社會(huì)工程學(xué)是大部分網(wǎng)絡(luò)犯罪活動(dòng)的基礎(chǔ)。我們尚未找到解決方案，因?yàn)樯鐣?huì)工程學(xué)已經(jīng)根植于每個(gè)人的心靈中。

社會(huì)工程學(xué)的持久性

互聯(lián)網(wǎng)帶來(lái)了公民記者，人工智能帶來(lái)了公民社會(huì)工程師。任何人都可以成為社會(huì)工程師——事實(shí)上，每個(gè)人都是社會(huì)工程師。問(wèn)題是，無(wú)論個(gè)人技能水平如何，人工智能都為社會(huì)工程師提供了翅膀。一直以來(lái)都是壞事，必然會(huì)變得更糟。

Praxis Security Labs首席執(zhí)行官兼創(chuàng)始人 Kai Roer 解釋道：“社會(huì)工程學(xué)是人類的一種特性，是群居物種的特征。它不是新事物，也不會(huì)消失。它也不是你可以修補(bǔ)的東西，你也無(wú)法‘修復(fù)問(wèn)題’——因?yàn)樗皇菃?wèn)題。”

Praxis Security Labs 首席執(zhí)行官兼創(chuàng)始人 Kai Roer

他繼續(xù)說(shuō)，這是人性的一部分。“社交工程是一項(xiàng)關(guān)鍵技能，它可以幫助個(gè)人和團(tuán)體建立和加強(qiáng)關(guān)系，溝通和表達(dá)意圖。它是一條雙向的街道，信號(hào)被發(fā)送和接收，以便信號(hào)可以被解讀和采取行動(dòng)。” 

你可以在任何地方測(cè)試這一點(diǎn)。每次你去超市，你都會(huì)受到社交工程的誘惑，被吸引到商店更深處，購(gòu)買(mǎi)更多產(chǎn)品。你在廣告牌和電視上看到的每一個(gè)廣告都是社交工程的練習(xí)；當(dāng)你遇到某人時(shí)，你會(huì)運(yùn)用自己微妙的社交工程來(lái)改善關(guān)系——這是日常生活的重要組成部分。

“這種技能深深植根于人類天性，研究人員已經(jīng)發(fā)現(xiàn)，嬰兒在學(xué)會(huì)說(shuō)話之前就能夠識(shí)別人類群體中的權(quán)力結(jié)構(gòu)，”羅爾補(bǔ)充道。

但是，當(dāng)安全人員談?wù)撋鐣?huì)工程學(xué)時(shí)，他們談?wù)摰氖欠缸锓肿永米匀坏娜穗H交往，加上謊言、虛假、虛假承諾等，從毫無(wú)戒心的受害者那里獲取非法利益。 

“由于這些謊言，再加上大多數(shù)人的本能反應(yīng)，犯罪分子得以成功實(shí)現(xiàn)他們的目標(biāo)，”羅爾總結(jié)道。“這不是員工的錯(cuò)——正如我們行業(yè)中的一些言論所聲稱的那樣——而是罪犯的錯(cuò)。問(wèn)問(wèn)自己：強(qiáng)奸是誰(shuí)的錯(cuò)？強(qiáng)奸犯還是被強(qiáng)奸者？大多數(shù)人都會(huì)同意，應(yīng)該受到指責(zé)的是攻擊者，而不是受害者。”

預(yù)防惡意網(wǎng)絡(luò)社交工程的根本問(wèn)題是，我們只能治療受害者，而不能治療侵略者。通過(guò)“意識(shí)培訓(xùn)”等解決方案“治療”受害者，我們實(shí)際上是在試圖讓受害者否認(rèn)他們?nèi)诵缘囊粋€(gè)基本方面，而對(duì)侵略者卻沒(méi)有任何影響。

結(jié)果是惡意的社會(huì)工程行為持續(xù)存在，并且將繼續(xù)存在（并且會(huì)惡化），因?yàn)楣こ毯捅还こ淌侨祟惖奶煨浴＿@就是我們成為社會(huì)動(dòng)物的原因。

