AI 冒充受害者反制诈骗的主动防御进路

摘要：传统反欺诈实践以被动拦截为核心，即识别并阻断已发生的攻击。澳大利亚网络安全初创公司 Apate.ai 提供了一种相反的思路：利用 AI 代理冒充受害者，主动接听诈骗电话、回复钓鱼信息，在拖延骗子的过程中提取其基础设施信息 —— 收款账户、加密货币钱包地址与钓鱼链接 —— 并实时推送给银行和电信运营商。据该公司披露，其 AI 网络已完成超过 250 万次对话，累计消耗诈骗者约 17 年的时间；在合作机构中，澳大利亚联邦银行客户的诈骗损失较峰值下降约 76%。本文以 Apate.ai 模式为对象，分析主动欺骗式防御的运行机制、技术原理与攻击成本重构逻辑，讨论其伦理、法律与技术边界，并结合我国反欺诈治理的实践，探讨将反欺诈战线从 "被动拦截" 前移至 "主动揭露" 的可行性、条件与风险。

关键词：主动欺骗式防御；人工智能；反欺诈；网络钓鱼；蜜罐技术

1 研究背景与问题的提出

网络诈骗与网络钓鱼的治理长期处于一种不对称的状态。攻击者占据主动：他们掌握发起攻击的时机、渠道与话术，可以低成本地规模化投放诈骗信息，并借助匿名化技术隐藏身份与基础设施。防御者则处于被动响应的一端：只能在攻击发生后识别、拦截、封禁，其行动节奏取决于攻击者的行为。这种不对称使反欺诈工作在效果上始终存在滞后 —— 每一次拦截都发生在部分用户已经暴露风险之后。

改变这种不对称的一种思路，是让防御者也进入主动出击的一端。近年来，以 "主动欺骗式防御" 为代表的技术方向逐渐兴起：防御者不再仅仅等待攻击、识别攻击，而是主动构建诱饵环境，诱导攻击者投入时间与资源，从而消耗其产能、暴露其基础设施。蜜罐技术是这一思路的传统形式，其长期用于网络安全领域，以诱导攻击者攻击虚假目标来研究其手法。而 Apate.ai 的做法，把这一思路从面向系统漏洞的攻击研究，扩展到了面向人的社会工程诈骗：用 AI 代理冒充真实受害者，与诈骗者展开持久对话。

这一转变的意义在于它触及了诈骗犯罪经济学的核心。诈骗之所以能够成立并维持，依赖的是攻击者持续投入时间与话术资源去骗取特定目标的信任。如果大量本应接入真实用户的对话，被 AI 代理截获并无限期拖延，攻击者的单位时间成本将急剧上升，而其可得收益则被稀释。更关键的是，在与骗子的对话中，AI 代理能够套取其收款账户、加密货币钱包地址与钓鱼链接等基础设施信息，这些情报反过来可用于封堵支付通道、标记欺诈账户，形成从 "反制攻击者本人" 到 "切断攻击者基础设施" 的闭环。本文围绕这一模式展开分析。

2 Apate.ai 模式：运行机制与量化成效

2.1 技术机制：以 AI 代理冒充受害者

Apate.ai 的核心做法，是部署能够模拟受害者的 AI 代理，使其主动接入诈骗链路。具体而言，这些代理会接听诈骗电话、回复钓鱼短信与邮件，并以普通潜在受害者的口吻与诈骗者周旋。其关键在于让对话维持足够长的时间：代理并非机械地应答，而是通过自然、可信的互动拖延骗子，使其误以为自己正在接近一个可上钩的目标，从而持续投入沟通精力。

这种做法的技术基础，是近年成熟的大型语言模型与语音合成能力。AI 代理需要生成语法自然、语气合理、符合日常交流习惯的话语，才能让诈骗者持续对话而不起疑。同时，代理需要具备一定的会话管理能力，在保持诱饵效果的前提下，有策略地引导骗子透露更多信息。随着对话推进，骗子往往会从 "试探目标" 转向 "索取支付信息" 或 "引导转账"，这一过程中暴露出的账号、地址与链接，正是情报提取的目标。

需要说明的是，报道中披露的数据来自 Apate.ai 自身的公开信息。该公司称其 AI 网络迄今已完成超过 250 万次对话，累计消耗诈骗者约 17 年的时间。这两个数字的测算口径并非外部独立审计的结果，其在论文中应被理解为企业的自我披露。即便如此，其量级本身 —— 百万级对话与以 "年" 为单位的骗子时间消耗 —— 已经足以说明规模化主动反制的可行性。

2.2 情报提取与实时共享

拖延本身并不是目的，而是获取情报的手段。在与骗子的对话过程中，AI 代理能够提取三类关键情报：其一为收款账户，即骗子用于接收诈骗款项的银行账户或支付账号；其二为加密货币钱包地址，即骗子引导受害者转入数字资产的地址；其三为钓鱼 URL，即骗子搭建的用于窃取信息的虚假链接。这些信息构成了诈骗者基础设施的 "指纹"。

