Barracuda：一封钓鱼邮件现在同时针对收件人及其收件箱AI

2026年10月7日，Barracuda Research 发布了一项针对网络钓鱼活动的分析，该活动旨在用同一封邮件击中两类读者：收到邮件的人，以及为其总结收件箱的 AI 助手。面向人类的那一半平平无奇——一个受密码保护的附件，密码写在正文中，Barracuda 称这种组合“为传统电子邮件安全控制制造了盲区”。另一半则是新的。隐藏在同一封邮件中的——在 HTML 注释、CSS 不可见文本、Base64 编码块和零宽字符中——是针对任何解析该邮件的模型的指令，意在让助手“将钓鱼邮件呈现为合法或紧急”，或让它自行采取行动。

Barracuda 表示，其检查的样本伪装成日常内部通信，并带有可信的垃圾邮件评分，且源自一个公共部门域名。档案中没有记录任何已确认的受害者，也没有任何已报告的损害：这是一项关于某种攻击模式的研究发现，而非对某个已遭入侵组织的披露。Barracuda 未披露该活动的规模，而 Infosecurity Magazine 和 The Hacker News——两者都报道了这项研究——也都未能补充具体数字。

Barracuda 实际发布了什么

这篇报道是一篇厂商威胁研究博客文章，标题为“Threat Spotlight：电子邮件攻击同时针对人类和 AI”，署名 Guruprasad Kenja，被描述为 Barracuda 威胁分析师。其 URL 中的日期为 2026 年 10 月 7 日，页面本身则带有“Updated: Oct. 6, 2026”的标记；Infosecurity Magazine 由 Alessandro Mascellino 撰写的新闻稿日期为 10 月 7 日，The Hacker News 于 10 月 8 日发布的 ThreatsDay 汇总也链接了同一篇 Barracuda 博文。URL 日期与页面标记之间相差一天，这是 Barracuda 自身的问题，三者均未对此作出解释。

Barracuda 的论点是，助手已成为第二个攻击面。用其话说，组织“不仅要保护用户和收件箱，还要保护那些使用电子邮件数据并据此采取行动的 AI 系统”。该研究描述的是单条消息携带两个载荷，而非一种新型漏洞利用：传统的社会工程诱饵正是过滤器旨在捕获的内容，而提示注入则被放置在过滤器历来不会查看的位置。

样品：专为通过信誉检查而打造

Barracuda 列出了该邮件的三个特性，据其所述，这些特性帮助它绕过了基于信誉的过滤：

• 发件人和收件人地址是同一个邮箱，因此该邮件看起来更像是一封给自己留的备注，而不是外部邮件。

• 它附带了一个可信的垃圾邮件置信度评分。

• 它源自公共部门领域。

Barracuda没有点名那个公共部门域名，没有说明该域名究竟是邮件的真实来源还是被伪造的来源，也没有给出观察到这封邮件的日期。对于任何试图判断这场攻击活动距离得逞有多近的人来说，这些空白都很关键，而且它们是原始来源本身的空白，并非其他媒体填补上去的。

隐藏的另一半：指令被夹带的四种方式

Barracuda 列出了它经常见到的四种技术。这四种技术都依赖同一种不对称性：邮件客户端以一种方式渲染邮件，而读取原始源码的模型却能看到客户端所隐藏的一切。

那份列表中的每一项描述的都是载体，而不是效果，而且 Barracuda 明确表示，这些注入旨在作用于助手，而不是作用于人。该记录的類型标签是 IPI——间接提示注入——这是指令出现在模型被要求处理的内容之中、而非由其用户键入的标准术语。

这些注射剂的预期作用是什么

Barracuda 对该载荷目标的描述分为两条路径。较温和的一条试图扭曲摘要：如果用户忽略附件，隐藏文本就会让助手将该消息描述为合法或紧急，促使其打开并点击。Barracuda 表示，这些指令对用户都不可见。较强硬的一条则试图让助手成为行动者——指示它“忽略其先前的指令”，转而发送紧急请求，要求电汇资金、泄露数据，或呈现一个虚假的紧急行动。

