Barracuda：一封釣魚郵件如今同時鎖定收件者與其收件匣 AI

2026 年 10 月 7 日，Barracuda Research 發布了一項針對某個網路釣魚活動的分析，該活動旨在用同一封訊息擊中兩類讀者：收到訊息的本人，以及負責摘要其收件匣的 AI 助理。面向人類的那一半並不起眼——一個受密碼保護的附件，而密碼就寫在郵件內文中，Barracuda 表示這樣的組合「為傳統電子郵件安全控制措施製造了盲點」。第二半則是新的手法。同一封電子郵件中——藏於 HTML 註解、CSS 不可見文字、Base64 編碼區塊與零寬字元裡——藏有針對任何解析該郵件的模型所下的指令，用意是讓助理「將這封網路釣魚郵件呈現為合法或緊急」，或是讓它自行採取行動。

Barracuda 表示，它所檢視的樣本被包裝成例行的內部通信，且帶有被視為可信的垃圾郵件評分，並源自某個公部門網域。該檔案庫並未記錄任何已確認的受害者，也沒有任何已通報的損害：這是關於一種攻擊模式的研究發現，而非揭露某個已遭入侵的組織。Barracuda 並未披露該攻擊活動的規模，而 Infosecurity Magazine 與 The Hacker News——兩者都報導了這項研究——也都無法補充具體數字。

Barracuda 實際上發布了什麼

這篇文章是一篇廠商威脅研究部落格貼文，標題為「Threat Spotlight: Email attacks target both humans and AI in the same message」，署名作者為 Guruprasad Kenja，並被描述為 Barracuda 的威脅分析師。其 URL 路徑上的日期為 2026 年 10 月 7 日，而頁面本身則帶有「Updated: Oct. 6, 2026」的更新戳記；Infosecurity Magazine 由 Alessandro Mascellino 撰寫的新聞報導日期為 10 月 7 日，而 The Hacker News 於 10 月 8 日發布的 ThreatsDay 綜合報導則連結到同一篇 Barracuda 貼文。URL 日期與頁面戳記之間相差一天的落差是 Barracuda 自身的問題，這三方均未對此作出解釋。

Barracuda 的定調是，助理已成為第二個攻擊面。用他們的話來說，組織「不僅必須保護使用者與收件匣，還必須保護那些取用電子郵件資料並據以行動的 AI 系統」。這項研究描述的是一封帶有兩組酬載的單一訊息，而非新型漏洞利用：傳統的社交工程誘餌正是過濾器被設計來攔截的目標，而提示注入則被放置在過濾器長久以來未曾檢視的位置。

樣本：專為通過信譽檢查而打造

Barracuda 列出了該郵件的三項特性，根據其說法，這些特性幫助它躲過了以信譽為基礎的過濾：

• 「寄件者」和「收件者」位址是同一個信箱，因此這封郵件讀起來像是給自己的備註，而非外部郵件。

• 它帶有受信任的垃圾郵件信賴分數。

• 它源自公部門的網域。

Barracuda 未指名該公部門網域，未說明該網域是這則訊息的真實來源，還是遭冒用的來源，也未提供觀察到該訊息的日期。這些缺漏對任何想判斷這起攻擊活動距離得逞有多近的人來說都很重要，而且它們是主要來源本身的缺漏，並非其他媒體補上的。

隱藏的另一半：指令被偷渡的四種方式

Barracuda 將這些技術列為它經常看到的類型。這四種全都仰賴這種不對稱性：郵件用戶端會將訊息呈現為某一種樣貌，而讀取原始來源的模型則會看到用戶端所隱藏的一切。

該清單中的每一項描述的都是載體，而不是效果；Barracuda 也明確表示，這些注入的設計目的是要作用於助理，而非作用於人。該紀錄的類型標籤是 IPI——間接提示注入——這是標準術語，指指令是出現在模型被要求處理的內容裡，而不是由它的使用者輸入。

這些注射的目的是什麼

Barracuda 對酬載目標的描述分成兩條路線。較溫和的路線試圖操縱摘要：如果人類忽略附件，這些隱藏文字的目的，是讓助理把該訊息描述成合法或緊急，促使收件者開啟並點擊。Barracuda 表示，這些指令對使用者而言都不可見。較強硬的路線則試圖把助理變成執行者——要它「忽略先前的指示」，改為送出緊急請求，以匯款、洩漏資料，或讓一項虛假的緊急行動浮上檯面。

