AI安全

让AI不偷情：信息安全意识的“防弹衣”

admin

——从浪漫骗局到企业勒索，职场防线的全景式筑建

头脑风暴

1️⃣ 当你在约会软件上邂逅一位“理想型”，对方却是由AI绘制的合成头像、用GPT‑4生成的甜言蜜语，钱款和个人信息瞬间被夺走——这是一场 AI 甜蜜陷阱。
2️⃣ 某大型企业的财务部门收到一封看似内部邮件的“紧急付款指令”，邮件正文由大语言模型撰写、签名伪造，结果导致公司银行账户被一次性转走千万——这是一场 AI 伪造邮件勒勒。

下面，我们以这两起典型案例为切入口，深度剖析隐蔽在智能化浪潮中的信息安全隐患，并在此基础上呼吁全体员工投身即将启动的信息安全意识培训，用知识筑牢防线，让智能技术成为助力，而非威胁。

案例一：AI“甜蜜恋人”——浪漫骗局的技术升级

事件回顾

2025 年 6 月，某城市的白领小刘（化名）在一款热门约会 APP 上匹配到自称“Anna”的美国姑娘。Anna 的个人资料中，拥有专业的摄影作品、旅行日志以及 30 多条流畅的英文对话记录。她的每一张头像均为深度伪造的高分辨率人像，背后利用 Stable Diffusion 加上 Midjourney 进行风格化处理；对话则全程由 ChatGPT‑4 驱动，实时生成情感共鸣的回复。

在相识两周后，Anna 开始以“搬家费用”“签证费用”“投资理财” 为名，诱导小刘下载一个名为“SecurePay”的伪装 APP。小刘在不知情的情况下输入了自己的银行卡号、验证码以及后续的 MFA 动态码。数小时内，Anna 所控制的黑产账号把小刘账户里的 人民币 12.8 万 全部转走，随后该账号及所有关联信息被一次性注销。

攻击链拆解

阶段 手段 关键技术 失误点
① 诱饵构造 合成真人头像 + 虚假社交足迹 生成对抗网络 (GAN) / DeepFaceLab 未进行图片来源核查
② 对话维持 实时文本生成 大语言模型 (LLM) 过度信任自然语言的流畅性
③ 链接劫持 伪装支付 APP 钓鱼网站 + 包装签名 未核实 APP 开发者信息
④ 凭证窃取 诱导输入银行卡 + 动态验证码 社会工程学 + 伪造 UI 未启用硬件安全密钥或生物验证
⑤ 资金转移 跨境洗钱通道 加密货币混合服务 缺乏交易监控与异常提醒

教训与启示

  1. 形象不再可信：AI 生成的头像质量已足以骗过肉眼，必须使用 反向图像搜索、EXIF 元数据检查等手段验证来源。
  2. 文本不等于真相：语言模型的对话流畅度高，但缺乏 情感真实性 与 行为一致性；对陌生人的敏感信息请求应保持高度警惕。
  3. 多因素认证仍是关键：即便对方窃取了 一次性验证码，如果企业或个人启用了 硬件安全密钥（YubiKey）、指纹/人脸 双因素，攻击成功率将大幅下降。
  4. 教育先行，技术跟进：对职场人员进行 AI 合成内容辨识、反钓鱼、安全支付的系统培训，是防止此类案件蔓延的根本。

案例二：AI 伪造邮件——企业资产的“隐形刺客”

事件回顾

2026 年 2 月，某大型制造企业的财务主管王女士（化名）收到一封标题为 “【紧急】本月付款清单（已审批）” 的内部邮件。邮件正文列出了多笔“已审批”的付款项目，并附有 PDF 格式的“审批文件”。邮件发送地址看似来自公司内部的 [email protected]，但实际 SPF/DKIM 验证均通过。附件中的 PDF 使用了 Adobe Acrobat 的数字签名，但签名证书是 伪造的，且签名时间被 时钟回拨。

