韩国 7 家金融机构疑遭\"某高校学生\"AI 渗透，外交部已回应

原创

观未安全
观未安全

观未安全

2026年10月10日 13:00
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

威 胁 情 报

韩国 7 家金融机构疑遭\"某高校学生\"AI 渗透

6.8 万人数据外泄：攻击者被自己的 AI 会话出卖

TL;DR

• 韩国 7 家金融机构 9 月 30 日起遭连环攻击、五大商行全中，约 6.8 万人数据外泄；一周内升级为国家级事件——总统表态、警方 28 人专案组，外交部两度回应并于 10-09 点名美方\"双重标准\"。
• 攻击栈：开源 AI 渗透系统 ARTEX + Anthropic Claude Code，LLM 后端 DeepSeek v4.1-flash 为主、GLM-5.3 / Grok 4.6 为辅，中文提示词 CLAUDE.md 裸奔在开放目录被直接取证。
• 归属线索戏剧性

：攻击者让 AI 生成简历，\"YY\"、@YY520CN、华南理工、茂名全留在会话记录里；嫌疑人疑似 26 岁、居住中国——但路透实测拨打其手机号，接电话者称毫不知情，且简历年龄与生日自相矛盾。
* ARTEX 作者

（WSJ 称 Li Puhua，百度 \"agent+\" 攻防赛冠军）：10-02 发韩文版声明撇清、10-08 晚删库转闭源——开源 74 天，删库时 2.2K star。删得掉仓库，删不掉已扩散的 clone。
* 行业信号：ATT&CK T1588.007 落地；AI 会话记录成新取证金矿；全球已测得 359 个 ARTEX 相关 IP——武器已经扩散。

▲CrowdStrike 原报告（2026-10-07）：攻击者开放目录中被直接取证 Claude Code 会话记录、ARTEX 配置文件与 Claude memory 文件

0x1 事件概述

时间线：9 月 30 日曝光；10 月 2 日起银行陆续披露，ARTEX 同日发韩文版声明；10 月 6 日李在明国务会议指示\"全面革新安全范式\"、警察厅立案；10 月 7 日CrowdStrike 发布报告；10 月 8 日环球网刊发综合报道、路透实测拨打报告手机号；10 月 9 日外交部点名美方\"双重标准\"，路透确认 ARTEX 转闭源。

李在明 6 日国务会议表态：\"仅靠事后补救，难以应对不断演变的网络威胁\"，要求加快网络安全专用 AI 开发推广——\"是时候全面革新社会安全模式，以适应 AI 时代了\"。一国元首因一起安全事件改写国家安全范式，史上不多见。

为什么这一案值得所有防守方盯住：过去的\"AI + 攻击\"讨论停留在演示和推演，这次是完整的杀伤链 + 已落地的 6.8 万人数据外泄 + 厂商级取证报告 + 国家元首表态四样凑齐——The Record 定性\"已知首例 AI Agent 攻击金融业\"。AI 渗透从 PPT 进入实战，只隔了一个开源项目发布的距离。

▲环球网 10-08 刊发（环球时报驻韩国特约记者 李长锦）：五大行泄露规模与 ARTEX 滥用迹象

▲《韩民族日报》10-06 原发：李总统指示\"加快网络安全专用 AI 开发·普及速度\"

▲国务会议表态原文

0x2 ARTEX 本体：从攻防赛冠军到实战武器

ARTEX，作者 GitHub handle \"Autumn\"（WSJ 称其为 Li Puhua），也是资产测绘平台 ScopeSentry 的作者。Go 后端 + Next.js 前端 + PostgreSQL，AGPL-3.0 开源，百度 \"agent+\" 攻防挑战赛冠军项目。它不是独立大模型，而是接入外部 LLM 当\"大脑\"——四个环境变量即可切换模型与代理，这正是攻击者能在 DeepSeek / GLM / Grok 间轮换后端的原因。事件曝光后星标不降反升，涨到删库前的 2.2K star / 726 fork。

• Agent 编排

：Goals（目标分解）→ Planner（意图生成）→ Worker ×N（并发执行）→ MainAgent（人在环审批）；
* 双图架构

：全局资产图 + 每任务探索图（goal / intent / fact / finding 溯源链），攻击路径每一步有据可查；
* 工程配套

：MITM 流量代理、工具审批闸、MCP / Skills / Memory，可与同作者的 ScopeSentry 资产平台一键联动。

<p style=\"margin:0 0 10px; padding:12px 14px; border-left:3px solid #089AEE; background:#F7FBFF; color:#555; border-radius:0 8px 8px 0; 最讽刺的细节在许可证章节：作者在 AGPL-3.0 之外附加了明确禁令——;\" 禁止对任何在线系统进行扫描、探测、利用或攻击（无论是否获得授权）\"。结果发布仅两个多月，就被人拿去打了真实的银行。开源协议和作者条款约束的只是守法者。

