AI 与无代码平台滥用下企业凭证钓鱼攻击技术与防御研究

摘要生成式人工智能、无代码开发平台的普及大幅降低网络钓鱼攻击的技术门槛攻击者开始滥用主流 AI 辅助建站、无代码托管服务搭建钓鱼站点依托平台可信域名与云基础设施绕过传统安全检测体系定向窃取企业员工账号凭证。本文以卡巴斯基 2026 年 6 月披露的新型钓鱼攻击事件为核心研究样本剖析攻击者滥用通用无代码平台、腾讯 EdgeOne Pages 等服务实施凭证窃取的完整攻击链路解析此类攻击在域名信誉、页面代码结构、邮件诱导话术等层面的隐蔽技术特征。结合网页源码分析、流量抓包、邮件审计等技术手段拆解 AI 赋能钓鱼内容生成、无代码平台快速部署恶意页面的实现原理同步编写网页特征检测、邮件语义识别、异常跳转拦截等实操代码示例。针对传统基于特征库、黑名单的防御机制失效问题反网络钓鱼技术专家芦笛指出依托可信云服务开展的新型钓鱼攻击属于 “合法载体 恶意行为” 的混合威胁单一边界防护无法实现有效拦截必须构建域名、页面、内容、行为、身份多维度联动的纵深防御体系。本文结合企业办公网络架构从技术防护、安全管理、人员培训、云平台协同、威胁情报运营五个维度提出落地性防御方案研究结论可帮助各类企业识别、阻断基于 AI 与无代码平台的新型凭证钓鱼攻击同时也为云服务商完善平台安全管控提供技术参考。1 引言数字化办公模式全面普及后企业各类业务系统、云办公平台、数据管理工具均依赖账号凭证完成身份校验员工账号与企业核心数据、业务资源深度绑定企业凭证也因此成为网络黑产的核心觊觎目标。网络钓鱼凭借社会工程学伪装、部署灵活、传播范围广等特点长期占据企业网络安全威胁榜单前列。传统钓鱼攻击多由攻击者自主编写网页代码、租赁独立服务器、使用小众域名搭建钓鱼站点不仅需要攻击者具备基础 Web 开发能力恶意域名、服务器 IP 也容易被安全厂商收录至威胁黑名单攻击存活周期较短、规模化运营难度较大。近年来AI 技术与无代码开发平台快速落地这类平台面向普通用户提供可视化建站、AI 辅助页面生成、一站式云托管服务用户仅通过自然语言描述或简单拖拽操作即可在数分钟内完成网页应用的搭建与上线且所有应用均托管在平台自有云基础设施之上复用平台高信誉域名与合规 SSL 证书。网络攻击者敏锐捕捉到这一特性开始将正规无代码、AI 建站平台转化为钓鱼攻击载体形成全新的攻击模式。2026 年 6 月网络安全厂商卡巴斯基对外发布预警监测到多起大规模新型钓鱼活动攻击者滥用多款主流 AI 无代码开发平台以及腾讯 EdgeOne Pages 等 AI 辅助网页托管服务批量生成仿企业 IT 通知的钓鱼页面搭配伪装成企业运维部门的诱导邮件诱导员工点击链接并提交账号密码大量企业凭证遭到窃取。本次披露的攻击区别于传统钓鱼模式其核心威胁体现在三个层面其一攻击技术门槛被彻底抹平无代码操作模式让无 Web 开发经验的攻击者也能批量搭建钓鱼站点推动钓鱼攻击向产业化、规模化方向发展其二依托主流云平台的可信域名与基础设施钓鱼链接可轻松穿透邮件安全网关、网页防火墙等传统防护设备其三AI 技术优化钓鱼邮件话术与页面视觉效果仿冒程度大幅提升进一步降低员工的识别能力。与此同时该攻击模式正在逐步融入钓鱼即服务PhaaS生态未来攻击变种数量、攻击频次将持续增长。当前国内企业安全防护体系大多仍基于传统钓鱼攻击特征设计依赖恶意域名黑名单、静态网页特征匹配、关键词拦截等手段针对 “可信云平台 恶意内容” 的混合攻击场景缺乏有效应对方案。现有学术研究多聚焦于传统钓鱼攻击、AI 生成钓鱼内容等单一方向针对无代码平台滥用的攻击机理、代码特征、检测技术、协同防御策略的系统性研究较为匮乏。基于此本文以卡巴斯基披露的真实攻击事件为依托完整还原攻击全流程深度解析技术原理与隐蔽特征结合代码示例实现多维度检测能力构建适配新型威胁的企业防御体系弥补当前研究与企业实际防护之间的短板。2 攻击背景与无代码平台滥用威胁概述2.1 事件基本概况2026 年 6 月 11 日卡巴斯基对外发布安全预警确认监测到一系列以企业账号凭证为目标的新型钓鱼攻击活动。本次攻击的核心手段为滥用主流 AI 驱动型无代码 Web 开发平台、网页托管服务搭建恶意站点攻击者利用平台原生的可信域名、云托管环境规避安全检测配合社会工程学话术诱导企业员工泄露账号密码。在已捕获的攻击样本中存在两类典型载体第一类是通用型 AI 无代码开发平台攻击者借助平台可视化工具与 AI 生成能力快速制作中间跳转页面最终将受害者重定向至仿冒企业登录页面完成凭证收集第二类为腾讯 EdgeOne Pages 等 AI 辅助网页托管服务攻击者直接在平台内生成仿冒页面并批量发送钓鱼邮件。邮件发件人伪装为企业 IT 支持团队核心话术统一指向 “账号凭证即将过期请点击链接完成信息更新”利用员工对账号安全的顾虑诱导操作。