王女士在未仔细核对的情况下，依据邮件指示在公司 ERP 系统中执行了 10 笔共计 3,200 万 的转账。转账完成后，财务系统显示成功，然而这 10 笔交易全部被指向 国外离岸账户，随后该账户在 24 小时内被清空。事后调查发现，黑客团队利用 大型语言模型 自动撰写邮件内容，使其与真实内部沟通风格几乎无异；同时，他们通过 域名劫持 与 HTTPS 证书伪造 完成了 邮件投递的全链路伪装。

攻击链拆解

阶段 手段 关键技术 失误点
① 域名劫持 伪造公司子域名 DNS 劫持 + 证书透明 (CT) 绕过 缺少 DNSSEC 防护
② 邮件伪造 伪造 SPF/DKIM 自动化邮件生成平台 + GPT‑4 文本 未开启 DMARC 严格模式
③ 文档伪造 伪造 PDF 签名 AI 生成的签名图片 + 伪造证书 未对签名证书进行 撤销列表 检查
④ 系统执行 ERP 自动化指令 脚本化批量转账 缺乏 双人审批 与 异常金额阈值 监控
⑤ 资金转移 跨境汇款 加密货币混合 & 洗钱网络 未实时监控 跨境汇款 行为

教训与启示

  1. 邮件身份认证必须全链路覆盖：仅依赖 SPF/DKIM 已不足以防御高级钓鱼；DMARC 的 reject 策略是阻断伪造邮件的第一道防线。
  2. 数字签名不是万能钥匙：签名证书的真实性必须通过 OCSP、CRL 以及 证书透明日志 进行实时验证。
  3. 财务系统的“人机双审”：对涉及大额资金的操作，必须实施 双人审批、行为分析（BA）以及 异常交易实时预警。
  4. AI 生成内容的检测：企业应部署 AI 文本指纹识别 与 深度伪造检测（如 Microsoft Video Authenticator）工具，对异常邮件进行自动标记。

智能化时代的全景安全观

从上面两则案例我们可以看到，生成式 AI、深度伪造、智能体化 已从实验室的概念走进了日常生活与企业运营。它们的正向价值不容置疑——提升创意生产力、加速业务流程、提供更自然的人机交互；但其负向效应同样凶险：合成身份、伪造内容、自动化攻击 正在成为攻击者的利器。

1️⃣ 具身智能化（Embodied AI）

智能音箱、家居机器人、穿戴式 AR 眼镜等具身 AI 设备已经渗透工作与生活场景。它们往往具备 语音识别、图像识别 与 本地推理 能力，一旦被植入后门或被恶意模型劫持，攻击者可以远程控制设备，进行 数据窃取、声纹欺骗，甚至 声控勒索（如 “你要想让灯光恢复正常，需要先支付比特币”）。

2️⃣ 智能体化（Agentic AI）

企业内部的 AI 助手、 自动化客服、 业务流程机器人（RPA） 正在扮演决策与执行的角色。若这些智能体的训练数据被投毒（Data Poisoning），或模型调用被恶意篡改，后果可能是 错误决策、财务异常，甚至 合规风险。

3️⃣ 超融合生态（AI + IoT + Cloud）

目前的企业 IT 架构正向 AI‑Edge‑Cloud 的三层融合发展。边缘设备收集海量传感数据，经云端 AI 大模型分析后返回指令。任何一环的安全失守，都可能导致 链式攻击：如 边缘摄像头被植入后门 → 泄露生产线机密 → 竞争对手逆向工程。

因此，信息安全已经不再是“IT 部门的事”，而是全员的共同责任。每一位员工都是企业防御链的关键环节——从 密码管理、多因素认证、社交工程防范 到 AI 工具的安全使用，都需要系统化的认知与行动。

号召：加入信息安全意识培训，成为“安全的AI共创者”

培训概述

模块 目标 关键内容
① AI 生成内容辨识 提升对合成图像、语音、文本的鉴别能力 Deepfake 检测工具实操、Meta Detect、谷歌 Reverse Image Search
② 社交工程与 AI 钓鱼 防止 AI 辅助的网络钓鱼与浪漫骗局 案例复盘、邮件 Header 分析、伪造二维码识别
③ 硬件安全密钥与生物因子 强化身份认证的层次 YubiKey、Google Titan、指纹/人脸双因子实践
④ 安全使用企业 AI 助手 正确定义 AI 助手权限、数据范围 Prompt 注入防御、模型调用审计、最小权限原则
⑤ 端点安全与具身 AI 防护 保障智能设备不被劫持 IoT 固件签名、零信任网络访问（ZTNA）
⑥ 数据脱敏与泄露应急 保障个人与企业敏感信息 数据分类分级、DLP 策略、泄露响应流程

