SecurityWeek总结认为，安全意识培训仍然有用，但当它变成与员工背景或决策时刻无关的通用年度合规课程时，就会失效。随着人工智能支持的网络钓鱼和社会工程不断发展，应将持续的行为培训与技术控制、身份安全以及报告和验证流程结合起来。
安全意识培训的价值并未消失，但在利用人工智能且快速变化的社会工程攻击面前，传统的培训方式已经不够。以上是SecurityWeek在听取安全专家和一名认知心理学家意见后发布的一项分析得出的主要结论。
培训通常侧重于减少可能将员工变成内部威胁的错误，并帮助他们抵御网络钓鱼邮件和操纵手段。然而，尽管培训项目已经普及，攻击仍持续取得成功，这引发了一个问题：这些项目是否真的改变了行为，还是仅仅用于证明员工完成了规定课程。
从培训转向单纯满足要求
Malwarebytes的Stefan Dasic认为，许多项目因运行方式而失败；它们重复且过于笼统，以至于显得毫无用处。其他专家补充说，合规和保险要求推动机构每年向所有员工重复相同的内容，不论他们此前的知识水平或所面临风险的性质如何。
这种做法可能带来很高的完成率，却未必带来相应的行为改变。此外，对合规的重视可能会把最低要求变成最终目标，而不是将其视为可以持续改进的基线。根据分析中引用的观点，通用课程并不总能反映现代社会工程手法或使用人工智能的攻击。
实际发生了哪些变化？
当培训让员工为特定情境做好准备时，它会发挥作用，但攻击者会持续改变其手法。因此，专家建议培训更加频繁、更贴近员工的职责，并包含在怀疑某封邮件或某项异常请求时应采取的明确指导，例如进行报告或验证，而不只是识别网络钓鱼迹象。
参与者强调，培训不能成为唯一的防线。它必须由包括身份保护、多因素身份验证、技术控制和明确验证流程在内的现代安全架构提供支持。良好的系统设计应假设人为错误可能发生，而不是让员工承担阻止每一次攻击的责任。
随着攻击生成更加具有说服力和针对性的消息，同时还结合语音克隆，并使用短信、WhatsApp和即时通信应用等移动渠道，这项任务变得更加困难。分析援引Hoxhunt的Mike Aalto称，从2025年到2026年，人工智能生成的网络钓鱼增加了14倍，同时旧有手法得到改进，而不是完全出现全新的策略。
行为和背景比记忆更重要
文章指出，模拟网络钓鱼培训可以暂时降低上当率，但这种效果可能在几个月内消退。因此，一些专家建议开展持续的行为培训，重点关注数量有限且可衡量的行动，例如报告威胁和使用多因素身份验证，并在适当情境下提供干预和提醒。
其中一种观点将安全意识与数字广告进行比较：与其在同一时间向所有人发送相同的信息，不如设计意识培训，使其在员工面临某一特定决策或风险时抵达。这里的目标不是把员工视为最薄弱的环节，而是让其成为监测和响应体系中的积极组成部分。
记忆和预测的局限
Humanix的认知心理学家、University of New South Wales助理教授Jordan Richard Schoenherr解释说，培训之所以困难，是因为遗忘是记忆的默认状态，而且发生得很快。即使记住了信息，也不能保证知道何时以及如何使用。因此，学习需要反复更新，也需要能够在决策时刻重新激活知识的行为触发因素。
但教员工识别已知模式还会带来额外风险：他们可能把没有拼写错误或传统迹象理解为消息合法的证据，尽管事实并非如此。此外，今天的培训可能会随着新变体的出现而过时，这使得构建多种情景并在高度不确定性下作出决策，比依赖对未来的一种单一预测更有价值。
certi.news的编辑解读是：真正的变化不是取消培训，而是将其从年度合规项目转变为持续的运营能力，以衡量行为并通过技术为其提供支持。然而，文章并未证明某一种模式已经解决了这一问题；专家承认，面对风险的不对称性、攻击速度以及人类记忆的复杂性，培训仍将受到限制。因此，未解决的问题仍然涉及如何衡量行为变化、这种变化能够持续多久，以及机构能否比攻击者适应得更快地更新培训。