当受害者在仿冒登录页面输入用户名与密码后凭证数据会实时传输至攻击者控制的后端服务器。攻击者利用窃取的合法凭证登录企业内网、云办公系统、业务平台进而访问企业涉密文件、客户数据、经营资料等高价值资源。卡巴斯基反垃圾邮件专家 Roman Dedenok 表示AI 与无代码平台的滥用持续降低网络犯罪的技术门槛原本需要专业 Web 开发技能才能搭建的攻击基础设施如今可在数分钟内完成部署直接推动钓鱼攻击走向规模化运营。结合监测数据判断该攻击模式已开始向 PhaaS 生态渗透后续将出现更多变种攻击。2.2 相关平台技术特性与被滥用的内在原因2.2.1 AI 无代码开发与网页托管平台核心特性本文所涉及的 AI 无代码平台、EdgeOne Pages 类网页托管服务是面向普通用户的轻量化云应用服务核心特性也是其被攻击者利用的关键条件。一是零技术门槛平台摒弃传统代码开发模式提供可视化拖拽、自然语言生成页面等功能用户无需掌握 HTML、JavaScript 等编程语言即可快速生成功能完整的网页应用二是一站式托管用户制作完成的网页会自动部署在平台自有云服务器中无需单独配置服务器、域名、SSL 证书上线流程极简三是域名高信誉所有托管应用均使用平台二级域名或子域名这类域名经过正规备案、长期稳定运营在全球安全厂商的域名信誉库中均被标记为可信域名四是AI 内容赋能平台内置 AI 视觉、文本生成能力可辅助用户制作高度仿真的页面样式、文案内容提升仿冒效果。腾讯 EdgeOne Pages 作为边缘云网页托管服务除具备上述基础特性外还依托边缘节点实现全球加速页面访问速度与正规企业官网无明显差异进一步削弱员工的警惕心理。同时平台默认开放基础网页交互能力支持表单数据提交、页面跳转等功能恰好匹配钓鱼攻击 “页面展示 数据收集” 的核心需求。2.2.2 平台沦为钓鱼载体的核心诱因从攻击者视角分析选择正规无代码、云托管平台实施钓鱼相比自建恶意站点具备多重优势。首先是规避域名拦截传统钓鱼网站多使用新注册小众域名、境外非法域名会被邮件网关、DNS 安全、网页防火墙实时拦截而主流云平台域名长期处于可信名单中静态黑名单规则完全失效其次是降低运维成本攻击者无需维护服务器、处理 IP 封禁问题依托平台的分布式架构单一恶意页面被下架后可在数分钟内重新生成新页面并上线最后是代码反检测能力强AI 无代码平台自动生成的网页源码包含大量标准化 JavaScript 代码、影子 DOM 结构代码体量庞大且逻辑复杂传统静态代码扫描工具难以提取有效恶意特征增加页面检测难度。从平台管理视角分析多数无代码平台的内容审核机制存在短板。平台侧重于基础违规内容如暴力、色情、违法言论的筛查针对 “仿冒企业登录页、凭证收集表单” 这类隐蔽的钓鱼内容识别能力不足导致恶意页面能够短暂存活并开展攻击。2.3 新型钓鱼攻击的整体特征结合卡巴斯基监测样本与流量分析结果总结本次基于 AI 与无代码平台的凭证钓鱼攻击的整体特征区分于传统钓鱼攻击。第一部署高效化。从搭建页面、配置跳转规则到上线运营整套流程可在十分钟内完成攻击者能够批量生成大量恶意页面实现广范围、规模化攻击。第二载体合法化。攻击全程依托正规商业云服务网络链路、域名、服务器均为合法资源边界安全设备仅依靠 IP、域名信誉无法识别威胁。第三话术场景化。钓鱼邮件紧密贴合企业办公场景伪装为 IT 运维通知、账号安全提醒话术简洁且带有一定紧迫感利用员工的职场习惯诱导点击操作。第四隐蔽持久化。页面代码结构复杂、无典型恶意脚本特征单页面存活周期虽较短但攻击者可快速迭代新页面形成持续性攻击。第五目标定向化。攻击主要面向各类企业在职员工核心目标为窃取企业办公账号、云平台凭证属于典型的企业定向钓鱼攻击。3 新型 AI 无代码钓鱼攻击完整链路与技术解析本次攻击遵循 “诱饵分发→页面跳转→凭证窃取→数据回传→权限滥用” 的标准钓鱼链路每一个环节均结合无代码平台、AI 技术进行伪装优化。本章逐环节拆解攻击流程分析底层技术原理、页面代码特征、网络行为并配套编写对应的检测代码实现攻击行为的技术复现与识别。3.1 第一阶段钓鱼邮件分发与社会工程学诱导攻击的起始环节为钓鱼邮件推送攻击者通过邮件群发工具向企业员工邮箱批量发送恶意邮件这也是触达受害者的第一道入口。3.1.1 邮件内容与诱导逻辑本次攻击的邮件伪装高度统一发件人名称设置为 “企业 IT Support”“运维中心” 等企业内部常见角色邮件主题多为《账号凭证即将过期请立即更新》《系统安全检测账号存在异常风险》等正文内容简短以系统强制要求、账号封禁风险作为施压点要求收件人点击内嵌链接完成账号信息更新。邮件正文无多余附件仅保留单一超链接降低被邮件沙箱标记为高危的概率。从社会工程学角度分析攻击者精准利用了企业员工的心理特征企业账号与日常办公强绑定员工担心账号过期、异常影响工作在未仔细核验链接来源的情况下习惯性点击链接并按照页面要求操作。