某省级广播电视传媒集团（以下简称“该集团”）在推进邮件系统信创改造时，也遇到同一类问题。此前团队主要靠添加防护规则、启用客户端安全措施应对风险。随着钓鱼邮件伪装越来越复杂，该集团开始尝试引入 CACTER 大模型邮件网关，探索更智能的识别方式。

围绕这类邮件，该集团利用大模型网关做了三件事：研判更综合，不只靠规则；保护分重点，资源向高风险账号倾斜；处置留复核，存疑邮件不"一刀切"。

传统规则能快速识别已知恶意地址、病毒附件和典型垃圾邮件。但该集团安全团队发现，真正难缠的是另一类：语言自然、内容贴近真实业务、恶意意图藏得深，靠关键词和固定特征往往判不准。

为此，集团在原有规则、信誉检测、反病毒和URL检测之上，让 CACTER 网关先读业务意图、再下判断。对需要进一步研判的邮件，网关结合正文、发件身份、收发件人关系和具体请求事项综合判断，重点盯住冒充身份、异常业务指令、语义诱导这类"内容看似正常、实际意图可疑"的邮件。

钓鱼邮件也在不断"换载体"。链接和诱导信息从正文转移到图片、二维码、附件里，单看某一处很容易漏。集团安全团队通过CACTER 网关把正文、图片、二维码、URL和附件统一解析，再结合上下文分析关联关系，减少因载体变化形成的识别盲区。

日常防护中，高管和重点人员（例如人力、行政等岗位）邮箱最容易成为身份仿冒和定向钓鱼的目标。该集团把这类邮箱纳入重点保护范围，围绕冒充领导、异常业务指令、付款信息变更、定向钓鱼等场景，设置专项检测与处置策略。

CACTER 网关对这部分账号投入更细致的语义研判。集团安全团队的实际感受是：以前重点账号和普通账号一套策略，现在重点账号多一层研判，分析和审核资源集中到风险最集中的地方。这样既加强了重点对象保护，又不必简单提高全员拦截强度，日常邮件流转不受影响。

有些邮件已经出现风险信号，但证据还不足以直接判定恶意。该集团的处理方式是：不直接送进用户邮箱，也不直接按恶意邮件删除，而是先放进高级审核队列。

上线 CACTER 大模型邮件安全网关之后，该集团面临的邮件处理体量短时间内接近增至原来的5倍，但邮件隔离阻断比例从初期约 80% 稳步提升至 90% 左右，期间持续捕获多起钓鱼、病毒类恶意邮件。

即便待审邮件规模大涨，系统拦截效果依旧稳定。依托分层检测机制，常规风险邮件由系统自动快速处置；那些需要结合业务上下文甄别、伪装性极强的邮件，再流转给安全团队复核，不用全员盲目逐封筛查，大大减轻了运营压力。

目前，CACTER 大模型网关已落地多家政企单位。随着钓鱼邮件越来越擅长伪装成日常业务沟通，静态黑名单、关键词规则的局限性日益凸显，CACTER 以 AI 语义能力补齐防护短板，持续护航企业邮件安全，为邮件安全运营提供更适配当下威胁的新思路。