韩国多家银行连续被打： ARTEX 把 AI 渗透带进了真实攻击

JacobWang
JacobWang

NowSec

2026年10月10日 14:55
陕西

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

这几天关于韩国银行被攻击的消息传得很快，很多版本最后都被压缩成了一句话：

一个年轻人用 Claude 黑了韩国多家银行。

这个说法方便传播，但和目前公开出来的技术细节并不完全一致。

CrowdStrike 在 10 月 7 日公布调查结果后，这起事件才有了比较完整的轮廓。研究人员在疑似攻击者使用的服务器上发现了 ARTEX 配置文件、Claude Code 会话记录、Claude Memory，以及一批和韩国金融机构相关的攻击痕迹。

从这些资料看，攻击者并不是单独依赖 Claude。真正负责组织攻击流程的是 ARTEX，一个 AI 驱动的自主渗透测试框架。它使用 DeepSeek v4.1-flash 作为主要模型，同时还调用过 GLM-5.3、Grok 4.6，攻击者本人也在使用 Claude Code。

所以，与其说这是“Claude 黑银行”，不如说这是一次已经进入现实环境的 Agent 化攻击。

模型负责理解和判断，工具负责执行，ARTEX 把两者接起来，人则站在更上层控制整个过程。

韩国银行这次到底发生了什么

从 9 月底开始，韩国金融行业陆续出现数据泄露事件。

截至 10 月 8 日，Reuters 报道称已有至少 9 家韩国银行被公开报道涉及相关网络安全事件。韩国警方已经启动调查，金融监管部门也向行业共享了一批可疑 IP 地址。

CrowdStrike 后续拿到的攻击基础设施资料，让这批事件和 AI Agent 联系到了一起。

已知受影响的系统里，包括银行面向金融经纪人的贷款进度查询服务，也包括员工使用的移动办公支持系统。

这里有一点需要特别注意：目前没有公开证据证明攻击者进入了韩国银行的核心账务系统。

从目前披露的信息看，攻击重点更多落在外围业务系统、员工系统以及互联网暴露资产上。

这其实很符合真实攻击的逻辑。

金融机构核心系统通常保护得最严，攻击者没必要一开始就去碰最硬的地方。外围查询系统、移动办公、合作方入口、历史 Web 应用，往往更容易找到机会。

先从这些地方拿到数据、账号、内部信息或者新的攻击路径，成本通常更低。

ARTEX 做的事情，其实很像一个不会累的渗透测试助手

ARTEX 原本是一个开源的 AI 自主渗透测试项目，定位是授权安全测试。

它并不是什么神秘模型，核心思路也不难理解：把渗透测试过程中那些需要反复判断、切换工具和整理结果的工作，尽量交给 Agent。

例如扫描出一批端口以后，下一步该看哪些服务；发现某个 Web 入口以后，应该继续枚举还是切换方向；一条路径失败以后，是换 Payload、换工具还是换目标。

传统情况下，这些事情都由人来做。

安全人员盯着终端，看扫描结果，再决定下一条命令。目标一多，信息量上来以后，注意力很快就会被占满。

ARTEX 这种 Agent 的价值，就在于把大量重复判断接起来。

它未必比一个经验丰富的红队专家更聪明，但它不会累，也不会因为同时盯十个目标而顾不过来。

这也是这起事件比“AI 会不会写 PoC”更值得关注的地方。

AI 对攻击最大的帮助，可能不是突然发现了一个以前没人见过的 0day，而是把原本零散的攻击步骤连得更紧。

攻击门槛降低了吗？降低的是另一种门槛

每次出现类似事件，总有人会说，以后不会安全的人也能靠 AI 当黑客。

至少从这次情况看，还没到这个程度。

攻击者还是要会搭基础设施，要知道代理怎么配，要理解目标服务，也要知道渗透测试的基本流程。ARTEX 并不会替一个完全没有安全基础的人解决所有问题。

但它确实在降低另一类成本。

以前一个人只能盯有限几个目标，现在 Agent 可以帮他同时处理更多任务；以前不同工具之间的信息要靠人自己整理，现在模型可以直接读结果，再继续做下一步；以前大量时间耗在重复枚举和判断上，现在这部分工作可以被自动化。

这会直接改变攻击效率。

AI 没有让攻击者凭空多出一套技术，但它让一个人的时间被放大了。

这和最近几个月其他 Agentic Attack 案例呈现出的趋势基本一致：攻击速度越来越快，同时处理的目标越来越多，攻击链之间的停顿越来越短。

这次不是一个模型的问题

这起事件还有一个细节很容易被新闻标题掩盖。

ARTEX 使用的主要模型是 DeepSeek v4.1-flash，但攻击者还配置过 GLM-5.3 和 Grok 4.6，同时自己也在使用 Claude Code。

这其实更接近未来真实攻击的样子。

攻击者没有必要只用一个模型。

哪个模型便宜就用哪个做大批量任务，哪个更擅长代码就拿来写代码，哪个上下文更长就拿来整理信息。Agent 只负责把它们调度起来。

到了这个阶段，继续争论“Claude 更危险还是 DeepSeek 更危险”已经没有太大意义。

对蓝队来说，需要关注的是整套 Agent 执行链，而不是某个模型品牌。

最意外的地方，是攻击者把自己的 AI 记录留了下来

CrowdStrike 这次能拿到这么多细节，并不是因为 AI 有什么特殊取证接口。

原因很简单：攻击者自己的服务器存在开放目录。

ARTEX 配置、Claude Code 会话记录、Claude Memory 等内容都暴露了出来。

而这些 AI 会话里，恰好还留下了一些很有价值的信息。

攻击者曾经询问 Claude，韩国泄露数据通常在哪里出售，以及哪些 Telegram 群组会交易此类数据。CrowdStrike 据此判断，对方很可能存在明显的经济动机。