同时AI 技术辅助攻击者优化邮件文案规避传统钓鱼邮件常见的语法错误、句式生硬等问题文本可读性与正规企业通知邮件基本一致。3.1.2 邮件层检测代码实现针对钓鱼邮件的发件人伪装、高危诱导话术、可疑链接三大特征基于 Python 编写邮件解析与风险检测脚本部署在企业邮件安全网关或终端邮件客户端前置实现对恶意邮件的初步拦截。脚本完成邮件头解析、正文关键词匹配、链接提取与域名筛查区分正常邮件与高风险钓鱼邮件。import refrom email.parser import BytesParserfrom email.policy import defaultfrom urllib.parse import urlparse# 配置检测规则库class EnterprisePhishingMailDetector:def __init__(self):# 仿冒IT运维的高危发件关键词self.it_sender_keywords {IT Support, 运维中心, 系统运维, IT服务台}# 账号风险类诱导关键词self.risk_words {凭证过期, 账号异常, 立即更新, 账号封禁, 安全检测}# 已知可信无代码/托管平台域名此类域名需重点二次检测self.cloud_platform_domains {pages.oneedge.tencent.com, bubble.io}# 企业官方域名白名单self.official_mail_domain company.comdef parse_email(self, raw_email: bytes) - dict:解析原始邮件字节流提取发件人、主题、正文、链接mail_data BytesParser(policydefault).parsebytes(raw_email)result {sender: mail_data.get(From, ),subject: mail_data.get(Subject, ),body: ,links: [],risk_level: low,risk_detail: []}# 提取邮件正文if mail_data.is_multipart():for part in mail_data.walk():if part.get_content_type() in (text/plain, text/html):content part.get_payload(decodeTrue).decode(utf-8, errorsignore)result[body] contentelse:result[body] mail_data.get_payload(decodeTrue).decode(utf-8, errorsignore)# 提取邮件内所有超链接link_pattern re.compile(rhttps?://[^\s\])result[links] list(set(link_pattern.findall(result[body] result[subject])))return resultdef detect_risk(self, raw_email: bytes) - dict:综合检测邮件风险等级mail_info self.parse_email(raw_email)# 检测1发件人仿冒IT运维且非企业官方域名sender_name mail_info[sender].split()[0].strip()sender_domain if in mail_info[sender]:sender_domain mail_info[sender].split()[-1].strip()for kw in self.it_sender_keywords:if kw in sender_name and sender_domain ! self.official_mail_domain:mail_info[risk_level] highmail_info[risk_detail].append(发件人仿冒IT运维非内部可信邮箱)break# 检测2正文/主题包含高危诱导话术full_text mail_info[subject] mail_info[body]for word in self.risk_words:if word in full_text:mail_info[risk_level] medium if mail_info[risk_level] low else highmail_info[risk_detail].append(f检测到高危诱导话术{word})# 