Barracuda 引用的随附真实示例表明，相同的机制也应用于其他 AI 介导的工作流：

• 一封发票邮件，其中包含一个隐藏文本块，指示摘要模型添加一条虚假的优先行动事项，篡改供应商付款信息，从而诱导员工将款项汇给攻击者。

• 一份简历，其隐藏文本会指示AI筛选工具给申请人打出10分（满分10分），并建议无论其资历如何都立即安排面试。

• 一个以已授权的“维护或管理员模式”为幌子，要求支持机器人透露自身配置的请求。

• 编码助手所读取页面上的被投毒文档，指示它在每次生成身份验证代码时插入一行窃取凭据的代码。

这些被描述为该技术的示例，而非已确认的入侵事件。Barracuda 的帖子中没有任何内容表明，摘要模型、筛查工具、支持机器人或编码助手在实际部署中确实照做了，而且存档将 real_harm 记录为 false。

哪些是已确立的，哪些不是

这一区别在这里比在大多数事件报告中都更为重要，因为该记录描述的是一种设计，而非结果。

• 已确认：Barracuda Research 分析了一起钓鱼攻击活动，该活动在同一封邮件中结合了受密码保护的附件与隐藏的提示注入，并于 2026 年 10 月 7 日发布了其分析。四种隐藏手法和四个使用示例均在该文章中有所阐述。两家独立媒体——Infosecurity Magazine 和 The Hacker News——报道了相同的发现，且未对其提出异议，因此该记录的置信度被评定为 A。

• 尚未确定：是否有任何助手确实被劫持、发送了多少条消息、谁收到了这些消息，以及是否有资金转移或数据外泄。Barracuda 拒绝透露该活动的规模。没有监管机构、受害组织或安全供应商证实发生了具体的入侵，也没有具名方与样本相关联。

无争议：报道中没有任何内容与 Barracuda 的说法相矛盾。悬而未决的问题是遗漏，而非分歧——档案并未将这一结论记录为有争议。

该记录被归类为中等严重性的研究发现，并已确认涉及 AI——该 AI 助手是这场活动围绕设计的目标，也是这条消息不同寻常的原因。它未被归类为里程碑事件，并且没有日期范围：该分析描述的是一个时间点，即 2026 年 10 月 7 日，而不是一个活动时间窗口。

Barracuda 建议的缓解措施

Barracuda 的立场是，“没有任何单一控制措施能阻止每一种变体”，因此其建议是一套组合方案，而不是一个修复方案。它建议在内容到达 AI 系统之前，从内容中剥离隐藏元素、注释和不可见字符；将指令覆盖式措辞检测为提示注入特征；对助手进行沙盒化，以限制其影响范围；在助手响应触发操作之前验证输出；并要求对付款、供应商变更和其他敏感决策进行人工审批。它还建议监控重复的注入尝试，并将基本原则表述为将外部内容“始终仅视为数据，并与指令保持分离”。

该文章还提到了 Barracuda 自家的产品——Email Gateway Defense、Behavioral AI 和 Automated Threat Response——将其作为该公司针对过滤与修复方面所销售的控制措施。这是厂商在推荐自己的产品目录，也应当这样来看待：技术建议独立于这些产品，但文章既没有用其所描述的攻击活动来检验这些技术建议，也没有检验这些产品。

为什么这份记录值得保留

这条条目的具体价值在于，它记录了两个此前各自独立的防御措施不再覆盖同一封邮件的那个节点。受密码保护的附件能够绕过内容扫描，因为扫描器无法打开该文件；隐藏的提示注入能够绕过信誉评分，因为信誉评分关注的是发件人，而不是语言模型会对正文做什么。把两者放进同一封邮件，失效模式就会叠加：一个基于可信评分而放行该邮件的过滤器，同时也放行了针对接下来读取收件箱的任何对象的载荷。Barracuda 的样本证明了这种组合并非假设。

本条记录——Barracuda 的双目标钓鱼发现——是OrcaRouter AI 事件档案中的一条条目，该档案采用与上文相同的字段来追踪 AI 事件、研究发现和评估：严重性、置信度、争议状态和实际危害。