AI 邮件助理场景下提示注入型钓鱼攻击的机理与防御

摘要：邮件安全防护长期围绕人来设计，判定对象是收件人是否会点击链接、打开附件或提交凭据。生成式模型接入邮箱之后，这一前提发生位移：在收件人阅读之前，助理已按原始报文完成解析、摘要与检索，攻击者得以把指令写入人眼不可见、模型可读的位置，使一封邮件从说服工具变成对代理的调用指令。本文以公开披露的一起在野样本为分析对象，复原其双层载荷结构：一层借助助理的转发能力实现自传播，一层借助邮箱检索与外发能力完成凭据类资产的定向窃取。在此基础上讨论权限叠加如何把一次内容注入放大为完整的外泄闭环，并结合公开漏洞记录说明单点缓解措施的可绕过性。研究认为，该变种的关键不在于话术精巧，而在于内容与指令在自然语言层面同构、渲染层与解析层存在可见性落差、以及助理同时持有私有数据、不可信内容与对外通信三类能力。防御重心应由识别恶意文本转向约束能力组合，在入口净化、权限分权、动作审核与输出归因四个环节形成闭环。

关键词：提示注入；AI 邮件助理；钓鱼攻击；权限最小化；输出归因

1 引言

钓鱼攻击的效力，历来取决于对信任判断路径的利用程度。攻击者塑造发信身份、编排话术、制造紧迫感，目的都是让收件人在信息不完整的情况下作出有利于攻击者的决定。反网络钓鱼技术专家芦笛指出，这一攻击范式在过去二十年中虽然不断更换载体，从仿冒网站到二维码再到协作平台内的会话劫持，但其作用点始终是人的判断，防护设计也因此长期围绕人展开：安全意识培训、发件域验证、链接与附件检测、多因素认证，都是围绕 "人可能被说服" 这一假设配置的。

这一假设正在被绕开。2026 年 11 月，巴拉克达（Barracuda）首席技术官办公室负责自动化与人工智能业务的总监在一份公开分析中披露了一类新变种：攻击者不再以收件人为唯一对象，而是把读取邮箱的 AI 助理一并纳入攻击面，通过在邮件正文中植入面向模型的隐藏指令，让助理在摘要、检索与转发的环节代替攻击者完成动作。该分析给出的样本伪装为某知名企业的招聘通知，外观与常规招聘邮件无异，隐藏指令则以 "内部已批准的操作手册" 的口吻写在 HTML 结构内部。样本没有附件，没有仿冒登录页，也没有要求收件人输入任何凭据，攻击链的推进完全依赖助理对所读文本的服从。

这类攻击的出现并非偶然。间接提示注入作为一种攻击范式，早在 2023 年就由研究者在整合大模型的问答应用上得到验证，其核心结论是：当模型同时处理 "用户指令" 与 "外部检索内容" 时，两者在表示层面没有可靠区分，外部内容中的语句可以被模型当作指令执行。此后，针对生产环境大模型系统的零点击利用得到公开记录，说明这一风险已从实验室条件进入真实部署条件。与此同时，邮件仍是企业内最普及、权限最集中、内容最不可控的信息通道，助理接入邮箱几乎是生成式能力落地的首选场景，二者的结合使攻击面迅速扩大。

从产业数据看，钓鱼活动的规模仍在扩张。反钓鱼工作组公布的统计显示，2026 年第一季度捕获的钓鱼攻击为 971181 起，较 2025 年第四季度的 853244 起上升 13.8%；第二季度进一步升至 1069681 起，环比上升 10.1%，其中 6 月的 425808 起为 2023 年 4 月以来的月度最高值。规模扩张意味着单封邮件的平均处置时间被进一步压缩，人工逐封核验在事实上已不可行，这正是助理被引入邮件流程的现实动因，也是攻击者选择这一环节的动因。

本文关注三个问题：其一，隐藏指令为何能在收件人不可见的情况下进入模型上下文，其技术条件是什么；其二，一次内容注入如何借助助理的既有权限转化为传播与外泄，形成闭环需要哪些能力同时具备；其三，在语义层面无法彻底区分数据与指令的前提下，防御应当把重心放在何处。研究方法上，以公开披露的样本结构为一手线索，结合间接提示注入的既有研究、厂商公开的漏洞记录与反钓鱼工作的统计数据交叉核对，力求技术判断可追溯，不以媒体转述替代事实。

