一封发给企业高管的邮件 ： 没有恶意附件， 没有危险链接 ，发件人 看着 无异常，正文 也像一封普通邮件，但它却是最 容易混进正常沟通 ，也恰恰是 邮件安全团队 最头疼的钓鱼邮件 —— 不靠附件和链接露馅，仅靠文字完成诱导诈骗。

某省级广播电视传媒集团 （以下简称 “该集团”） 在 推进邮件系统信创改造时 ， 也 遇到同一类问题 。 此前团队主要靠添加防护规则、启用客户端安全措施应对风险 。 随着伪装越来越复杂， 该集团 开始 尝试引入 CACTER 大模型邮件网关，探索更智能的识别方式 。

围绕这类邮件， 该集团利用大模型网关 做了三件事： 研判更综合，不只靠规则；保护分重点，资源向高风险账号倾斜；处置留复核，存疑邮件不" 一刀切 " 。

（ CACTER大模型邮件安全网关处置流程）

一、大模型综合研判：让 " 看着正常 " 的邮件露出破绽

传统规则能快速识别已知恶意地址、病毒附件和典型垃圾邮件。但 该集团 安全团队发现，真正难缠的是另一类： 语言自然、内容贴近真实业务、恶意意图藏得深 ，靠关键词和固定特征往往判不准。

为此， 集团 在原有规则、信誉检测、反病毒和 URL 检测之上，让 CACTER 网关先读业务意图、再下判断 。对需要进一步研判的邮件，网关 结合正文、发件身份、收发件人关系和具体请求事项综合判断 ，重点盯住冒充身份、异常业务指令、语义诱导这类 " 内容看似正常、实际意图可疑 " 的邮件。

钓鱼 邮件 也在 不断 " 换载体 " 。链接和诱导信息从正文转移到图片、二维码、附件里，单看某一处很容易漏 。 集团安全团队通过 CACTER 网关 把正文、图片、二维码、 URL 和附件统一解析，再结合上下文分析关联关系，减少因载体变化形成的识别盲区 。

二 . 高管和重点人员保护：把分析资源用在风险最集中的地方

日常防护中， 高管和重点人员（例如人力、行政等岗位）邮箱最容易成为身份仿冒和定向钓鱼的目标 。该集团把这类邮箱纳入重点保护范围，围绕冒充领导、异常业务指令、付款信息变更、定向钓鱼等场景，设置专项检测与处置策略。

CACTER 网关对这部分账号投入更细致的语义研判 。集团安全团队的实际感受是：以前重点账号和普通账号一套策略，现在 重点账号多一层研判，分析和审核资源集中到风险最集中的地方 。这样既加强了重点对象保护，又不必简单提高全员拦截强度，日常邮件流转不受影响。

三 . 邮件延迟投递与人工复核：在 " 放行 " 和 " 删掉 " 之间留一道关

有些邮件已经出现风险信号，但证据还不 足以 直接判定恶意。 该集团 的处理方式是：不 直接 送进用户邮箱，也不 直接按 恶意邮件 删除 ，而是先放进高级审核队列。

CACTER 网关 为这些邮件 附上风险等级、意图标签和分析依据 ，管理员据此复核，再决定投递、隔离或丢弃。 对于集团安全团队来说，这道复核环节 既能 降低存疑邮件流入用户邮箱的风险，也便于管控误报 ，避免正常业务邮件被 “一刀切” 误伤。

四、实际成效： 邮件量翻了 5 倍， 拦截率升至 90%

上线 CACTER 大模型邮件安全网关之后， 该集团 面临的 邮件处理体量短时间内接近 增至原来的 5 倍 ，但 邮件隔离阻断比例从初期约 80% 稳步提升至 90% 左右 ，期间持续捕获多起钓鱼、病毒类恶意邮件。

即便待审邮件规模大涨，系统拦截效果 依旧稳定 。 依托分层检测机制 ，常规风险邮件由系统自动快速处置；那些需要结合业务上下文甄别、伪装性极强的邮件，再流转给 安全团队复核，不用全员盲目逐封筛查，大大减轻了运营压力 。

某省级广播电视传媒集团 团队评价： “CACTER 大模型网关用下来效果不错，自带规则拦截了不少钓鱼邮件，延迟投递方便我们核验，大模型重点盯紧高管邮箱的风险邮件，对仿冒领导、索要变更账户这类高危害欺诈识别很到位。 ”

目前，CACTER 大模型网关 已落地多家政企单位 。随着钓鱼邮件越来越擅长伪装成日常业务沟通，静态黑名单、关键词规则的局限性日益凸显， CACTER 以 AI 语义能力补齐防护短板，持续护航企业邮件安全 ，为邮件安全运营提供更适配当下威胁的新思路。