事件背景：从国家级指控到草台班子独狼

10月8日，在中国外交部例行记者会上，针对美国网络安全公司指控中国机构使用AI攻击韩国金融机构一事，发言人毛宁回应称中方一贯反对并依法打击黑客活动，更反对出于政治目的散布虚假信息。这一回应将事件置于地缘博弈的宏大叙事中，但安全研究员安德鲁·柯伦（Andrew Curran）披露的调查细节却揭示了截然不同的现实。被怀疑发起跨国攻击的当事人并非国家队精锐，而是一个用一堆大模型对韩国多家银行下手的业余独狼。当研究人员溯源到他的服务器时，看到的作案现场荒诞得像个段子：目录列表功能敞开，等于把门牌号挂在大门口；他让AI帮他写简历，里面带着真名、电话和住址；他甚至直接在聊天框里问AI韩国泄露的数据一般去哪里卖。这样一个草台班子，真的攻破了系统并导致数据流出。

“这个场面听起来像一场国家级的网络暗战，宏大叙事、地缘博弈，元素都齐了。”

这一事件背后真正反映的问题是：当AI把一个人的执行能力放大到过去一个团队才有的水平，我们原来的安全假设还成立吗？ 攻击者通过AI获得了单人成军的执行力，却缺乏相应的专业心智和反侦察能力。这种能力与心智的错配，使得攻击既高效又充满了低级失误，为防守方提供了罕见的溯源线索。

时间线与攻击手法：ARTEX与AI驱动的渗透测试

10月7日，美国网络安全公司CrowdStrike发布分析报告《未知威胁行为者利用AI驱动的ARTEX攻击韩国金融》。报告显示，从9月下旬到10月初，新韩银行约2.5万名客户、KB国民银行119名客户、韩亚银行89名客户的个人信息受到影响，目标共覆盖7家金融机构。攻击切入点包括给金融中介使用的贷款进度查询服务以及员工移动办公支持系统，多家机构活动涉及重叠IP地址。行业报道怀疑其使用ARTEX工具，因为在攻击者控制的服务器HTML文件中出现了该字符串。

“受影响机构的总数目前还没有完全确认。”

ARTEX并非大语言模型，而是由中国开发者开发的开源渗透测试工具。它特别之处在于可以调用LLM，将模型的理解、推理和代码生成能力直接接入渗透测试工作流。CrowdStrike调查发现，攻击者主力工具为ARTEX，后端配置包括DeepSeek v4.1-flash、智谱GLM-5.3和Grok 4.6，整套攻击由Claude Code编程智能体串联。研究人员判断，攻击者通过叫xcai.pro的API代理服务访问DeepSeek。操作层面，AI自主评估环境、生成脚本、执行并调整循环往复。攻击者无需懂漏洞挖掘或绕过安全检测，只需告诉AI目标即可。

基础设施与战术细节：双服务器架构与代理隐藏

在基础设施方面，攻击者搭建了一套双服务器架构。一台位于香港的服务器承担主要控制角色；另一台IP地址为38.244.50.120的服务器运行ARTEX实例，被认为执行了韩国攻击。研究人员在该服务器的开放端口上找到了一个Markdown文档，其中包含中文写的渗透测试提示词，详细规定模型如何开展活动，并再次出现了一个香港IP地址。行动期间，他先后使用了9个代理IP来隐藏真实位置。

CrowdStrike按ATT&CK框架对此次行动进行了归类，链路完整：租用服务器、将AI作为攻击能力获取、使用代理隐藏行踪。这种战术组合展示了如何将分散的AI工具整合为自动化攻击链条。然而，尽管在隐藏行踪上做了努力（如使用代理），攻击者在其他层面的疏忽却完全抵消了这些技术手段的效果，留下了大量可追溯的数字足迹。

致命失误：暴露的会话历史与个人身份信息

真正让攻击者身份曝光的是其极度的不谨慎。研究人员在服务器开放目录中找到了Claude Code的会话历史、ARTEX配置文件以及Claude的记忆文件。这些明晃晃留存在浏览器可访问目录中的“工作日记”，记录了攻击细节并暴露了个人信息。例如，他在会话中问Claude通常在哪里出售韩国数据泄露信息，并要求整理Telegram数据交易群组列表。这好比抢完银行站在大厅问导航最近的销赃点在哪。

更离谱的是，他让Claude生成一份网络安全研究员简历，其中包含：名字YY、电话、Telegram账号@YY520CN、年龄26岁（后改为其他）、毕业于华南理工大学、居住地广东茂名。甚至出生日期前后矛盾，先写2007年9月22日，后改年龄为26岁。连身份信息都没编圆。该Telegram账号还出现在针对NFT礼品市场漏洞研究的会话中，且疑似用于试探中国支付平台。CrowdStrike推测这些信息指向同一操作者，但现有信息不足以百分之百确认。业内流传其为华南理工大学学生，官方口径认为是中文使用者，动机偏向经济利益，置信度中等。