Barracuda 引用的隨附真實世界範例顯示，相同機制也套用於其他 AI 中介工作流程：

• 一封發票電子郵件，內含一段隱藏文字區塊，指示摘要模型加入一項會變更供應商付款資訊的虛假優先動作，誘導員工將款項匯給攻擊者。

• 一份履歷，其藏匿的文字指示 AI 篩選工具將應徵者評為 10 分（滿分 10 分），並建議無論資歷如何都立即安排面試。

• 一種被包裝成獲得授權的「維護或管理員模式」要求，要求支援機器人揭露自身的組態設定。

• 在程式助理會讀取的頁面上放置遭汙染的說明文件，指示它每次產生驗證程式碼時，都插入一行竊取憑證的程式碼。

這些被描述為該技術的示例，而非已確認的入侵事件。Barracuda 的貼文中沒有任何內容表示摘要模型、篩選工具、支援機器人或程式編寫助理在真實部署中實際遵從了指示，而且存檔將 real_harm 記錄為 false。

什麼是已確立的，什麼不是

這個區別在這裡比在大多數事件報告中更為重要，因為這份紀錄描述的是一項設計，而不是一個結果。

• 已確立：Barracuda Research 檢視了一場網路釣魚活動，該活動在同一封郵件中結合了受密碼保護的附件與隱藏的提示注入，並於 2026 年 10 月 7 日發表其分析。該篇文章陳述了四種隱藏技術與四個使用範例。兩家獨立媒體——Infosecurity Magazine 與 The Hacker News——報導了相同發現，且並未提出牴觸，因此該記錄的可信度評為 A 級。

• 尚未確立：是否有任何助理真的遭劫持、發送了多少訊息、收件者是誰，以及是否有金錢流動或資料外流。Barracuda 拒絕透露該攻擊活動的規模。尚無監管機關、受害組織或資安廠商證實任何具體的入侵事件，也沒有任何具名單位與該樣本有關聯。

無爭議：報導中沒有任何內容與 Barracuda 的說法相牴觸。懸而未決的問題在於遺漏，而非分歧——且檔案並未將該認定記錄為有爭議。

該記錄被歸類為中度嚴重性的研究發現，且已確認涉及 AI——AI 助理是該活動所圍繞設計的目標，也是這則訊息不尋常的原因。它未被歸類為里程碑，且沒有日期範圍：該分析描述的是單一時間點，2026 年 10 月 7 日，而非活動時間範圍。

Barracuda 建議的緩解措施

Barracuda 的立場是「沒有任何單一控制措施能阻止每一種變體」，因此其建議是一套堆疊防禦，而非單一修補方案。它建議在該內容到達 AI 系統之前，先從內容中剝除隱藏元素、註解和不可見字元；偵測指令覆寫的措辭作為提示注入的特徵；對助理進行沙箱隔離，以限制其可及範圍；在助理回應觸發動作之前驗證輸出；並要求付款、供應商變更及其他敏感決策必須經過人工簽核。它亦建議監控重複的注入嘗試，並將基本原則闡述為：將外部內容「一律僅視為資料，並與指令保持分離」。

這篇貼文也提到 Barracuda 自家的產品——Email Gateway Defense、Behavioral AI 與 Automated Threat Response——作為該公司針對過濾與修復方面所銷售的控制措施。這無異於廠商推薦自家產品型錄，因此值得以這樣的角度來解讀：這些技術建議本身與產品無關，但這篇貼文並未針對它所描述的攻擊活動，對兩者進行測試。

為什麼這份紀錄值得保留

這條記錄的具體價值在於，它記錄了兩種原本各自獨立的防禦不再涵蓋同一封郵件的那一刻。受密碼保護的附件能繞過內容掃描，因為掃描器無法開啟該檔案；隱藏的提示詞注入則能繞過信譽評分，因為信譽評分看的是寄件者，而不是語言模型會如何處理郵件內文。把兩者放進同一封郵件，失效模式就會疊加：一個因為信任分數而放行該郵件的過濾器，同時也放行了針對接下來讀取收件匣的任何對象所設的惡意酬載。Barracuda 的樣本證明了這種組合並非假設。

本紀錄——Barracuda 的雙目標網路釣魚發現——是OrcaRouter AI 事件檔案庫中的一筆條目，該檔案庫以與上述相同的欄位追蹤 AI 事件、研究發現與評估：嚴重程度、信心水準、爭議狀態與實際損害。