检测点搬进会话上下文：没有链接和附件时，靠什么判、留什么证
一、判定对象换了：从”有没有可疑载荷”到”这段对话讲不讲得通”
有一篇发布在阿里云开发者社区的分析，把钓鱼检测的重心从邮件网关搬到即时协作平台上。它给出的理由很直接：攻击者用的不是链接和附件，是同事的口吻、外协的身份和一个带截止时间的请求，消息里可以一个载荷都没有。于是检测方式从特征匹配（已知恶意域名、已知恶意文件哈希）转向对整段对话的语义理解，被检信号归成三类——冒充，即伪装成熟职同事、外部伙伴或供应商；欺骗意图，即制造时间紧迫、模仿权威口吻、索取敏感数据；行为与声称身份不一致，即一个自称某部门的人提出了该岗位通常不会提的请求。它还把”外部用户第一次联系内部员工”单独列为重点扫描对象，理由不是这类人更危险，而是没有历史信任基线可参照，判定只能靠当场这段对话本身。
交付形态上有三个细节值得注意：默认开启、管理员不需要配置、算力集中在高风险场景而不是对所有会话做等强度扫描，命中时在那条消息旁边就地提示。这个组合是有意识的取舍，也决定了我们该怎么读它：它不给你可下载、可扫描、可离线拆解的对象。我们围绕邮件网关建立的全部配套能力——附件隔离、沙箱、URL 信誉查询、队列化人工审阅——都建立在”有一个对象可以被拿出来单独研究”这个前提上。前提一撤，判定依据和隐私承诺就得重算。
二、粒度变成”整段”之后，四项能力同时打折
判定位置一迁移，四项能力同时打折，每一项都对应一种具体的失去。我们把这四项当作采购评估的输入，而不是当作宣传材料的瑕疵。
第一项是判定粒度从单条变到整段。单独读那一句”帮忙把付款账户改一下”，它没有任何问题；可疑性来自上一轮那句自我介绍和下一轮那个加急理由。粒度一跨，”告警应该锚在哪一条消息上”就变成了需要产品化回答的问题——就地提示是对的方向，但它要求界面允许把一条告警绑回一段窗口，而不只是绑回一个 ID。
第二项是误报归因变难。单条判定可以给出”域名注册未满阈值”这样一句可核查的原因；上下文判定只能给出”这几轮的意图组合异常”。安全运营向业务方解释一条告警时，拿不出那句”因为 X”，说服成本全部转化为沟通成本。
第三项是留证。要复核一个跨轮次的判断，逻辑上必须保存被判断的那个窗口，而这类平台几乎必然伴随”内容不留存”的隐私承诺——两者正面冲突。
第四项是复核窗口随会话长度增长。邮件的复核成本近似固定，长会话里”读多少轮才有资格下结论”是变量，人工复核的单价因此不可预算。
另外三条来自来源自述：阈值过松造成告警疲劳，过紧会漏掉隐蔽攻击；判定可以被绕过——把请求拆散到多轮、混在无关话题里、换一种句式，都会削弱上下文信号；用户无视提示仍然自愿给出敏感信息时，技术侧无解。这三条决定了这篇后面的全部写法：语义层不是一个可以独立成立的防线，它必须被别的层托住。
三、”内容不留存”这条承诺，具体限制了哪三件事
来源给出的隐私约束是：分析仅用于当次安全判定，内容不保留用于模型训练、产品改进、广告投放或用户监控。这句话在法务上是加分项，在安全运营上是三项具体的失去。
一是失去离线复训的可能。拿不到标注过的历史会话，就训不出自己那份贴合本单位说话习惯的分类器，也无法把一次真实误报变成一条永久规则。二是失去事后回溯抽样。月度质量评估里”随机抽一段会话请人判定”这条最便宜的路被堵住了，任何需要重看现场的指标都算不出来。三是失去申诉的证据。业务方否认某条告警、或者反过来质疑为什么没有告警时，双方都无法回看原文。
限制之下仍可评估，关键是把评估面从”内容”挪到”结构与结果”。可行的做法有四条：告警当场必须携带可自助解释的理由和一个反馈入口，反馈记录的是判定类别与用户陈述，不含会话原文；用脱敏的结构化特征做统计——命中了哪一类信号、发起方是内部还是外部、是否首次联系、会话进行了几轮、被提示后动作是否继续；用自建的同义测试集做定期回归，样例由安全团队构造，不引用真实业务内容；把”提示被点开率””误报反馈率””经提示后仍执行敏感动作的比例”做成三条长期趋势，它们都不需要留存原文。这四条写进验收标准，比要求供应商”保留三个月日志”更容易谈成。
四、阈值与告警疲劳：分档、提级、就地提示
告警疲劳不是道德问题，是分档缺失的结果。如果一个阈值同时服务研发群、财务群和外部协作空间，它只能取一个所有人都能勉强接受的值，而那个值对财务群太松、对研发群太吵。
按场景分档的最小集合是四档：外部账号首次联系内部员工（信任基线缺失，单独提级）；涉及敏感动作的会话，例如收款账户变更、加急付款、批量导出客户名单、切换联系邮箱；跨部门陌生协作，即发起方的声称身份与所在群组历史成员结构不匹配；常规内部闲聊空间，这一档要允许几乎不打扰。档位之外还要有一条硬约束：提示必须放在决策点上，而不是汇总在第二天的报告里。一个正在被催着转账的人，需要的信息出现在他按下发送之前，日报对他没有意义。
