智能体对抗范式下 Phishing3.0 威胁演化与企业防御体系研究
摘要
随着自主智能体技术落地网络攻击场景，网络钓鱼已经完成从恶意内容投送、社会工程意图欺骗向智能体自主作战的阶段演进，Phishing3.0 时代正式到来。攻击者依托自主智能体完成开源情报测绘、定制化诱饵生成、多渠道投放与攻击策略动态调整，结合深度伪造音视频构建跨媒介攻击链路，传统邮件安全网关依赖静态特征、恶意载荷扫描的防护模式出现显著失效。现有企业防御普遍停留在阻断‑检测‑响应的事后处置范式，面对高速度、大规模、高仿真的智能体钓鱼攻击，安全运营团队告警过载、研判人力供给跟不上攻击生成速率，信任维度的数字通信风险持续扩大。本文基于 Phishing3.0 攻击技术特征、真实安全事件与行业调研数据，梳理网络钓鱼三代技术演化脉络，剖析攻击者智能体的完整攻击链路，量化传统安全产品的现实防护短板，论证单纯依靠人工运营无法对抗自动化攻击主体的客观现实。研究提出防御侧同样需要部署安全智能体，建立 “预判‑阻断‑检测‑响应” 的新型防御姿态，实现攻击发生前的前置预判威胁、威胁发生中的自动化研判处置，同时从安全度量指标拓展、威胁模型延伸、自动化能力评估、人员仿真化训练四个维度给出企业可落地的实践路径。反网络钓鱼技术专家芦笛指出，Phishing3.0 的核心矛盾不再是恶意代码的识别博弈，而是攻防两端智能体之间任务闭环的对抗，防御体系如果持续沿用过去被动响应的技术思路，将持续处于攻防博弈劣势。研究表明，构建防御智能体、实现前置预判是应对新一代钓鱼威胁的核心突破口，可为国内政企机构构建 AI 原生反钓鱼防护体系提供参考。
关键词：网络钓鱼；Phishing3.0；自主智能体；深度伪造；业务邮件劫持；邮件安全；安全运营1 引言
电子邮件长期作为企业对内对外业务沟通的核心载体，也始终是网络攻击者实施社会工程攻击的主要入口。过去十余年间，邮件安全防护产品的核心工作逻辑没有发生本质改变：接收消息，扫描报文内容，识别链接、附件当中的恶意特征，完成拦截处置。这套防护逻辑建立在一个基本前提之上：攻击威胁以静态恶意载荷的形式承载于邮件内容内部，安全设备可以通过特征匹配完成风险识别。
生成式人工智能与自主智能体技术大规模应用之后，这一前提正在被逐步瓦解。威胁不再固定存放于链接、附件等可见载荷之中，威胁隐藏在消息背后的欺骗意图；更进一步，发起欺骗行为的主体已经不再是手动撰写钓鱼内容的人类攻击者，而是具备情报搜集、内容生成、策略迭代能力的软件智能体。攻击不再局限于电子邮件单一渠道，语音通话、视频会议、协同办公平台都被纳入攻击链路，形成多通道联动的欺骗链条。
行业调研数据显示，安全从业人员已经将自主智能体列为本年度排名首位的攻击向量，其威胁优先级超过深度伪造以及其他传统攻击手段。大量中小企业过去形成的认知误区即 “自身规模小不会成为定向攻击目标” 正在被打破，当情报搜集、诱饵生成的成本被智能体压缩到近乎零成本，攻击者可以对海量组织机构批量生成高度定制化的攻击样本，小规模团队同样面临定制化钓鱼攻击的现实风险。现实安全案例已经证实，融合深度伪造视频通话的钓鱼攻击能够造成数千万级别的经济损失，而此类攻击全程不存在可供邮件网关扫描识别的恶意附件或者恶意链接，传统邮件防护工具完全没有介入处置的机会。