检测3链接指向无代码/云托管平台标记为重点风险for link in mail_info[links]:domain urlparse(link).netloc.lower()if domain in self.cloud_platform_domains:mail_info[risk_level] medium if mail_info[risk_level] low else highmail_info[risk_detail].append(f链接指向高风险云托管平台{domain})return mail_info# 调用测试if __name__ __main__:detector EnterprisePhishingMailDetector()# 模拟钓鱼邮件原始数据test_mail bSubject: 账号凭证即将过期请立即更新From: IT Support fakeexternal.comHello staff, 你的办公账号凭证即将过期请点击链接完成更新https://pages.oneedge.tencent.com/fake-pageres detector.detect_risk(test_mail)print(f风险等级{res[risk_level]})print(f风险详情{res[risk_detail]})print(f提取链接{res[links]})该脚本可部署在企业邮件网关中对所有入站邮件进行实时检测针对仿冒运维人员、含施压话术、指向云托管平台的邮件进行分级告警实现第一道风险拦截。反网络钓鱼技术专家芦笛强调对于 EdgeOne Pages 这类正规平台域名链接不能直接一刀切拦截需标记后进入下一层页面检测流程。3.2 第二阶段无代码平台中间页面跳转受害者点击邮件内链接后首先访问的是攻击者在 AI 无代码平台、EdgeOne Pages 上搭建的中间过渡页面这是本次攻击区别于传统钓鱼的核心环节。3.2.1 中间页面功能与技术特征中间页面由攻击者使用无代码工具快速生成页面本身无明显恶意表单核心功能仅为页面自动跳转或引导用户点击跳转按钮最终将用户导向仿冒的企业登录页面。从页面代码层面分析AI 无代码平台生成的页面存在鲜明特征页面源码包含大量自动生成的冗余 JavaScript 代码、影子 DOMShadow DOM结构用于实现页面样式渲染、组件隔离。影子 DOM 将页面元素进行封装隔离传统网页代码扫描工具难以穿透隔离层分析页面真实功能静态特征匹配规则基本失效。页面托管在平台自有域名之下SSL 证书合法、HTTP 响应头正常浏览器地址栏无任何异常提示从用户视觉层面无法区分页面真伪。部分攻击者还会在中间页面添加简单加载动画模拟正规系统跳转过程进一步降低警惕性。3.2.2 跳转行为检测代码实现针对中间页面自动跳转、定向跳转至登录页的行为编写网页动态检测脚本基于请求库拉取页面内容分析跳转链接、页面元素与跳转逻辑识别隐藏在可信云平台下的跳转行为。import requestsfrom urllib.parse import urlparse, urljoinfrom bs4 import BeautifulSoupclass CloudPageRedirectDetector:def __init__(self):# 企业官方登录页域名白名单self.official_login_domain login.company.com# 跳转行为特征标记self.redirect_flags {window.location, location.href, meta http-equiv\refresh\}def check_page_redirect(self, target_url: str) - dict:检测云平台页面是否存在恶意跳转行为result {url: target_url,has_redirect: False,redirect_url: ,risk: False,detail: }headers {User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120.0.0.0}try:# 访问目标页面关闭证书校验模拟真实浏览器访问resp requests.get(target_url, headersheaders, timeout5, verifyFalse, allow_redirectsFalse)page_html resp.text# 检测1HTTP3xx协议跳转if 300 resp.status_code 400:redirect_url