完全AI自动化的钓鱼电话攻击的可行性研究

钓鱼电话攻击（vishing attack）是一种社交工程攻击方式，攻击者通过电话欺骗个人披露敏感信息，如个人数据、财务信息或安全凭证。攻击者利用语音通信中 perceived 的紧迫性和真实性来操纵受害者，常常冒充银行或技术支持等合法实体。钓鱼电话攻击因能够绕过保护信息的安全控制而尤其危险。在本研究中，我们研究了随着AI的普及，钓鱼电话攻击是否可能升级。理论上，AI驱动的软件机器人可能能够通过电话与潜在受害者 initiate 对话，并欺骗他们披露敏感信息。为验证这一假设，我们开发了ViKing系统，这是一个基于AI的钓鱼系统，采用公开可用的AI技术。它依赖于大型语言模型（LLM）作为核心认知处理器，用于引导与受害者的对话，辅以语音识别和语音合成模块，实现电话通话中的音频-文本转换。在一次受控社交实验中，我们发现ViKing成功说服许多受试者披露敏感信息，即使他们曾被明确警告关于钓鱼活动的风险。与ViKing机器人的互动普遍被认为是真实可信的。基于这些发现，我们得出结论，像ViKing这样的工具可能已经可被潜在恶意行为者利用，同时也为网络安全意识项目提供了宝贵资源。