攻击者在 PDF、HTML、SVG、文档及嵌入式链接等投递方式之间快速轮换。

这些数字来自 Microsoft 的可见范围，不应被视为对全球钓鱼活动的完整衡量。不过，它们确实表明攻击者正在以相当大的规模尝试多种格式。

Google 记录了另一种名为 ClickFix 的变体。该技术诱使用户在假装解决浏览器、文档或验证问题时，复制并运行恶意命令。

在一场被观察到的活动中，威胁行为者滥用了生成式 AI 服务的公开分享功能来托管欺骗性内容。受信任服务提供了表面载体，而其中的指引则推动目标执行恶意软件。

这些方法给电子邮件过滤器带来压力，因为危险组件可能在投递后才会显现。扫描器看到的可能是 PDF、二维码图片、共享页面或合法认证服务，而非明显的恶意可执行文件。

时间同样对攻击者有利。目标地址在自动化检测期间可以表现得安全，并在投递后发生变化。重定向链也可根据位置、设备或浏览器而变化。

这在电子邮件安全与身份安全之间形成了一条不断变化的边界。一封信息可能没有可检测的载荷便通过了收件箱，而后续的登录模式才揭示攻击。

防御方需要在邮件投递后仍持续有效的控制措施。他们可以从多个收件箱中移除新识别出的邮件、撤销可疑会话，并随着情报变化封锁目标地址。

身份系统还应评估异常的同意授权、设备代码请求、陌生登录和会话行为。多因素认证依然重要，但攻击者正越来越多地设计流程，诱骗用户授予已认证访问权限。

抗钓鱼认证可以缩小这一机会窗口。Passkeys 和硬件支持的凭据会将认证与合法服务更紧密地绑定，从而降低虚假登录页面带来的风险。

它们无法解决所有社会工程场景。员工仍可能批准欺诈性付款，或在一段令人信服的对话中泄露敏感信息。技术控制必须与所请求的操作相匹配。

银行面临着这一问题尤为棘手的版本。客户期待收到欺诈警报、身份核验和紧急账户消息。攻击者正是因为紧迫感在金融场景中显得可信，才会模仿这些沟通内容。

最安全的建议仍然有意保持一些不便。客户应打开银行已知的应用程序，或直接输入其既定网址。他们应使用已有对账单或银行卡上的号码联系该机构。

这一建议针对的是交易渠道，而非信息的质量。无论内容来自模型、犯罪文案人员，还是遭入侵的银行邮箱，它仍然适用。

AI 钓鱼叙事仍无法证明什么

安全证据显示 AI 的使用正在扩大，但并不能证明 AI 已使每一场钓鱼活动都与合法通信无法区分。

检测相关的说法值得审视，因为识别 AI 生成文本仍不可靠。一封措辞精致的邮件并不能证明使用了模型。一封笨拙的邮件也不能证明出自人类之手。

研究人员和厂商所衡量的对象往往不同。一个数据集可能统计恶意信息，另一个则可能统计事件、域名、用户或被拦截的请求。增长百分比会因比较周期不同而显著变化。

Microsoft 的数据描述的是其生态系统内可见的攻击。Huntress 的百分比涵盖了其观察到的设备代码钓鱼。ISACA 报告的是调查中专业人士的看法。

这些来源共同显示出一致的趋势方向。但它们并不能构成对 AI 钓鱼普及程度或成功率的单一全球估计。

Google 的发现提供了另一项必要的克制。其威胁研究人员观察到生产力提升和现实中的滥用，但没有看到受跟踪的高级攻击者在 2025 年末取得根本性突破。

这一结论与最强版本的标题叙事相冲突。AI 改变了成本、速度和呈现方式，但并未消除操作失误，也未让所有防御手段过时。

攻击者可能会捏造事实、使用错误的头衔，或虚构项目。他们可能为双方关系选择不恰当的措辞。大规模生成的活动仍可能在不同收件人之间暴露出规律。

模型提供商也保留着干预点。Google 表示，在调查发现滥用行为时，会禁用恶意资产并改进分类器。OpenAI 表示，其会检测并中断与有害行动相关的账户。

这些防护措施会制造阻力，但威胁行为者可以切换模型、使用开放系统，或将任务拆分到多个服务中。OpenAI 指出，有害行动很少局限于单一平台。

