语境感知钓鱼和传统钓鱼不一样，它不是简单发固定诈骗模板，攻击者会利用大模型的上下文理解能力，把恶意指令藏在当前对话、文档、网页的上下文里面，跟着对话场景动态调整话术，模仿可信角色、匹配业务语境，绕过基础安全护栏，诱导用户泄露账号密码、密钥、企业敏感数据，这类攻击隐蔽性极强，普通关键词检测很难识别，防御不能只靠简单的关键词拦截，要从上下文隔离、输入校验、输出审计、权限管控多层落地，同时持续做红蓝对抗测试，跟上攻击者动态适配的套路。
一、语境感知钓鱼攻击核心机理清单
- 上下文边界混淆机理
- 角色劫持与场景适配机理
- 多轮对话递进欺骗机理
- 安全护栏绕过机理
- 信任转移机理
大模型无法天然区分 “用户指令” 和 “嵌入在参考资料里的恶意指令”，攻击者把劫持指令埋在网页、PDF、知识库文档、聊天历史里，当模型读取这段上下文时，会优先执行隐藏指令，篡改输出、生成钓鱼话术。
攻击者在对话上下文里要求模型切换身份，伪装成管理员、运维、客服、财务，结合目标人的岗位、项目、近期沟通内容，生成贴合场景的钓鱼话术，话术语义通顺、没有明显违规关键词，更容易获取信任。
攻击不是一次性完成，先在多轮对话里铺垫正常业务交流，逐步建立信任，再抛出诱导操作，模型会顺着之前对话语境持续配合，传统单轮检测工具识别失效。
攻击者利用上下文改写、字符变形、标签混淆、注释隐藏指令，规避静态安全关键词过滤；部分攻击还会诱导模型修改自身的判断规则，让检测模块判定钓鱼内容为正常内容。
用户默认 AI 助手输出经过安全过滤，攻击者借助 AI 的可信界面输出钓鱼链接、虚假工单、伪造验证码，把用户对 AI 的信任转移到恶意内容上，这也是这类攻击成功率高的关键原因。
二、语境感知钓鱼攻击常见攻击载体对比表
| 攻击载体 | 攻击方式 | 典型风险 |
|---|---|---|
| 网页内容 | 网页内嵌入隐藏 prompt 指令，AI 读取网页摘要时触发注入 | 生成虚假告警、钓鱼链接、伪造客服通知 |
| 上传文档（PDF/Word/Markdown） | 文档正文隐藏劫持指令，RAG 检索后带入上下文 | 诱导导出密钥、内网账号、企业合同信息 |
| 聊天会话历史 | 长对话里预埋恶意指令，后续提问触发劫持 | 冒充内部人员索要验证码、审批权限 |
| URL 片段 | URL# 后的隐藏片段携带指令，浏览器 AI 助手读取执行 | 伪造售后电话、虚假登录回调地址 |
| 第三方知识库 | 污染向量库知识库，检索时把恶意上下文送入模型 | 企业内部 AI 助手定向对内钓鱼 |
三、分层防御落地方案
第一层：输入侧上下文隔离与来源标记
- 区分可信上下文和不可信上下文，对网页、外部文档、用户上传内容打上来源标签，限制不可信内容的指令权重
- 做输入清洗，过滤 HTML 注释、特殊 Unicode 字符、隐藏标签、分块逃逸载荷，消除边界混淆类攻击载荷
- 恶意 prompt 前置检测，使用专用注入检测模型筛查输入，识别 “忽略前面指令”“切换角色” 这类劫持意图
第二层：模型侧架构加固
- 系统提示和外部上下文做严格分隔，使用独立上下文分区，禁止外部内容覆盖系统安全基线
- 采用溯源审计框架，追踪每一条结论是来自可信资料还是外部不可信上下文，可疑证据直接阻断工具调用、敏感信息输出
- 对齐增强，使用上下文对抗样本持续微调护栏，降低上下文劫持的成功率
第三层：输出侧审计与风险拦截
- 对模型输出内容做语义审计，识别索要凭证、跳转外部链接、引导下载文件、冒充内部管理员等高风险话术
- 高危输出增加二次确认，涉及账号、密钥、资金、审批操作的内容，强制提示风险、阻断直接展示
- 嵌入隐形水印标记 AI 生成内容，方便事后溯源 AI 生成的钓鱼内容
第四层：权限与运营管控
- 给 Agent 工具做最小权限，禁止 AI 直接发起外部回调、自动提交表单、读取高敏感密钥