来自第三方行业调研的统计结果反映企业的普遍困境：绝大多数企业在过去十二个月遭遇过动摇数字通信信任基础的安全事件，超过六成安全管理者对于抵御深度伪造类攻击缺乏足够信心，过半受访者承认针对信任类攻击处置失败会直接提升整体网络被突破的概率。主流商用邮件安全网关在真实业务流量下仍然存在可观的漏报数量，大量钓鱼威胁绕过边界防护抵达员工收件箱，成为企业内部风险的源头。与此同时企业安全运营中心面临告警泛滥问题，海量安全告警仅有少部分可以得到人工分析，人力规模增长速度无法匹配攻击自动化带来的告警膨胀。
现有公开研究更多聚焦 AI 生成钓鱼文本检测、深度伪造音视频鉴别等单点技术，对于攻防双方均使用自主智能体开展对抗这一新范式的系统性讨论相对有限。本文以 Phishing3.0 智能体对抗作为核心研究对象，厘清三代钓鱼攻击的技术分界，解析攻击者智能体完整作战流程，分析传统防御架构失效内在机理，论证防御智能体的能力定位，输出企业安全建设的实践指引。全文立足于公开行业事件与调研统计，不做脱离产业现实的技术空想，客观看待智能防御技术存在的局限，不夸大技术可以实现的防护效果。
2 网络钓鱼三代技术演进路径分析
网络钓鱼的演化不是技术简单叠加，而是攻击的核心风险载体发生转移，从恶意内容转向欺骗意图，再升级为智能体自主作战，不同阶段对应不同的攻击手段、防护难点与适配的防御技术。
2.1 Phishing1.0：以恶意内容为核心的载荷驱动攻击
Phishing1.0 阶段攻击核心是恶意内容，典型形态包括恶意链接、病毒附件、大规模垃圾邮件。攻击者制作包含有害载荷的邮件，依靠大规模群发扩大攻击覆盖面。安全邮件网关产品正是针对该阶段威胁而设计，依靠报文扫描、特征签名匹配识别恶意对象，完成消息丢弃拦截。
该阶段钓鱼的特征非常清晰，攻击成败高度依附邮件报文内部存在的可识别恶意对象。攻击者需要把木马程序、钓鱼网站链接直接放置邮件当中，防御方只要能够捕获对应的样本特征，就可以实现批量拦截。当然该阶段同样存在漏报、绕过现象，但整体威胁逻辑清晰，经过多年安全建设，Phishing1.0 代表的基础垃圾邮件、带毒附件钓鱼已经得到比较充分治理，已经不是造成重大企业损失的主要威胁来源。
反网络钓鱼技术专家芦笛强调，很多企业当下的邮件安全建设，硬件设备、策略配置依旧完全停留在适配 Phishing1.0 威胁的思维模式，安全采购、效果评估依旧围绕恶意链接、恶意附件拦截指标，并没有针对后续两代钓鱼威胁补充对应的检测能力，这是很多机构面对新型社会工程攻击快速失守的重要底层原因。
2.2 Phishing2.0：以欺骗意图为核心的业务邮件劫持攻击
Phishing2.0 阶段代表攻击类型为业务邮件劫持（BEC），高管身份仿冒、虚假发票往来、电汇欺诈均属于该范畴。该阶段攻击报文内部不存在任何恶意载荷，邮件本身的链接、附件全部合法无害，全部威胁来自文本传递的社会工程欺骗意图。攻击者伪装成企业内部高管、合作供应商，发送看似正常的业务请求，诱导员工执行转账、提交敏感资料等高危操作。
正是因为没有可供扫描的恶意对象，传统安全网关对这类威胁近乎 “失明”，报文扫描、特征签名完全无法发挥作用。想要识别该类威胁，不能依赖静态内容特征，只能转向行为分析思路，学习企业内部人员真实沟通习惯，对比消息发送行为、行文风格、业务上下文是否和常态基线出现偏离。这也是过去数年安全厂商投入资源研发行为 AI 检测能力的现实背景。
Phishing2.0 阶段攻击者主体依旧是人。攻击者需要投入可观人力完成目标情报搜集，浏览企业官网、扒取招聘公告、梳理供应链信息、浏览社交平台公开资料，才能够写出贴合业务场景的欺骗邮件。定向攻击的成本较高，攻击者会优先选择高价值大型企业开展行动，中小机构遭受高度定制 BEC 攻击的概率相对有限。但只要社会工程话术足够逼真，即便行为检测可以识别一部分样本，依旧存在绕过空间，该类攻击长期保持很高的财产破坏力。
