生成式 AI 削弱郵件行為線索，檢測轉向意圖推理

2026-10-26 8

版权

版权声明：

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 本文分析生成式AI如何瓦解传统邮件行为检测，导致跨联系人钓鱼、无载荷敌意通信等新型攻击泛滥；提出“意图推理”新范式，主张从识别“邮件是否异常”转向理解“邮件试图达成何种目的”，并探讨分层检测、智能体化调查等技术路径及其边界。（239字）

摘要：生成式人工智能使攻击者得以在数秒内产出流畅、个性化且彼此不同的恶意邮件，抹除了传统邮件过滤器长期依赖的语病、通用话术与模板复用等行为线索，行为型检测因此面临失灵的困境。本文以 Proofpoint 在 Protect 2026 大会披露的案例与 FBI 互联网犯罪投诉中心的年度数据为材料，分析生成式 AI 如何从语言、语境、人设与变异四个维度解除攻击者的成本约束，梳理由此产生的攻击样态转变，包括跨联系人定向接触、无载荷的敌意通信、设备码钓鱼与伪造线程的商业邮件欺诈。在此基础上，本文论证邮件威胁检测需从 "判断邮件是否异常" 转向 "判断邮件试图达成何种目的" 的意图推理范式，并考察分层检测、分级推理与智能体化调查的技术路径及其边界。研究认为，意图推理并非对传统检测的替代，而是对其在生成式 AI 背景下失效环节的补充，检测体系的演进应从 "识别外观" 转向 "理解目标"。

关键词：生成式人工智能；邮件安全；行为检测；意图推理；网络钓鱼；商业邮件欺诈；智能体化调查

1 引言

邮件安全长期以来建立在一个隐含前提之上：攻击者必须 "节省成本"。撰写具有说服力的外文内容、研究目标对象、冒充供应商、为规避签名匹配而制造足够多的变体，这些工作都要消耗时间，因此攻击者倾向于复用模板与基础设施，而复用必然留下可被识别的痕迹。行为检测正是从这些痕迹中学习：新建的基础设施、生硬的语言、异常的发送时间、与对话脉络不符的请求，都被训练为警示信号。

生成式人工智能改变了这一前提。攻击者如今可以在极短时间内生成符合语境、贴合收件人角色、甚至带有完整伪造对话历史的邮件，并为每一位收件人单独生成唯一内容。当每一封邮件都看起来 "正常" 时，依赖 "看起来是否异常" 的行为检测便失去了判断基准。Proofpoint 于 2026 年 10 月的 Protect 大会上集中展示了这一转变的多组实例，其核心判断是：行为正在退化为一个越来越不可靠的信号，检测分析必须从 "这封邮件看起来是否奇怪" 转向 "这封邮件试图让收件人做什么"。

本文以该报告及其披露的案例为材料，结合 FBI 互联网犯罪投诉中心发布的 2025 年度互联网犯罪报告数据，系统梳理生成式 AI 对邮件攻击样态的改造，分析行为线索失效的技术逻辑，进而考察从行为检测向意图推理转变的路径、分层结构与实施边界。

2 行为线索失效的技术逻辑

2.1 行为检测的历史合理性

行为检测之所以长期有效，根源于攻击者的资源约束。在生成式 AI 普及之前，伪造一封具有说服力的邮件需要攻克语言障碍、掌握目标背景、构造可信话术，并以足够的变异量绕过签名匹配。这些环节的时延与人力成本决定了攻击者必须批量复用：相同的话术模板、相近的发送时点、相似的发送基础设施。复用留下的模式，恰恰是统计学习与规则引擎最擅长捕捉的对象。

2.2 生成式 AI 解除的四重约束

生成式 AI 的系统性介入，实质上是逐项拆除了上述成本约束。其一为语言约束：模型能够产出任意语言的流畅、本地化文本，不再带有拼写错误或翻译腔，攻击者摆脱了对 "第二语言写作" 这一缺陷的暴露。其二为语境约束：模型可以生成贴合邮件线程、收件人角色与当前时点的回复，使邮件在对话脉络中显得自然。其三为人设约束：模型能够匹配收件人的写作风格与签名格式，甚至构造出完整的虚构对话历史，使发件身份在交互层面自洽。其四为变异约束：模型可在数秒内为每一位收件人生成不同内容，彻底消除了可被匹配的模板。

