如果面试官让你立刻运行一个安装包，你会怎么做？
先别急着说“当然拒绝”。在真实的求职压力和高度仿真的沟通场景下，人的判断力很容易被蒙蔽。最近，一位名叫 David Dodda 的工程师就分享了自己险些中招的经历，而把他从悬崖边拉回来的，竟然是一条AI提示。
这听起来像电影情节，但却是远程办公时代正在上演的真实风险。随着在线面试成为常态，“假面试”正成为一种新型的社会工程学攻击。攻击者伪装成知名公司的招聘人员，通过层层逼真的面试流程获取你的信任，最终目的就是让你在自己的电脑上运行恶意软件。
据原报道，David 在面试过程中被要求运行一个程序来完成一项任务。就在双击之前，他内心的一丝警觉让他停了下来。他没有选择相信自己的直觉，而是做了一个关键动作：把整个事件的上下文，包括对方的行为、沟通记录和文件信息，都喂给了一个AI模型，并下达了一条审查指令。
AI的反馈让他惊出一身冷汗：对方的行为模式与已知的多种网络钓鱼和恶意软件分发策略高度吻合。正是这条提示，让他免于一场潜在的数字灾难。
这个故事给我们的启发是，我们不能再把AI仅仅看作是内容生成或信息查询的工具。它更应该成为我们个人安全的“外置大脑”和“流程审计员”。关键在于，我们不能只问“这个文件安全吗？”这种模糊的问题，而是要构建一个结构化的、可执行的“安全审查”提示词模版。
为什么现在这个方法变得可行且重要？因为大模型的能力已经进化到可以理解和交叉验证多个维度的信息，比如域名信誉、文件签名、行为逻辑等，这些在过去都需要专业的安全知识。它把专业级的安全审查门槛，降低到了普通用户也能操作的水平。
这里为你整理了一份可操作的“反社工”安全提示模版清单，建议收藏并根据自己的情况修改：
第一点：定义“资深安全分析师”角色。在你的提示词开头，先给AI一个明确的身份。例如：“你是一名经验丰富的网络安全分析师，擅长识别社会工程学攻击和恶意软件。你的任务是审查以下情况，并给出明确的风险评估和行动建议。”
第二点：提供结构化的背景信息。把所有你能收集到的信息都作为输入，比如：对方公司名称、招聘岗位、沟通邮件截图、要求下载的链接、文件名、文件哈希值（如果能获取到）。信息越全面，AI的判断越准。
第三点：下达具体的核查指令清单。不要让AI自由发挥，而是要求它按步骤检查。例如：“请根据以下清单进行核查：一，验证招聘网站和邮件域名的真实性与信誉。二，分析对方要求我执行的操作（如关闭杀毒软件、运行未知程序）是否符合正常招聘流程。三，如果提供了文件签名或哈希，请查询其信誉。四，评估整个对话的紧迫感和诱导性语言。”
第四点：强制要求提供可验证的证据。这是防止AI“一本正经地胡说八道”的关键。在提示词中加入规则：“你的所有结论都必须附上可供我亲自核实的公开信息来源链接或查询方法，如果找不到，请明确说明。”
第五点：明确风险等级与行动方案。要求AI最后给出一个清晰的结论，比如“高风险，疑似攻击，建议立即中断联系并拉黑”或“中等风险，信息不足，建议通过官方渠道核实对方身份”。
当然，我们需要清楚地认识到风险。AI并非绝对可靠，它给出的判断是基于概率和已有数据，可能存在误判或遗漏。因此，AI的建议应作为你决策的重要参考，而不是唯一的依据。最终的判断和操作，仍然需要你自己来负责。
下次再遇到可疑的链接、文件或要求时，别忘了先让你的AI安全助理“过目”。这个简单的习惯，或许能在关键时刻保护你的数字资产和职业生涯。
你有没有遇到过类似的网络陷阱？或者你有什么独家的AI安全提示技巧？欢迎在评论区分享。
关注作者–看更多有趣有料的信息
Share this content:
发表评论