2.3 Phishing3.0：自主智能体赋能的多通道一体化攻击
Phishing3.0 即是 AI 全面赋能、多渠道联动、由软件智能体主导的钓鱼作战。生成式大模型撰写欺骗诱饵，深度伪造技术产出伪造语音、伪造视频，攻击活动打通电子邮件、协同办公工具、实时音视频通话多个载体。发起攻击不再是坐在屏幕前手动编辑邮件的黑客个体，而是一套自主智能体程序，智能体独立完成情报勘探、诱饵文稿生成、消息投递，并且可以依据反馈自动调整攻击策略。
这一代攻击改变的不只是攻击工具，更是攻击的经济学成本结构。在过去，情报搜集是攻击成本当中占比很高的部分；智能体消除了这部分人力开销，软件可以短时间汇总企业全部公开互联网痕迹，读取代码托管平台公开文档，梳理组织内部汇报关系，在数秒时间生成针对特定岗位的欺骗说辞，之后可以批量复制这套流程，对上万个组织机构并行生成定制化攻击内容。
过去常见拼写错误、语法拙劣的钓鱼邮件逐步退出主流，取而代之的是支持来回对话交互的交互式诱饵。攻击样本不再是一次性单向投递，智能体可以模拟真实人类完成多轮对话，进一步提升欺骗成功率。攻击的波及范围随之扩张，不再只有高价值目标才会收到定制化攻击，当情报搜集边际成本趋近于零，无论组织规模大小，都有可能遭遇看起来经过人工精心打磨的定向钓鱼。
更为严峻的变化是攻击链路跳出收件箱边界。公开报道的 Arup 企业安全事件就是典型案例：攻击最先以仿冒英国首席财务官钓鱼邮件发起，员工产生犹豫之后攻击者直接切入深度伪造视频通话，通话当中多名同事面孔全部为合成伪造，最终该企业员工被欺骗，批准十五笔转账，合计损失约两千五百万美元。整个事件当中，真正造成财产损失的环节发生在视频通话，邮件只是攻击的起点，无论邮件安全网关防护能力多强，都无法拦截发生在视频会议渠道的欺骗行为。攻击者瞄准的对象已经不是邮件系统本身，而是员工对于听到声音、看到画面的天然信任。
3 Phishing3.0 攻击者智能体工作流程与威胁表现
攻击者部署的自主智能体拥有完整的闭环任务链条，分为开源情报侦察、定制化诱饵生成、多渠道投放执行、依据反馈自适应迭代四个关键环节，整套流程可以全自动循环运转，不需要人工持续介入。
3.1 开源情报自动化侦察环节
侦察是定向社会工程攻击的根基，也是智能体带来最大效率提升的环节。智能体程序自动抓取企业官网业务介绍、对外发布的招聘信息、供应链合作名单、高管社交网络公开动态；访问代码托管站点读取公开项目文档，梳理组织内部汇报层级、部门业务分工。将碎片化公开信息汇总、摘要提炼，形成目标组织画像。
这套工作过去需要攻击者耗费大量人工浏览网页、整理笔记，现在全部交由智能体完成。侦察输出结果直接供给下游诱饵生成模块，保证后续产出欺骗话术贴合目标企业真实业务语境，不会出现脱离现实业务的低级破绽。侦察环节的自动化，是批量大规模开展定制钓鱼的前提。
3.2 场景化欺骗诱饵生成环节
基于侦察环节输出的组织画像，大模型生成适配业务场景欺骗内容。既可以生成邮件正文文本，也能够输出适合即时通讯发送的简短消息；配合语音克隆模型输出仿冒语音，调用视频深度伪造模型生成伪造会议画面。诱饵不再是固定模板，每一份诱饵都结合搜集到的企业细节，尽可能模仿内部人员沟通语气。
值得注意的是诱饵具备交互能力，并非单向一次性文本。当目标对象回复消息表现迟疑、提出疑问，攻击智能体读取回复内容，动态生成新一轮回复话术，继续维持欺骗对话。交互式攻击极大增加识别难度，传统防护工具大多针对单条消息开展检测，缺少对完整多轮对话上下文的持续研判。