2025 年人工智能將助長(zhǎng)惡意社交工程

Doppel首席執(zhí)行官兼聯(lián)合創(chuàng)始人 Kevin Tian 簡(jiǎn)明扼要地總結(jié)了 2025 年的社會(huì)工程威脅。“2025 年，社會(huì)工程將鞏固其作為頭號(hào)安全威脅的地位——由生成式人工智能增強(qiáng)。犯罪分子將不再僅僅依賴網(wǎng)絡(luò)釣魚(yú)電子郵件。他們將通過(guò)短信、深度偽造語(yǔ)音電話甚至社交媒體角色發(fā)起動(dòng)態(tài)、實(shí)時(shí)的活動(dòng)，并隨時(shí)調(diào)整。它是多渠道、多模式的，危險(xiǎn)程度達(dá)到了一個(gè)全新的水平。”

Illumio 系統(tǒng)工程總監(jiān) Michael Adjei

人工智能將把社會(huì)工程學(xué)推向新的高度。“到 2025 年，普通用戶實(shí)際上將成為不知情的大規(guī)模攻擊參與者，”Illumio 系統(tǒng)工程總監(jiān) Michael Adjei 警告說(shuō)。“社會(huì)工程師將利用流行的應(yīng)用程序、社交媒體功能甚至人工智能工具來(lái)欺騙人們無(wú)意中利用基于網(wǎng)絡(luò)或基于腳本的漏洞。”

他并不是唯一一個(gè)預(yù)見(jiàn)到這些人工智能輔助社會(huì)工程攻擊新水平的人。Sonatype 的首席技術(shù)官 Brian Fox警告說(shuō)，盡管我們?cè)?2024 年躲過(guò)了XZ Utils 的攻擊，但 2025 年可能會(huì)是災(zāi)難性的。 

“ XZ Utils 攻擊企圖于 2024 年被發(fā)現(xiàn)，但這是一場(chǎng)提前數(shù)年發(fā)起的復(fù)雜社會(huì)工程活動(dòng)，”他說(shuō)。“雖然這一令人震驚的發(fā)現(xiàn)標(biāo)志著新趨勢(shì)的開(kāi)始，但我知道類似的活動(dòng)已經(jīng)在進(jìn)行中。XZ Utils并不是一個(gè)孤立事件，雖然更復(fù)雜的活動(dòng)可能需要一些時(shí)間才能被發(fā)現(xiàn)，但不太復(fù)雜的模仿者將會(huì)盛行。”

與此同時(shí)，自從 ChatGPT 出現(xiàn)以及隨后大量 gen-AI 模型的出現(xiàn)以來(lái)，我們一直在期待并等待網(wǎng)絡(luò)犯罪分子使用 AI 來(lái)改進(jìn)和擴(kuò)大其現(xiàn)有攻擊。起初，人們的預(yù)期是電子郵件網(wǎng)絡(luò)釣魚(yú)會(huì)更加復(fù)雜、規(guī)模更大。這并沒(méi)有立即發(fā)生，但到 2024 年一直在穩(wěn)步增長(zhǎng)。

但隨著多模態(tài)人工智能的出現(xiàn)，威脅現(xiàn)在包括語(yǔ)音和視頻支持的深度偽造網(wǎng)絡(luò)釣魚(yú)的額外潛力。由已知聲音和面孔支持的網(wǎng)絡(luò)釣魚(yú)論點(diǎn)遠(yuǎn)比簡(jiǎn)單的文本更有說(shuō)服力。人工智能將在 2025 年通過(guò)更直接地利用我們對(duì)人際社會(huì)工程的自然接受和參與來(lái)推動(dòng)惡意社會(huì)工程。

SafeBreach 的首席信息安全官 Avishai Avivi 表示，人工智能增強(qiáng)型社會(huì)工程學(xué)的進(jìn)步目前帶來(lái)的總體效果是將攻擊者置于“恐怖谷”的最佳位置；在這個(gè)位置上，人們很容易相信，但過(guò)于完美又會(huì)重新建立不信任。

