Barracuda: Ett nätfiske riktar sig nu mot både mottagaren och deras inkorgs-AI

Den 7 oktober 2026 publicerade Barracuda Research en analys av en nätfiskekampanj som utformats för att träffa två läsare med samma meddelande: personen som tar emot det, och AI-assistenten som sammanfattar personens inkorg. Den del som riktar sig till människan är inte anmärkningsvärd – en lösenordsskyddad bilaga vars lösenord står i brödtexten, en kombination som Barracuda säger ”skapar en blind fläck för traditionella e-postsäkerhetskontroller”. Den andra hälften är ny. Dolt inuti samma e-postmeddelande – i HTML-kommentarer, CSS-osynlig text, Base64-kodade block och nollbreddstecken – finns instruktioner riktade till vilken modell som än tolkar meddelandet, avsedda att få assistenten att ”framställa nätfiskemeddelandet som legitimt eller brådskande” eller att få den att agera på egen hand.

Barracuda säger att det prov de undersökte var utformat som rutinmässig intern korrespondens och hade ett betrott skräppostbetyg, och att det kom från en domän inom den offentliga sektorn. Arkivet innehåller inget bekräftat offer och ingen rapporterad skada: detta är ett forskningsresultat om ett attackmönster, inte ett avslöjande av en komprometterad organisation. Barracuda avslöjade inte kampanjens omfattning, och varken Infosecurity Magazine eller The Hacker News – som båda rapporterade om forskningen – kunde lägga till en siffra.

Vad Barracuda faktiskt publicerade

Artikeln är ett leverantörsblogginlägg om hotforskning med titeln ”Threat Spotlight: E-postattacker riktar sig mot både människor och AI i samma meddelande” och är signerad Guruprasad Kenja, som beskrivs som hotanalytiker på Barracuda. Den är daterad 7 oktober 2026 i sin URL-sökväg och har en stämpel ”Uppdaterad: 6 okt. 2026” på själva sidan; Infosecurity Magazines nyhetsartikel av Alessandro Mascellino är daterad 7 oktober, och ThreatsDay-sammanställningen hos The Hacker News, publicerad 8 oktober, länkar till samma Barracuda-inlägg. Avvikelsen på en dag mellan URL-datumet och stämpeln på sidan är Barracudas egen och förklaras inte av någon av de tre.

Barracudas framing är att assistenten har blivit en andra attackyta. Enligt dem "måste organisationer skydda inte bara användare och inkorgar, utan även de AI-system som konsumerar och agerar på e-postdata." Forskningen beskriver ett enda meddelande med två nyttolaster snarare än en ny exploit: det konventionella social engineering-lockbetet är vad ett filter är byggt för att fånga, och promptinjektionen placeras där ett filter historiskt sett inte har tittat.

Provet: byggt för att klara anseendekontrollerna

Barracuda listar tre egenskaper hos meddelandet som enligt deras redogörelse hjälpte det att slinka förbi ryktesbaserad filtrering:

• Från- och Till-adresserna var samma brevlåda, så meddelandet framstod som en anteckning till sig själv snarare än som extern post.

• Det hade en betrodd skräppostkonfidenspoäng.

• Det härstammade från en domän inom offentlig sektor.

Barracuda namnger inte den offentliga sektorns domän, säger inte om den domänen var meddelandets äkta ursprung eller ett förfalskat sådant, och anger inget datum för när meddelandet observerades. De luckorna har betydelse för alla som försöker bedöma hur nära kampanjen var att lyckas, och de är luckor i själva primärkällan, inte något som en annan nyhetskanal fyllde i.

Den dolda hälften: fyra sätt på vilka instruktionerna smugglas in

Barracuda namnger fyra tekniker som de den ser oftast. Alla fyra bygger på samma asymmetri: en e-postklient renderar ett meddelande på ett sätt, medan modellen som läser den råa källan ser allt som klienten dolde.

Varje objekt i den listan är en beskrivning av en bärare, inte av en effekt, och Barracuda är tydlig med att injektionerna är utformade för att verka på assistenten snarare än på personen. Postens typtagg är IPI – indirekt promptinjektion – vilket är standardtermen för instruktioner som kommer inuti innehåll som en modell ombeds bearbeta, i stället för att skrivas in av dess användare.

Vad injektionerna var avsedda att göra

Barracudas beskrivning av payloadens mål löper längs två spår. Det mjukare spåret försöker påverka sammanfattningen: om människan ignorerar bilagan är den dolda texten avsedd att få assistenten att beskriva meddelandet som legitimt eller brådskande, vilket driver mottagaren att öppna och klicka. Barracuda säger att ingen av dessa instruktioner är synlig för användaren. Det hårdare spåret försöker förvandla assistenten till aktören – genom att säga åt den att "ignorera sina tidigare direktiv" och i stället skicka en brådskande begäran om att föra över pengar, läcka data eller lyfta fram en falsk brådskande åtgärd.