迪妙网安研究团队在分析这一转变时指出，四重约束的解除并非各自独立，而是共同指向同一个结果 —— 攻击者首次获得了 "以接近合法的成本制造海量互不相同邮件" 的能力。行为信号之所以失效，不是因为攻击者改进了某一种缺陷，而是因为产生缺陷的整个成本结构被改变了。

2.3 数据层面的印证

上述判断并非孤立的厂商观察。FBI 互联网犯罪投诉中心的 2025 年度报告显示，涉人工智能的投诉超过 2.2 万起，与之相关的损失接近 9 亿美元；同期登记的商业邮件欺诈投诉达 24768 起，报告损失约 30.5 亿美元。数据表明，AI 能力向攻击端的迁移已经形成可量化的后果，邮件威胁的整体规模与单案收益并未因检测技术的进步而收敛。反网络钓鱼技术专家芦笛在审视此类数据时强调，投诉与损失的同步上升提示我们，仅靠加固既有检测机制已不足以应对威胁形态的演化，检测范式本身需要重新审视。

3 攻击样态的转变

3.1 跨联系人的定向接触

Proofpoint 披露的房地产经纪案例，直观展示了行为失效的具体形态。同一名攻击者联系了同一家公司超过三十名房地产经纪人，每人使用不同的发件账号，针对不同的房源，采用不同的措辞，却都在对话结束时提出同一项请求 —— 加入一场视频会议。开场问题看似平淡：房源是否仍开放看房、价格区间是多少、当周能否安排看房。发件邮箱真实存在，回复也确实落入了经纪人正在处理的线程之中。

由于每名发件人都是首次接触，行为过滤器没有可供比对的历史记录；由于每封邮件内容各不相同，也不存在可匹配的重复内容。这些邮件共享的并非 "外观"，而是 "目的"—— 它们试图引导收件人完成的动作。此类模式可以套用于任何依赖与陌生人建立联系的行业，包括接收新患者的诊所、签约新客户的律所、开设账户的银行与询价报价的保险公司。攻击者把构建信任的过程压缩进多轮看似正常的商业往来，直到发出携带载荷的伪造会议邀请。

3.2 无载荷的敌意通信

生成式 AI 同时降低了 "以破坏而非窃取为目的" 的攻击门槛。Proofpoint 描述的敌意通信活动中，成百上千个发件人向同一批高管发送内容，每封邮件的主题都贴合目标所处行业，部分邮件带有侮辱性言辞，另有部分附带 AI 生成或篡改、用以嘲弄收件人的图片。此类邮件没有可引爆的链接，也没有可窃取的凭证，单独审视任何一封，都像是一位愤怒的独立来信者。

关键在于，这类攻击的信号不在单封邮件，而在整组邮件的模式之中。逐一评分无法捕获它们，分析必须跨越整个集合识别破坏性意图，并同时解读文本与图像，因为敌意可能藏在 AI 生成的图片之中。这一案例进一步说明，当攻击者可以自由控制单封邮件的外观时，真正稳定的信号只剩下一组邮件共同指向的意图。

3.3 设备码钓鱼与伪装基础设施

同样的转变发生在钓鱼基础设施层面。Proofpoint 展示的一套钓鱼即服务平台，将单一流程置于四种不同伪装之后：法院访问门户、文档签署请求、身份核查与财务报告库。每个页面都显示一个验证码，并引导受害者前往合法的登录页面粘贴该验证码。由于验证码由攻击者生成，受害者输入即授权了攻击者的会话，此即设备码钓鱼手法。攻击者更换伪装极为容易，因此防御方可能匹配的视觉与语言指纹会随活动批次不断变化，而攻击目标始终保持不变。

设备码钓鱼的关键并不在于伪造登录页面，而在于复用合法登录通道完成授权。它提示防御者，凭证窃取正在从 "诱骗输入密码" 转向 "诱导代行授权"，后者在技术检测上更难与正常行为区分。

