韩国金融业被 AI 代理连环突破：技术复盘归因之难，与\"线索\"到\"定罪\"的法律距离

原创

奋斗的小浪
奋斗的小浪

船山信安

2026年10月11日 10:06
湖南

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

安全复盘 · REDTEAM　×　AI 安全

韩国金融业被 AI 代理连环突破：技术复盘归因之难，与\"线索\"到\"定罪\"的法律距离

2026 年 9 月底到 10 月初，韩国 7 家以上金融机构接连被黑，客户信息外泄。美国安全公司 CrowdStrike 10 月 7 日发布报告，把线索指向一个 AI 工具链，以及一名可能身在广东的 26 岁人员。报告里也写得很清楚：这\"只是线索，不是定论\"。

这不是一篇站队文。把外交、地缘那些先放一边，单看这件事里两样最能教人的东西：攻击者是怎么把真实身份\"写\"进 AI 对话、自己暴露的；以及法律上，一份商业安全报告离\"锁定并定罪一个人\"之间，隔着多远的证据门槛。

文中不引用报告中任何可识别个人的手机号、社交账号与姓名缩写，只还原其\"把个人信息写进提示词\"这一 OPSEC 失误的机制。案件尚在侦查阶段，任何人未经审判不得被预设有罪。

01事件边界：先把口径说清

这是一组在时间、目标、攻击迹象上高度相似的安全事件，不是一起已被查实的单一行动。不同机构披露的受影响对象、数据范围、调查状态并不完全相同。下面是截至 2026 年 10 月 4 日公开报道整理出的口径。

公开报道另提及友利银行、农协银行检测到入侵尝试但未确认泄露。上述数据口径来自韩联社、韩国金融部门及行业媒体（截至 2026-10-04），Welcome 储蓄银行的最终影响范围仍以调查披露为准。韩国警方已立案，案件尚无司法定论。

02技术复盘一：攻击者把身份\"写\"进了提示词

先说工具。报告指出的核心工具是一个名为 ARTEX 的开源 AI 代理式渗透测试框架，由一位国内安全工程师发布于 GitHub。其官方页面写明，该工具仅用于个人学习、代码研究与本地技术验证，不应作用于任何线上系统或网站。攻击者把它和一个大模型组合，做成了自动化攻击链。

工具链长这样。ARTEX 作为调度器，主要后端接 DeepSeek 的轻量版本，经第三方 API 代理访问；同期的 Claude Code 会话里还用到了智谱的 GLM、Grok 等模型。基础设施上，一台位于香港的服务器被指为整体行动的指挥节点，ARTEX 实例跑在另一独立 IP 上，另叠加了 9 个以上代理 IP，跨美国、日本、德国等十余个国家做路由混淆。

真正的翻车点，在人性那一步。攻击者在让 AI 编写一份\"安全研究员简历\"时，顺手把自己的姓名缩写、手机号、社交账号、年龄、学历、居住地全填进了提示词。这份会话记录留在了服务器上，成了溯源者最省力的线索。追求自动化效率的人，把真实个人信息喂进了一个会永久留痕的系统——这是教科书级的 OPSEC 失误。

攻击者留下的\"简历提示词\"结构（脱敏还原，不含真实信息）

请帮我写一份安全研究员简历，包含：

- 姓名缩写：\\\*

- 手机号：\\\\\\\\\\\*

- 社交账号：@\\\\\\

- 年龄：\\，学历：某理工大学

- 所在地：广东某地

把可识别个人信息写进会留痕的 AI 会话，等于在作案现场留了张带照片的工牌。无论你用了多少代理、多少跳板，这一步的失误都可能让前面所有隐匿归零。

03技术复盘二：防守侧暴露了什么

打的不是核心交易网，而是对外暴露系统：贷款进度查询、员工移动办公支持、营业支持系统、房贷中介查询页。这些接口本该是防守重点，却成了突破口。这说明很多机构的\"对外最小化\"还没做到位。

更扎眼的是检测延迟。公开报道给出的窗口：新韩约 15 小时、韩亚约 42 小时、国民约 68 小时才识别自身被入侵。攻击者早就带着数据走了，防守方还在\"以为是正常流量\"。

