2026 年，电子邮件攻击已全面转向「AI 驱动」：攻击者用大语言模型批量生成高仿真钓鱼邮件，用图片承载钓鱼内容绕过文本规则，用社会工程学话术绕过关键词检测。传统的基于规则（签名、正则、黑名单）的邮件安全网关在面对这些攻击时存在结构性盲区。本文给出一种完全基于开源组件、可落地的架构：以 Rspamd 为高速规则引擎基座，叠加多模态大语言模型（LLM）作为语义与视觉分析层，形成「先规则快筛、后 AI 深检」的分层防御体系——这是 AI 智能体邮件网关（AI Agent Email Gateway）的参考实现。

一、为什么规则引擎挡不住 2026 年的钓鱼攻击

钓鱼攻击的三个新趋势，恰好是规则引擎的三个盲区：

• 图片化钓鱼：攻击者将钓鱼内容渲染为图片（PNG/JPEG/PDF 截图），文本规则引擎无法读取图片中的文字，传统 OCR 对模糊、变形、背景噪声的截图识别率低
• 社会工程学话术：利用紧迫感、权威冒充（CEO 诈骗 / BEC）、情感操控的邮件，在词汇层面与正常邮件高度相似，关键词规则无法区分「请尽快转账」的恶意与善意语境
• AI 批量生成：LLM 可无限生成语义通顺、无拼写错误的钓鱼变体，指纹/哈希类检测（模糊哈希）对每次生成的变体完全失效

二、基座选型：为什么是 Rspamd

Rspamd 是当前架构最先进、开源程度最高的邮件处理框架（Apache 2.0 许可，GitHub rspamd/rspamd）。其官方文档（docs.rspamd.com）明确的能力矩阵：

三、分层防御架构（推荐实现）

核心设计原则：让规则引擎在毫秒级拦截 99% 的已知威胁，让 LLM 只对可疑的 1% 做深度语义分析——既保证吞吐，又控制 LLM 调用成本与延迟。

1. 第一层 Rspamd pre-filters：白名单、基础策略（连接信誉、发送频率）、快速丢弃
2. 第二层 Rspamd main filters：并行执行 SPF/DKIM/DMARC/ARC 认证、RBL 查询、贝叶斯/神经网络评分、内容分析
3. 第三层 Rspamd post-filters：复合评分；得分处于「灰色地带」（如 3.0-6.0 分）的邮件，触发 Lua 插件调用外部 LLM API
4. 第四层 LLM 深检：多模态 LLM 同时分析邮件文本语义 + 图片附件 OCR 内容 + 发件人意图，输出「钓鱼概率 + 推理依据 + 建议动作」
5. 第五层 动作决策：LLM 结果作为权重叠加到 Rspamd 总分，决定放行 / 隔离 / 拒绝；全部决策日志化，供人工复核与模型迭代

四、LLM 层的三个关键能力

4.1 多模态识图（图片钓鱼）

对图片类钓鱼，LLM 视觉能力（如 DeepSeek-OCR 2 的语义级 OCR）可读取图片中的文字、Logo、表单结构，识别「仿冒登录页」「伪造发票」「二维码钓鱼」等模式。这是传统规则 + 传统 OCR 无法达到的。

4.2 社会工程学语义分析

LLM 可对邮件做意图级分析：识别紧迫感施压（「立即」「24 小时内」）、权威冒充（「CEO 要求」「财务部通知」）、异常请求（转账、改收款账户、购买礼品卡）、身份伪装（发件人显示名与域名不匹配）。这些特征无法用关键词穷举，但 LLM 可泛化识别。

4.3 攻击链推理与证据输出

与规则引擎输出「命中规则 X」不同，LLM 输出的是可解释的推理链：「邮件声称来自 CEO，但域名与公司域名不同（域名仿冒）；要求立即转账且收款账户与公司开户行不符；附件为伪造的发票图片（OCR 识别出账号篡改痕迹）→ 高置信度 BEC 攻击」。这种结构化推理既是安全团队的审计依据，也是训练下一代检测模型的高质量语料。

五、必须解决的对抗面：Prompt Injection

六、开源组件全景

七、AI 攻防演练闭环：让防御持续成长

AI 智能体邮件网关区别于传统网关的终极价值，在于它能够「在攻防对抗中成长」：

1. 采集：将钓鱼样本（真实攻击 + 公开数据集 + 红队合成样本）归档为带标签语料
2. 演练：用攻击侧 LLM 持续生成新变体（图片化、话术演化），投喂防御侧 LLM 检测
3. 评估：每次对抗记录检测结果与推理链，量化漏报/误报
4. 迭代：用对抗产出微调/蒸馏防御模型，或增强 Rspamd 规则（Lua 插件 + 贝叶斯重训）
5. 沉淀：每一轮对抗的样本与推理链都是高质量训练语料——这既是防御能力，也是数据资产

八、部署形态与性能预算

九、总结

AI 智能体邮件网关 = Rspamd 规则引擎（快、稳、开源）× LLM 多模态层（准、懂语义、可解释）× 攻防演练闭环（持续成长）。这套架构全部基于开源组件，符合本地优先原则，且每一轮对抗都会沉淀为可复用的训练语料——防御能力与数据资产同步增长，是邮件安全领域「自我进化」的落地形态。