会读邮件的 agent，最容易被钓鱼

你的 AI 收件助理替你回邮件、订会议、转发附件。它不会把钓鱼链接发给用户——旧数据集上是这么测的。但一封「重新优化过措辞」的钓鱼信进来，它可能直接照办了。

一、发生了什么

10 月 22 日挂出的一项安全研究建了个叫 AgentPhishing 的基准，专门测这件事。核心思路是：已有的钓鱼样本都是为「人被骗」设计的，智能体面对它们也许游刃有余；真正的问题是，攻击者可以拿智能体的行为反馈去迭代话术。研究团队造了一套优化器，在固定约束和拟真约束下，反复生成、测试、改进邮件话术，沉淀出可复用的生成技能；再用一套经典说服理论给生成的邮件做归因，找出哪类手法最能让智能体破防，最后把发现反过来做成通用攻击模板。九个被测智能体的结果分化明显：面对存量钓鱼邮件，大家都能安全处理；面对自适应攻击，四个智能体的钓鱼检出率掉到 10% 以下，执行恶意请求的比例升到 45% 以上。也就是说，传统钓鱼评测给出的安全感，对新攻击面基本不适用。

这项研究还有一层方法论上的提醒：攻击成功的话术不是玄学，可以归类。团队用一套经典的传播学说服理论去标注生成的邮件，找出哪几类心理杠杆最能撬动智能体——比如制造紧迫、假装权威。这意味着攻击已经可以工程化量产，而不是靠攻击者手写每一封信。防守方如果还在用「关键词黑名单」级别的思路，差距只会越拉越大。

二、跟你有什么关系

如果你已经让 agent 管邮箱：它对老钓鱼样本的高检出率不代表安全。你的防线要按「攻击者会研究你的 agent」来设计，而不是按「攻击者研究你」。

如果你是企业安全负责人：采购带邮件 agent 的产品时，问厂商两个问题——是否测过自适应攻击？agent 执行邮件内指令的权限边界在哪里？

如果你是普通用户：暂时的好消息是这类攻击主要打自动化流程。但 agent 被骗后可能用你的身份继续外发，你的风险是从它的失守传导过来的。

三、怎么判断

1. 给邮件 agent 做权限最小化：删除、外发、付款这类动作默认不允许，白名单逐项开。
2. 评测产品时要求看自适应攻击下的成绩，而不是厂商给的通用钓鱼集分数。后者在论文里已被证明会高估安全性。
3. 给 agent 的动作加人审阈值：涉及外发或资金的操作，无论它多有把握都转人工。

四、三个别信的说法

错误说法一：agent 认得钓鱼邮件，所以安全。 论文的数据恰恰相反：同一批 agent 在存量样本上表现尚可，在迭代过的话术下大比例沦陷。考卷不同，分数不可比。

错误说法二：钓鱼风险只关于「识别」。 对智能体而言，风险有一半在「响应」——识别失败与否只是一部分，它被骗后采取什么动作才是损失大小的关键。

错误说法三：上了大模型的邮件网关就能挡住这类攻击。 论文测的九个 agent 都是语言模型驱动的，没有证据表明模型规模本身能抵御针对性优化的话术。

五、一句话结论

攻击面已经从「骗过收件人的眼睛」转移到「骗过代理人的手」——防它靠的是权限设计，不是识别率。

信息来源

• 邮件智能体自适应钓鱼基准（arXiv 摘要页），2026-10-22

功能与价格以官方公告为准。本文写于 2026 年 10 月 26 日。