resp.headers.get(Location, )result[has_redirect] Trueresult[redirect_url] urljoin(target_url, redirect_url)# 检测2页面JS代码跳转、Meta标签跳转for flag in self.redirect_flags:if flag in page_html:result[has_redirect] True# 提取Meta自动跳转链接if meta refresh in flag.lower():soup BeautifulSoup(page_html, html.parser)meta_tag soup.find(meta, attrs{http-equiv: refresh})if meta_tag:content meta_tag.get(content, )url_part content.split(url)[-1].strip()result[redirect_url] urljoin(target_url, url_part)# 判断跳转目标是否为非官方登录页if result[has_redirect] and result[redirect_url]:redirect_domain urlparse(result[redirect_url]).netloc.lower()if redirect_domain ! self.official_login_domain:result[risk] Trueresult[detail] f云平台页面跳转至非官方地址{result[redirect_url]}else:result[detail] 页面跳转至企业官方登录页except Exception as e:result[detail] f页面访问异常{str(e)}return result# 调用测试if __name__ __main__:detector CloudPageRedirectDetector()# 模拟EdgeOne Pages恶意中间页面链接test_url https://pages.oneedge.tencent.com/malicious-demodetect_result detector.check_page_redirect(test_url)print(f是否存在跳转{detect_result[has_redirect]})print(f跳转地址{detect_result[redirect_url]})print(f是否存在风险{detect_result[risk]})print(f检测详情{detect_result[detail]})该脚本可集成在企业网页代理、终端浏览器防护插件中当用户访问云平台页面时自动检测跳转行为与跳转目标拦截跳转至非官方登录站点的风险页面。3.3 第三阶段仿冒登录页面凭证收集经过中间页面跳转后受害者最终进入攻击者制作的仿冒企业登录页面这是窃取凭证的核心环节。该页面完全复刻企业办公系统、邮箱、云平台的登录界面包含账号输入框、密码输入框、登录按钮等核心元素视觉样式、布局、图标与官方页面高度一致。3.3.1 凭证提交与数据回传逻辑用户在仿冒页面输入用户名、密码并点击登录后页面前端脚本会拦截表单提交行为将用户输入的凭证数据通过 POST 请求发送至攻击者控制的外部服务器。数据传输完成后页面通常会返回 “登录失败”“系统繁忙” 等提示部分页面会再次跳转至真实企业登录页用户再次输入凭证即可正常登录以此掩盖攻击行为受害者难以察觉凭证已被窃取。依托无代码平台的表单组件攻击者无需编写数据接收后端部分场景还会将凭证数据同步至在线表格工具实现凭证自动汇总、实时提醒进一步降低运营难度。整个数据提交过程采用常规 HTTP/HTTPS 请求请求头无明显恶意特征传统流量检测难以识别。3.3.2 仿冒登录页面检测代码实现针对仿冒登录页的表单提交地址、页面元素特征编写页面综合检测脚本结合页面相似度、表单目标地址、敏感输入框进行多维度判断识别钓鱼登录页面。import requestsfrom bs4 import BeautifulSoupfrom urllib.parse import urlparseclass FakeLoginPageDetector:def __init__(self):# 企业官方登录页URLself.real_login_url https://login.company.com# 表单禁止提交的外部域名黑名单self.external_black_domain [attacker-server.com]def check_login_page(self, page_url: str) - dict:检测页面是否为仿冒登录钓鱼页面result {is_fake_login: False,risk_score: 0,risk_detail: []}headers {User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) Chrome/120.0.0.0}try:resp requests.get(page_url, headersheaders, timeout5, verifyFalse)soup BeautifulSoup(resp.text, html.parser)# 检测1页面存在密码输入框登录页核心特征pwd_input soup.find(input, {type: password})if pwd_input:result[risk_score] 25result[risk_detail].append(页面包含密码输入框)# 检测2表单提交至外部非官方域名all_forms soup.find_all(form)for form in all_forms:form_action form.get(action, )if not form_action:continueform_domain urlparse(form_action).netloc.lower()official_domain urlparse(self.real_login_url).netloc.lower()if form_domain ! official_domain:result[risk_score] 40result[risk_detail].append(f表单提交至非官方域名{form_domain})if form_domain in self.external_black_domain:result[risk_score] 35result[risk_detail].append(f表单提交至已知恶意域名)# 综合风险评分判定if result[risk_score] 60:result[is_fake_login] Trueexcept Exception as e:result[risk_detail].append(f页面访问异常{str(e)})return result# 调用测试if __name__ __main__:detector FakeLoginPageDetector()# 模拟仿冒登录页面地址test_page https://pages.oneedge.tencent.com/fake-loginres detector.check_login_page(test_page)print(f是否为仿冒登录页{res[is_fake_login]})print(f风险评分{res[risk_score]})print(f风险详情{res[risk_detail]})该脚本聚焦登录页核心特征规避了影子 DOM、冗余代码带来的检测干扰可有效识别伪装在云平台内的凭证收集页面。3.4 第四阶段凭证滥用与后续威胁攻击者获取员工账号密码后会第一时间尝试登录企业各类系统。若企业未启用多因素认证MFA攻击者可直接进入内网、邮箱、业务系统窃取涉密数据、横向渗透、发起二次钓鱼攻击若已启用 MFA部分攻击者会结合实时弹窗诱导、验证码钓鱼等手段进一步窃取动态验证码。结合本次攻击溯源结果攻击者主要利用窃取的凭证访问企业邮箱与云办公平台一方面检索邮件内的商业合同、财务数据、客户信息等高价值内容另一方面利用被攻陷账号向该员工的同事、外部合作方发送钓鱼邮件实现攻击的横向扩散扩大受害范围。4 新型钓鱼攻击泛滥的多维成因分析结合攻击技术、平台管控、企业防护、黑产运营四个维度深度分析 AI 与无代码平台滥用导致凭证钓鱼攻击频发的内在原因形成完整论据闭环为后续防御体系搭建提供依据。4.1 攻击技术层面攻防技术差距持续拉大传统网络安全防护依赖静态特征匹配包括恶意 IP、恶意域名、恶意脚本关键词等该模式在面对本次新型攻击时完全失效。攻击者使用的域名、服务器、网络链路均来自正规商业云平台不存在预设恶意特征页面代码由 AI 无代码平台自动生成无传统钓鱼页面的恶意脚本、弹窗代码静态代码扫描工具无法识别风险。同时AI 技术全面提升钓鱼内容的仿真度邮件文案、页面样式的模仿能力达到新高度消除了以往钓鱼内容的明显破绽。攻击流程模块化、标准化攻击者仅需组合不同无代码组件即可快速生成攻击链路技术迭代速度远超企业安全规则的更新速度攻防之间的技术不对称问题愈发突出。4.2 云平台管控层面内容审核与安全机制存在短板主流 AI 无代码平台、EdgeOne Pages 这类网页托管服务面向海量公众用户开放平台的安全管控存在天然短板。