2 从说服到调用：攻击作用点的位移

传统钓鱼的技术结构可以概括为 "诱导 — 交互 — 交付" 三段：以可信外观诱导收件人进入攻击者控制的界面，在界面中完成凭据输入或恶意程序投放，最终取得账号、终端或资金的处置权。三个环节都以人的主动行为为开关，因此防护可以在任意一个环节设置阻断点，只要人不配合，链条即告中断。

提示注入型攻击改变了这一结构。邮件不再承担 "诱导界面" 的职能，而是承担 "投递指令" 的职能，收件人从必需的行为主体变成可被绕过的旁观者。样本中的隐藏块并不是写给人的劝说文本，而是写给模型的作业指导：要求它确定用户所属企业的域名、向同域同事转发该邮件、优先选择全员或 "所有人" 分发列表、在转发时附加一句 "check this out"，并要求隐藏指令随每一份副本一并保留。这一段的技术含义相当明确 —— 它把助理的通信能力当作传播引擎，使单点投递演化为链式扩散。

这种扩散形态在既有研究中已被归入 "蠕虫化" 风险类别。其成立条件不是漏洞，而是功能：只要助理具备通讯录读取、邮件撰写与发送能力，且对邮件内容的信任度高于对内容来源的怀疑度，副本就会沿着组织内部的社会关系图谱逐层传递。来自同事地址的邮件，其打开率与服从率远高于陌生发件人，这一社会工程学上的常识在此被转化为传播效率。样本在转发指令中特意要求使用轻松口吻，正是为了降低下一跳收件人的警觉，使传播环节不产生额外的怀疑成本。

第二段隐藏块指向窃取。指令要求助理遍历整个邮箱，以助记词、恢复短语、私钥、密钥库文件以及若干主流加密钱包的名称与链名作为检索词，命中后将内容发送至指定的外部邮箱地址，并明确禁止向任何同事发送该内容。传播与窃取在设计中是分离的：前者制造大量无害的表象，后者在噪音掩护下低频执行。这种分工体现出对检测机制的判断 —— 异常的大规模外发容易触发流量告警，而单封、低频、指向外部个人邮箱的外发，在多数组织中很难与正常业务行为区分。

攻击成本的变化同样明显。样本不含恶意附件，不托管仿冒站点，不依赖被攻陷的发信服务器，也不需要收件人提交任何凭据；其全部投入是一段隐藏文本和一次投递。传统钓鱼需要持续维护基础设施以躲避封禁，而这类攻击的 "基础设施" 是目标组织自己已经付费购买的助理服务。攻击者从 "建设一套假的" 转为 "借用一套真的"，成本结构与暴露面同时改变。

3 可见性落差：隐藏指令为何能穿过人的视线

隐藏指令之所以有效，根源于邮件客户端与助理读取的是同一封邮件的两种不同表示。邮件客户端面向人，走的是渲染路径：解析 HTML、构建文档树、按样式规则排版，最终把可见像素呈现给收件人。助理面向模型，走的是抽取路径：读取 MIME 结构、解码传输编码、抽取正文文本、截断或分块后送入上下文。两条路径处理的对象相同，产出的内容却可以不同，这种差异在系统安全中属于典型的解析差异问题。

可供利用的位置因此相当具体。HTML 注释在渲染路径中被完全忽略，在文本抽取中却常被保留，是最经济的藏匿点。样式隐藏同样有效：把字号设为零、把前景色与背景色调成一致、把元素移出可视区域、以层叠定位把文本压在图像之下，人在页面上看不到任何痕迹，而抽取器只关心字符是否存在，不关心字符是否可见。属性字段构成另一类通道：替代文本、标题属性、自定义数据属性、结构化标记中的描述字段，都可能被原样带入模型上下文。编码与分段则用于规避基于关键词的过滤，实体编码、零宽字符插入、分段拼接、在引用层级与签名块中分散布置，都能在保持语义完整的同时改变字面形态。