De åtföljande verklighetsexemplen som Barracuda hänvisar till visar samma mekanism tillämpad på andra AI-förmedlade arbetsflöden:

• Ett faktura-e-postmeddelande som innehåller ett dolt textblock som instruerar sammanfattningsmodellen att lägga till en falsk prioriterad åtgärd som ändrar leverantörens betalningsuppgifter, och som knuffar en anställd mot att överföra pengar till angriparen.

• Ett cv vars dolda text instruerar ett AI-baserat urvalsverktyg att ge den sökande betyget 10 av 10 och rekommendera en omedelbar intervju oavsett kvalifikationer.

• En begäran utformad som ett auktoriserat "underhålls- eller adminläge" som ber en supportbot att avslöja sin egen konfiguration.

• Förgiftad dokumentation på en sida som en kodassistent läser, som instruerar den att infoga en rad för exfiltrering av autentiseringsuppgifter varje gång den genererar autentiseringskod.

Dessa beskrivs som exempel på tekniken, inte som bekräftade intrång. Inget i Barracudas inlägg säger att en sammanfattningsmodell, ett screeningverktyg, en supportbot eller en kodassistent faktiskt lydde i en verklig driftsättning, och arkivet registrerar real_harm som false.

Vad är fastställt, och vad är inte det

Åtskillnaden har större betydelse här än i de flesta incidentrapporter, eftersom dokumentationen beskriver en design snarare än ett utfall.

• Fastställt: Barracuda Research granskade en nätfiskekampanj som kombinerade en lösenordsskyddad bilaga med dold prompt-injektion i samma meddelande, och publicerade sin analys den 7 oktober 2026. De fyra döljningsteknikerna och de fyra användningsexemplen anges i det inlägget. Två oberoende medier — Infosecurity Magazine och The Hacker News — rapporterade samma rön utan att motsäga dem, vilket är varför tillförlitlighetsgraden för posten är A.

• Ej fastställt: huruvida någon assistent faktiskt kapades, hur många meddelanden som skickades, vem som tog emot dem, och huruvida pengar flyttades eller data lämnade systemet. Barracuda avböjde att uppge kampanjens omfattning. Ingen tillsynsmyndighet, offerorganisation eller säkerhetsleverantör har bekräftat en specifik kompromettering, och ingen namngiven aktör är kopplad till provet.

• Inte omtvistat: inget i bevakningen motsäger Barracudas redogörelse. De öppna frågorna är utelämnanden, inte meningsskiljaktigheter — och arkivet registrerar inte fyndet som omtvistat.

Posten klassificeras som ett forskningsfynd med medelhög allvarlighetsgrad, med bekräftad AI-inblandning – AI-assistenten är målet som kampanjen är konstruerad kring, och det är anledningen till att meddelandet är ovanligt. Den klassificeras inte som ett landmärke, och det finns inget datumintervall: analysen beskriver en tidpunkt, den 7 oktober 2026, inte ett kampanjfönster.

De åtgärder som Barracuda rekommenderar

Barracudas ståndpunkt är att "ingen enskild kontroll skulle stoppa varje variation", så rekommendationerna är en kombination av åtgärder snarare än en enskild lösning. Den råder att ta bort dolda element, kommentarer och osynliga tecken från innehåll innan innehållet når ett AI-system; att upptäcka formuleringar som åsidosätter instruktioner som en signatur för prompt-injektion; att köra assistenter i sandlåda så att deras räckvidd begränsas; att validera utdata innan ett assistentsvar utlöser en åtgärd; och att kräva mänskligt godkännande av betalningar, leverantörsbyten och andra känsliga beslut. Den rekommenderar också övervakning av upprepade injektionsförsök och anger den underliggande principen som att behandla externt innehåll "alltid endast som data och hållet åtskilt från instruktioner."

Inlägget hänvisar också till Barracudas egna produkter – Email Gateway Defense, Behavioral AI och Automated Threat Response – som de kontroller företaget säljer för filtrerings- och åtgärdssidan. Det är en leverantör som rekommenderar sin egen katalog, och det är värt att läsa det som sådant: de tekniska rekommendationerna är oberoende av produkterna, men inlägget testar inte någon av dem mot kampanjen som det beskriver.

Varför posten är värd att behålla

Det specifika värdet med den här posten är att den dokumenterar den punkt där två tidigare separata skydd slutar täcka samma meddelande. En lösenordsskyddad bilaga kringgår innehållsskanning eftersom skannern inte kan öppna filen; en dold prompt-injektion kringgår reputationsbedömning eftersom reputationsbedömning tittar på avsändare, inte på vad en språkmodell kommer att göra med brödtexten. Sätt dem i ett och samma e-postmeddelande och fellägena staplas: ett filter som släpper igenom meddelandet på grund av en betrodd poäng har också släppt igenom nyttolasten som riktar sig mot vad som än läser inkorgen härnäst. Barracudas exempel är demonstrationen av att denna kombination inte är hypotetisk.

Denna post – Barracudas fynd om phishing mot dubbla mål – är en post i the OrcaRouter AI Incident Archive , som spårar AI-incidenter, forskningsrön och utvärderingar med samma fält som används ovan: allvarlighetsgrad, tillförlitlighet, omstridd status och verklig skada.