培训方式：线上微课堂 + 线下实战演练 + 业界案例研讨（每周一次），每位员工完成全部模块后将获得 《信息安全合规证书（AI 时代）》，并计入年度绩效。

参与收益

  • 个人层面：防止财产损失、保护隐私、提升职业竞争力（AI 安全人才缺口已达 30%）。
  • 团队层面：降低因人为错误导致的安全事件发生率，提升项目交付的合规性。
  • 组织层面：构建 “安全文化”，满足监管部门对 AI 可信性 的审计要求，增强客户信任，提升品牌价值。

名人警言：
“技术是把双刃剑，关键在于使用者是否懂得把剑握紧。” —— 比尔·盖茨
“防御的最佳方式是让每个人都成为第一道防线。” —— 乔布斯（改编）

行动指南：从今天起，立刻落实三步安全行动

  1. 立即检查身份验证：确认公司账户已绑定 硬件安全密钥，若未配备，请联系 IT 部门申请。
  2. 每日一次深度伪造检测：利用公司提供的 AI 内容辨识工具（如 Deepware Scanner）对收到的图片、音频、视频进行快速扫描。
  3. 加入培训计划：登录公司学习平台，报名 “AI 时代信息安全意识培训”，完成首场 “AI 生成内容辨识” 课程后，截屏上传至 安全社区，即可领取 首日学习勋章。

结语：让安全与创新共舞

在 AI 速变、智能体横行的时代，信息安全不再是防御性的束缚，而是创新的加速器。当每位员工都具备辨别 AI 合成内容、识别钓鱼诱饵、正确使用多因素认证的能力时，企业的内部数据与业务流程将不再是黑客的猎物，而是一座 “可信 AI 生态” 的坚实基石。

让我们以知识为盾、技术为剑，在这场信息安全的“真人秀”中，做最有准备的参赛者。未来的浪漫、未来的业务、未来的生活，都值得我们用清醒的头脑和坚定的行动去守护。

安全不止是口号，行动才是硬核。
立即报名，和我们一起把“AI 甜蜜陷阱”化作“AI 安全护盾”，让每一次点击、每一次对话、每一次转账，都在安全审视之下，畅行无阻。

昆明亭长朗然科技有限公司致力于让信息安全管理成为企业文化的一部分。我们提供从员工入职到退休期间持续的保密意识培养服务，欢迎合作伙伴了解更多。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898

从“隐形猎手”到“安全卫士”——在智能化浪潮中筑牢信息安全防线

admin

前言：脑洞大开的头脑风暴

在信息安全的世界里，威胁的形态层出不穷，往往让人防不胜防。今天，我们先来一次“头脑风暴”，想象四个典型且极具教育意义的安全事件——它们或许真实发生，或许是对现实的放大与重构，但每一个案例都深刻揭示了现代攻击的“套路”。希望通过这些栩栩如生的场景，点燃大家的安全警觉，随后再一起探讨在智能、自动、无人化的融合环境下，如何通过系统的安全意识培训，转危为机、让每位职工都成为“安全卫士”。

案例一：NovaCookies “伪装的DocuSign”——投机取巧的中间人打法

事件概述
2026 年 8 月，安全研究机构 Island 公开了名为 NovaCookies 的新型 Adversary‑in‑the‑Middle (AitM) 钓鱼工具包。攻击者先在 Telegram 市场租用该服务，每月 320 美元，随后通过 真实的 DocuSign 邮件 发送伪装的文件共享通知，诱导收件人点击嵌入的恶意链接。受害者在浏览器中完成 Microsoft 365 登录后，凭借 AitM 代理，攻击者实时捕获其凭证、MFA 代码以及完整的会话 Cookie，实现 “零日劫持”。