更有意思的是，他还让 Claude 帮自己生成一份安全研究员简历。

Prompt 里带了年龄、教育经历、所在地、联系方式等信息。外界后来广泛传播的“26 岁”“广东茂名”等描述，就是从这里来的。

但 CrowdStrike 自己没有把这些内容直接认定为攻击者真实身份，只是作为潜在线索。

AI 帮攻击者提高了效率，攻击者留下的 AI 会话又反过来帮助研究人员做了溯源。

这个场景以前并不常见。

以后做取证，可能还得看 Prompt 和 Agent Memory

传统攻击取证里，我们会看 Shell History、PowerShell 日志、WebShell、C2 流量、SSH 登录和恶意文件。

Agent 普及以后，可能会多出一批以前没有的证据。

比如 Prompt History、Agent Memory、模型 Session、MCP 调用记录、Tool Call History，甚至 Agent 自己保存的任务规划。

这些东西本来是为了让 Agent 记住上下文、继续任务。

但从取证角度看，它们有时候比 Shell History 还完整。

因为命令行只告诉你“执行了什么”，Agent Session 甚至可能留下“为什么这么做”和“下一步准备做什么”。

对威胁情报和数字取证团队来说，这会是一个新的数据源。

ARTEX 作者最后选择了停止开源

事件公开以后，ARTEX 作者 Autumn-27 在 10 月 8 日发布声明。

声明里说得比较直接：ARTEX 最初是用于学习、安全研究和授权资产测试的，但近期发现项目被恶意行为者用于网络攻击，已经违背项目初衷，因此决定停止更新，并转为闭源，不再提供后续版本和维护支持。

从开发者角度看，这个决定可以理解。

但代码已经公开过，事情也很难真正回到原点。

已有 Fork、镜像和二次开发版本不会因为原仓库停止维护就消失。

这也是 AI 安全工具以后很难绕开的一类问题。

一个普通安全工具开源以后，扩散的是工具；一个自主 Agent 开源以后，扩散的可能是一整套自动执行能力。

Nmap、Metasploit、漏洞 PoC 一直都有双重用途。

Agent 只是让这个老问题变得更难处理。

对蓝队来说，最麻烦的是速度

企业如果看完这次事件，只得出一个结论——封 Claude，意义并不大。

模型可以换，Agent 可以换，工具也可以换。

蓝队真正需要适应的是攻击节奏。

过去一名攻击者发现一个入口以后，可能停下来分析几分钟，换工具，再继续操作。

Agent 的目标就是尽量消除这些停顿。

扫描完成以后马上分析，分析完马上继续验证；一条路不通，迅速换下一条；多个目标可以并行处理。

这会给传统安全运营流程带来很大压力。

当蓝队还在群里确认“这个 IP 是谁的”时，Agent 可能已经开始扫下一段网了。

这也是为什么资产归属、自动封禁、告警关联、账号处置和网络隔离这些看起来很基础的能力，反而会越来越重要。

攻击自动化以后，防守流程里任何需要人工等待的地方，都会变成时间差。

国内团队做红队 Agent，也应该考虑这些问题

国内已经有不少团队在做类似方向。

自动漏洞验证、本地 Offensive Security 模型、渗透 Agent、代码审计 Agent，这些项目本身并没有问题。

但一旦工具具备真实扫描和执行能力，就不能再按普通聊天机器人来管理。

至少应该把几个边界提前定清楚：

测试范围从哪里导入；
非授权 IP 是否默认拒绝访问；
Agent 是否允许直接访问公网；
哪些攻击工具可以自动调用；
高风险动作是否需要人工确认；
Session、Prompt 和 Tool Call 是否完整留存；
任务能不能随时整体终止。

这些东西平时看起来像限制。

但真的出了边界问题，它们就是最后的保险。

写在最后

韩国这批金融机构攻击，最后可能还会有更多调查细节出来。

现在就把它包装成“一个学生靠 Claude 黑了九家银行”，多少有点把事情说简单了。

目前更值得注意的是，AI Agent 已经不再只停留在 CTF、靶场和实验室里。

有人已经开始把它接到真实工具上，用来处理真实目标。

它没有发明新的网络攻击方法，也没有突然让所有人都变成高手。

它只是把原本需要人不断切换工具、整理信息、判断下一步的过程，压缩得更紧了。

以前一个人能同时盯几个目标，取决于他的精力。

Agent 出现以后，这个上限开始变了。

这对攻击者是效率提升。

对蓝队来说，则意味着留给人的时间会越来越少。

ARTEX 这次真正值得记住的，不是它用了哪个模型，而是 AI 自动化渗透已经开始进入真实攻击。

参考资料

1. CrowdStrike Intelligence：Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance

2. Reuters：South Korea, Japan buffeted by hacks as AI lowers bar for cybercriminals

3. Reuters：Chinese developer makes ARTEX AI agent closed-source after Korean bank hack

4. ARTEX 作者 Autumn-27：ARTEX 安全声明