- 员工安全培训，重点告知：AI 输出内容依然存在钓鱼风险，不要直接信任 AI 给出的链接、工单、核验电话
- 常态化红蓝对抗，使用语境感知攻击测试集持续巡检，及时发现新绕过方式
四、实施操作步骤
- 梳理 AI 系统入口：RAG 知识库、文档上传、网页解析、聊天会话、浏览器 AI 助手，清点所有可带入外部上下文的入口
- 部署上下文来源标记模块，隔离外部不可信数据和系统指令
- 接入 prompt 注入检测能力，先筛查输入载荷，拦截显性劫持指令
- 配置输出审计规则，定义钓鱼语义特征，对高风险内容拦截、告警
- 搭建审计日志，记录上下文来源、模型决策依据，发生攻击后可回溯
- 定期使用 CAPTURE、AgentLure 这类语境感知攻击基准集做安全测试，迭代防护策略
五、防御避坑清单
- 只靠关键词黑名单防御效果很差，攻击者可以依托上下文改写话术，关键词不断变形
- 不要把外部检索内容和系统指令混在同一个上下文块，边界模糊是这类攻击最核心漏洞
- 检测模型容易出现误报、漏报，需要结合溯源证据，而不是只看文本语义
- 浏览器 AI 助手、Copilot 这类端侧 AI 存在 URL 片段注入风险，网络网关无法拦截这类载荷，不能只依赖边界防火墙
- 防御方案不能一次性定型，语境感知攻击是自适应攻击，护栏需要持续迭代对抗样本
【相关 FAQ】
问题 1：生成式人工智能语境感知钓鱼攻击，和传统提示注入钓鱼有什么区别？
回答 1：生成式人工智能语境感知钓鱼攻击会贴合当前对话、文档场景动态调整欺骗话术，依托上下文递进欺骗，而传统提示注入大多是一次性静态指令劫持，语境感知钓鱼隐蔽性更强、适配场景更灵活，静态检测更容易失效。
问题 2：生成式人工智能语境感知钓鱼攻击，最常见的传播载体是网页和文档吗？
回答 2：生成式人工智能语境感知钓鱼攻击常见载体包含网页、上传文档、聊天历史、URL 片段、污染后的知识库，网页和文档是攻击者使用最多的载体，通过 RAG 读取时把恶意指令送入模型上下文。
问题 3：针对生成式人工智能语境感知钓鱼攻击，上下文溯源审计是什么防御思路？
回答 3：针对生成式人工智能语境感知钓鱼攻击的上下文溯源审计，会追踪模型每一条输出结论的信息来源，校验决策依据是否来自可信资料，如果输出由不可信外部上下文驱动，就阻断高危操作，是目前效果较好的防御手段。
问题 4：企业部署 RAG 系统，怎么降低生成式人工智能语境感知钓鱼攻击风险？
回答 4：企业 RAG 系统防御生成式人工智能语境感知钓鱼攻击，需要给检索文档标记来源、隔离外部不可信上下文，清洗文档里隐藏注入载荷，搭配输出语义审计，同时限制 AI 读取、导出密钥、凭证等高敏感信息。
【参考资料】
[2026-06-01]（ChatGPhish: AI Assistants as Phishing Infrastructure）Cloud Security Alliance
[2026-05-31]（HashJack：URL 片段注入攻击暴露浏览器 AI 助手风险）Cloud Security Alliance
[2026-05-20]（ARGUS: Defending LLM Agents Against Context-Aware Prompt Injection）arXiv
[2025-08-21]（SoK: Exposing the Generation and Detection Gaps in LLM-Generated Phishing）arXiv
【免责声明】
本文围绕生成式人工智能语境感知钓鱼攻击的机理、载体、防御方案整理自公开安全研究文献，攻防技术持续迭代，不存在可以百分百抵御所有变种攻击的方案；本文内容仅作为 AI 安全架构、安全运营的科普参考，不可以直接作为生产环境唯一安全方案，正式上线前需要结合业务场景开展专项渗透测试。