技术细节
1. 合法邮件躲避防御：利用 DocuSign 正式的 DKIM、SPF、DMARC 配置，使邮件在传统网关中通过验证，安全产品只能检查邮件正文，难以发现隐藏在 PDF 下面的恶意 URL。
2. OAuth 错误重定向：借助 Microsoft 早前披露的 OAuth 错误页面，攻击者把用户的授权码重定向到自建的 Cloudflare 防护层，然后再转发给 Microsoft 完成合法授权，期间会话信息被悄然记录。
3. 多层伪装：从 “DocuSign → 微软/谷歌登录页 → 攻击者托管的登录页” 的链路，每一步都表现为可信服务，只有在浏览器端才会汇聚成一次完整的钓鱼攻击。
4. 反分析机制：检测调试工具、虚拟化环境以及安全扫描器指纹，一旦发现即返回 Cloudflare “人机验证” 页面，提升躲避分析的成功率。

危害评估
– 企业级数据泄露：窃取的 M365 会话可直接访问 OneDrive、SharePoint、Exchange 等内部资源，导致重要文件、邮件、财务报表等一次性泄露。
– 横向扩散：劫持的会话可被用于发送内部钓鱼邮件、创建恶意共享链接，快速实现内部传播。
– 合规风险：GDPR、ISO27001 等合规框架对数据泄露的处罚往往以“可预见性”评估为依据，若未采取有效防御，企业将面临巨额罚款。

防御要点
– 对 DocuSign 通知 实施二次验证：要求用户在公司内部系统或安全门户重新确认文件共享请求。
– 部署 OAuth 实时监控，对异常授权码跳转进行拦截并触发警报。
– 开启 MFA 强化（如硬件令牌、FIDO2），即便会话被捕获，攻击者仍需第二要素验证。
– 使用 安全感知浏览器插件，实时提醒用户当前页面是否处于可信域名。

案例二：AnonyMousKIT “AI 语音钓鱼”——将深度学习搬进电话骚扰

事件概述
2025 年底，安全团队在多个金融机构的报警记录中发现一种新型 AI‑vishing（语音钓鱼）攻击。攻击者使用 AnonyMousKIT 平台，以 AI 语音合成（基于 LLM 与文本转语音技术）冒充 Apple 支持，向受害者发送电话或 WhatsApp 语音，诱导其打开 Lost Mode 触发的 “找回设备” 链接，进一步索取设备密码、Apple ID 以及 6 位验证码，最终 解除 Activation Lock 并转售高价二手 iPhone。

技术细节
1. AI 语音克隆：利用公开的语音模型（如 ElevenLabs）生成逼真的客服语调，配合自然语言生成的对话脚本，实现 “人与机器难辨”。
2. 多渠道渗透：除了传统电话，还通过 SMS、WhatsApp、邮件 多渠道发送同一钓鱼信息，提高触达率。
3. 设备信息收集：通过 “Lost Mode” 的 “联系 Apple 支持” 链接，欺骗用户在钓鱼站点输入设备序列号、IMEI 等信息，为后续的硬件解锁做准备。
4. 自动化工单：平台内置 自动化工单系统，实现从线索获取到账号盗取的全链路闭环。

危害评估
– 硬件资产被盗：高端 iPhone 在二手市场售价可达数千美元，一旦解锁即被高价转卖。
– 企业内部泄密：受害者往往为企业高管或技术人员，设备中存储的企业邮件、企业微信、内部系统密码等敏感信息被一次性带出。
– 声誉受创：公众一旦关注到公司高层被“语音钓鱼”，会对企业的安全防护能力产生质疑。

防御要点
– 对 Apple 支持类通话 实行“双向身份验证”：要求用户在官方 Apple 网站或官方 App 中自行查询案例，而非通过来电链接。
– 部署 AI 语音识别，对来电使用声纹比对或 AI 检测异常语调。
– 强化 设备管理：采用 MDM（移动设备管理）平台，对失窃设备实现远程锁定、数据擦除；对 “Lost Mode” 进行监控并限制内部员工激活。
– 开展 员工防骗演练：模拟 AI 语音钓鱼场景，提升辨识能力。