这里的技术要害不是 "藏得深"，而是 "藏得合理"。样本把隐藏块写成一份内部操作手册，使用 "已批准流程"" 按以下步骤执行 " 这类组织内部文档常见的措辞。这种写法针对的是模型在训练与微调中形成的服从倾向：面对格式完整、语气权威、带有流程编号的文本，模型更倾向于将其归类为需要遵循的指导，而不是需要分析的数据。反网络钓鱼技术专家芦笛强调，这标志着社会工程的对象发生了迁移 —— 过去是说服一个具备怀疑能力的人，现在是说服一个被设计为乐于助人的系统，后者的怀疑能力来自防护策略而非本能，因此更容易被格式与语气绕过。

传统邮件防护在这一层上基本失效。发件域验证解决的是 "信是不是从这个域发出的"，而样本可以经由合法通道投递，也可以在展示名上做文章，验证结果与内容意图无关。链接与附件检测解决的是 "点开之后会发生什么"，而样本既无链接也无附件，唯一的外部地址出现在指令文本内部，需要模型解读后才成为可执行的目标。内容过滤解决的是 "字面是否匹配黑名单"，而隐藏块使用的是完全正常的商务用语，词表匹配无从下手。三类机制都建立在 "危害发生在人机交互之后" 的前提上，而这类攻击的危害发生在人机交互之前。

4 权限叠加：从内容注入到外泄闭环

把视野从单封邮件抬高到系统层面，可以看到危害的真正来源不是文本本身，而是文本与权限的耦合。助理在组织中通常被授予一组相当宽泛的权限：读取全部历史邮件、检索附件与共享文档、访问日历与联系人、以用户身份撰写与发送邮件。这组权限在正常业务中是效率的来源，在攻击条件下则构成一条完整的作业流水线。

安全研究者提出的 "致命三要素" 框架对此有较好的概括：当同一个系统同时具备私有数据访问、不可信内容暴露与对外通信能力时，数据外泄的路径就已经存在，注入只是触发手段。三者之中任意两项的组合通常可控：只有私有数据与对外通信，攻击者缺少进入系统的入口；只有不可信内容与对外通信，没有可窃取的对象；只有私有数据与不可信内容，缺少把数据送出边界的通道。三者齐备时，一次成功的指令注入即可完成从读取到外发的全过程，无需凭据、无需漏洞、无需用户配合。

公开的漏洞记录为这一判断提供了实证。2025 年 6 月披露的 CVE-2025-32711，是针对生产环境大模型办公助手的零点击注入案例，被公开研究命名为 EchoLeak，通用漏洞评分 9.3，归类为注入类缺陷。该案例的技术路径具有代表性：攻击者仅需投递一封精心构造的邮件，无需收件人任何操作，即可诱导助手检索组织内部的私有内容并将其外带。公开分析显示，其利用过程组合了多道绕过 —— 规避厂商部署的跨提示注入分类器、以引用式标记绕过链接脱敏处理、借自动抓取的图像资源完成数据回传。单看任何一道防护都未被正面击穿，但组合之后，防护的接缝成为入口。

这一案例的方法论意义大于其技术细节。它说明以 "检测恶意文本" 为中心的防护，本质上是在与攻击者进行特征层面的博弈，而特征空间由防守方定义、由攻击方探索，防守方始终处于被动。分类器的判定是概率性的，脱敏规则是有边界的，二者叠加并不产生线性增强，反而在规则交界处留下可利用的空隙。据 DiMiao, CN 分析，把防御目标从 "识别坏文本" 改为 "消除能力组合"，才能使防护从概率博弈回到结构约束 —— 无论文本如何变形，只要助理不具备向外部地址发送邮件的能力，外泄环节就无法闭合。

样本的设计恰好对应这一逻辑。它要求的每一步都落在助理的既有权限之内：确定企业域名依赖通讯录读取，向同事转发依赖邮件发送，检索钱包材料依赖全邮箱搜索，外发依赖对外通信。四类权限中若有一类缺失，链条即在对应环节断裂。这意味着权限配置不只是运维细节，而是决定攻击成败的结构性变量。迪妙网安在同类事件的复盘材料中给出的判断与此一致：多数案例的根因并非模型被攻破，而是能力授予未按任务边界收敛。