3.3 跨多渠道攻击投放执行
智能体按照策略完成诱饵分发，攻击路径并不局限电子邮件。同一套攻击战役可以同时投递邮件消息，在协同办公软件发送私信，后续主动发起语音呼叫甚至视频会议。攻击者可以灵活切换载体，如果邮件引起员工警惕，就把战场转移到音视频通话，绕过邮件安全边界全部防护能力。
多通道联动带来一个非常棘手的防护现实：不同渠道分属不同安全系统管辖，邮件网关只管邮件，通讯平台安全管控只管 IM 消息，音视频通话大多几乎没有社会工程欺骗检测能力，各个系统之间缺少上下文互通，很难识别属于同一攻击战役的跨平台行为。
3.4 攻击策略自适应迭代闭环
智能体可以收集目标对象行为反馈，以此迭代后续攻击策略。例如识别到目标对于金钱相关话术警惕性很高，后续对话就调整叙事角度，改用系统权限、紧急项目推进等其他叙事；识别到某一类诱饵被安全设备大量拦截，就自动改写文本表达，尝试生成新的绕过版本。整个攻击流程形成 “侦察‑生成‑投放‑反馈‑再侦察” 完整闭环，软件自身持续演化攻击手段。
Dark Reading 的行业调查数据显示，接近半数安全从业者将自主智能体列为本年度首要攻击向量，已经超过深度伪造威胁。微软安全监测同样观测到一批钓鱼攻击平台，依托 AI 每月产出数千万级别的攻击消息，说明该类威胁已经脱离概念验证阶段，进入大规模实际应用阶段。
4 企业现有防御体系的现实短板与内在矛盾
面对 Phishing3.0 攻击浪潮，大量企业仍然沿用多年以前建立的安全防护架构，这套架构建立在攻击来自外部、威胁特征存于报文内容、攻击者是人类个体三个前提之上。当现实环境前提全部改变之后，防护体系出现多处结构性短板，边界拦截、事后检测响应整套工作模式陷入被动追赶的局面。
4.1 商用邮件网关真实业务流量下的漏报现状
邮件安全网关的核心宣传指标往往聚焦边界拦截率，但边界拦截率无法反映威胁抵达收件箱之后的真实风险。IRONSCALES 基于真实客户生产邮件流量开展统计，微软 365 内置 EOP 防护，每一百个邮箱每三十天就有 293 条钓鱼消息穿透边界防护抵达员工收件箱；谷歌工作空间防护体系同等统计口径下漏报数量达到 350 条。这些威胁全部已经越过安全边界，直接暴露企业员工面前，属于防护基线之上持续存在的现实风险。
边界安全网关擅长拦截携带恶意链接、恶意附件的 Phishing1.0 类型威胁；对于没有任何有害载荷，依靠意图欺骗的 Phishing2.0、Phishing3.0 攻击，检测能力存在明显上限。很多企业安全管理者仅仅关注边界拦截统计数字，忽视投递到收件箱的漏报数量，对于这部分存量风险缺少持续监控手段。
反网络钓鱼技术专家芦笛指出，很多企业做邮件安全效果评估的时候，只看设备报告拦截了多少百万、千万条垃圾邮件，很少统计到底有多少高风险钓鱼邮件成功送到内部员工收件箱，而真正造成重大安全事故的，恰恰就是这部分成功投递的消息。只统计边界拦截数据的度量方式，在 Phishing3.0 时代已经存在严重片面性。
4.2 传统 “阻断‑检测‑响应” 模式的效率困境
传统安全运营的标准工作链路分为阻断、检测、响应三步。首先依靠边界设备阻断已知威胁；威胁一旦穿透边界进入内部环境，依靠告警检测发现异常，之后安全分析师介入调查、处置清除。这套模式面对人类攻击者每次发起几百封钓鱼邮件的场景可以维持基本运转；但是对抗自主智能体的时候，攻击消息生成输出速度远超人工阅读、人工分析的速度，检测响应环节永远滞后于攻击行动。