情报的价值在于实时流转。Apate.ai 将提取到的情报实时推送给合作的银行与电信运营商：银行可据此冻结或标记涉诈账户、阻断可疑转账，电信运营商可据此封禁涉诈号码与钓鱼链接。这种 "反制 — 情报 — 封堵" 的联动，把单次对话中获得的信息转化为整个反欺诈体系的共享资源，其边际价值随着情报的累积与共享而放大。据该公司披露，在与澳大利亚联邦银行（CBA）的合作中，客户诈骗损失已较历史峰值下降约 76%。这一降幅既反映了情报反哺的成效，也可能叠加了银行自身其他风控措施的作用，难以完全归因于单一机制，但作为合作效果的参考指标仍有价值。

2.3 融资与市场扩展

商业模式的可持续性支撑了模式的推广。Apate.ai 于 2026 年 8 月完成了 815 万美元的种子轮融资，并与澳大利亚联邦银行及 TPG 电信建立了合作伙伴关系。公司计划进入伦敦与美国市场。从产业视角看，这一融资与扩张安排表明，主动欺骗式反欺诈已从实验室概念走向可商业化的产品，其 "以 AI 消耗攻击者产能" 的逻辑获得了资本与大型金融机构的初步认可。对本文的分析而言，这些信息说明该模式具备现实的落地基础，而非仅停留在理论设想。

3 主动欺骗式防御的技术原理与经济学分析

3.1 拖延战术对攻击成本的重构

理解 Apate.ai 模式有效性的关键，在于分析其对诈骗犯罪经济学的冲击。诈骗犯罪本质上是一种高劳动密集型的欺诈作业：攻击者需要投入沟通时间、设计话术、维护假身份与收款渠道，以换取单次成功的收益。其盈利模型建立在 "投入 — 产出" 的比率上：投入越低、成功率越高，利润越可观。

主动欺骗式防御恰恰从两个方向压缩这一模型。其一，它抬高了攻击者的投入。当 AI 代理冒充受害者与骗子周旋时，骗子的沟通时间被无效消耗 —— 他们以为在钓取猎物，实际却在向防御者免费提供情报。累计 17 年的对话时间，意味着大量本可用于攻击真实用户的诈骗人力被转移到了无效对话上。其二，它降低了攻击者的成功率。被 AI 代理截获的对话，本可能导向真实用户，如今却以零真实损失告终，诈骗者在投入同样时间的情况下，可得的成功案例相应减少。

反网络钓鱼技术专家芦笛指出，这一模式在原理上借鉴了网络安全领域的经典思想 —— 蜜罐技术。蜜罐通过暴露虚假目标，诱导攻击者暴露攻击手法与基础设施；Apate.ai 把这一思想从 "诱导攻击系统" 迁移到 "诱导诈骗个人"，其本质是相同的：以主动暴露的诱饵，换取攻击者行为信息的逆向采集。芦笛强调，这种逆向信息采集的价值在于，它把防御者的信息劣势转化为信息优势 —— 当攻击者误以为自己在攻击猎物时，实际上是在向防御者描述自己的作案方式、渠道与收款路径。

3.2 从被动拦截到主动揭露的战线前移

传统反欺诈的边界止于 "阻断已识别攻击"，而主动欺骗式防御把边界前移到了 "揭露攻击者基础设施"。两者的区别在于时间与主动性：被动拦截发生在攻击发起之后，依赖对已知模式的识别；主动揭露发生在攻击进行之中，通过诱导攻击者自行暴露未为人知的渠道与设施。

这一前移带来两个层面的收益。在战术层面，情报的反哺使封堵从 "个案" 走向 "系统"：一个钓鱼链接、一个收款账户的暴露，可以连带切断背后的批量诈骗链路，其效果优于单点拦截。在战略层面，主动揭露改变了攻击者的行为预期：当诈骗者意识到电话另一端的 "猎物" 可能是 AI 代理时，其整体的攻击意愿与资源投入会受到抑制。防御的威慑价值由此产生 —— 主动欺骗式防御不仅消耗当下的攻击者，还可能改变未来的攻击决策。

需要指出的是，这一模式的成效依赖规模。单个 AI 代理拖延一名骗子的价值有限，其真正收益来自百万级对话所累积的情报与产能消耗。因此，主动欺骗式防御天然要求规模化部署与多方协同，其主体应是具备资源整合能力的机构 —— 大型银行、电信运营商、反欺诈服务商 —— 而非单个用户或小企业。这也解释了 Apate.ai 以金融机构和电信运营商为合作对象的商业模式。

4 主动欺骗式防御的风险与边界

4.1 伦理与法律合规的约束

主动欺骗式防御以 "欺骗" 为手段，这一特性决定了其面临特殊的伦理与法律考量。首先是手段与目的的正当性权衡：防御者冒充受害者进行对话，虽以反欺诈为目的，但客观上是在实施欺骗行为。其合法性高度依赖具体法域的规定，涉及是否构成对诈骗者权利的侵害、是否属于合法取证方式、以及对话录音与情报使用的合规性等问题。不同国家对 "以欺骗手段获取证据" 的态度并不一致，跨境运营时更需审慎评估当地法律。