“一个人、几组AI工具、两台服务器、一堆代理IP，他好像很认真地想做一件专业的事。”

核心概念：Vibe Hacking与能力心智错配

Anthropic在9月威胁情报报告中将这种模式命名为Vibe Hacking。其定义是：操作者只负责选定目标，所有战术执行交给AI；人类通常只在选定攻击目标和检视偷回数据两个环节出场。AI赋予了单人一支军队的执行力，但CrowdStrike报告指出，该人技术水平不高。攻击从9月底持续到10月初，数据实打实地外泄了。

“AI放大的是他的执行力，却没有同步提升他的专业心智和反侦察能力。”

这种能力与心智错配是本次事件的核心特征。他将大模型视为无所不能的保姆，如同“拿着核按钮的婴儿”。防守方能抓到他并非因为防御变强，而是因为他太不小心。若他更谨慎地隐藏痕迹、不留个人信息，CrowdStrike可能根本不知其身份。那些更谨慎的人用同样工具做事，我们可能根本无法发现。这揭示了AI赋能攻击的隐蔽性风险。

AI降低失败成本与碎片化威胁崛起

AI改变了攻击模式的另一个关键点是大幅降低了失败成本。CrowdStrike提到，被拦截的攻击方式可让AI立刻改写、重试或生成变体。过去失败一次可能意味着几周白费，现在几小时能生成几十个新版本。一个不怕失败的攻击者与需要重来的人是完全不同的对手。这导致攻击频率和强度上升，传统防御体系面临挑战。

“国家支持的黑客组织和独立操作者之间的能力差距正在被抹平。”

此次事件并非孤例。2025年8月Anthropic披露Claude Code被用于针对17个组织的数据窃取和勒索；2026年9月报告指出有中国背景攻击者利用AI自动化分析固件，一个月内在全球约50家机构挖出十几个潜在零日漏洞。英国NCSC评估认为，AI几乎肯定会让网络入侵更高效。威胁变得碎片化、业余化且无处不在，一个无背景普通人被AI赋能后即可对跨国金融机构造成实质性破坏。这类孤狼式攻击正是传统防御体系的盲区。

防守困境与行业应对：从单点防护到全链路安全

对防守方而言，这是结构性难题。攻守双方都用AI，但攻击者只需找到可行入口捞数据即可离开；防御者需持续保护整个系统且不能中断业务。攻击者低成本自动化大量侦察、分析和尝试，导致防守方处理的告警和潜在攻击面天量增加。网络安全的重心从保护单个设备转向保护整条自动化工作链，包括模型、智能体、代码执行环境及API连接。

CrowdStrike判断对手会继续引入AI工具提升节奏。防守价值关注的三个领域包括：端点安全与威胁情报（如CrowdStrike，识别恶意行为）、安全运营平台（如Palo Alto Networks，整合信号判断危险）以及身份安全、零信任与云端访问控制（如Cloudflare，管理自动化程序权限）。行业反应迅速，10月8日Anthropic启动Anthropic Cyber Mission长期网络安全计划，首批落点关键基础设施与开源软件，合作伙伴包括埃森哲、博思艾伦等。此外，ARTEX中国开发者宣布项目转为闭源并停止维护，但代码已流出，关掉开源项目对解决问题没有太大意义。

检查项与建议：不同角色的安全应对策略

针对不同角色，博主提出了具体的安全检查建议。对于AI产品开发者，需自问：智能体拿到哪些权限？能否接触真实客户数据？运行记录是否可追溯？出问题如何停止？对于企业安全负责人，紧迫检查包括：是否有不该暴露在网上的系统？重要账户是否仅靠密码？发现异常后多久能停用权限、隔离系统和通知用户？对于个人，建议打开最重要三个账户检查是否仍用密码加短信验证码登录，开启多因素认证；软件从官方渠道下载并及时更新；应用权限非必要不授权。

“在AI把各种事情都变得越来越容易的时代，这些最简单、最基础的防护原则反而更值得坚持。”

结论

这次事件揭示了一个必然趋势：当一台电脑加几个AI工具就能打出过去一整个团队的效果时，过去所有的安全假设都需要重新推演。防御方习惯问的“谁在攻击我们”可能已过时，更应问的是我们的防御体系是否还建立在对手需要一个团队的前提上。网络安全行业必须最先学会应对这种更便宜、更容易复制且每天都在变强的攻击能力。虽然本次暴露源于操作者的极度业余，但其背后的技术逻辑——AI抹平技能门槛、降低失败成本、实现单人自动化攻击链——将是长期存在的结构性威胁。防守方需从单点防护转向全链路安全，强化身份验证、权限管理和自动化威胁检测，以应对日益碎片化和低门槛的AI赋能攻击。