防御性 AI 自身也存在不确定性。一个系统可能对错误的解读给予高度置信，也可能漏掉新战术，或对罕见但合法的信息反应过度。

组织不应以不透明的机器直觉取代薄弱的人类直觉。AI 评分应成为有文档记录的响应流程中的一个信号。

一个有用的系统可以解释事件为何被升级处理。它可能识别出陌生的发件人关系、新域名、异常认证请求以及敏感操作。

这些证据能为分析师提供具体的调查方向。诸如“很可能由 AI 生成”这样的笼统标签在运营上的价值较低，因为作者身份并不决定信息是否恶意。

隐私带来了另一项权衡。系统能够分析通信内容、身份记录和行为历史时，上下文检测会表现得更好。这种可见性也可能暴露敏感的员工和客户信息。

安全团队需要为这些数据集设置保留期限、访问控制和明确的治理机制。否则，反钓鱼计划会制造另一个集中的风险来源。

当 Google News 的叙事引导人们关注验证时，它最为有用。当它把 AI 当作解释每一次成功诈骗的魔法答案时，价值就会下降。

实践标准应仍以恶意意图、基础设施或所请求操作的证据为准。AI 的参与改变了优先级和规模，但并未消除进行仔细事件分析的必要性。

安全团队接下来应关注什么

下一阶段将通过自动化身份滥用、防御响应质量和抗钓鱼控制措施的采用情况来衡量。

第一个信号是设备代码和基于会话的钓鱼活动增长。这类攻击之所以重要，是因为它们瞄准的是合法认证工作流，而非简单的密码表单。

安全团队应跟踪用户收到意外设备代码、批准陌生会话或通过异常流程授予访问权限的频率。持续增长将更有力地证明，攻击者正在将自动化能力扩展到信息生成之外。

若在加强控制后出现下降，将削弱这种技术能够毫无阻力地扩展的说法。这也将表明，身份遥测可以在邮件抵达收件箱后中断攻击。

第二个信号是防御系统能否在不压垮分析师的情况下缩短响应时间。AI 辅助工具可以关联信息、身份、端点和交易信号，但前提是组织能将它们协调一致地整合。

团队应衡量从首次用户报告到移除邮件、撤销会话和识别受影响用户所需的时间。他们还应监控误报和分析师反复推翻系统判断的情况。

在错误率稳定的情况下更快遏制攻击，将支持 AI 的防御价值。不断增加的告警积压则表明，单靠分类无法解决运营问题。

第三个信号是抗钓鱼认证和独立交易验证的采用情况。这些控制措施将保护重点从用户判断写作风格的能力上转移开来。

Google、Microsoft、银行和企业身份提供商都会影响这一转变。组织应关注 Passkey 注册量、硬件支持认证的覆盖率，以及保留较弱登录路径的例外情况。

他们还应衡量有多少敏感财务或管理操作需要带外确认。带外核验使用独立且先前已受信任的渠道，而不是请求者提供的详细信息。

更广泛的采用将削弱精心包装的诱饵的价值。采用缓慢则会让员工继续负责辨别，而生成式系统正愈发被设计为模糊这些界限。

因此，短期内的较量并非 AI 攻击者对阵人类读者，而是自动化说服对阵分层验证。

有效的防御假定，部分恶意信息会看起来一切正常并抵达目标。它会限制一封信息、一次点击或一次审批所能造成的后果。

组织可以先开展一次重点审查。识别可能造成最大损失的操作，包括付款变更、密码恢复、令牌批准和管理权限访问。

随后检查每项操作如何获得授权。如果一封看似可信的电子邮件就能单独触发它，那么该流程便存在无法靠更好的安全意识培训修复的弱点。

Google News 将持续呈现令人担忧的案例，因为这种威胁显而易见、容易引发共鸣，而且变化迅速。读者应将这些报道视为进行验证的提醒，而非检测已变得不可能的证据。

对于安全负责人而言，眼下的问题很具体：哪项敏感操作仍取决于员工判断一条精心制作的信息是否“看起来没问题”？应以可信核验取代这一判断环节，衡量结果，并在攻击者行动之前测试流程。