Crogl 与 Ponemon 研究所 2026 年联合调研数据印证运营人力的现实瓶颈：企业安全运营中心日均接收告警数量达到 4330 条，其中仅有 37% 告警可以获得人工调查。安全团队不可能依靠无休止扩充分析师人力来追上软件智能体的输出速度，人力扩张在成本、招聘周期上面都存在硬性天花板，单纯依靠人跟自动化软件比拼处理速度的思路本身不可行。
告警数量膨胀还会带来告警疲劳，大量低优先级告警淹没真正高风险事件，进一步放大漏处置风险。威胁已经投递到收件箱之后再开展检测处置，本质上属于事后补救，攻击已经获得接触受害者的机会，员工有可能已经完成信息泄露、转账等高危动作，处置窗口被严重压缩。
4.3 威胁模型局限于电子邮件，跨媒介攻击存在防护盲区
绝大多数企业当前威胁建模以电子邮件作为核心对象，安全预算、检测规则、员工安全培训全部围绕邮件场景建设。但 Phishing3.0 攻击链路会主动跳开邮件系统，把关键欺骗环节放在语音、视频通话。Arup 深度伪造诈骗案例中决定性欺骗发生在视频会议，邮件只是前期铺垫环节。如果企业身份校验机制仅仅覆盖邮件场景，攻击者就会主动绕开已经设防的邮件渠道，选择防护薄弱的音视频通路完成关键欺骗。
企业普遍缺少针对语音、视频维度的社会工程欺骗威胁模型。深度伪造带来的风险不是简单识别音视频文件真伪，攻击者大量使用实时生成通话，并没有留存完整音视频文件可供工具扫描鉴别。安全建设过去积累的文件扫描、哈希比对手段很难直接迁移到实时通话场景。
4.4 员工安全训练与真实攻击手段脱节
很多企业常态化开展钓鱼仿真演练，但是演练样本大量使用通用模板化钓鱼样本，模板样本特征和真实世界智能体生成的高度定制化攻击差异很大。员工经过反复训练之后可以识别通用钓鱼模板，但面对结合本单位业务细节、模仿内部同事口吻的定制诱饵，识别能力提升有限。通用仿真训练可以应对 Phishing1.0 威胁，对于 Phishing3.0 定制交互式攻击训练效果存在局限。行业调研显示 60% 安全负责人即便完成现有培训，依旧对对抗深度伪造攻击缺少信心，侧面印证通用培训模式的局限性。
5 防御侧部署安全智能体：Agent 对抗 Agent 的防护新思路
攻击者使用自主智能体开展作战，防御方如果完全依靠人类分析师，天然处于速度劣势。Phishing3.0 时代攻防博弈出现对称性变化，防御端同样需要引入安全智能体，在原有阻断‑检测‑响应之前增加预判作为前置防御姿态。预判意味着在攻击消息还没有投递到企业环境之前就提前预判潜在攻击路径，在第一封攻击消息抵达前就完成检测策略加固，自动化处理标准化威胁研判工作，让安全人员可以集中精力处理真正需要主观判断的复杂决策。
5.1 防御智能体的定位与能力边界
防御智能体不等同于简单对话聊天机器人，不是挂载在安全仪表盘之上的交互插件。它承担端到端威胁研判任务，接收原始安全数据，完成取证分析，直接输出威胁判定结论，而不是仅仅生成一堆待人工处理的告警工单。
参考行业已经落地产品能力，防御智能体可以划分三类典型能力方向。第一类红队仿真智能体：复刻攻击者开源情报搜集行为，从互联网公开渠道采集本组织公开信息，模拟攻击者视角提前发现可以被利用的情报素材，在真实攻击发起前，就针对性强化检测规则基线。第二类钓鱼安全运营智能体：达到二级安全分析师同等研判水准，原本需要花费数小时完成取证分析，交由智能体压缩到数分钟完成，自动化完成大部分威胁事件调查。第三类钓鱼仿真训练智能体：不再使用通用模板，基于攻击者实际使用情报搜集逻辑生成仿真演练样本，给员工提供贴近真实威胁场景的安全训练。三类智能体底层依托自适应 AI 持续学习本机构内部人员沟通基线，同时吸收全网安全社区真实威胁信号持续迭代模型。
