💻 computer science

MemoPhishAgent: Memory-Augmented Multi-Modal LLM Agent for Phishing URL Detection

本文提出了 MemoPhishAgent，一种结合多模态大语言模型与情景记忆机制的智能体，通过动态编排专用工具和利用历史推理轨迹，在公开数据集及真实社交网络环境中显著提升了网络钓鱼 URL 的检测召回率，并已成功部署于生产环境为海量用户提供主动防护。

原作者： Xuan Chen, Hao Liu, Tao Yuan, Mehran Kafai, Piotr Habas, Xiangyu Zhang

发布于 2026-04-23

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Xuan Chen, Hao Liu, Tao Yuan, Mehran Kafai, Piotr Habas, Xiangyu Zhang

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文介绍了一个名为 MemoPhishAgent (MPA) 的新型网络安全系统，它的任务是识别钓鱼网站（那些伪装成正规网站来偷取你密码或钱财的假网站）。

为了让你更容易理解，我们可以把传统的防钓鱼系统比作“老式保安”，而 MemoPhishAgent 则像是一位拥有超级大脑和丰富经验的“私家侦探”。

1. 为什么我们需要这位“新侦探”？（背景与痛点）

老式保安的局限（传统方法）：
以前的防钓鱼系统主要靠两招：
1. 黑名单（Blocklist）： 就像保安手里有一张“坏蛋名单”。如果名单上有这个网站，就拦下。但坏蛋换张脸（换个新网址）就能混进去。
2. 死板规则（Heuristics）： 比如“网址里带 'paypall' 两个 'l' 的肯定是假的”。但坏蛋很聪明，他们能绕过这些规则，或者用新花样（比如把图片做得和真的一模一样）。
- 比喻： 这就像保安只认得通缉令上的照片。如果坏蛋戴了个假发、换了件衣服，或者用了个新名字，保安就认不出来了。
现有 AI 的不足（目前的 LLM 方法）：
现在的系统虽然用了大语言模型（LLM），但它们通常像是一个只会按剧本念台词的演员。你给它一个网址，它看一眼就下结论。如果它没看清，或者坏蛋用了新招数，它就容易犯错。而且，它没有记忆，上次怎么抓到的坏蛋，下次遇到类似的，它还得从头分析一遍，效率低且容易漏网。

2. MemoPhishAgent 是怎么工作的？（核心创新）

MemoPhishAgent 是一个多模态智能体（Agent），它不仅仅是“看”一眼，而是会主动调查。它有三个绝招：

绝招一：拥有五件“超级工具”（多模态工具集）

不像以前的系统只盯着网址看，这位侦探会动用五样工具来收集证据：

爬取内容（Crawl Content）： 把网页的源代码（HTML）读出来，像侦探读案卷一样，看里面有没有隐藏的恶意代码。
检查截图（Check Screenshot）： 把网页截个图，用“眼睛”看。比如，它能看到这个“苹果官网”的 Logo 是不是歪的，或者登录框是不是假的。
检查图片（Check Image）： 如果截图太乱，它会单独把可疑的图片拎出来仔细端详。
智能搜索（Intelligent Search）： 如果不确定某个域名是不是真的，它会像人一样去网上搜：“这个域名是合法的吗？”
提取目标（Extract Targets）： 很多钓鱼网站会玩“捉迷藏”，点一下链接跳转到另一个页面。这个工具能把所有藏起来的跳转链接都揪出来，层层深入。

比喻： 以前的系统只是站在门口看一眼你的脸（网址）。而 MPA 会把你请进屋，检查你的身份证（源代码），看你的穿着（截图），查你的朋友圈（搜索），甚至把你藏起来的备用钥匙（跳转链接）都找出来。

绝招二：拥有“超级记忆库”（Episodic Memory）

这是这篇论文最厉害的地方。

传统 AI： 每次遇到新案子，都是“从零开始”。
MPA： 它有一个记忆库。每当它成功抓到一个坏蛋，它会把“怎么抓到的”、“用了什么工具”、“最后结论是什么”都记下来。
工作流程：
- 当一个新的网址出现时，MPA 先查记忆库：“哎，这个长得跟上次那个坏蛋很像啊！”
- 如果完全一样：它直接调用之前的经验，秒级判断（“肯定是坏的！”）。
- 如果有点像：它会参考之前的经验，决定先查哪部分，少做无用功。
- 如果完全陌生：它才启动全套调查流程。

比喻： 就像一位老刑警。以前抓过一个戴红帽子的骗子，现在来了个戴红帽子的，老刑警一眼就能认出：“这招我熟！”不需要重新审讯，直接定罪。这大大加快了速度，也提高了准确率。