作者一方的应对是一条\"危机公关时间线\"：10-02 发韩文版声明撇清\"这是防御方的工具，不是黑客工具\"（韩媒评价\"实际上接近宣言性质\"）→ 10-07 报告发布当天照常发 v0.3.15 新版 → 10-08 晚删库（404），并在 500 人群里发三条声明：与作者无关、谴责滥用、转闭源不再更新（路透 10-09 确认，理由是 bad actors 滥用）。

至此工具的公开生命周期定格在 74 天。删库改变不了扩散的事实——Git clone 不可回收，《韩民族日报》报道显示新韩被黑 IP 今年年初起就在试探 Toss Bank。仓库可以 404，武器不会（测绘数据见 0x6 IOC）。

0x3 攻击链还原：一个人的\"AI 红队\"

1.基础设施（T1583.003）：购买 VPS，38.244.50[.]120 部署 ARTEX 实例，另一香港 IP 作主攻击出口；

2.代理链（T1090）：9 个代理 IP 中转流量，重叠 IP 把多个组织的活动串到同一行为者；

3.获取 AI 能力（T1588.007）：LLM 后端 DeepSeek v4.1-flash 为主力，GLM-5.3 与 Grok 4.6 为辅；DeepSeek 疑经 API 转售商 xcai[.]pro 接入；

4.中文提示词 + Claude Code：ARTEX + Anthropic Claude Code 组合（路透确认），中文渗透提示词写在 CLAUDE.md（Claude Code 项目记忆文件）里——等于把\"AI 红队工程师\"整建制搬上 VPS；实例 :18899 端口的开放目录把 .claude/CLAUDE.md 裸奔公网，被 CrowdStrike 直接取证；

5.打点面：受害点全部在核心银行系统之外——新韩的贷款招募人服务（本人确认被绕过，约 2.5 万人外泄）、KB 的员工移动办公系统（119 人）、韩亚的营业支持系统 ODS（89 人）；

6.外泄与销赃准备：数据确认外泄。攻击者还问 AI：\"韩国泄露数据通常在哪里出售？\"\"帮我找韩国的 Telegram 数据交易群\"——攻击的每一步提问，都成了呈堂证供。

▲CrowdStrike 原报告\"ARTEX Infrastructure Analysis\"章节原文：IP、开放目录、双服务器架构与 LLM 后端全段

0x4 归属线索：简历 prompt 自曝

① 简历本身疑似 AI 编造。年龄与出生日期对不上，这份\"简历\"大概率是随手让 AI 编的，姓名、年龄未必是真实身份。但 Telegram 账号更硬：@YY520CN 同时出现在针对 NFT 礼品市场、疑似中国支付平台的攻击会话中——跨会话复用的 ID 比简历可信得多。

② CrowdStrike 的口径非常克制：原话是\"likely belong to the threat actor\"，但无法确定性关联到具体个人，全程未做命名归属。\"华南理工学生黑入韩国银行\"的流传说法，是对教育经历线索的放大——\"疑似\"和\"实锤\"之间还隔着一整条取证链。

③ 线索离\"实锤\"有多远？路透实际拨打了报告中公布的手机号——接电话的男子称对此事毫不知情。外交部两天两次回应、口径逐日升级：10-08（路透提问）\"不了解你提到的具体情况。作为原则，中方一贯反对并依法打击黑客活动，更反对出于政治目的散布虚假信息\"；10-09 进一步点名美方：\"敦促美方摒弃双重标准和政治操弄\"——同日美司法部取缔 7 个涉华网攻指控域名，事件上升为中美议题。本案层面 Anthropic 与韩国警方均未置评。线索与实锤之间的距离，就是这一通电话的长度。

▲10 月 9 日外交部例行记者会（极目新闻转央视新闻）：敦促美方摒弃双重标准和政治操弄

④ OSINT 增量画像（金夏安全复盘，线索口径）：@YY520CN 在 TG 发过招渗透私单（介绍费 100 USDT）、找\"机场主\"合作（解释了 9 个代理 IP 来源）两条广告，并在\"狗盾\"\"科技岛\"两个外挂社区任管理员。画像指向混迹黑产社区的兼职接单者，而非 APT 演员——与韩方\"初学者行迹\"的判断互相印证。以上为 OSINT 拼图，身份认定仍无司法结论。

综合置信度：中文使用者高置信、经济动机中等置信、身份未定论；韩官方强调这是\"黑客借助 AI\"而非 AI 自主攻击（联合早报），最先发现 ARTEX 痕迹的是韩国厂商 Genians Security。

0x5 行业信号：这一案改变了什么

1.T1588.007 落地成真。ATT&CK 早已把\"获取能力：人工智能\"列为正式子项，本案报告直接引用了它——AI 从攻击辅助工具变成被\"获取\"的攻击能力本身。这也不是孤例：Anthropic 2025 年 11 月就披露过 GTG-1002 行动——国家级团伙用 Claude Code 自动化八至九成间谍动作、打约 30 个目标，越狱话术正是\"你在做防御性测试\"。

