AI 改写了冒充攻击的算式：防御须迎头赶上

来源机构：Proofpoint　|　原文：AI Has Changed the Math on Impersonation. (Your Defenses Need to Catch Up.)　|　原文发布：2026-11-03　|　页面性质：中文翻译与摘录（非原创综述）

冒充并非新事，AI 改写了它的算式

一位财务经理收到一封来自供应商真实邮箱的邮件：用的是供应商真实的写作风格，引用了真实的发票编号，要求更新付款信息。整封邮件看上去没有任何问题——这正是关键。冒充攻击并非新事物。改变的是 AI 对它做的事：它提升了攻击者的移动速度、可产出的数量，以及最终落入收件箱的内容的可信度。生成式模型能在数秒内草稿一封完美的「高管邮件」，使用目标对象的母语，并匹配其语气。攻击者不再需要写一个模板然后指望它对上千个目标奏效；他们可以为每一个目标生成一封独特的、经过充分研究的邮件。旧的破绽消失了。生硬的措辞、通用的问候、明显的翻译错误——这些曾经是训练员工识别伪造信号的标志。AI 抹平了这道鸿沟。如今一个外观相似域名配上一封措辞完美的邮件。一个失陷的供应商账号会发出一封由 AI 模型撰写、用以匹配此前十二个月往来邮件的邮件。产量与精度曾经是攻击者之间的一道权衡；AI 消除了它。根据 FBI 2025 年互联网犯罪投诉中心（IC3）报告，商业邮件入侵（BEC）在 2025 年造成了超过 30 亿美元的报告损失，是勒索软件报告损失的 94 倍以上。这些损失并非源于缺乏钓鱼培训，而是源于身份滥用——一个传统邮件过滤单独无法触及的攻击面。

邮件认证是地基，而非附加项

大多数冒充攻击之所以得手，是因为仍然可以发出声称来自某个域名、但实际上并未被授权以该域名发信的邮件。SPF、DKIM 与 DMARC 的存在就是为了堵上这道缺口。若配置得当，它们会明确告诉接收邮件系统：究竟谁被允许以你的域名发信，以及对于未通过校验的邮件应当采取什么动作。问题在于强制执行很难做对。许多组织发布了一条 DMARC 记录便止步于此，没有进一步走到 quarantine（隔离）或 reject（拒绝）策略，因为他们害怕屏蔽掉来自某个营销平台、CRM 或合作方系统的合法邮件——而这个合作方系统他们早已忘记还在代为发信。这道缺口正是攻击者冒充可信域名、并稳稳落入收件箱的地方。实现完整强制，需要对每一个以你名义发信的系统拥有可见性、一份不会破坏投递可达性的上线计划，以及强制实施之后的持续监控，以捕捉新出现的发件方。这不是一次性的项目，而是持续的运维卫生，并且它是冒充防御战略中其他一切生效之前必须先就位的首要控制。

外观相似域名需要检测与处置，而非仅停留在意识层面

域名认证保护的是你的真实域名，对你注册来仿冒你的那个域名却无能为力：一个被替换的字母、一个多余的连字符、一个不同的顶级域、一个肉眼看来完全一致的同形异义字（homoglyph）。这些域名被用来瞄准你的客户、你的合作伙伴，以及你自己的员工，它们与你所认证的设施毫无关系。尽早检测这些注册之所以重要，是因为从注册到被用作攻击平台之间的窗口期很短。有效的监控会将新注册的域名与你的品牌词以及你供应商的品牌词进行关联比对，标记出那些为欺骗而构建的域名，并为你的团队提供在域名发出第一封邮件之前就推动下线（takedown）所需的证据。只有检测而没有处置路径，不过是在你的收件箱里又生成了一份更长的已确认威胁清单。这个问题的规模比大多数安全团队设想的更大。在 2026 年 8 月的一个 30 天样本中，Proofpoint 分析了那些域名处于监控之下的客户，发现其中 82% 的组织都至少有一个针对其自身域名的仿冒域名被注册。