案例三：ZeroTokens “多域名送钩”——利用邮件发送链条绕过 DMARC

事件概述
2026 年 3 月，全球金融机构频繁收到来自 ZeroTokens 平台的钓鱼邮件。该平台拥有 10+ 域名（包括四个 .com 与六个 .asia），并通过 SendGrid 账户批量发送，成功规避 SPF、DKIM、DMARC 检查。邮件表面为“账户异常”或“交易验证”的官方风格，内嵌 伪造的登录页面，专门针对 53 家金融品牌进行凭证与验证码收集。

技术细节
1. 分散化发件域：利用多个域名轮流发送邮件，使单一域名的发送量保持在安全网关的阈值以下，降低被列入黑名单的概率。
2. SendGrid 伪装：通过合法的 SendGrid 账户发送，继承其良好声誉，进一步提升邮件到达率。
3. 视觉混淆：登录页面 URL 中混合大小写、使用类似 “mYbAnK‑aCcOunT” 的域名，诱导用户误以为是官方站点。
4. 实时验证码捕获：借助 实时会话劫持 技术，捕获用户在登录页输入的 一次性验证码，并立即转发给后端自动化脚本完成交易劫持。

危害评估
– 金融资产被窃：攻击者凭借收集的登录凭证与一次性验证码完成账户转账，单笔损失可高达数十万美元。
– 法律责任：金融机构若未能对客户资产进行合理保护，将面临监管部门的处罚与客户诉讼。
– 信任链断裂：金融品牌的品牌形象受挫，导致客户对线上金融服务的信任度下降。

防御要点
– 实行 行业级邮件安全框架（如 DMARC + BCP 27）：对所有外部邮件进行统一的 “拒收+报告” 策略。
– 引入 邮件安全网关的 AI 引擎，对多域名发送行为进行异常检测，识别快速切换的发件域。
– 对 关键业务操作 强化 双因子（如硬件令牌）与 行为分析（如异常登录地点、设备指纹）。
– 定期开展 钓鱼邮件演练，让员工在安全沙箱中体验欺骗手法。

案例四：DOUBLOON DREDGER + EvilTokens “Notion 诱链”——笔记协作平台的暗流

事件概述
2026 年 6 月，威胁情报团队在对 Notion 的监控日志中发现一个新型攻击链：DOUBLOON DREDGER（绰号“潜水人”）利用 Notion 共享页面邀请受害者打开内嵌的 PDF，PDF 中藏有多个重叠的恶意链接。点击后，受害者被重定向至 EvilTokens 平台的 Device Code 钓鱼页面，完成 Microsoft 365 账户的 OAuth 设备码 授权盗取。

技术细节
1. 合法 Notion 账户：攻击者先通过泄露或钓鱼获得合法 Notion 账户的编辑权，利用其正常的企业协作身份发送邀请。
2. 层层叠加的链接：PDF 使用 JavaScript 加密 + 隐形锚点，普通阅读器解析时只显示一层链接，但在浏览器中解析后会展示多个隐藏链接，提高成功率。
3. EvilTokens 的“一站式”服务：平台在捕获 Device Code 后，自动执行 Inbox 分析、利益相关者映射 与 AI 生成的诈骗邮件，实现从凭证窃取到资金转移的全链路自动化。
4. 低调的持续运营：攻击者将恶意 PDF 放置在公共 Notion 页面，使用 轮换的 CDN 进行分发，降低单点失效的风险。

危害评估
– 内部信息外泄：Notion 作为知识管理平台，常存放业务流程、项目计划等核心文档，一旦被渗透，内部机密大面积泄漏。
– 后渗透扩散：窃取的 M365 凭证可进一步用于 Exchange 账户劫持，发送更具欺骗性的内部钓鱼邮件，实现 “内部面孔外部攻击”。
– 自动化恶意脚本：EvilTokens 通过 AI 自动生成针对性的钓鱼文案，提升攻击成功率，降低了攻击者的技术门槛。