2.AI 会话记录 = 新的取证金矿。攻击者问 AI 的每一个问题（怎么打这台银行、数据往哪卖）都同时留在 LLM 服务端、API 转售商和实例本地——你的 AI 助手，是对方安插在你攻击链里的证人。

3.一个人 ≈ 过去一支团伙。ARTEX 的 Planner/Worker + 双图把侦察 → 打点 → 外泄串成自主循环，VPS 租金 + API 费用就是全部成本——攻击门槛的坍塌速度比防御方预期快。

4.开源双用途治理失灵。AGPL 协议 + 作者禁令 + 韩文版声明 + 删库闭源，全部没能阻止滥用，也收不回已扩散的 clone（测绘数据见 0x6 IOC）。发布即失控是所有渗透开源工具的共同宿命，防御方要按\"假定已被滥用\"做监测，而不是盯着官方仓库的生死。

0x6 防御视角：现在就能做的事

▍检测点

1.LLM 外联监控：业务服务器出现指向 LLM API 及小众转售域名（如 xcai[.]pro）的异常出站——业务系统不需要和 LLM API 说话；

2.ARTEX 指纹：非常规端口开放目录、.claude/ 路径、:8787 Web UI——扫自己的资产，别等攻击者的 Agent 来扫；

3.Agent 行为特征：MITM 代理证书异常、单 IP 高频横跨多目标、自动化工具链的非人工节奏调用；

4.边缘业务收敛：本次打点的是贷款招募人服务和员工移动办公入口——这类边缘系统的暴露面优先级该上调了。

▍IOC 清单 （源自 CrowdStrike 报告及韩方通报）

ARTEX 实例:  38.244.50[.]120              (:18899 开放目录暴露 CLAUDE.md) 主攻击出口:  香港 IP（报告未给出具体值） 代理 IP ×9:  101.53.80[.]20   205.214.59[.]31              124.155.252[.]63 154.201.79[.]246              23.248.249[.]90  23.158.220[.]98              103.248.148[.]84 203.160.133[.]172              209.209.85[.]38 LLM 转售商:  xcai[.]pro ATT&CK:     T1583.003 / T1588.007 / T1090 ─── 韩方通报补充 ─── 金融当局:    33 个攻击 IP（关联 12+ 国家/地区） 全球测绘:    359 个 ARTEX 相关 IP（91% 美中港）              全球约 600 个；韩国境内 4 个实例

▍给安全团队的三个问题

1. 你的资产里，有没有\"会被 AI Agent 优先发现\"的边缘查询口？（无鉴权 / 弱鉴权 / 枚举面）

2. 你的出站流量基线里，LLM API 域名是黑是白？

3. 如果明天攻击者换掉 ARTEX、用下一个开源 Agent，你的检测还剩几条成立？——盯工具特征会失效，盯行为链路才能活。

▍当事方的整改动作（值得借鉴）

1. 新韩银行计划下月对网站、App 及内部系统等共 317 个点位定期安检；国民银行拟年内引入新的入侵检测、阻断系统和网页防火墙；

2. 韩国三大信用评级机构已开始评估此事影响——罚款、业务暂停、信誉受损、客户流失都将计入银行信用评级。安全事件直接挂钩融资成本，这是比罚款更硬的约束。

▍韩国的国家层响应（一套组合拳，节奏值得学）

KISA 24 小时应急、网络警报升级并向 2.8 万家企业下发自查公告；C-TAS 把 IOC 小时级同步给 5,900 家成员机构，一份报告变成全行业阻断规则；金融监督院要求云商在基础设施层直接封 IP；《电子金融交易法》二期把网安责任写进 CEO 罚则——AI 相关安全事件追责到高管个人。

▲环球网：警察厅 6 日正式立案（28 人专案组）、新韩 317 个点位安检、三大评级机构评估影响

参考

· CrowdStrike 原报告（2026-10-07）：crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance

· 极目新闻（转央视新闻）《外交部回应网络安全问题：敦促美方摒弃双重标准和政治操弄》（2026-10-09）：mp.weixin.qq.com/s/9W7qTGFuFRypkUGtsLK5HQ

· 路透社（2026-10-08/09）：韩国银行案归属报道、ARTEX 转闭源报道

· The Record（2026-10-06）/ 华尔街日报 / 联合早报（2026-10-07）/ 亚洲日报中文版

· 金夏安全《一个华南理工学生的黑客周末》：mp.weixin.qq.com/s/o\_nsF-B04tsvPTDsp9qdxg

· BoanNews idxno=146220 / 146276；ZDNet Korea；Newsis（Oasis Security 测绘）

· 《韩民族日报》（2026-10-06）：hani.co.kr/arti/politics/bluehouse/1281055.html

· 环球网（环球时报驻韩国特约记者 李长锦，2026-10-08）：world.huanqiu.com/article/4TWJCzgD5Mz

· ARTEX 项目仓库：github.com/Autumn-27/ARTEX（已转闭源）

本文仅供安全研究与防御参考。身份信息均为公开报道之转述，当事人身份尚未经司法认定。