绝招三：动态决策（Dynamic Orchestration）

它不是死板地按顺序查（先看代码，再看图，再搜索）。它是根据情况灵活变通的。

如果代码看着没问题，但截图看着很假，它就直接重点查截图。
如果截图看着像真的，但有个奇怪的跳转链接，它就重点查链接。
比喻： 就像侦探办案，如果线索 A 断了，他马上换线索 B，而不是死脑筋地非要按顺序走完所有步骤。

3. 效果怎么样？（实战表现）

作者在两个公开数据集和一个真实的社交媒体数据集（从 Twitter、Instagram 等平台上抓来的真实可疑链接）上测试了 MPA。

抓得更准： 在真实环境中，MPA 的召回率（也就是抓出所有坏蛋的能力）比目前最先进的系统高了 20%。这意味着以前会漏掉的坏蛋，现在都被抓住了。
更快更省： 因为它有记忆，遇到老熟人直接秒判，不需要每次都跑全套流程。
已经上线： 这个系统已经在亚马逊（Amazon）的生产环境中运行了！每周处理约 6 万 个高风险链接，保护着数百万用户。它的召回率达到了 91.44%。

4. 总结：它为什么这么牛？

如果把防钓鱼比作抓小偷：

旧方法是拿着通缉令守大门，小偷换个马甲就进来了。
普通 AI是请个新手保安，虽然聪明，但没经验，每次都要重新分析，容易看走眼。
MemoPhishAgent 是一位拥有“超级记忆”和“全套侦查装备”的资深侦探。
- 它眼观六路（看代码、看图、搜网络）。
- 它过目不忘（记住以前怎么抓坏蛋的）。
- 它随机应变（根据线索灵活调整调查方向）。

这篇论文的核心贡献就是证明了：把“多模态推理”（看、读、搜）和“记忆机制”（经验积累）结合起来，是解决不断变化的网络钓鱼威胁的最有效方法。 它不再是被动的防御，而是主动的、智能的、会学习的防御。

MemoPhishAgent 技术总结

1. 研究背景与问题定义

背景：
网络钓鱼（Phishing）是一种持续演变且代价高昂的网络威胁。传统的检测手段主要依赖静态黑名单（Blocklists）或手工编写的启发式规则（Heuristics）。这些方法在面对攻击者注册新域名、混淆内容或快速切换基础设施时，往往反应滞后，覆盖范围迅速下降。虽然基于参考列表（Reference-based）的方法通过品牌 - 域名映射提高了鲁棒性，但维护成本高且难以适应新兴品牌。

现有方法的局限性：

机器学习方法： 依赖大量特征工程，面对新攻击模式需要重新训练，资源消耗大。
大语言模型（LLM）方法： 现有的基于 LLM 的检测通常采用单次提示（Prompt-based）或确定性流水线。它们缺乏多步推理能力，无法根据当前证据状态动态调整调查策略，且缺乏对历史调查经验的记忆，导致在处理复杂或重复出现的钓鱼模式时效率低下，且容易在边缘案例中产生误报或漏报。

核心问题：
如何构建一个能够适应非静态威胁、利用多模态证据、具备动态推理能力并能从历史经验中学习的钓鱼 URL 检测系统？

2. 方法论：MemoPhishAgent (MPA)

MemoPhishAgent 是一个记忆增强的多模态 LLM 智能体（Agent），旨在动态编排钓鱼专用工具并利用过往的推理轨迹（Episodic Memories）来指导决策。

2.1 系统架构

MPA 的工作流程基于 ReAct (Reasoning + Acting) 框架，包含以下核心组件：

多模态专用工具集 (5 种工具)：
智能体根据当前的证据状态，动态选择并执行以下工具，而非遵循固定流程：
- Crawl Content (爬取内容)： 获取网页并转换为 LLM 友好的 Markdown 格式，减少 Token 浪费，聚焦语义信号。
- Check Screenshot (检查截图)： 对全屏截图进行总结，评估页面视觉上的可疑性。
- Check Image (检查图片)： 当全屏视图不明确时，对关键图形元素进行细粒度视觉检查。
- Intelligent Search (智能搜索)： 生成基于证据的搜索查询（如“某域名是否合法”），利用外部知识验证非静态威胁。
- Extract Targets (提取目标)： 识别嵌入链接或重定向目标，挖掘子 URL 进行深层调查，应对嵌套攻击面。
事件记忆系统 (Episodic Memory System)：
这是 MPA 的核心创新，用于存储和检索历史推理轨迹。
- 记忆构建 (Construction)： 利用 LLM 从页面文本和截图中提取紧凑的关键词（如"apple login", "invoice pdf"），作为索引键。存储内容包括完整的工具调用序列和最终判决结果。
- 记忆检索 (Retrieval)： 对新 URL 提取关键词，通过余弦相似度检索最相似的 $k$ 个历史案例。
- 记忆感知决策策略 (Three-tier Policy)：
  - 无匹配 ( $k'=0$ )： 执行完整的默认 ReAct 循环，从头推理。
  - 部分匹配 ( $0 < k' < k$ )： 将检索到的案例作为上下文示例（In-context exemplars），指导智能体仅调用必要的工具补充证据。
  - 完全匹配 ( $k' \ge k$ )： 直接对检索到的历史判决进行多数投票（Majority Vote），快速返回结果。