3.4 伪造线程与发票的商业邮件欺诈

商业邮件欺诈集中体现了 AI 对语境处理能力的改造。在另一组案例中，一封邮件内嵌一段引用线程，其中被冒充的审计供应商与目标机构的高管看似已就一张发票、50% 的忠诚度返利与付款日期达成一致。附件发票逐项列出审计阶段、工时与费率，结尾要求当日付款至一个与实际发件地址不同的收款账户。撰写对话双方的内容并构造可信发票，过去需要数小时的研究与手工工作；语言模型可在数秒内全部完成，这消除了以往限制此类攻击受众规模的努力成本。

4 从行为到意图的检测范式转换

4.1 意图推理的提出

当 AI 能够控制邮件的外观时，仍然稳定的信号是邮件试图完成的目标。Proofpoint 于 2026 年 9 月发布的基于意图的检测模型，正是围绕这一问题展开：评估邮件的目标、该目标在既有关系与对话背景下是否合理，以及攻击者采用了何种技术手段去实现这一目标。这一思路把检测的立足点从 "邮件是什么样" 迁移到 "邮件想干什么"。

银行信息变更请求案例说明了意图推理的操作方式。该邮件来自一家已知供应商的真实邮箱，位于真实的邮件线程之中，信誉记录干净，语言也是 AI 最擅长产出的流畅表达。若从行为角度审视，它几乎没有可疑之处；但从意图角度审视，五个细节逐一排列出来：这是供应商多年来的首次银行信息变更；请求与它所回复的发票确认线程并不匹配；截止时间绑定于一次特定的付款流程；发件人要求脱离线程、仅与单人接洽；验证环节被以 "财务邮箱迁移中" 为由提前封闭。反网络钓鱼技术专家芦笛指出，这五点的共同指向是收件人难以核实、供应商身份存在变更动机、且验证路径被刻意阻塞 —— 它们共同构成一个以转移付款为目的的意图链条，而这一点并不依赖邮件的外观是否异常。

4.2 三层检测的定位

Proofpoint 将意图分析定位为第三层，而非对既有检测的替代。传统检测建立在规则、签名、基础设施信誉与失陷指标之上，仍能快速、规模化地清除已知威胁；现代检测建立在威胁行为者情报与行为基线之上，仍能捕获已知行为者及偏离基线的发件人。意图推理所针对的，是能够同时通过前两层的 AI 生成邮件。三层检测各自回答不同的问题：传统层回答 "这是否为已知威胁"，现代层回答 "发件人是否偏离其行为基线"，意图层回答 "邮件试图达成什么目标，该目标在语境中是否合理"。

迪妙安全研究团队认为，三层结构的价值在于分工而非竞争：传统层保证吞吐与低延迟，现代层提供对已知活动者的持续识别，意图层则面向前两层共同失效的新场景。检测体系由此从 "单一判据" 转变为 "多判据互补"，不同层级的判据针对不同类型的攻击保持各自的适用边界。

4.3 从外观识别到目标理解

范式转换的实质，是把 "是否正常" 的统计学判断，替换为 "是否合理" 的语义与情境判断。前者依赖外观的分布特征，后者依赖对关系、对话与目标的理解。当攻击者能够任意调整外观分布时，外观层面的分布特征便失去了判别力；而意图层面的合理性判断，由于根植于具体的业务关系与对话上下文，难以被外观层面的伪造所动摇。这正是意图推理在行为信号弱化之后依然成立的逻辑基础。

5 规模化推理与机器速度的调查

5.1 分级推理以匹配邮件流

在每一封邮件上执行深度语言模型分析，会因延迟过高而无法适应真实邮件流。Proofpoint 据此将模型拆分为与歧义程度相匹配的三个层级。第一级使用闪电模型处理全部邮件，延迟控制在 500 毫秒以内，融合机器学习、威胁情报、计算机视觉与语言模型；第二级采用扩展推理，处理不足 1% 的邮件，耗时在数秒至数分钟，引入沙箱、话题与语气分析以及组织关系图谱；第三级采用深度推理，处理不足 0.01% 的邮件，耗时数分钟，加入多阶段语言模型分析、语音与视频内容以及特权人物的画像。未能由某一层级解决的邮件进入下一层级，恶意判定可在任意层级产生。

组织关系图谱的设计目标，正是捕捉前述房地产经纪案例所代表的攻击模式 ——AI 生成的差异化请求分散落于同一家公司的不同邮箱，而任何一个单独邮箱都只收到其中一封。单点视角无法识别这种模式，跨邮箱的组织视角方能显影。