应用与机器生成邮件如今已成为身份面的一部分

每个组织由应用程序和系统发出的邮件，都远远多于由人在收件箱里敲出来的邮件。账单平台、HR 系统、工单工具、营销自动化——这一切都以你的域名发信，并且越来越多地，没有任何一个会经过与真人收件箱相同的安全审查。AI 代理（agent）为这个清单增添了一个新类别。代理起草外联邮件、发送状态更新、生成报告，并越来越多地在某个工作流中代表一个人发起邮件。一个持有合法凭据、肩负一项看似合理的任务的代理，可以以任何个人都无法企及的体量与速度发信；而一个失陷或被操纵的代理，同样可以为攻击者做到这一点。消息背后的身份，与消息的内容同样重要。保护这一层意味着每一个发信系统——无论人或机器——都以相同方式被认证、登记在册并受到监控。一个未经认证、以你的域名发信的应用程序，不是一个小缺口，而是一扇与你已上锁的前门看起来一模一样的敞开之门。

失陷的供应商账号能绕过一切为外部者构建的过滤器

最难被捕捉的冒充攻击，是那些根本不做任何冒充的攻击。一个失陷的供应商账号是一个真实的账号、位于一个真实的域名之上、带有真实的认证，从一个真实的业务关系内部发出。没有可供过滤器标记的伪造信头，也没有可供标记的仿冒 URL。攻击者只是在使用一个你的组织已经信任的账号。这类攻击通常通过行为而非内容浮现：付款指令的突然变更、写作语气的变化、一个打破该关系正常模式的请求、一次来自该账号从未使用过的地点的登录或发信模式。捕捉它们需要对该供应商账号随时间变化的行为拥有可见性，以及能在可信发件方开始表现得像个不同的发件方时发出警报的威胁情报，再结合能够将风险从某个特定供应商隔离出来、又不至于切断整段关系的自适应控制。这不是一个边缘风险。在同一项 30 天评估中，Proofpoint 研究发现，93% 的抽样组织都曾收到过源自某个供应商域的威胁。

安全团队由此处境

AI 并没有创造冒充攻击。它消除了曾经拖慢攻击者、并给防御者一个捕捉错误的机会的那种摩擦。堵上这道缺口，需要四块拼图协同工作：经过认证的域名、受到监控的仿冒域名、受到保护的应用与代理邮件，以及对供应商账号行为的可见性。把其中任何一块当作单独的充分手段，都会让其他几块门户大开。

常见问题（答案均取自上述人类原文章节）

生成式 AI 具体从哪些方面改变了邮件冒充攻击？

它同时提升了攻击者的移动速度、可产出的邮件数量，以及最终内容的可信度；消除了生硬措辞、通用问候、翻译错误等旧式破绽；并使「为每个目标量身定制一封经过充分研究的邮件」成为可能，打破了产量与精度之间的历史权衡。

为什么仅发布 DMARC 记录还不够，必须走到强制策略？

仅发布记录而不采取 quarantine 或 reject 策略，攻击者仍可借你的可信域名投递；走到完整强制需要三点：对每一个代你发信的系统拥有可见性、一份不破坏合法投递的上线计划、以及强制后的持续监控。

外观相似域名（lookalike domain）为何难以防范？

域名认证只保护你的真实域名，保护不了攻击者专门注册来仿冒你的域名（替换字母、加连字符、换顶级域、同形异义字）。有效做法是：在新注册域名被用作攻击平台之前，将其与品牌词/供应商品牌词关联比对、标记并推动下线。

为什么失陷的供应商账号最难被传统过滤器捕捉？

它是真实账号、真实域名、真实认证，从真实业务关系内部发信，没有伪造信头也没有仿冒 URL；只能靠行为异常识别——付款指令突变、语气变化、异常登录地点等。

AI 代理（agent）发信为何成为新的身份攻击面？

代理以合法凭据代表个人发信，体量与速度远超人类；一旦失陷或被操纵，攻击者即可借此规模化发信。因此每一个发信系统——无论人或机器——都需被同等认证、登记与监控。