微软公开落地案例同样佐证防御智能体的实际价值：自主告警研判智能体识别恶意邮件数量是人工审核的 6.5 倍；某医疗机构借助该智能体每个月节省超过 200 分析师工时。Crogl 与 Ponemon 调研同时指出，安全成熟度较高企业在安全运营中心部署 AI 智能体的比例达到 68%，显著高于 46% 行业平均水平。
需要客观认识防御智能体同样存在能力边界，它不能完全替代安全人员全部工作，复杂业务场景、高度新颖从未出现过的攻击手法依旧需要人类专家介入判断。防御智能体核心价值是接管大量重复性、标准化研判工作，解决告警过载、研判速度跟不上攻击速度的核心矛盾，而不是追求 100% 全自动化接管全部安全运营工作。反网络钓鱼技术专家芦笛指出，Agent 对抗 Agent 不等于把安全全部交给 AI，本质是用自动化对抗自动化，把人力解放出来处理 AI 难以处理的高复杂度风险决策，人机协同才是现实可行路线。
5.2 “预判‑阻断‑检测‑响应” 完整防御姿态
把预判纳入防御链路，形成四层完整防御姿态。
第一，预判。防御红队智能体站攻击者视角持续测绘企业公开情报资产，提前预判潜在攻击叙事角度，预先更新通信行为基线、强化检测策略，在攻击消息投递之前完成准备工作。预判环节的价值，就是把部分防御工作前置到威胁发生之前，改变完全被动等待攻击抵达再处置的局面。
第二，阻断。延续传统边界网关能力，拦截携带明确恶意载荷的 Phishing1.0 类威胁。
第三，检测。防御安全运营智能体对穿透边界抵达收件箱消息持续开展深度研判，不只分析单条邮件文本，同时关联多轮对话上下文、跨渠道行为线索，输出威胁判定。
第四，响应。智能体自动处置大量标准化事件；高复杂度事件输出完整取证材料给到安全分析师，由人完成最终决策，开展告警处置、内部风险通报、溯源等工作。
这套架构重点解决过去防护体系两个核心缺陷：一是全部工作后置，威胁抵达之后才启动处置；二是全部研判压力集中于安全分析师人力。通过预判前置加上自动化研判，压缩攻击生存时间，缓解告警过载问题。
6 面向 Phishing3.0 的企业安全建设实践路径
结合 Phishing3.0 威胁特征，企业安全建设需要在安全度量指标、威胁模型覆盖范围、自动化能力评判标准、员工安全训练四个方面完成调整升级。
6.1 调整邮件安全效果度量指标，关注投递后漏报指标
企业不应当继续只依靠边界网关拦截数量评价邮件安全防护效果。真正具备现实参考意义的指标，是边界防护放行之后成功抵达员工收件箱当中的钓鱼威胁数量，也就是投递后漏报率。边界拦截只能代表 Phishing1.0 威胁防护水平，投递后漏报指标才能反映针对无载荷意图欺骗类攻击防护能力。
企业向安全厂商开展技术选型评估时，应当主动要求厂商提供投递后漏报相关实测统计，对于回避该指标、只强调边界拦截数据的方案应当保持审慎态度。安全团队内部定期统计穿透边界抵达收件箱的高风险消息，纳入安全态势报告，作为邮件安全能力迭代依据。
6.2 拓展威胁模型，把语音视频纳入防护思考范畴
企业威胁模型不能继续局限电子邮件。需要把深度伪造视频通话、语音仿冒呼叫纳入威胁分析范围，梳理攻击完整可能链路，思考攻击者一旦绕开邮件系统之后会选择哪些业务通道，针对性设计身份核验流程。
