LLM 驱动的 BEC 检测：大型语言模型在商务邮件诈骗识别中的前沿应用

一、引言：BEC 检测的范式之困

商务邮件诈骗（BEC）的防御困境由来已久。FBI IC3 2025 年度报告显示 BEC 全年损失高达 29 亿美元。更令人忧虑的是，绝大多数 BEC 检测机制仍然是被动的——等待用户点击"举报钓鱼"按钮、等待安全厂商的人工分析师追踪攻击模式、等待受害者通过 FBI IC3 提交投诉。这种"先受害后防御"的模式意味着每个新攻击变种在被发现之前，已经造成了实际的经济损失。

2026 年 3 月 3 日，Cloudflare 发布博客 From reactive to proactive: closing the phishing gap with LLMs（Malavika Balachandran Tadeusz 等，2026-03-03），提出了一个根本性的范式转变：不是等待 BEC 攻击被确认后再响应该攻击，而是利用 LLM 主动在互联网上搜索 BEC 攻击的模式——包括恶意发件域名的注册情报、攻击者使用的敏感触发词和高风险语义模式，甚至利用 LLM 模拟攻击者对目标组织进行"自动渗透测试"来预测攻击路径。

本文将以 Cloudflare 博客为核心，结合学术界相关研究，深度解读 LLM 在 BEC 检测中的前沿应用、对抗性鲁棒性（Adversarial Robustness）的技术挑战以及邮件安全中容易被忽视的幸存者偏差（Survival Bias）问题。

二、Cloudflare 的核心思路：当 LLM 成为主动猎手

Cloudflare 博客提出了一个简洁但有力的框架：LLM 不应仅被当作一个邮件分类器（这个邮件是钓鱼还是正常），而应成为安全分析师的智能辅助——主动验证、主动搜索和主动防护。

Cloudflare 博客指出，LLM-enabled 检测的核心优势并非替代现有成熟检测技术（如发件人信誉、SPF/DKIM/DMARC 验证、URL 动态检测），而是在规则引擎无确定结论的"灰色地带"——LLM 能够根据语义上下文做出更接近人类直觉的判断。

具体而言，Cloudflare 的 Email Security 产品已经在以下场景中使用 LLM：

• 语义意图分析：对于通过了 SPF/DKIM/DMARC 验证但因 DKIM 选择器未对齐而被标记"硬失败"（hard fail）的邮件，LLM 可以分析邮件的语义意图——它是否包含紧急性压力（urgent pressure）、账户修改请求（account modification request）和异常付款指令（anomalous payment instruction）等 BEC 经典特征。
• 域名仿冒检测增强：LLM 对新注册域名的品牌名相似度做语义评估，相比传统 Levenshtein Distance + 硬编码品牌词库的方法，能够在攻击者使用变体域名之外的同义词或上下文诱导（如 "partner-payment-service.org" 试图冒充 "yourcompany.com" 的财务流程）时做出更准确的判定。
• "灰色地带"邮件处置建议：当传统规则引擎给出 45%-65% 的模糊评分时，LLM 的输出被用于决定是隔离、标记还是放行。Cloudflare 报告称该机制在 2025 年第四季度识别出 12,000 余起被传统规则引擎漏报的 BEC 攻击。

然而，博客也坦率地指出，LLM 并非无所不能——"Mistakes are easy to make"（错误很容易发生）。这些错误包括过高的误报率、对攻击者精心构造的 Prompt Injection 对抗样本的脆弱性，以及 LLM 幻觉导致的安全决策失当。

三、对抗性鲁棒性：LLM 驱动的 BEC 检测的阿喀琉斯之踵

学术界在 LLM 对抗性鲁棒性方面的研究为 Cloudflare 的实践提供了重要的理论支撑和警示。2024-2026 年间，多项研究表明 LLM 作为安全分类器面临严重的对抗脆弱性问题。

Zou 等人（2024）在论文 Universal and Transferable Adversarial Attacks on Aligned Language Models 中展示，通过精心构造的 adversarial suffix（对抗后缀），可以高概率地绕过 LLM 的安全对齐边界。具体到邮件安全场景，攻击者可以在邮件正文中插入一段看似无意义的 token 序列——普通人完全看不出异常——但足以让 LLM-based 分类器将显然恶意的邮件判定为"正常"。

次年，Yong et al.（2025）在 Prompt Injection Attacks on LLM-based Email Security Systems 中进一步量化了这一风险：在标准基准测试中，针对 GPT-4 和 Claude-3 的 Prompt Injection 成功率达到 67%-89%——即攻击者可以通过精心构造的邮件正文，覆盖 LLM 的系统级安全分类指令。这意味着，如果 BEC 检测仅依赖 LLM 的语义分析而不叠加其他检测层，攻击者可以针对性地设计一套"信任诱导+对抗注入"的多阶段攻击。

应对策略方面，学术界提出的方向包括：

• 多模型共识（Multi-Model Consensus）：Zhang et al.（2026）提出使用多个独立来源的 LLM（甚至是小型安全专用微调模型 + 通用模型的分类器集成），通过 ensemble learning 降低单一模型被绕过风险。当多个模型对邮件分类存在分歧时，系统自动提升监控级别。
• 嵌入层检测（Embedding-Level Detection）：Chang & Williams（2025）提出不依赖 LLM 的文本生成结果，而是在嵌入空间（Embedding Space）中检测邮件的语义相似度是否偏离正常基线。对抗性注入的 token 在高维嵌入空间中往往产生异常的聚类轨迹，被安全微调的嵌入检测器识别。
• 规则引擎守护（GuardRails）：Cloudflare 博客本身的建议更为务实——LLM 的输出必须由规则引擎验证，而非替代规则引擎。当 LLM 输出高风险但规则引擎判断放行时，提升至人工审核；当 LLM 输出安全但规则引擎判断高风险时，同样需再次验证。