“我們預(yù)計(jì)惡意行為者將在現(xiàn)有能力的基礎(chǔ)上，增加利用人工智能技術(shù)進(jìn)行社會(huì)工程攻擊的數(shù)量和復(fù)雜性，以影響企業(yè)電子郵件入侵 (BEC) 和賬戶接管。具體來(lái)說(shuō)，”他繼續(xù)說(shuō)道，“我們預(yù)計(jì)惡意行為者將利用語(yǔ)音、短信和定向視頻等較新的替代渠道來(lái)攻擊其指定目標(biāo)。這些人工智能輔助攻擊還可以獲取大量有關(guān)其目標(biāo)的公開(kāi)數(shù)據(jù)，并以前所未有的方式對(duì)其進(jìn)行合成。”

社交工程的大多數(shù)屬性已經(jīng)使用多年——包括深度偽造——但在人工智能出現(xiàn)之前，深度偽造的努力回報(bào)相對(duì)較低（一對(duì)一，而不是電子郵件文本網(wǎng)絡(luò)釣魚(yú)活動(dòng)中的一對(duì)數(shù)千）。正是這種努力回報(bào)被人工智能顛覆了。Concordium 首席執(zhí)行官 Boris Bohrer-Bilowitzki 警告說(shuō)：“深度偽造的使用是一個(gè)令人擔(dān)憂的趨勢(shì)，到 2025 年可能會(huì)呈指數(shù)級(jí)增長(zhǎng)。” “深度偽造將變得更加復(fù)雜，成為網(wǎng)絡(luò)犯罪分子的主要攻擊媒介之一……使威脅行為者更容易欺騙人們，并對(duì)現(xiàn)代社會(huì)造成巨大的影響和成本。”

Barrier Networks高級(jí) SOC 分析師 David Neeson同意這一評(píng)估。“借助人工智能和深度偽造技術(shù)，威脅行為者可能很快就會(huì)開(kāi)始偽造個(gè)人身份并與潛在雇主進(jìn)行視頻面試。這些攻擊很難被發(fā)現(xiàn)，并可能導(dǎo)致間諜活動(dòng)急劇增加，組織可能會(huì)因被人工智能和深度偽造技術(shù)欺騙而意外雇用國(guó)家支持的行為者。”

Barrier Networks 高級(jí) SOC 分析師 David Neeson

雇傭外國(guó)特工進(jìn)行外國(guó)優(yōu)先行動(dòng)已經(jīng)成為一個(gè)問(wèn)題。2025 年，利用人工智能輔助社會(huì)工程學(xué)埋設(shè)外國(guó)特工進(jìn)行間諜活動(dòng)或破壞活動(dòng)可能會(huì)增加。這種努力的回報(bào)不會(huì)像典型的人工智能輔助犯罪批量網(wǎng)絡(luò)釣魚(yú)活動(dòng)那么大，但肯定會(huì)對(duì)民族國(guó)家對(duì)手具有吸引力（現(xiàn)在有更多時(shí)間可用，因?yàn)榛谶x舉的虛假信息努力不那么重要）。

然而，人工智能的普及意味著其用途將不僅限于 APT。它能夠提高批量網(wǎng)絡(luò)釣魚(yú)活動(dòng)的復(fù)雜性和規(guī)模，這意味著以前不懂技術(shù)的犯罪分子將猖獗。與此同時(shí)，新出現(xiàn)的復(fù)雜高價(jià)值魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)也可能會(huì)增多。 

在暗網(wǎng)上，“專門(mén)從事這一領(lǐng)域的惡意行為者已經(jīng)形成了一個(gè)蓬勃發(fā)展的‘市場(chǎng)’。令人信服且有效的音頻或視頻‘假貨’可以以低成本生成……甚至通過(guò)某些服務(wù)免費(fèi)提供，”SentinelLabs 高級(jí)威脅研究員 Jim Walter指出。