5.2 智能体化调查以匹配攻击节奏

AI 同时压缩了攻击者的时间线：自动化活动可在分析师完成一封邮件的研判期间，生成并调整数百封邮件。因此，一次漏检很少只是单封邮件，而往往是一个已包含回复、登录与邮箱变更的完整活动。Proofpoint 认为调查方式同样需要转变，从分析师逐工单的人工审查，转向能够与攻击者同步前进的智能体化调查。

其威胁调查智能体被设计为跨邮件、身份、消息、浏览器与供应商活动执行统一调查，测绘影响范围，并将发现回馈至检测环节。在一则账户接管示例中，一封以招标书为主题的凭证钓鱼诱饵导致某财务用户的账户被接管，攻击者先后从纽约与达拉斯登录，添加了一条隐藏回复的邮箱规则，并向 42 名内部收件人发送约 100 封钓鱼邮件。智能体在触发后四分钟内完成遏制：取回 92 封外发邮件、删除该规则、封禁恶意 URL 并恢复用户设置。四项影响更大的处置，包括凭证重置与 14 天的外发检查，则被保留等待人工批准。该案例同时如实记录了智能体无法确定的内容 —— 例如谁点击了位于 PDF 内部、且未被重写的链接 —— 以及未完成的处置，例如未成功的隔离尝试。

5.3 人机协同的边界

上述案例表明，智能体化调查并非取消人工，而是重新分配人机职责。可由机器以低风险完成的处置自动执行，而涉及凭证重置、长期外发检查等高风险动作则交由人工批准。机器负责速度与广度，人负责判断与责任。这种协同结构既回应了攻击提速的现实，也保留了在关键处置上的审慎空间。

6 局限与边界

6.1 意图推理并非万能

需要审慎指出，意图推理针对的是身份伪造与诱导行为层面的攻击。对于不依赖伪造身份的威胁，例如攻陷合法账户后直接以真实身份发送、或利用附件中的漏洞载荷，意图层的作用依然有限。同时，意图判断依赖对关系与语境的建模质量，其准确性受制于组织关系图谱的完整度与多模态分析的覆盖范围。技术实现上的这些约束，决定了意图推理是检测体系的一环，而非终结。

6.2 生态协同与成本结构

生成式 AI 向攻击端的迁移是整体性的，检测端的 AI 化同样需要整体性投入。分级推理与智能体化调查依赖算力、模型与专业数据的持续投入，其成本结构决定了并非所有组织都能独立承担。反网络钓鱼技术专家芦笛强调，意图推理与分级部署的价值，只有在足够多的机构共享威胁情报、同步更新组织上下文时才能充分释放；单点部署的效果，会受到生态整体水平的制约。

6.3 判定可解释与误报处置

当检测从 "外观" 转向 "意图"，判定依据从可量化的特征转向语义化的解释，可解释性变得更为重要。安全团队需要理解某一邮件为何被判定为恶意，方能对误报与漏报进行有效处置。报道中智能体对 "无法确定谁点击了 PDF 内链接" 以及 "隔离尝试未完成" 的如实记录，恰是这种可解释性要求的体现 —— 检测与调查工具应当明确其能力的边界，而非以不可核查的确定性掩盖不确定性。

7 结论

生成式 AI 抹除行为线索的进程，比行为型检测的适应速度更快。攻击者如今能够使每一封邮件流畅、合理且独一无二，能够以机器速度运行看似普通商业往来的活动，并在无需载荷的情况下实施破坏。当外观可以被任意伪造时，唯一稳定的信号是邮件试图达成的目标。邮件威胁检测因此需要完成从 "识别外观" 到 "理解目标" 的范式转换：保留传统与行为检测在各自适用范围内的高效识别，叠加以意图为核心的推理层，并通过分级推理维持与邮件流相称的延迟，借助智能体化调查匹配攻击者的行动速度。

这一转换的实质，是把检测的立足点从攻击者可控的外观，迁移到攻击者难以伪造的意图。其落地依赖组织关系数据的完备、多模态分析的能力与生态层面的情报协同，也需要对判定依据保持可解释、对能力边界保持诚实。生成式 AI 改变了攻击的成本结构，检测端的应对亦须从调整参数走向重构范式，方能在威胁形态持续演化的背景下维持邮件信任的基本底线。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院