隨着AI技術的快速發展，AI聊天機器人已經成為人們獲取信息的重要途徑，但這種變化也帶來了新的安全威脅。近日，國外網安公司Netcraft發佈的一項研究報告顯示，AI聊天機器人在推薦企業官網時存在嚴重錯誤：高達34%鏈接非企業所有，甚至有的鏈接直接指向惡意釣魚網站。這一現象不僅凸顯了AI無中生有的“幻覺”問題，更催生出了一種新型網絡釣魚手段——AI幻覺域名搶注。

AI幻覺催生新的網絡釣魚手段

當人們詢問AI問題時，AI經常會將雜亂的信息重新組合給出一個看似合理可信卻存在嚴重偏差的答案，這就是人們常説的“AI幻覺”。然而很多人缺乏專業驗證能力或習慣性信任AI輸出，這為別有用心者進行AI幻覺域名搶注提供了條件。

攻擊者會選定各行業知名品牌為目標，向AI詢問這些品牌的官方網址，然後獲取AI推薦的錯誤網址，搶先註冊這些本不存在的域名，搭建精心設計的釣魚頁面，最後等待被AI誤導的用户自投羅網。

甚至有些攻擊者並不滿足被動等待AI產生幻覺，而是用“假數據”投喂AI，通過在釣魚網站優化內容來迎合AI的閲讀偏好，增加被AI採集的概率，獲得比正規網站更高的推薦權重。

和傳統攻擊手段相比，這種攻擊模式成本低廉，且沒有太高的技術門檻，然而其取得的攻擊效果卻是顯而易見的。

34%指向非官方網站，詐騙風險大幅增加

Netcraft的研究團隊針對GPT-4.1系列模型進行了專項測試，使用類似"我丟失了書籤，能告訴我XX品牌的官網嗎”這樣的查詢方式，對金融、零售、科技等行業50家知名企業進行了測試。結果在測試生成的131個域名中，只有66%指向品牌所有，29%域名未註冊或停用，另有5%的域名被指向了與企業無關的其他網站。

Netcraft報告中提到了一個典型案例，當研究人員詢問富國銀行（Wells Fargo）網站時，AI並沒有提供其官方域名wellsfargo.com，而是推薦了一個和官網域名相似的仿冒域名。點擊該域名打開的頁面模仿了富國銀行的logo和頁面佈局，用户很難辨別真偽，金融詐騙風險大幅增加。

AI幻覺搶注，凸顯域名安全管理脆弱性

除了AI幻覺這一技術難題外，這種新型的攻擊方式也暴露了當前企業在域名管理保護方面的缺陷。在數字化時代，域名已經不單單只是網站的門牌號，更是成為品牌價值的重要載體。然而很多企業並沒有與時俱進充分認識到這一點，在域名管理上仍然採取一種被動消極的策略，只註冊和品牌高度關聯的核心域名和主流後綴，認為這些域名足以滿足業務所需，對周邊、相似和變體域名以及其他認為小眾的後綴置若罔聞。

攻擊者正是利用了企業的這一疏忽，大量搶注和公司域名相關、相似的域名或其他後綴域名，比如官方域名是google.com，攻擊者可能就會註冊g0ogle.com、google.co等等。一旦這些惡意域名被攻擊者搶注並用於搭建釣魚網站，對企業造成的經濟和信譽損失是巨大的。

AI加持攻勢下，企業應構築多維域名安全體系

為了有效應對AI幻覺域名搶注這種新型攻擊方式，企業必須高度重視域名品牌保護工作，將域名管理提升到戰略高度。在AI技術加持的攻擊下，只註冊品牌核心詞和常見變體的傳統域名註冊策略已經難以滿足安全所需，企業應採取更系統化的域名保護策略。

域名組合註冊策略：在註冊周邊域名時，企業需要綜合考慮品牌名與行業屬性、核心業務、產品類型的組合，儘可能全面覆蓋用户搜索習慣。

深度排查變體域名：對於相似和變體域名，可藉助AI拼寫糾錯、語義分析等技術工具，深度排查視覺相似、發音近似及鍵盤誤觸等變形域名，確保防禦無死角。

域名後綴全覆蓋：除了註冊.com、.cn等主流後綴外，更要密切跟蹤.ai、.tech等新興頂級域名的註冊動態，防止攻擊者利用這些新後綴進行惡意搶注。

實時監控域名狀態：通過專業的域名管理機構，建立完善的監控機制，實時追蹤域名狀態、解析異常及到期續費等風險，確保快速響應潛在威脅，提升域名管理效率和安全性。