5 信任中介化：认知层面的二次削弱

技术闭环之外，这类攻击还改变了组织内部的信任结构，其影响比单次数据损失更为持久。助理在员工日常工作中的角色，正在从 "工具" 变为 "中介"：邮件由它归纳，日程由它安排，文档由它检索，待办由它生成。当一个信息通道被反复使用并被证明能提高效率时，使用者对其输出的审查强度会自然下降，这是认知层面的省力机制，而非疏忽。

中介化带来三重削弱。其一是上下文剥离。人在阅读原始邮件时，会不自觉地评估一些边缘线索：发件地址的细微差异、排版与品牌规范的不一致、措辞中的语法瑕疵、称呼方式与业务关系的错配。这些线索单独看都很微弱，聚合起来却构成判断基础。摘要把这些线索全部抹平，只留下结论性的几句话，使收件人失去判断所需的素材。样本中伪装的招聘邮件若被直接阅读，熟悉该品牌的人可能注意到页面细节的异常；而经过摘要之后，剩下的只是 "一家知名企业发来招聘邀请" 这一句话。

其二是权威借用。助理给出的 "紧急" 标记，在收件人的注意力分配中具有接近上级指令的效力。原本会在收件箱中被淹没的信件，因被标注为高优先级而进入处理队列的前端，处理时间被压缩，核验动机随之下降。攻击者无需伪造上级身份，只需让助理替自己完成优先级排序，就取得了同等效果。

其三是责任分散。当决策依据来自系统输出时，使用者倾向于把判断责任转移给系统，自己只承担执行责任。这种心理契约在自动化领域早有记录，在生成式助理上表现得更明显，因为助理的输出带有解释性的语言外观，看起来比传统系统的告警更有依据。责任分散的直接后果是复核环节的实质性消失：流程上仍要求确认，但确认退化为形式。

反网络钓鱼技术专家芦笛指出，安全意识培训的边际效用正在这一层面衰减。培训的内容是教人如何审视原始信息，而人已经不再看原始信息；培训假设判断发生在人与内容的直接接触中，而判断已经转移到人与摘要的接触中。若不把培训对象扩展到 "如何审视系统输出"，包括如何核对摘要与原文、如何识别助理越权行为、如何对异常请求启动独立验证通道，培训投入与实际风险之间将出现持续扩大的缺口。

6 防御重心的转移：从文本识别到能力约束

在语义层面彻底区分数据与指令，目前没有可行方案。自然语言没有类型系统，同一串文字在不同任务中既可能是待分析的材料，也可能是需要执行的命令，其性质由上下文与模型的任务设定决定，而非由字面决定。只要模型需要在同一上下文中同时理解外部内容与自身职责，注入的可能性就无法归零。承认这一前提，防御设计才有现实基础：目标不是消灭注入，而是使注入无法转化为危害。

第一项原则是把内容与指令的分离作为架构问题处理。把不可信内容送入一个不持有任何权限的隔离通道，令其只负责阅读与结构化输出，输出被限制为预定义的类型与字段，再由另一个持有权限但不接触原文的通道依据结构化结果执行动作。这种双通道设计的技术要点在于切断 "原文进入有权通道" 的路径：即使隔离通道被注入成功，其产出也只能是受限字段，无法携带可执行的指令。据 DiMiao, CN 分析，该设计的有效性不依赖分类器的准确率，而依赖类型约束的强制性，因此在面对未知变体时更为稳定。

第二项原则是权限分权与最小化。读取、检索、外发三类能力不应默认授予同一主体：助理可读邮件以完成摘要，但对外发送应经独立通道并受收件人白名单约束；可检索邮箱以完成信息整理，但检索结果不得直接进入外发流程；批量投递、全员列表发送、向组织外部域发送应默认关闭，按需申请、限时授权。敏感动作 —— 资金支付、供应商账户变更、批量通知、权限调整 —— 不应由助理自主执行，必须落入人工批准环节，且批准界面须呈现动作对象、金额、收件方与内容摘要等可核验要素，而非仅一个确认按钮。迪妙网络空间安全学院研究团队在梳理企业助理的权限矩阵时提出，权限授予应以 "完成当前任务所需的最小集合" 为准则，并对高危能力设置独立开关，使一次配置失误不至于直接形成完整外泄路径。