防御要点
– 对 协作平台的共享链接 实行 审批流程，尤其是外部邀请必须经过管理员审查。
– 为 PDF文档 添加 数字签名，并在浏览器端禁用 JavaScript 自动执行。（可使用 PDF 阅读器的安全模式）
– 部署 OAuth Device Code 使用监控，对异常的设备码请求进行拦截与人工复核。
– 针对 AI 生成的钓鱼文案，引入 语言模型异常检测，结合企业内部语言模型进行相似度比对。

章节小结：共通的攻击特征

特征 说明 对策要点
合法服务伪装 通过真实的邮件、合法的协作平台或官方域名来躲避防护。 强化二次验证、引入业务流程审批、实现可信链路验证。
多级跳转 + AitM 多次跳转后才呈现恶意页面，攻击者在中间节点实时窃取会话。 部署 OAuth 实时监控、 会话绑定 与 行为分析。
AI 自动化 利用 LLM、语音合成、自动化脚本实现大规模、低成本投放。 引入 AI 检测模型 对内容、语音、行为异常进行实时判定。
分散化基础设施 多域名、CDN、Telegram 群组等分布式运营，提高韧性。 采用 统一安全情报平台（SIEM + SOAR）进行跨域关联分析。
后渗透即服务 窃取凭证后直接提供后续攻击（邮件劫持、资金转移、RDP）服务。 实施 最小特权原则、 零信任访问控制 与 持续的会话监控。

智能化、自动化、无人化时代的安全新命题

过去我们往往把 “人是最弱的环节” 当作安全防护的切入口，而在 AI、机器人、无人机、边缘计算 融合的全新工作环境里，“系统本身也可能成为最薄弱的环节”。以下四个场景尤为值得关注：

  1. AI 助手与自动化流水线
    开发、运维团队使用 ChatGPT、Copilot 等 LLM 进行代码补全、漏洞修复建议。若攻击者通过 提示注入（Prompt Injection） 获得后台权限，便能让 AI 直接生成后门代码，悄然植入生产环境。

  2. 无人值守的 IoT 设备
    在工厂、仓库、物流中心部署的 无人搬运机器人、智能摄像头 通常缺乏强认证机制。攻击者若利用 默认凭据 或 固件漏洞，便能植入 植入式恶意程序，造成生产线停摆或数据泄露。

  3. 自动化运维（AIOps）平台
    AIOps 平台会自动收集日志、执行脚本进行故障恢复。若攻击者通过 供应链攻击 让平台执行恶意脚本，则可能在几分钟内扩散至整个企业网络。

  4. 云原生服务的 Serverless 与容器
    微服务通过 API Gateway、服务网格 进行快速调用。攻击者利用 API 滥用 或 容器逃逸，便能在几秒钟内取得 跨租户访问权，并借助 容器镜像仓库 将恶意代码推向全局。

在这些场景中，技术防御往往只能做“硬件”层面的屏障，而 人的安全意识 则是 “软体”层面的最关键防线。只有让每位员工都拥有 “安全思维”，才能在技术失效的瞬间及时发现、报告并阻断攻击。

信息安全意识培训的必要性与价值

1. 培训是 “人‑机协同防御” 的核心环节

  • 人：负责识别异常、报告威胁、执行紧急响应。
  • 机：通过安全平台、AI 检测、自动化响应提供实时防护。
  • 协同：只有人机相辅，安全体系才能在“一瞬即逝”的攻击窗口中实现 “前置防御 + 事后追踪”。

2. 培训能够 “逆向思维”，把攻击者的视角搬进课堂

  • 案例复盘：把 NovaCookies、AnonyMousKIT 等真实案例拆解，让职工站在攻击者的角度思考“他们是怎么进入的”。
  • 情景模拟：通过 Phishing Simulation、Red‑Team 演练、SOC 现场观摩，让员工感受攻击链的每一步。
  • 逆向工程入门：了解 恶意脚本混淆、域名轮转 与 AI 自动化 的工作原理，提升技术防护的自觉性。