三个能落地的防守点。其一，对外接口做最小化与强认证，能不暴露就不暴露；其二，EDR/NDR 覆盖到员工移动办公这类边缘入口，别只守核心网；其三，建立针对\"代理式自动化攻击\"的异常识别——这类攻击节奏快、工具调用规律强，恰恰是机器比人更容易发现的模式。

04法律视角：一份商业报告，能证明什么

先立住一条铁律：私营安全公司的情报报告，不等于司法证据。CrowdStrike 在原文里就写明，这项活动\"尚未归因到具名对手\"，评估仅为中等信心、属于调查线索。线索能指明侦查方向，但不能替代定罪。

放到中国的法律框架里看（这里只谈普遍适用的规则，不针对个案）：

个人信息保护。《个人信息保护法》的核心关切之一，就是手机号、身份信息公开后一旦被冒用，普通人会被无端卷入重大案件的舆论漩涡——本案里\"号码主人自称被盗用\"的说法，恰好是 PIPL 要防的典型场景。

刑事边界。非法侵入计算机信息系统、破坏计算机信息系统（刑法第285、286条）、侵犯公民个人信息（第253条之一）、帮助信息网络犯罪活动（第287条之二）等条款，构成此类行为的刑事评价基础。但要注意，构成这些犯罪，需要完整的违法性、有责性认定，不是\"有线索\"即可。

身份同一性怎么认定。两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》第25条明确：认定网络身份与现实身份的同一性，应当综合 IP 地址、网络活动记录、上网终端归属、证人证言、供述和辩解等，综合判断。一个手机号、一个社交账号，本身不等于锁定本人——它只是指向，需要更多证据印证。

第28条再补一刀：电子数据若系篡改、伪造或无法确定真伪，不得作为定案根据。第20条（两高一部《信息网络犯罪案件意见》）更进一步：对相关事实不能排除合理怀疑的，应当作出有利于犯罪嫌疑人、被告人的认定。这就是疑罪从无——线索再像，缺了完整证据链，就不能先入为主。

跨境这一层更不用多说。真正要定案，需要司法层面的证据链：服务器依法取证、终端归属鉴定、跨境司法协助调取。这些都不是一份第三方商业报告能替代的。

05治理视角：双用途工具与证据时代的底线

双用途 AI 工具的治理。ARTEX 这类开源渗透框架，本意是让授权测试更高效，被滥用就变成攻击面。治理不是\"禁工具\"，而是划清边界：发布者声明用途边界、使用者守住授权前提、平台侧对滥用信号做响应。工具无善恶，使用场景有。

个人信息保护是底线工程。从 PIPL 到各行业数据合规，缩短\"信息泄露—被冒用—无辜者卷入\"的链条，既是企业义务，也关乎每个普通人。本案里\"号码主人自称不知情\"，提醒我们：身份混淆本就是网络犯罪的常见手法。

取证进入 AI 时代。LLM 会话记录正成为新型电子证据。它的真实性要靠完整性校验值（哈希）、来源固定、是否被篡改来保障——这恰好是《电子数据规定》早已搭好的框架，只是证据形态换了壳。

06收束

技术能定位线索，但只有证据链能定位人。攻击者最该补的 OPSEC，是别把真名写进提示词；而我们最该守的底线，是未经审判，不预设任何人有罪。

参考来源

CrowdStrike — Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance（2026-10-07）

韩联社 / 中央社 / 人民网韩国频道 / 韩国经济 — 韩国多家金融机构遭网络攻击系列报道（2026-10-06 至 10-08）

两高一部《关于办理刑事案件收集提取和审查判断电子数据若干问题的规定》（2016）

两高一部《关于办理信息网络犯罪案件适用刑事诉讼程序若干问题的意见》（2022-09-01 施行）

《中华人民共和国个人信息保护法》《中华人民共和国刑法》相关条款

本文为技术 + 法律视角的事件复盘，不站队、不预设立场、不引用任何可识别个人的隐私信息；案件仍在侦查，所有\"嫌疑人\"表述均按公开报道的\"疑似/线索\"口径处理，最终以司法机关结论为准。