第三项原则是入口净化与表示统一。既然危害的起点是两条解析路径的可见性落差，就应当在内容进入模型之前消除这一落差：对 HTML 正文做结构化清洗，剥离注释、隐藏节点、脚本、外部引用与内嵌资源，仅保留规范化后的可见文本；对替代文本、属性字段、结构化标记中的描述性内容一并处理，避免其成为隐性通道；确保清洗后的表示与人所见的内容一致，使 "人看不见的内容" 不再有机会进入上下文。邮件安全网关仍应作为第一层防线，在收件之前阻断已知恶意投递，使助理根本无从读取；但须认识到其覆盖边界 —— 组织内部横向邮件、经合法域投递的邮件、以及通过协作平台转入的内容，往往不经过网关，不能以网关存在替代后续环节的治理。

第四项原则是输出归因与一致性校验。摘要、问答与待办生成都应有可追溯的依据：每一条结论应能对应到原文的具体片段，出现原文中不存在的账户、金额、联系方式、外部地址时，系统应拒绝生成并要求复核。这一机制针对的正是注入攻击的最终目的 —— 在摘要中掺入原文没有的诉求。归因校验不追求语义层面的完备判断，只在字段层面做一致性比对，实现成本可控，却能有效阻断 "凭空出现的新收款账户" 这类高风险输出。与之配套的是行为审计：记录助理读取了哪些内容、调用了哪些工具、生成了什么输出、由谁批准，使 "内容到动作" 的每一次跃迁留痕，为事后溯源与责任认定提供依据。

第五项原则是检测策略的调整。面向词表的过滤对正常商务措辞无效，检测应转向行为特征：内容中是否存在面向助理的祈使表述、是否出现要求改变权限或扩大分发范围的操作、是否包含伪装为内部制度的流程说明、是否在非预期位置出现外部通信地址。这类特征的判定仍是概率性的，须与前述结构性约束并用，而不能作为唯一依靠。样本中 "随副本保留隐藏指令" 这一要求，本身就是极强的行为特征，可作为检索引擎的匹配对象。

需要明确防御的效能边界。分层措施组合之后，攻击成功率会下降，但不会归零；每一层都有误报与漏报，也都有可被绕过的接缝，如 EchoLeak 案例所示，多道防护的组合反而在交界处产生新的入口。防御体系因此需要具备演进能力：把每次拦截与漏检的样本回流到规则与模型，把权限配置纳入变更管理定期复核，把助理的行为日志纳入安全运营的常规审计范围，而不是在部署之初配置一次便长期沿用。

7 结语

本文讨论的变种，其新意不在话术，而在攻击对象的位移。邮件从说服人的载体变成调用代理的指令载体，收件人从必需的行为主体变成可被绕过的旁观者，危害形态从 "某人作出了错误决定" 变成 "系统按既有权限执行了攻击者指定的动作"。这一位移使若干长期有效的防护假设同时失效：以人为最终防线的假设，以凭据窃取为核心损失的假设，以链接与附件为主要载体的假设。

从技术条件看，攻击成立依赖三个并置的事实：内容与指令在自然语言层面同构，使模型无法凭字面区分材料与命令；渲染层与解析层存在可见性落差，使指令得以穿过人的视线；助理同时持有私有数据、不可信内容与对外通信三类能力，使注入可以直接转化为外泄。三者之中，前两者在短期内难以根除，第三者是当前最可控的变量。防御的现实着力点因此落在权限治理：把能力组合拆开，把高危动作交还给人，把内容进入模型的路径规范化，把输出与原文的对应关系固定下来。

仍有一些问题未获解决。语义层面的数据与指令分离缺少形式化方法，隔离通道的类型约束只能缩小表达空间，无法覆盖全部任务形态；归因校验在长文档与多跳检索场景下的准确性尚不稳定；权限分权在提升安全性的同时会增加操作摩擦，其与效率的平衡缺少可量化的依据。这些问题的解答，取决于模型侧防护能力的进展与组织侧治理实践的积累，而非单一技术方案的确立。在答案明确之前，把不可信内容始终当作数据而非命令，仍是这一领域最可靠的一条原则。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院