3. 让培训与 企业业务 深度融合

  • 业务映射：把业务系统（如 ERP、CRM、OA）对应的 关键资产 与 风险点 列出，让员工明确自己的“安全职责”。
  • 安全文化渗透：通过 安全周、微课堂、安全问答 等活动，让安全意识从 “一次性学习” 变成 “日常行为”。
  • 激励机制：设立 “安全之星”、“最佳防御团队” 等荣誉奖项，形成 正向激励，提升参与度。

4. 培训的 “可度量、可持续、可迭代” 设计

维度 关键指标 实施要点
覆盖率 100% 员工完成基础培训，核心岗位（管理员、运维）完成进阶培训 利用 LMS 系统自动派发、跟踪完成情况
检测率 钓鱼模拟点击率低于 5% 每季度进行一次模拟钓鱼，监控点击率与报告率
响应时效 安全事件报告平均时间 ≤ 10 分钟 设置内部“安全热线”，并在培训中演练报告流程
满意度 培训满意度 ≥ 4.5/5 收集反馈，持续改进内容与形式

呼吁：加入即将开启的 信息安全意识培训计划

亲爱的同事们，
在 智能化、自动化、无人化 正在重塑我们工作方式的今天，安全威胁也在以指数级速度升级。从 NovaCookies 的“一键劫持”，到 AnonyMousKIT 的 AI 语音钓鱼，再到 ZeroTokens 的 多域名躲避，以及 DOUBLOON DREDGER 的 协作平台渗透，每一次攻击都在提醒我们：“技术防护不是终点，安全思维才是起点”。

为此，公司特别启动 2026 年信息安全意识提升计划（以下简称 “安全计划”），计划包括：

  1. 线上微课堂（共计 8 课时，时长 45 分钟/课），涵盖 钓鱼辨识、密码管理、云安全、AI 风险 四大板块。
  2. 实战演练营：通过 红蓝对抗模拟、真实案例复盘，让大家在受控环境中亲自体验攻击链，掌握 快速应急响应 的要领。
  3. 安全知识竞赛：采用 闯关式 题库，覆盖基础概念到进阶技巧，答题即有机会抽取 硬件安全钥匙（如 YubiKey）等奖励。
  4. 持续学习平台：搭建 安全知识库，提供 最新威胁情报、防护技巧、法规合规 等资源，随时随地自行学习。

报名方式：请登录公司内部网络 安全门户 → “培训与发展” → “信息安全意识培训”，填报个人信息并选择合适的时段。
培训时间：2026 年 9 月 15 日至 10 月 31 日（每周二/四 19:00-19:45），线上直播，支持回放。
奖励机制：完成全部课程并通过考核的同事，将获得 公司内部安全徽章（可在电子邮箱签名中使用），并有机会加入 “安全先锋小组”，参与公司安全治理的建议与评审。

“千里之行，始于足下；安全之路，始于每一次点击。”
——让我们把每一次防御的经验，沉淀为组织的资产；把每一次学习的收获，转化为个人的竞争力。

结语：共筑安全防线，守护数字未来

在波澜壮阔的数字化浪潮中，技术是船、人才是帆。我们已经看到了 NovaCookies、AnonyMousKIT、ZeroTokens、DOUBLOON DREDGER 等“隐形猎手”如何利用合法服务、AI 自动化、碎片化基础设施悄然渗透。面对这些高明的攻击，单靠技术防护是远远不够的——只有让每位职工都成为 “主动发现、快速响应、持续改进” 的安全守卫者，才能在瞬息万变的威胁环境中保持主动。

因此，请立即报名参加信息安全意识培训，与我们一起把“安全意识”从口号变成行动，把“防御能力”从抽象提升为可衡量的业绩指标。让我们在 智能化、自动化、无人化 的新纪元里，以安全为底色绘制出更加绚丽的业务蓝图！

让安全成为每一次创新的基石，让防护随时伴随每一次点击。

共勉

信息安全意识培训部

昆明亭长朗然科技有限公司致力于帮助您构建全员参与的安全文化。我们提供覆盖全员的安全意识培训，使每个员工都成为安全防护的一份子，共同守护企业的信息安全。

  • 电话：0871-67122372
  • 微信、手机：18206751343
  • 邮件：info＠securemymind.com
  • QQ: 1767022898