一封招聘邮件， 我是怎样用 AI 查证的

本文仅为案例分享，非技术性指导

一封招聘邮件， 我是怎样用 AI 查证的

9 月 28 日，我收到了一封英文招聘邮件。

对方称在 GitHub 上看到了我的项目，邀请我了解 Sonic 的高级软件工程师岗位，支持远程或混合办公，全职、兼职都可以考虑。邮件还附了招聘页面和一串申请码。

我把邮件原文交给了 ZCode (内接gpt-6-sol)，让 AI 帮我研究它是否可信。

下面把邮件正文和 AI 最后给我的答复都贴出来。可疑网址仅供识别，请勿据此访问或执行相关命令。

我收到的邮件

发件人显示为：Jeremy Sikes <jeremysikes@hr.sonictalent.xyz>。

邮件正文如下：

Hi KerryChia, I found your GitHub profile while reviewing blockchain engineering work and wanted to share a role on the high-performance EVM Layer 1 side at Sonic. Sonic is an EVM L1 built for speed and DeFi scale — sub-second confirmation, high TPS, and infrastructure that lets builders monetize on-chain traffic. Role: Senior Software Engineer Focus: EVM runtime, backend, protocol infrastructure Location: remote / hybrid Type: full-time or part-time Open to candidates in the US, Asia, and elsewhere. If this sounds relevant, a short reply with a resume or GitHub link is enough. You can also review the brief here: https://sonictalent.xyz/ Verification code: Ref-94tdws9xrvat4k Use this code on the careers page if you apply. Thanks, Jeremy Sikes Talent, Sonic

这封邮件的包装很完整：提到我的 GitHub，介绍项目背景，列出职位、工作方式，最后给出申请入口。

但发件地址中的 hr.sonictalent.xyz，以及招聘页面使用的 sonictalent.xyz，都需要核验。这个域名的后缀是 .xyz。

.xyz 本身不能用来判定一个网站是否可信。真正要查的是，这个域名与品牌方有没有可确认的关系，以及申请流程要求访问者做什么。

我把原文交给 AI

我当时的提问很直接：

你帮我研究研究这个是不是诈骗

随后，AI 搜索了域名和官方渠道，查询公开注册记录，并抓取了网页及其引用的脚本。

查询过程中，有请求失败，也有搜索超时。它继续换入口查询，最终找到域名注册时间，以及网页脚本中的“环境检查”提示。

这次核验发生在 9 月 28 日；注册记录显示，域名于 9 月 27 日注册。网页脚本中则出现了让访问者把命令复制到本机运行的提示。

下面是 AI 最后给我的完整答复，保留原文。

AI 给我的答复（原文）

结论：100% 是诈骗，而且是冲着让你在终端里执行恶意命令去的。 我只做了纯文本抓取，没有在浏览器里打开过它，你可以放心，但你自己千万别点、更别跑它给的任何命令。 证据链完整，一条条说： 1. 域名是邮件发出前一天才注册的。 RDAP 注册记录显示 sonictalent.xyz 于 2026-09-27 03:31 UTC 通过 NameCheap 注册（用的是 NameCheap 默认 DNS），而邮件是 09-28 发的。 Sonic 的真公司域名是 soniclabs.com，官方招聘走官网和官方 X/LinkedIn，从来不用什么 sonictalent.xyz。 2. 网站是个两天前手工搭的空壳。 整个站只有 958 字节的 HTML，架在一台裸的 nginx/1.24.0 (Ubuntu) 上，页面里还写了 noindex, nofollow（刻意不让搜索引擎收录），OG 描述是 "Private invitation — Sonic careers portal"——正规公司招聘页永远不会是“私人邀请”。 3. 网站源码里就是恶意流程。 我解包了它的 JS（99KB），完整的剧本是这样的： 首页横幅："Private invitation — verification code required"——利用邮件里那个 Ref-94tdws9xrvat4k 码让你觉得“我是被内选的” 让你建档案、传简历 然后一步叫 "Environment check"，提示语原文："Copy and run locally. Do not paste this into a browser. This is a POST request from your terminal"，甚至做了繁中本地化：“贴到命令提示字元 · 按 Enter” 也就是说，最终目的就是让你把一条命令复制到本机终端里跑。跑的那一刻，你机器上的 SSH 私钥、钱包、浏览器凭据、GitHub token 之类就没了——这是近两年针对加密行业开发者的经典假招聘投毒套路（先假招聘 → 假“验证/环境检测” → 让你在终端跑一行命令 → 投放 infostealer）。站里还预先写了“Sonic 绝不会要密码、助记词或远程桌面”这类免责声明，纯属降低你戒心的烟雾弹。 4. 这个域名在网上零痕迹——搜不到任何招聘记录、举报或讨论，因为它前一天才注册且禁止收录。 建议你这么做：邮件直接标 phishing 删除，不要回复；如果哪天手滑在浏览器打开过，关掉就行（只看页面不跑命令没有损失）；顺手可以把它举报给 NameCheap（abuse@namecheap.com，附上域名和邮件原文）和 Google Safe Browsing。另外这类“GitHub 上看到你 → 私人邀请码 → careers 链接”的组合拳以后大概率还会换皮再来（本周社区里同款骗局冒充过多家公司），记住一条就够：任何让你复制命令到终端跑的“招聘流程”，无论包装多正规，都是攻击。 Sources: Sonic Labs 官网 · Sonic Labs 官方 X 招聘帖 · fake-recruiter "verification code" 骗局讨论 · Scam Archive：假 careers 页 + 验证码收凭证案例库 · OKX H1 2026 Web3 安全报告

我觉得这个 AI 用法值得分享

这次最有用的地方，是 AI 帮我把一封邮件拆成了可以核验的具体问题。

发件域名是什么？与官网有没有可信关联？域名什么时候注册？网页后续要求我做什么？

这些信息分散在不同地方。AI 调用工具，把查询结果整理到一起，让我更容易看清需要警惕的环节。

尤其是源码里的“环境检查”：邮件表面上只是邀请我了解岗位，后续页面却出现了本机执行命令的要求。查到这里，已经有充分理由暂停操作，先通过独立的官方渠道确认。

同时，这个案例也提醒我，AI 的答复需要检查。它说得很肯定，并不意味着每一句都有足够的证据。网页 HTML 很小、使用某种服务器、禁止搜索引擎收录，这些都可能有正常原因。

让 AI 查证时，既要看结论，也要看它实际查到了什么。

以后收到陌生招聘、合作邀请或者账号通知，可以先隐藏个人敏感信息，把必要内容交给 AI，要求它核对来源、给出证据，并明确哪些信息还无法确认。

有联网检索和工具调用能力的 AI，更适合完成这样的核验；只分析文字的 AI，能够提供的主要是疑点和核验建议。无论使用哪一种，都不要让它替你执行来历不明的命令，也不要提交密码、登录验证码或密钥。

对我来说，这次经历提供了一个很具体的思路：在点击、安装、授权和付款之前，先用 AI 帮自己多查一步。

一封写得完整的邮件，仍然值得核验。AI 可以降低查证的门槛，最终的判断也要落在证据上。