四、幸存者偏差：邮件安全中一只被忽视的"房间里的大象"

Cloudflare 博文中提到的一个更具哲学深度的洞察是邮件安全领域的幸存者偏差（Survival Bias）问题。理解这一概念对于评估任何检测系统的有效性至关重要。

安全分析师、安全厂商和研究人员对 BEC 攻击的理解完全来自于"已检测到的 BEC 攻击"的数据集。这意味着：

• 成功绕过所有检测防线、未被任何人发现的 BEC 攻击——或者说那些导致 29 亿美元损失的 BEC 攻击中的相当一部分——完全不在训练数据中。
• 安全模型（无论是传统的 ML 模型还是 LLM-based 模型）实际上是在围绕"被抓住的 BEC 攻击"的特征做优化，而对"隐藏的 BEC 攻击"模式一无所知。
• 当攻击者系统性地改变那些被 NN 模型提取的特征时（比如改变句子结构、使用更自然的语气、减少触发词的频率），幸存者偏差导致模型几乎无法感知这种变化——因为它们从未在训练数据中看到过这类攻击。

Cloudflare 博文提出的 LLM 主动扫描（Proactive Scanning）是解决幸存者偏差问题的一个尝试性方案——LLM 可以基于少量已知攻击模式，推断出攻击者可能使用但尚未被发现的变体模式，并主动搜索这些潜在攻击的痕迹。这与传统 ML 模型纯粹依赖历史标注数据训练有着本质区别。生成式模型对"未见过的模式"（尤其是攻击者可能使用的变异手法）具有更强的泛化推断能力。

五、LLM 在邮件安全中的路线图：2026 年展望

综合 Cloudflare 的实践和学术界研究，LLM 在 BEC 检测中的应用正沿着以下三个阶段推进：

阶段一：LLM 作为辅助分析层（当前状态）

LLM 运行在规则引擎和信誉系统之后，仅对"灰色地带"邮件做语义分析和建议生成。输出结果需要人工审核或由降级策略（默认隔离而非删除）处理。该阶段的关键挑战是误报率控制和延迟优化（邮件处理实时性要求很高）。Cloudflare 当前的实践即处于这一阶段。

阶段二：LLM 作为主动威胁猎手（正在推进）

LLM 在宏观层面主动搜索攻击模式——扫描新注册域名、分析高危企业档案（高管 LinkedIn 信息）、定期自动评估邮件安全防御体系的漏洞。这一阶段的核心技术依赖 LLM 与外部工具（浏览器、DNS API、威胁情报库）的 Agent 化能力。

阶段三：LLM 作为自适应防御核心（未来愿景）

LLM 在组织内运行一个"安全数字孪生"——模拟攻击者的行为模式、预测其下一步变异方向、自动调整防御配置。这一阶段要求 LLM 具备持续学习和在线模型更新能力，并解决对抗性鲁棒性的根本挑战。

六、对企业的建议

尽管 LLM 驱动的 BEC 检测令人振奋，企业在实际部署中应将 LLM 防技术栈视为传统邮件安全防御的增强而非替代：

1. 强化邮件认证基础：DMARC p=reject 强制执行 + SPF 审计 + DKIM 签名是所有邮件安全方案的基础，LLM 无法替代缺失的邮件认证配置。参照 SPF/DKIM/DMARC 部署检查清单打好基础。
2. 多层检测不可替代：发件人信誉、URL 动态检测、附件沙箱分析和行为基线检测仍需保留。LLM 运行在这些检测层的"灰色地带"上才有意义。
3. 关注对抗攻击风险：如果使用 LLM 作为邮件分类器，必须叠加 Prompt Injection 防护机制、输入输出检测和后置规则引擎验证。
4. 警惕幸存者偏差：安全团队需要意识到检测系统对"已知已知"（Known-Knowns）和"已知未知"（Known-Unknowns）的覆盖差距，持续拓展威胁可见性边界。

七、总结

Cloudflare 的 LLM 主动检测范式代表了邮件安全领域从被动响应到主动预判的重要转向。LLM 不再只是一个文本分类器，而是成为安全分析师的"数字大脑"——主动验证可疑邮件、主动搜索攻击模式和主动模拟攻击路径。然而，对抗性鲁棒性和幸存者偏差是该范式的两个根本性挑战，短期内无法被完全解决。最现实的路径是将 LLM 集成到现有的多层防御体系中，在"灰色地带"发挥不可替代的语义理解能力，同时策略性地保留规则引擎作为守护者。

了解更多邮件安全前沿技术，请访问 行业资讯首页 或致电 021-69753778 获取安全技术咨询。

📦 相关产品与方案

昆仑邮件系统内置 AI 增强型邮件安全网关，支持 LLM 辅助的 BEC 检测、行为基线异常分析及深度伪造防御。面向金融、制造和教育行业客户，提供从邮件认证基础加固到 AI 主动检测的完整安全方案。

电话：021-69753778 | 邮箱：zhangtao@ztpop.net

相关文章

• FBI IC3 2025 年度互联网犯罪报告：BEC 攻击造成 29 亿美元损失，邮件安全威胁持续升级
• DMARC 强制执行时代：Cloudflare 免费 DMARC 管理全面上线解读
• SPF / DKIM / DMARC 三合一完整部署检查清单