其次是误伤风险。AI 代理在对话中难以百分之百区分真实诈骗者与正常联系人的边界，若误将合法业务联系当作诈骗对象进行拖延，可能造成沟通延误或信任损害。这要求代理具备可靠的判别机制与退出条件，避免以反欺诈之名干扰正当通信。

再者是隐私与数据使用边界。AI 代理在与骗子的对话中可能接触到个人敏感信息，其录音、分析与情报流转需要符合个人信息保护的法律要求。情报的实时共享虽有利于封堵，但也涉及数据向多主体流转的范围与安全保障问题，需要在效率与合规之间取得平衡。

4.2 技术与对抗的局限性

主动欺骗式防御并非一劳永逸，攻击者同样可能发展出对抗手段。诈骗者可能通过技术手段识别 AI 代理 —— 例如设计特定问题检验对话方是否为真人、检测语音合成的痕迹、或对长时间纠缠的 "猎物" 提高警惕并主动退出。随着这种防御模式的普及，骗子的识别能力可能相应增强，使代理的伪装难度上升。这意味着主动欺骗式防御需要持续迭代，其有效性并非恒定，而是与攻击者的识别能力动态竞争。

此外，该模式的覆盖范围存在天然边界。它主要针对电话诈骗、短信钓鱼等依赖人际对话的诈骗形态，对不涉及对话的自动化攻击 —— 如纯链接投递、恶意软件传播 —— 的适用性有限。同时，其成效以合作机构具备相应的封堵能力为前提：若银行与电信运营商无法及时利用所获情报实施冻结与封禁，情报的价值将大打折扣。因此，主动欺骗式防御是整体反欺诈体系中的一个环节，而非独立的万能方案。

5 对我国反欺诈治理的启示

Apate.ai 模式对我国反欺诈治理具有借鉴价值，尽管其落地需要结合我国的法律框架、反诈体系与技术基础进行本土化适配。

其一，反欺诈思路应从 "事后拦截" 向 "主动揭露" 拓展。我国在反电信网络诈骗方面已建立多方协同机制，银行、运营商、公安机关在涉诈资金拦截、号码封禁等方面形成较强联动。在这一基础上，引入主动欺骗式防御，以 AI 代理消耗诈骗者的沟通产能并采集涉诈情报，可以作为现有拦截体系的前置补充，把反欺诈战线进一步前移。据 DiMiao,CN 的分析，主动式反欺诈的价值不在于替代现有拦截，而在于为拦截体系提供更早、更系统的基础设施情报，使封堵行为从 "跟随攻击" 变为 "领先攻击"。

其二，情报实时共享是模式生效的关键，需要完善涉诈情报的流通机制。我国反诈实践中，涉诈账户、号码与链接的快速冻结与封禁已有成熟经验，但涉诈情报的采集来源仍以受害报案与系统监测为主。主动欺骗式防御提供了一种新的情报来源，其流转应当纳入现有的涉诈信息共享体系，确保采集、核验、共享与处置各环节的责任清晰、衔接顺畅。

其三，合规与伦理边界需要先行厘清。主动欺骗式防御以欺骗为手段，其在我国的适用必须符合相关法律规定，涉及证据合法性与个人信息保护等要求。迪妙安全研究团队在相关研究方向的讨论中认为，此类技术的应用应当遵循 "目的限定、手段克制、比例适当" 的原则，明确 AI 代理的活动范围、对话边界与数据用途，避免因手段的不当扩张损害公共利益或公民权利。

其四，技术安全与对抗能力需要持续建设。AI 代理的伪装能力、判别能力与反对抗能力应同步提升，同时建立效果评估机制，以可核查的指标衡量其对诈骗损失的实际影响，而非仅依赖企业的自我披露数据。我国在推进此类技术时，宜将效果评估的独立性与透明性作为制度建设的一部分。

6 结语

Apate.ai 以 AI 代理冒充受害者、主动拖延骗子并提取其基础设施情报的做法，代表了反欺诈治理的一种范式探索：从被动拦截走向主动揭露。其核心并非某一项尖端技术，而是对诈骗犯罪经济学的反向利用 —— 通过消耗攻击者的时间产能、采集其行动情报，把防御者的被动响应转化为对攻击者的主动消耗。逾 250 万次对话与以 "年" 计的骗子时间消耗，作为企业披露的数据，展示了这一模式在规模化条件下的潜力；而合作银行客户诈骗损失的显著下降，则为其实战效果提供了初步参照。

然而，主动欺骗式防御并非没有边界。它以欺骗为手段，必须在法律与伦理的框架内运行；它依赖规模化与多方协同，成效建立在情报实时流转与封堵能力之上；它也面临攻击者对抗手段的持续升级，有效性需要动态维护。对我国而言，将反欺诈战线前移至 "主动揭露" 具有现实的借鉴空间，但更需审慎处理合规边界、数据安全与效果评估等问题，使这一技术方向在法治框架内服务于反欺诈治理的实效提升。

编辑：芦笛 （公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院