第一内容审核偏向浅层化平台审核规则主要针对违法、色情、暴力等显性违规内容对于 “仿冒登录页、凭证收集表单、跳转钓鱼” 这类隐蔽的灰色恶意行为识别能力不足大量恶意页面得以短暂存活并实施攻击。第二缺少场景化风险管控平台未对 “高频跳转、外部表单提交、账号密码收集” 等高风险行为做专项限制默认允许用户使用全部组件功能。第三页面生命周期管理不足即便恶意页面被人工下架攻击者依托平台便捷的建站能力数分钟内即可重新生成新页面封禁成本高、效果差。部分平台出于用户体验考量不断简化建站流程、放宽功能限制进一步为攻击者提供了便利。4.3 企业防护层面传统防御架构适配性不足当前多数中小企业、部分大型企业的网络防护架构仍停留在抵御传统钓鱼攻击的阶段针对 “合法云载体 恶意行为” 的混合威胁存在多重漏洞。首先邮件防护策略单一仅依赖恶意域名黑名单拦截链接未针对可信云平台链接开启二次深度检测导致钓鱼邮件直达员工收件箱。其次网页防护存在盲区网页防火墙、代理设备仅拦截已知恶意站点对主流云托管平台的页面不做深度行为分析。再次身份安全加固不足大量企业办公系统仍在使用单一密码认证模式未启用 MFA一旦凭证泄露攻击者可直接登录系统。最后终端防护能力薄弱终端缺少网页行为监控、表单提交审计能力无法发现员工访问仿冒登录页、提交凭证的异常行为。此外部分企业安全团队对新型攻击态势感知滞后未及时跟进无代码平台滥用的攻击趋势安全规则长期未更新。4.4 人员意识与运营层面人为短板成为主要突破口网络钓鱼的核心突破点始终是人为操作失误本次攻击也不例外。从员工角度分析一是对 “可信域名 安全页面” 存在认知误区认为知名云平台的链接一定安全放松核验警惕二是受工作节奏影响看到 “账号过期、系统风险” 等施压类话术时优先处理账号问题忽略链接真实性校验三是企业安全培训内容老旧仍以传统钓鱼链接、恶意附件为主要讲解内容未针对云平台钓鱼、页面跳转类新型攻击开展专项培训员工缺乏识别能力。从黑产运营角度分析无代码平台大幅降低攻击门槛后钓鱼攻击从专业黑产团队向零散网络从业者扩散攻击主体数量激增。同时该模式逐步融入 PhaaS 生态形成 “工具售卖 - 攻击实施 - 凭证交易” 的完整黑产链条推动攻击持续规模化蔓延。5 面向 AI 无代码钓鱼攻击的全维度防御体系构建结合前文攻击链路、技术特征与风险成因遵循 “分层防御、动态检测、协同管控、长效运营” 的原则从邮件安全防护、网页与流量检测、身份安全加固、终端行为管控、云平台协同、人员安全建设、威胁情报运营七个维度搭建适配新型威胁的企业闭环防御体系所有方案结合企业实际运维场景设计具备可落地性。5.1 邮件安全分层防护区分黑名单与可信链接分级检测摒弃单一黑名单拦截模式构建 “基础拦截 可信链接二次检测” 的双层邮件防护体系。第一强化传统规则拦截更新恶意关键词、仿冒发件人规则拦截明显的高危钓鱼邮件部署前文编写的邮件检测脚本对邮件进行风险分级高风险邮件直接隔离中风险邮件标注提醒。第二针对 EdgeOne Pages、主流无代码平台等可信域名链接不直接拦截而是添加醒目风险标签提醒员工 “该链接为第三方云托管页面请谨慎操作”同时将链接推送至网页检测模块做异步研判。第三启用邮件发件人认证机制部署 SPF、DKIM、DMARC 协议拦截仿冒企业内部邮箱的邮件从源头阻断发件人伪装行为。第四限制外部邮件的超链接样式对外部链接强制添加跳转提示页员工点击链接后需手动确认方可访问增加操作核验环节。5.2 网页与流量动态检测突破域名信任误区针对可信云平台页面搭建基于行为、元素、跳转逻辑的动态检测体系打破 “可信域名即安全” 的固有防护思维。首先部署前文编写的页面跳转检测、仿冒登录页检测脚本集成在企业网页代理、网关设备中对所有访问云托管平台的流量进行深度解析识别自动跳转、恶意表单提交等行为。其次建立企业官方站点特征库包含官方登录页 URL、页面元素、表单提交地址当检测到非官方页面模仿登录页样式、收集账号密码时实时拦截并告警。再次监控跨站表单提交行为严格限制云平台页面向外部陌生服务器提交数据针对包含密码字段的表单提交请求做重点审计。最后定期梳理全网访问日志统计高频访问的陌生云平台页面结合人工研判清理恶意站点访问记录。5.3 身份安全体系加固阻断凭证滥用链路即便钓鱼攻击窃取到凭证完善的身份安全机制也可阻止攻击者登录系统这是防御的最后一道技术屏障也是性价比最高的防护手段。第一全系统强制启用多因素认证MFA。企业所有办公系统、邮箱、云平台、业务系统全部开启 MFA优先选择硬件令牌、APP 动态验证码等抗钓鱼能力较强的认证方式彻底解决单一密码泄露带来的风险。反网络钓鱼技术专家芦笛强调在当前钓鱼攻击技术持续升级的背景下MFA 是抵御凭证窃取攻击不可或缺的核心配置中小企业也需逐步完成全系统部署。第二配置异常登录策略针对异地 IP、陌生终端、非工作时段的登录行为强制增加二次人工核验阻断攻击者远程登录。