這是地下犯罪專業(yè)化程度不斷提高的一部分——在這種情況下，他們提供深度偽造制作作為惡意軟件即服務(wù) (MaaS) 運(yùn)營(yíng)的一部分。有關(guān)地下犯罪服務(wù)的更多信息， 請(qǐng)參閱犯罪團(tuán)伙。

OPSWAT 培訓(xùn)和認(rèn)證服務(wù)副總裁 Irfan Shakeel 警告稱：“這項(xiàng)技術(shù)將冒充關(guān)鍵人物，例如首席執(zhí)行官、政府官員，甚至是親人，讓人幾乎無(wú)法區(qū)分真實(shí)和虛假的通信。其影響深遠(yuǎn)，從金融欺詐（騙子使用虛假視頻通話索要資金或敏感信息）到對(duì)數(shù)字互動(dòng)的信任普遍喪失。”

CyberArk美國(guó)聯(lián)邦技術(shù)辦公室高級(jí)主管 James Imanian進(jìn)一步表示：“這種方法還將滲透到其他領(lǐng)域——下一代資金轉(zhuǎn)移攻擊、知識(shí)產(chǎn)權(quán)盜竊和間諜活動(dòng)將針對(duì)忙碌的高管和高級(jí)員工。企業(yè)和個(gè)人已經(jīng)被犯罪分子欺騙，他們花費(fèi)數(shù)月時(shí)間進(jìn)行被稱為“殺豬”的社會(huì)工程騙局。準(zhǔn)備好迎接個(gè)性化、自動(dòng)化的人工智能代理攻擊風(fēng)暴吧。”

簡(jiǎn)而言之，人工智能的出現(xiàn)將改變社會(huì)工程學(xué)（迄今為止被廣泛認(rèn)為只是網(wǎng)絡(luò)釣魚(yú)的一種手段）為各種攻擊的基礎(chǔ)要素，這些攻擊比我們以前見(jiàn)過(guò)的攻擊更復(fù)雜、更引人注目、偽裝性更強(qiáng)、規(guī)模更大。

針對(duì)人工智能社會(huì)工程學(xué)的可能人工智能防御

去年誕生了一個(gè)新行業(yè)：用人工智能防御來(lái)對(duì)抗人工智能攻擊。當(dāng)然，這個(gè)行業(yè)正在積極宣傳自己是對(duì)抗人工智能輔助攻擊的最佳方式；但這些說(shuō)法并沒(méi)有簡(jiǎn)單的證據(jù)。技術(shù)可以而且正在被用來(lái)檢測(cè)深度偽造的聲音（相對(duì)容易）和深度偽造的視頻（更難，而且正在不斷改進(jìn)）；但沒(méi)有技術(shù)能夠改變?nèi)诵浴Ｎ覀兿Ｍ嘈盼覀兯?tīng)到的和看到的東西——如果背景合理，我們很可能會(huì)相信它。

Votiro 產(chǎn)品主管 Eric Avigdor 建議，AI 防御應(yīng)更多地關(guān)注如何防止成功攻擊造成的不良后果，而不是檢測(cè) AI 社會(huì)工程攻擊。“更好的選擇是假設(shè)個(gè)人會(huì)收到許多此類消息，并幫助防止該人犯下分享敏感信息的錯(cuò)誤，”他說(shuō)。“例如，通過(guò)檢測(cè)某人在看似不合適的情況和環(huán)境下分享其憑證或敏感數(shù)據(jù)，然后阻止或警告該人可能存在欺詐行為。”

Roer 也有類似的擔(dān)憂。“到 2025 年，我們將看到更多證據(jù)表明，網(wǎng)絡(luò)釣魚(yú)評(píng)估和安全意識(shí)培訓(xùn)計(jì)劃并不是緩解社會(huì)工程攻擊的正確方法。”他擔(dān)心的是，這樣的做法并不能有效改變用戶行為以減輕風(fēng)險(xiǎn)。同時(shí)，意識(shí)培訓(xùn)通常是法規(guī)所要求的。

