关键词
钓鱼短信
导读：美国杨百翰大学做了一项实验：25 名志愿者把 12 条"专属定制"的钓鱼短信按危险程度排序，一半是 GPT-4 写的，一半是学生写的。结果是，银行职员分不出来，所有人都分不出来。AI 写的和真人写的，差距比你想象的小得多。
实验是怎么做的
每个志愿者先填一份问卷：职业、公司、爱好、所在城市、最近在网上发过什么。
这些信息喂给 GPT-4，生成 6 条短信。同一份问卷，也交给一群学过钓鱼课程的大学生，限时 15 分钟，写另外 6 条。
然后志愿者坐下来，把 12 条短信从"最可能点开"排到"最不可能点开"。
一位信用合作社的银行职员排到一条时停住了。那条短信看起来就像银行自己发的："这个警报和我们工作时收到的诈骗警报一模一样。"
他不知道的是，那一半短信来自 GPT-4。
数字说明了什么
志愿者在排序上画了一条线：这条线以上，我会点。
GPT-4 的短信有 28% 落在这条线以上，学生写的只有 21.3%。看上去 AI 赢了 6.7 个百分点。
但统计上这个差距不成立。置信区间从"学生领先 2.9 个点"到"模型领先 16.3 个点"，横跨两边。25 个人，样本太小，这场实验得不出"谁更强"的结论。
双方的投入差距，才是这场实验里最有信息量的部分。
学生那边：上过钓鱼课、写完后有一个包括两位网络安全教授在内的评审团队筛选，约三分之一的稿子因为不完整被扔掉。
AI 那边：一条模板 prompt，填上问卷，跑一次。成本是一次 API 调用，想跑多少次跑多少次。
沾上"工作"两个字，危险翻倍
每个志愿者都收到三种短信：基于职业的、基于爱好的、基于社交媒体动态的。
结果一边倒：
工作相关：38% 过线
爱好相关：19%
社交媒体相关：17%
工作主题是唯一在统计上站稳的发现。攻击者不需要知道你周末干什么，只需要知道你在哪家公司、什么岗位。
有意思的是个性化翻车的例子。一位志愿者看到短信里提到"同事 Mike"，说："我们公司没有 Mike。"另一位知道学校的教学设计团队里没有 Sarah。还有一位已经退出舞蹈的人，收到一条舞蹈活动邀约，直接排到最后。
细节很容易拿到，但用对细节很难。错误的细节比没有更糟，因为它给了收件人一个怀疑的理由。
最值得警惕的结论
这场实验最扎心的不是 AI 赢了多少，而是：每个人对"哪条是 AI 写的"都有自己的理论，但没有一个理论是对的。
钓鱼邮件进入 AI 时代后，判断标准已经变了。以前靠语病、靠模板痕迹、靠"感觉哪里不对"。现在这些信号都没了，AI 写的短信和真人写的在观感上没有差别。
对企业来说，唯一靠谱的防线不是教员工"识别钓鱼"，而是假设钓鱼一定会成功：
多因素认证必须全面铺开。密码泄露了也不至于被直接登录。
转账、改密码、发敏感信息这些操作，要有独立的二次确认通道。
财务和人事部门，用高频低成本的钓鱼演练代替一年一次的宣讲。
因为当攻击者用 AI 批量生成"定制"短信的时候，成本几乎为零，而你只有一次判断机会。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
热门跟贴