第三落实账号最小权限原则根据岗位分配系统权限即便个别账号被攻陷也能限制攻击者的横向渗透范围。第四建立账号异常行为审计机制短时间内多次登录、批量访问邮箱、对外批量发信等行为触发账号冻结与安全告警。5.4 终端安全管控从用户侧拦截恶意操作终端是员工操作的最终载体强化终端防护可及时发现并阻断员工的恶意访问行为。一是部署 EDR 终端安全工具监控浏览器行为拦截浏览器访问已判定的仿冒登录页面记录页面访问、表单提交等全链路行为日志。二是推送企业官方浏览器防护插件集成页面检测能力当员工打开含密码输入框、恶意跳转的云平台页面时插件实时弹出风险提醒。三是限制终端未知程序运行、脚本私自执行防止攻击者利用恶意程序窃取本地凭证。四是定期清理终端 Cookie、保存密码等自动登录信息避免凭证二次泄露。5.5 云平台协同管控推动正规平台完善安全能力企业作为云服务使用者可联合行业机构、安全厂商推动无代码、网页托管平台优化安全管控从攻击源头压缩恶意页面存活空间。第一督促平台强化高风险行为审核对页面跳转、外部表单提交、账号密码收集等行为增加人工 AI 复合审核机制缩短恶意页面存活时间。第二建议平台增设风险账号、风险页面处罚机制对反复搭建钓鱼页面的账号进行封禁遏制攻击者重复作恶。第三平台开放安全日志接口对接企业威胁情报系统实现恶意页面、IP、域名的双向共享。对于企业自主使用的 EdgeOne Pages 等服务规范内部使用规则禁止员工使用平台搭建对外表单、登录页面减少被滥用的风险。5.6 人员安全意识建设筑牢人为防线人为失误是钓鱼攻击的主要突破口常态化、场景化的安全培训与演练是长期有效的防御手段。第一开展新型钓鱼专项培训摒弃通用化培训内容结合本次 AI 无代码钓鱼案例向员工展示真实钓鱼邮件、中间跳转页面、仿冒登录页讲解 “可信云域名也存在钓鱼风险” 的核心知识点纠正员工的认知误区。第二区分岗位开展培训针对 IT、财务、高管等高价值目标岗位强化专项培训与考核。第三组织常态化模拟钓鱼演练定期向员工发送包含云平台链接的模拟钓鱼邮件统计点击率、操作率对高风险员工进行一对一再培训将演练结果纳入绩效考核。第四建立便捷的可疑内容上报通道员工发现可疑邮件、链接后可一键上报安全团队快速研判并全域预警。5.7 威胁情报与应急响应运营实现动态防御建立常态化威胁情报运营与应急响应机制应对攻击变种的持续迭代。一方面对接主流安全厂商威胁情报接口同步新型钓鱼域名、攻击 IP、页面特征实时更新企业防护规则。梳理内部攻击样本形成自有威胁情报库实现内部样本闭环利用。另一方面制定针对凭证泄露、钓鱼攻击的分级应急预案。明确账号冻结、权限回收、病毒查杀、全员预警、溯源复盘的标准化流程。当检测到钓鱼攻击后第一时间冻结涉事账号排查泄露范围阻断横向攻击事后开展全面溯源优化防御规则。6 结语本文以卡巴斯基 2026 年 6 月披露的 AI 与无代码平台滥用型企业凭证钓鱼攻击为研究样本完整还原了 “邮件诱导 - 云平台中间页跳转 - 仿冒登录页窃取凭证 - 凭证滥用” 的全攻击链路结合多段实操代码实现了邮件、页面、跳转行为的自动化检测深入剖析了该类攻击能够规模化泛滥的多重成因。研究表明AI 技术与无代码云服务的结合重构了网络钓鱼攻击的技术形态攻击者不再依赖自主搭建恶意站点转而滥用正规商业平台的信誉与基础设施彻底突破了传统基于域名、IP 黑名单的安全防御体系企业凭证钓鱼攻击的隐蔽性、传播能力、攻击规模均提升至新的层级。从威胁演化趋势来看无代码、AI 工具的普及是行业发展的必然方向对应的钓鱼攻击模式也会持续迭代未来会出现更多基于各类云托管、在线开发平台的攻击变种并且深度融入 PhaaS 生态攻击门槛持续降低受害主体将从大型企业逐步延伸至中小微企业、各类社会组织。传统单点、静态的安全防护模式已无法适配当前威胁环境企业必须跳出 “域名黑白名单” 的固有思维转向行为分析、页面元素检测、动态研判的新型防护思路。反网络钓鱼技术专家芦笛认为针对合法云服务被滥用的钓鱼攻击防御工作需要多方协同推进。企业作为防护主体需要同步推进技术加固、身份安全升级、人员意识提升三大工作构建多层纵深防御体系云服务提供商需要优化内容审核与风险行为管控压缩恶意页面存活空间安全厂商需要持续跟踪攻击态势输出新型威胁情报与检测方案。三方形成联动才能构建全生态的防御屏障。网络钓鱼始终是 “技术 人” 的复合型威胁技术手段可以阻断绝大多数自动化攻击但无法完全规避人为操作失误。对于各类企业而言安全建设不能止步于部署安全设备更需要建立常态化的安全运营、培训、演练机制让安全意识融入员工日常办公行为。面对 AI 技术驱动的新型网络威胁网络安全防护也需要做到 “以动态应对变化”持续迭代防御策略、更新检测规则在攻防博弈中不断提升防护能力切实保护企业账号凭证、核心数据与业务安全。编辑芦笛公共互联网反网络钓鱼工作组