“我預(yù)計(jì)，越來(lái)越多的組織將認(rèn)識(shí)到安全意識(shí)培訓(xùn)和網(wǎng)絡(luò)釣魚(yú)評(píng)估只是一項(xiàng)合規(guī)活動(dòng)，”他繼續(xù)說(shuō)道。“因此，它們是必要之惡，但不會(huì)改變行為。組織可能會(huì)將培訓(xùn)和評(píng)估的數(shù)量降至最低，勾選該復(fù)選框，并釋放預(yù)算和資源來(lái)實(shí)施安全措施，這些措施實(shí)際上會(huì)改變員工的行為，而不會(huì)引起怨恨和負(fù)面結(jié)果。”

他沒(méi)有具體說(shuō)明哪些安全措施可以在意識(shí)培訓(xùn)無(wú)法改變行為的情況下改變行為——但他的公司涉足了新興的人類風(fēng)險(xiǎn)管理領(lǐng)域。他并不是唯一一個(gè)提倡這種對(duì)抗社會(huì)工程學(xué)方法的人。田納西大學(xué)健康科學(xué)中心首席網(wǎng)絡(luò)安全分析師 Chris Madeksho于 2024 年 9 月為 Educause撰寫(xiě)了關(guān)于這一概念的文章——Hoxhunt 聯(lián)合創(chuàng)始人兼首席執(zhí)行官 Mika Aalto也是這一概念的追隨者。

Hoxhunt 聯(lián)合創(chuàng)始人兼首席執(zhí)行官 Mika Aalto

“今年，隨著多位分析師將人力風(fēng)險(xiǎn)管理視為一個(gè)獨(dú)立的類別，老式的安全意識(shí)培訓(xùn)模式正式被打破，”他解釋道。“這些人力資源管理平臺(tái)由人工智能驅(qū)動(dòng)，旨在改變行為并通過(guò)自動(dòng)威脅數(shù)據(jù)編排來(lái)增強(qiáng) SOC。”

心理語(yǔ)言分析科學(xué)是應(yīng)對(duì)社會(huì)工程威脅的另一種方法。這一理念對(duì)安全領(lǐng)域來(lái)說(shuō)并不完全是新事物，但迄今為止主要側(cè)重于分析員工的心理狀態(tài)。該理論認(rèn)為，員工的異議將通過(guò)監(jiān)控內(nèi)部（甚至是社交媒體，但這有點(diǎn)令人毛骨悚然）通信表現(xiàn)出來(lái)。人們相信，在員工成為惡意內(nèi)部人員之前，可以發(fā)現(xiàn)并解決“不滿情緒”。

社會(huì)工程學(xué)的問(wèn)題是，惡意意圖是否能在一次通信中被檢測(cè)到，而不是在一系列通信中被發(fā)現(xiàn)。Proofpoint 的網(wǎng)絡(luò)安全策略師 Matt Cooke認(rèn)為這有一定的潛力。“心理語(yǔ)言學(xué)可以發(fā)揮關(guān)鍵作用，尤其是與先進(jìn)的機(jī)器學(xué)習(xí) (ML) 技術(shù)相結(jié)合時(shí)，”他說(shuō)。 

“基于轉(zhuǎn)換器的模型（例如 BERT 和 GPT）等工具擅長(zhǎng)理解單詞之間的復(fù)雜關(guān)系，它們已經(jīng)被用來(lái)分析電子郵件內(nèi)容，以發(fā)現(xiàn)網(wǎng)絡(luò)釣魚(yú)等威脅。然而，需要注意的是，僅從內(nèi)容檢測(cè)威脅并非萬(wàn)無(wú)一失。發(fā)件人身份驗(yàn)證（例如 DMARC）和行為模式等情境因素也能增強(qiáng)檢測(cè)能力。”