2.2 工作流程

接收可疑 URL 列表。
智能体检索记忆库，判断是否存在相似的历史案例。
根据检索结果选择策略（直接投票、参考示例推理、或全新推理）。
在 ReAct 循环中，观察工具输出 -> 推理 -> 选择下一个工具或终止。
输出最终判决（恶意/良性）、置信度及一句话理由。
将新的推理轨迹存入记忆库，供未来复用。

3. 主要贡献

首个面向现实世界的钓鱼检测 Agent 框架： 设计了多模态工具，使智能体能够根据当前证据状态动态选择工具，而非遵循固定工作流，显著提升了检测准确性和效率。
新颖的事件记忆机制： 提出了一种存储和检索历史推理轨迹的机制，将过去的调查转化为可复用的经验。这不仅加速了对重复模式的判断，还为困难案例提供了更有针对性的示例。
实证验证与工业级部署：
- 在静态基准和真实世界数据集上均超越了 SOTA 基线。
- 已在 Amazon 生产环境中部署，每周处理约 6 万个高风险 URL，实现了 91.44% 的召回率。

4. 实验结果

4.1 数据集与基线

数据集： TR-OP (5000 恶意/5000 良性), DynaPD (6075 恶意网站), 以及自建的 SocPhish (从 5 个社交媒体平台爬取的 2765 个真实 URL，包含 516 个恶意 URL)。
基线： PhishLLM, PhishIntention, MLLM, URLTran。

4.2 性能表现

静态基准 (TR-OP & DynaPD)： MPA 在召回率（Recall）上比最佳基线提升了 13.6%。例如在 TR-OP 上，Recall 达到 98.56%，F1 分数为 93.40%。
真实世界场景 (SocPhish)： 在包含 URL 短链接和平台托管路径的复杂场景下，MPA 的召回率提升了 20%，达到 91.44%，F1 为 90.34%。相比之下，基于 URL 模式的 URLTran 召回率降至 80.39%。
效率： MPA 平均处理每个 URL 仅需 4.46 秒，比 PhishLLM (22.36s) 和 MLLM (8.17s) 快得多。

4.3 消融实验与分析

工具必要性： 移除任意一个工具（特别是截图检查和目标提取）都会导致性能显著下降。移除“智能搜索”或“爬取内容”会导致召回率下降约 20%。
记忆系统贡献： 启用记忆系统后，召回率提升了 27%，且未引入额外的计算开销（因为部分案例可直接通过记忆快速判定）。
鲁棒性：
- 提示注入攻击： 在对抗性提示注入下，MPA 的召回率仅从 0.90 降至 0.88，而单阶段 MLLM 从 0.80 暴跌至 0.52。记忆系统的多数投票机制提供了强大的缓冲。
- 工具输出错误： 即使注入 30%-50% 的错误中间输出，MPA 的整体性能下降极小（<2%），证明其具备强大的容错和重试机制。

5. 意义与结论

MemoPhishAgent 证明了将多模态推理与事件记忆相结合，能够在现实世界的用户暴露环境中实现鲁棒的钓鱼检测。

技术突破： 解决了传统 LLM 检测中证据收集不充分、推理僵化以及缺乏历史经验利用的问题。
实际价值： 该系统已成功部署于生产环境，保护数百万用户，展示了 Agent 架构在网络安全防御中的巨大潜力。
未来方向： 该工作为构建自适应、可进化、具备长期记忆的安全智能体提供了新的范式，特别是在应对快速变化的网络威胁方面。

总结： MemoPhishAgent 不仅仅是一个分类器，它是一个具备“调查员”思维的动态系统，能够通过记忆过去的经验来更高效、更准确地识别新型和复杂的钓鱼攻击。