尤其涉及大额资金转账、高权限账号开通、核心数据对外输出等高风险业务操作，不能仅仅依靠消息文本确认指令真实性。要建立独立于消息渠道之外的核验流程，不通过邮件、即时通讯、视频通话本身完成身份确认，使用线下或者独立的二次确认渠道完成身份校验，消除攻击者利用渠道本身实施欺骗的风险。
6.3 评判自动化能力重点考察自主处置能力而非告警产出
评估安全自动化工具性能，不看工具能够产出多少告警数量。产出大量告警交由人工阅读，本质是把工作量转移到安全分析师，无法解决告警过载的固有矛盾。评判自动化能力的核心指标，是多大比例安全事件可以在不需要人工介入前提下完成完整调查与处置。
安全采购阶段需要重点确认产品自动化闭环处置占比。区分两类工具：一类工具只做异常发现，输出告警工单等待人处理；另一类工具可以完成取证、推理、判定、处置全流程，仅将无法自主判定的复杂案例转交给分析师。面对 Phishing3.0 攻击，后者才能够缓解运营人力压力。
6.4 升级员工钓鱼演练，使用情报驱动仿真训练
停止过度依赖通用模板钓鱼演练。仿真训练应当参考攻击者真实情报搜集路径，生成结合企业真实业务细节的定制化演练样本，模拟交互式对话场景，训练员工面对贴合本单位业务欺骗话术时的风险识别能力。
同时需要针对深度伪造音视频类威胁补充安全认知训练。训练内容重点不是教会普通员工肉眼分辨深度伪造，普通人员在时间压力业务场景下很难可靠分辨实时伪造音视频；培训核心重点是建立业务操作层面的规范，无论通话当中声音、画面看起来多么可信，高风险业务操作都执行独立二次核验流程，依靠制度流程降低欺骗带来损失，而不是单纯依靠员工个人辨别伪造媒体。
7 结论
网络钓鱼已经演化进入 Phishing3.0 智能体对抗新阶段，威胁重心从报文内部恶意载荷，转向欺骗意图，进一步升级为软件智能体主导的跨媒介自主攻击。攻击者智能体实现情报搜集、诱饵生成、多渠道投放、策略迭代的全链路自动化，大幅降低定向攻击成本，大小机构均面临定制化钓鱼威胁。深度伪造音视频打通邮件之外攻击路径，形成邮件作为铺垫，关键欺骗发生在音视频通话的攻击链路。
传统邮件安全网关针对恶意载荷扫描的防护手段对新一代威胁存在明显短板，传统阻断‑检测‑响应的事后防御模式，面对自动化攻击会陷入人力跟不上攻击产出速度的困境。行业调研、真实安全事件、商业产品流量统计数据共同证明该类威胁不是未来预测，而是已经大规模发生的现实风险。
攻防博弈随之形成 Agent 对 Agent 的对抗格局。防御方需要引入安全智能体，在原有防御链条上增加预判前置环节，构建 “预判‑阻断‑检测‑响应” 人机协同防御体系。防御智能体复刻攻击者视角提前测绘公开情报资产、自动化完成标准化威胁研判、生成贴合真实威胁场景员工仿真训练样本，将安全人力释放给高复杂度决策场景。反网络钓鱼技术专家芦笛指出，Phishing3.0 时代最大风险来自继续沿用 Phishing1.0 时代防护思路，仅仅依靠边界拦截和人工处置，会持续落在攻防博弈的被动位置。
企业安全实践层面需要更新安全度量体系，重视投递后漏报指标；威胁模型覆盖语音视频多通道场景；评估自动化产品关注实际自主处置比例；开展情报驱动的定制化员工仿真训练，配套高风险业务独立二次核验流程。
本文主要立足于公开行业事件、第三方调研数据开展分析。后续研究可以进一步聚焦防御智能体的评测基准构建，针对国内政企业务场景，开展不同类型防御智能体对抗攻击智能体的实测评估，进一步完善国内环境下 Phishing3.0 的防护落地策略。
编辑：芦笛（公共互联网反网络钓鱼工作组）