IRONSCALES报告发现，AI智能体正成为网络钓鱼的新目标

网络钓鱼邮件不再需要说服收件箱所属员工。它可以直接以代替员工读取收件箱的软件为目标。这正是 IRONSCALES 最新报告 《从深度伪造到双面智能体：AI驱动网络风险的新面貌》 的核心警示。报告发现，企业采用能够采取行动的工具，速度已经超过了配套安全控制措施的发展速度。

在这项由公司委托 Censuswide 开展的调查中，77% 的受访者表示，过去一年里，其所在机构的 AI 智能体或工具曾处理恶意、误导性或未经授权的内容。另有比例较低但仍相当可观的 57% 受访者报告至少发生过一起已确认事件。这些数字反映的是受访者报告的事件，包括较大总数中的疑似事件；它们并非经独立核实的成功入侵次数。

这些发现也伴随着一个更令人鼓舞的进展：对深度伪造防护的投入有所增加，而报告的经济损失严重程度有所下降。综合来看，结果凸显了安全负责人面临的一项现实挑战：在不放弃为人类用户构建的防御措施的同时，将保护范围扩展到自动化决策系统。

AI智能体能够访问重要系统

Censuswide 调查了 501 名美国 IT 和网络安全专业人士，他们的职级为中层管理或以上，任职于员工人数在 1,000 至 10,000 人之间的公司。参与者年龄为 25 至 55 岁，调查实地工作于 2026 年 9 月 9 日至 17 日进行。因此，结果反映的是这一企业样本的情况，而非所有使用 AI 的企业。

在这一样本中，96% 的受访者表示其所在机构使用能够代表员工采取行动的 AI 智能体或工具，52% 则称此类工具已得到广泛采用。报告对这类工具作了宽泛定义，包括读取和回复消息、访问文件以及触发工作流程的工具。

在使用这些工具的机构中，67% 允许其访问工单或帮助台系统，56% 允许访问云存储，49% 允许访问电子邮件或消息服务。另有 30% 允许其访问财务、账单、采购或支付系统。只有 19% 的受访者表示，这些工具仅限访问公共网络，无法访问内部资源。

回答问题与执行操作之间的区别至关重要。错误的摘要可能误导读者；连接到业务系统的工具还可能传输信息或启动工作流程。围绕工具设置的权限，有助于决定错误会造成多大范围的影响。

收件箱也是智能体的一个入口

在报告了与 AI 智能体相关事件的受访者中，42% 表示，AI 工具曾总结或处理恶意电子邮件或消息。另有 41% 报告攻击者曾利用 AI 工具实施网络钓鱼或社会工程攻击。这两类情况可能有所重叠；第二类还包括攻击者使用 AI 的情形，不一定意味着受害者自己的智能体遭到入侵。

这一细微区别很重要。调查将几类与 AI 相关的失误纳入同一幅图景，但并未证明每起事件都涉及相同的攻击手法。尽管如此，调查仍表明，机构需要审视智能体接收的内容，以及其集成所允许执行的操作。

理解这种风险的一种有效方式，是将信息与权限区分开来。消息中可能包含指令，但仅仅因为指令出现在收件箱里，并不意味着这些指令就获得了授权。当软件能够跨连接系统采取行动时，维护这一界限便成为访问控制和工作流程设计的一部分。

IRONSCALES 的 电子邮件安全平台 体现了该公司对这一入口的关注。公司介绍称，其方案基于 API，将 AI 分析、自动化调查和人工威胁情报结合起来，同时提供网络钓鱼模拟以及针对 Microsoft Teams 的深度伪造防护。这些能力有助于理解研究赞助方的立场；本调查并未独立评估其产品的有效性。

审批流程虽已建立，安全团队却很少主导

在 479 名所在机构使用具备行动能力的 AI 工具的受访者中，78% 将 IT 列为智能体、助手、插件和连接器的主要审批方。仅 6% 将安全团队列为主要审批方，另有 14% 表示审批由多个团队共同负责。

担任主要审批方，与参与审批并不是一回事。这些数字并未表明安全团队在其余所有审批流程中都被排除在外，但它们确实显示，涉及高权限工具的决策通常由其他团队主导。

在报告了事件的机构中，39% 表示曾有员工授予 AI 工具访问权限，而安全团队原本不会批准这一权限。这一发现让治理问题变得具体：启用连接器之前由谁评估权限？当工具行为异常时，又由谁撤销这些权限？

报告还发现，信心与实际落实之间存在差距。尽管 93% 的受访者表示事件响应计划涵盖 AI 智能体，84% 的受访者有信心识别 AI 驱动的事件，但只有 52% 表示正式政策、控制措施和事件响应流程均已落实。另有 35% 报告称，虽已制定政策，但技术控制措施有限。

深度伪造造成的损失有所下降，但威胁依然存在

深度伪造相关调查结果与 Censuswide 于 2025 年针对同类受访者开展的调查相比，呈现出更积极的情况。积极投入防御的比例从 37% 上升至 48%。在报告遭受经济损失的组织中，损失至少达到 100,000 美元的比例从 63% 降至 49%；损失达到 1,000,000 美元或以上的比例则从 6% 降至 3%。

在遭受经济损失的组织中，估算的平均损失从约 280,000 美元降至 225,000 美元。这些估算采用了受访者报告的损失区间中点。由于两次调查询问损失的方式不同，比较时排除了损失为零、不确定以及选择不予回答的回应。

报告明确提醒，投入增加与损失减少同时出现，并不能证明前者导致了后者。事件也并未消失：84% 的受访者报告至少遭遇过一起与深度伪造相关的事件，而 2025 年这一比例为 85%。报告对相关事件的定义范围很广，涵盖被篡改的图像和伪造的电子邮件，以及实时语音和视频冒充。

优先事项之间也存在竞争。尽管能够执行操作的 AI 给安全预算带来了新的需求，将深度伪造防御列为首要任务的比例仍从 71% 降至 60%。损失减少，说明有必要审视哪些措施正在发挥作用，而不是认定威胁已经过去。

保护操作，而不只是对话

IRONSCALES 建议让安全团队参与智能体审批、限制其权限、监控其操作，并通过针对员工和智能体的攻击来测试事件响应能力。这些建议呼应了报告的两个主题：欺骗性内容依然危险，但获准执行操作的软件改变了此类欺骗造成后果的方式。

对企业团队来说，这意味着要了解有哪些智能体、每个智能体能够访问哪些系统，以及哪些操作需要人工审核。日志必须能够帮助还原工具读取了什么、执行了什么。测试应考察不可信消息能否影响经过授权的工作流程，而不应只衡量员工能否识别可疑电子邮件。

这份报告最重要的贡献，是揭示了采用情况、信心与已落实控制措施之间的差距。读者可以在完整报告《从深度伪造到双重代理：人工智能驱动网络风险的新面貌》中查看调查问题、方法说明和建议。