Iris Powered by Generali 首席執(zhí)行官 Paige Schaffer

簡(jiǎn)而言之，心理語(yǔ)言學(xué)加上額外的背景信息可以幫助檢測(cè)惡意內(nèi)容。阿爾托對(duì)此表示同意。“這些技術(shù)可以分析消息中的語(yǔ)言和情感線索，以識(shí)別欺騙或操縱的跡象。例如，它們可以檢測(cè)到釣魚(yú)和詐騙通信中常見(jiàn)的不尋常的緊迫感、恐懼訴求或不一致之處。已經(jīng)存在可以檢測(cè)深度偽造中的異常元數(shù)據(jù)以區(qū)分這些消息的工具。”

但他也同意，額外的幫助對(duì)這一過(guò)程大有裨益。“雖然人工智能驅(qū)動(dòng)的內(nèi)容分析將在檢測(cè)中發(fā)揮關(guān)鍵作用，但當(dāng)它與用戶教育、行為分析和強(qiáng)大的身份驗(yàn)證協(xié)議等其他安全措施相結(jié)合時(shí)，效果將最顯著。”

但要永遠(yuǎn)記住，對(duì)鵝有利的，對(duì)鵝不利的。Iris Powered by Generali 首席執(zhí)行官 Paige Schaffer 表示，犯罪分子可以利用人工智能來(lái)抓取數(shù)字世界，以創(chuàng)建高度個(gè)性化且可信的信息。她警告說(shuō)：“隨著犯罪分子更好地了解我們的決策過(guò)程并利用偏見(jiàn)和其他心理因素，我們還可能看到更有效的社會(huì)工程攻擊。”

“同樣，通過(guò)分析大型數(shù)據(jù)集，人工智能系統(tǒng)可以幫助犯罪分子識(shí)別心理弱點(diǎn)，甚至是更容易受到社會(huì)工程攻擊的某些個(gè)人。”

社會(huì)工程學(xué)的未來(lái)

ThreatLocker 首席執(zhí)行官兼聯(lián)合創(chuàng)始人

任何認(rèn)為防御者可以通過(guò)在防御中使用自己的人工智能來(lái)領(lǐng)先于使用人工智能的攻擊者的想法都是愚蠢的。在人工智能出現(xiàn)之前我們無(wú)法做到這一點(diǎn)，在人工智能出現(xiàn)之后我們也不會(huì)做到這一點(diǎn)。我們自己對(duì)人工智能的使用最多只能與當(dāng)前犯罪分子對(duì)人工智能的使用相匹配。當(dāng)這種情況發(fā)生時(shí)，犯罪分子和民族國(guó)家將修正他們的行為，我們將再次開(kāi)始追趕過(guò)程。 

ThreatLocker首席執(zhí)行官兼聯(lián)合創(chuàng)始人 Danny Jenkins指出了古德哈特定律：“當(dāng)一項(xiàng)措施成為目標(biāo)時(shí)，它就不再是一項(xiàng)好措施。”他表示，應(yīng)用到此處，“這意味著一旦某些標(biāo)記被確定為壞標(biāo)記，惡意行為者就可以改變他們的技術(shù)以避免使用它們，從而避免被檢測(cè)到。是的，它可能會(huì)提高檢測(cè)率，但不會(huì)解決問(wèn)題，就像惡意軟件檢測(cè)無(wú)法檢測(cè)到所有惡意軟件一樣。”

這意味著，每當(dāng)我們成功應(yīng)對(duì)新的攻擊方法時(shí)，攻擊者就會(huì)修改他們的方法——而我們需要修改我們的防御策略。我們使用人工智能進(jìn)行防御很重要，但不會(huì)改變游戲規(guī)則：人工智能將為社會(huì)工程學(xué)插上翅膀。我們永遠(yuǎn)無(wú)法贏得安全之戰(zhàn)；所以，我們需要在不安全中生存下來(lái)。業(yè)務(wù)彈性必須是我們采用的所有安全控制和流程的最終目的，因?yàn)槲覀冇肋h(yuǎn)無(wú)法徹底擊敗或保護(hù)自己免受社會(huì)工程學(xué)的侵害。