如今，攻防两端都有 AI

2026 年 1 月，施维茨州警方通报了一起在几年前听起来如同虚构的案件。在两周时间里，犯罪分子多次致电当地一家公司的老板，用经过 AI 处理的声音冒充他认识的一位商业伙伴。以一笔保密的国际交易为掩护，他向亚洲的一个账户分几次转账，总额达数百万瑞士法郎。直到钱已转走，骗局才被发现。

这是当今安全的一面：使用 AI 的攻击者。另一面在企业内部：智能体在那里读取邮件、掌握密钥、对外发送内容。企业必须同时为这两面做好准备。我们为自己的工作和客户打造智能体，所以这两面对我们来说都不抽象。

熟悉的声音

施维茨的案件并非个例。2025 年 2 月，Reuters 报道称，诈骗者克隆了意大利国防部长 Guido Crosetto 的声音，向商界领袖索要钱款，声称用于解救被绑架的记者。国际米兰前老板 Massimo Moratti 汇出了近 100 万欧元，后来警方追踪到荷兰的一个账户，并将其冻结。

FBI 如今将这类案件单独统计。其 2025 年互联网犯罪报告列出了 22'000 多起提及 AI 的投诉，调整后的损失超过 8.93 亿美元，并指出许多受害者并未意识到 AI 参与的程度有多深。企业在含有 AI 因素的邮件诈骗中损失超过 3000 万美元，这类诈骗用一封令人信服的邮件或一个克隆的声音要求付款。FBI 还描述了使用伪造声音、可能是深度伪造的求职面试，目的通常是获取企业网络的访问权限。

没有错别字的钓鱼邮件

书面攻击的变化同样巨大。Microsoft 的《2025 年数字防御报告》（Digital Defense Report 2025）发现，用 AI 自动生成的钓鱼邮件点击率达到百分之五十四，而普通钓鱼邮件只有百分之十二。欧盟网络安全局 ENISA 在 2025 年 10 月写道，据报道，到 2025 年初，AI 辅助的钓鱼攻击已占全球所观察到的社会工程活动的百分之八十以上。

攻击者还用 AI 实施入侵本身。2025 年 11 月，Anthropic 报告了一起它以高置信度归因于某中国国家支持组织的攻击活动：该组织用 Claude Code 攻击了约三十家机构，并让 AI 完成了百分之八十至九十的工作。攻击在少数案例中得手。OWASP 对 2026 年第一季度的综述又补充了一起墨西哥政府机构遭入侵的事件，据报道，攻击者使用了 Claude，有时也使用 ChatGPT。

过去的警示信号，比如一句别扭的话或一个奇怪的声音，已经不再管用。信任必须来自流程，而不是来自感官。

会行动的文字

在企业内部，风险呈现出另一种形态。聊天机器人答错了，是件尴尬事；智能体做错了，就是一起事故。核心弱点是提示注入，它在 OWASP 2025 年大语言模型应用风险清单中排名第一：隐藏在网页、文件或邮件中的指令，被模型读取并照做。

英国国家网络安全中心（NCSC）在 2025 年 12 月解释了它为何如此顽固。语言模型不会在指令和数据之间强制划出边界，因此提示注入也许永远无法像 SQL 注入那样被彻底化解。能做的是降低风险及其影响。开发者 Simon Willison 在 2025 年 6 月点出了危险的组合：私有数据、不可信的内容，以及对外通信的途径。三者兼具的智能体，可能被陌生人的一段文字指使，把您的数据发送出去。

手握钥匙的智能体

真实事件正是这种形态。2025 年 6 月，Aim Labs 展示了只需一封邮件就能让 Microsoft 365 Copilot 泄露内部数据，受害者无需任何点击。Microsoft 已修复该漏洞，并表示没有发现被滥用的证据。2026 年 8 月，Varonis 公布了 CoSnitch，这是 Copilot Personal 中的一连串漏洞。一个精心构造的链接就能在受害者的会话中运行攻击者的提示词，利用其与 Gmail、Google Drive、Google Calendar 和 OneDrive 的连接，再通过 Copilot 自带的网页抓取功能把结果发送出去。植入的指令甚至在更改密码后仍留存在其记忆中。研究人员写道，被打破的假设是：对连接器的每一次调用都来自用户本人。

连接器就是供应商，也带着供应商的风险。2025 年 9 月，npm 仓库中一个冒充邮件服务 Postmark 的 MCP 服务器的软件包，先发布了十五个干净的版本，随后加了一行代码，把每一封外发邮件都抄送给攻击者。Koi Security 发出警告时，它在一周内已被下载约 1'500 次。

OWASP 于 2025 年 12 月发布的智能体应用十大风险，如今已为这些风险命名，从目标劫持、工具滥用，到记忆投毒和失控智能体。其对 2026 年第三季度的综述又补充了一个冷静的观点：智能体仅仅在执行被交付的任务时就可能造成危害，而过多的权限会把小故障放大成大事故。提示词中的指令本身，并不能构成安全的边界。

经得住考验的防线

在攻防两端都有效的防线，有一个共同的思路。它们不指望任何人或模型在当下识破诡计，而是限制被骗的人或被误导的智能体所能造成的后果。

对于人，施维茨警方列出了有效的做法：任何紧急或异常的付款，都通过第二个独立渠道核实；大额款项坚持四眼原则；没有书面批准，不向境外转账。

对于智能体，只授予每个智能体完成工作所需的最小权限。NCSC 表示，当模型读取来自某一方的内容时，它的权限应当降到该方的级别。打破这三者的组合。把发送、付款、发布和删除放在一道模型无法靠说辞绕过的关卡之后。每一次写入都以提出请求者本人的身份执行，让凭证远离智能体，把每个连接器都当作新供应商对待，并记录智能体做了什么，而不仅仅是它说了什么。

AI 可以承担例行检查和阅读工作。仍然属于人的，是在请求让人感觉不对时停下来，是决定回电核实的判断，是签字之人所承担的责任。

我们如何打造自己的智能体

Kontor 是我们为 bexio 打造的连接器，它是一个托管式 MCP 服务器，因此笔记本电脑上不存放任何密钥，每个人都用自己的账号登录。发送、付款和催款功能，助手根本无法使用。Twin 在整个企业中执行同样的规则：按角色授予访问权限，每次写入都以各自用户的身份登录执行，每一步都有日志。

当数据关键到不能有任何外部连接时，还有 Eigna，由我们的合作伙伴 Eigna Labs 打造：为每家企业提供一个私有模型，运行在企业自己的云端或服务器上，设计为可在封闭网络中完全离线运行，并经过训练，拒绝黑客行为和攻击。而我们面向语音助手和声音克隆的产品 Timbre，只有在说话人同意后才会克隆声音。

企业本周就可以开始。为每一笔付款请求约定回电核实的规则，告诉每个团队，熟悉的声音已不再是证明；列出每一个智能体和连接器及其拥有的权限，并收回它们不需要的部分。