告警文案本身要当成字段来设计：命中了哪一类信号（冒充、意图、身份不一致）；为什么命中，用人话写出可核对的一条，例如”该账号首次与本群成员通信，且请求涉及付款信息变更”；用户可以做什么——确认、举报、标记误报，三个动作各自通向哪里。缺少第三项时，误报只能靠邮件往来申诉，一线很快学会忽略提示。还有一条容易被”提示变多”挤掉的：举报通道本身不能因为已经有机器提示就降低响应标准，这一点在我们承接过的内部渠道梳理里被反复验证——一旦员工形成”报了也没人看”的判断，最珍贵的数据来源就断了。
五、核心交付物：留证与隐私约束对照表
下表是我们在给协作平台类检测能力做部署方案时坚持要填的表。它的意义不在结论，而在强迫每一行都回答”复核时能拿它做什么、拿不到时由谁补”。
| 证据对象 | 会话场景里的形态 | 不留存承诺下能否保留 | 建议保留形态与期限 | 复核时能回答的问题 | 缺口由谁补 |
|---|---|---|---|---|---|
| 被提示的单条消息原文 | 一条文本消息 | 原则上有冲突 | 不保留原文，保留消息 ID 与所属会话标识 | 这句话当时是否确实可疑 | 需业务方按流程临时调取 |
| 判定窗口（前后若干轮） | 一段多轮上下文 | 有冲突，风险最高 | 只保留轮数与每轮信号类型，不保留内容 | 判定是否建立在错误上文上 | 当场反馈闭环 |
| 命中的信号类别 | 冒充、欺骗意图、身份不一致三类标签 | 可以 | 结构化标签，长期保留 | 哪一类信号在本报周期内最多 | 无需补 |
| 发起方属性 | 内部或外部、是否首次联系、所在空间类型 | 可以 | 布尔与枚举字段 | 分档是否被绕过 | 无需补 |
| 用户当场反馈 | 确认、举报、误报三种动作 | 可以 | 动作加所选理由码 | 误报集中在哪个场景 | 无需补 |
| 敏感动作执行记录 | 工单、审批流、账户变更单 | 与检测无关，本就该留 | 按业务系统原有期限 | 提示之后动作是否继续 | 业务系统 |
| 检测能力版本与规则档 | 模型或规则版本、当时各档阈值状态 | 可以 | 变更日志，与告警同记录 | 某条告警出自哪套配置 | 无需补 |
填表的判据是：每一行都要能在”内容不留存”这条约束下成立。凡是必须保存原文才能成立的复核需求，就要显式写成空白项，并指定由流程补偿——比如把敏感动作的复核责任推到审批环节，而不是推到检测环节。
六、四层框架的落地顺序与采购该问的六个问题
来源给出了身份、入口、载荷、语义四层，语义排在最后。这个顺序对我们真正的含义是投入次序：前三层的检查成本远低于语义层，而且结论可以被第三方验证；语义层昂贵、难解释、还带着上面那三项失去。落地顺序因此应当是——
- 身份层先把外部与内部主体的边界做成可查字段：来源域、是否首次通信、声称身份与通讯录是否一致，不一致的进入提级档。
- 入口层把协作平台的接入面收口：临时会话、外部群、跨租户空间是否在扫描范围内，范围之外的显式记为空白而不是默认为零风险。
- 载荷层保留原有能力：链接、附件、文件下载，它覆盖不了无载荷攻击，但它是唯一能给出可核查证据片段的一层。
- 语义层最后上，且只在前三层给出的结构化字段之上做提级，不做唯一判定。
运营侧的兜底不能省。无载荷攻击的落点是一个动作，不是一条消息，所以真正拦得住的是敏感动作的带外确认——账户变更、加急需款、权限授予这三类，必须走一条与提示所在平台无关的确认通道，并保留二次确认凭证。技术无解的那一段就靠这个补。
采购这类能力时该问的六个问题，每个都要拿到可核查的回答而不是口头承诺：覆盖范围（哪些空间类型、哪类外部会话在扫描之内）；留证策略（告警附带什么、保留多久、原文是否入库）；客户数据是否用于训练（写进合同，不接受”仅用于改进服务”这类模糊表述）；阈值可调性（能否按场景分档、由谁调整、调整是否留痕）；误报申诉闭环（反馈入口通向哪里、多少条误报会触发规则变化、变化是否通知）；退出时的数据处置（终止服务后标签、反馈与配置导出格式，以及删除确认）。
洹拓把这类部署的最小验收判据压缩成六条：构造的同义样例能被就地提示；提示携带可解释理由与三个用户动作；四档阈值各自可查且可单独降级；外部首联场景确实被提级；结构化标签能落到现有告警平台；关闭或降级该能力时的路径明确并有通知。六条中有任一条无法演示，就不算交付——判定依据搬进上下文以后，我们能保住的只剩看到、复现和追责这三样，验收就该按这三样写。