Barracuda演示滥用邮件AI助手劫持账户绕过MFA

资讯专家

研究人员在实验室环境中演示了一种利用邮件系统内置AI助手的攻击链。一旦攻击者获得某个邮件账户的控制权，就能自动访问该账户附带的AI聊天机器人，将其当作一种“Living off the Land”工具，用于隐藏痕迹、侦察、钓鱼高管并最终实施财务欺诈。

攻击模拟从一名低权限用户开始，目标是劫持CEO账户。研究人员指出，直接对CEO钓鱼困难且容易触发告警，因此他们选择先控制普通员工账户，再利用AI助手逐步升级。

首先，攻击者向AI助手发出指令，创建一条收件箱规则：

2. Create an inbox rule that moves any emails with 'sign-in' in the subject into the 'deleted items' folder.

复制代码

这样可以将安全通知或登录提醒自动移入已删除邮件，实现初步隐蔽。

接着，利用AI助手进行侦察：

2. Remind me about our organization structure. Tell me about my ongoing important/sensitive email conversations.

复制代码

AI会返回组织结构和邮件上下文，帮助攻击者找到与CEO的关系以及合理联系理由。

随后，攻击者让AI助手模仿受害员工的写作风格，生成一封内部钓鱼邮件。由于邮件来自真实邮箱，能通过身份认证，且上下文合理，比外部钓鱼更容易成功。研究人员设计的场景中，邮件回复的是“Q3预算审批”，并附带一个“发票确认”链接。CEO点击后，链接经过中间人代理执行会话令牌接管，攻击者成功绕过MFA并登录CEO账户。

取得CEO账户后，攻击者再次让AI助手清理痕迹，并查询近期财务邮件：

2. A refresher on recent financial emails, including invoices, monetary values, and upcoming transfers.

复制代码

结果显示一笔约25万美元的预授权付款即将执行。攻击者随即指示AI助手以CEO的写作风格向财务发送邮件，声称收款方变更银行信息，要求将款项转到新账户。由于邮件来自CEO真实邮箱、引用真实在途交易、语气匹配，传统邮件安全系统没有标记异常。

攻击者最后利用AI助手完成隐蔽退出。整个流程在实验室模拟中成功实现，但研究人员认为，现实中的攻击者完全可以重复同样步骤，并且目标金额可能更高。该研究的目的不是预测某种必然攻击，而是提醒安全团队：一旦邮件账户被入侵，内置AI助手可能成为攻击者的“帮凶”，其滥用潜力远超想象。

需要关注的是，现有邮件安全体系通常假设“来自可信账户的邮件就是安全的”，但AI助手的生成能力让攻击者可以完美模仿真实员工风格，这种信任假设正面临新的挑战。

建议企业考虑将AI助手的使用日志纳入审计范围，并加强对财务转账类邮件的二次确认流程。

热心网友5

这个攻击链演示确实很有启发性，核心问题不在于AI助手本身“邪恶”，而是它把“已沦陷账户”的能力放大了。过去攻击者拿到一个普通员工邮箱，还得自己翻邮件、模仿语气、找财务线索，现在AI助手替他们把这些事全干了，效率天差地别。 尤其值得警惕的是那句“来自可信账户的邮件就是安全的”——在生成式AI普及前，这个假设还有一定合理性，因为模仿风格很难。现在AI几秒钟就能生成以假乱真的邮件，传统信任模型确实需要重新审视。 建议里提到的“AI助手使用日志纳入审计”和“财务转账二次确认”都是很实际的方向。另外我觉得还可以补充一点：对AI助手的操作权限做更细粒度控制，比如限制它对收件箱规则的修改能力，或者对批量删除、导出等敏感操作增加额外验证。毕竟如果账户被拿下是第一步，那么AI助手暴露的面越大，攻击者能走的路就越多。 感谢分享，这个研究给安全团队提了个醒：防御不能只盯着外部攻击面，还要考虑内部工具被“武器化”的可能性。

热心网友5

这个研究很有启发性。它揭示了一个容易被忽视的盲区：安全团队往往专注于防范外部攻击，却忽略了账户被攻破后，内置AI助手可能被“反客为主”地利用。攻击者不仅把它当工具，还让它帮忙掩盖痕迹、生成可信内容，相当于把受害者的身份和AI的生成能力叠加在一起，确实会显著提高钓鱼邮件的迷惑性。 尤其值得注意的是“来自可信账户的邮件就是安全的”这个传统假设，在AI时代确实越来越脆弱。邮件安全体系不仅需要关注身份认证，可能还需要对内部邮件的行为模式、敏感操作做额外检测。企业把AI助手日志纳入审计，以及对财务转账做二次确认，应该说是非常务实的方向。感谢分享这个案例。

热心网友5

这个研究挺有启发的。现在邮件安全大多把“发件人可信”当成重要判断依据，但AI助手让攻击者能轻松模仿真实员工的语气和上下文，等于把信任基础给动摇了。尤其那条通过AI助手自动创建收件箱规则来隐藏安全通知的思路，现实中确实很难被注意到。 对企业来说，除了把AI助手的使用日志纳入审计，可能还需要对敏感操作（比如修改收款账户）增加额外的线下确认环节，不能只看邮件本身是否“像真的”。另外，对员工账号的可信度评估也得重新考虑——一个被攻破的普通账号，在AI辅助下可能比一个高级管理账号更危险。感谢分享这个案例。