大家好，这里是最佳拍档，我是大飞。在10月8日的外交部例行记者会上，有记者提到美国网络安全公司指控中国机构使用AI攻击韩国的金融机构。发言人毛宁的回应是，中方一贯反对并依法打击黑客活动，更反对出于政治目的散布虚假信息。同时呼吁国际社会制定新的规则。这个场面听起来像一场国家级的网络暗战，宏大叙事、地缘博弈，元素都齐了。

但安全研究员安德鲁·柯伦（Andrew Curran）在X平台上披露的调查细节，则是另一个画风。这位被怀疑发起跨国攻击的当事人，大概率不是什么国家队精锐，就是个业余到极点的独狼。他一个人，用一堆大模型对韩国多家银行下了手。研究人员溯源到他的服务器时，看到的作案现场荒诞得像个段子一样：不仅目录列表功能敞开着，等于把门牌号挂在大门口；他还让AI帮他写简历，简历里带着真名、电话和住址。他甚至直接在聊天框里问AI：“韩国泄露的数据一般去哪里卖？”就是这么一个草台班子，真的攻破了韩国银行的系统，客户数据也真的流出去了。

这件事背后真正反映出来的是：当AI把一个人的执行能力放大到过去一个团队才有的水平，我们原来的安全假设，还成立吗？我们先来把时间线给大家捋一遍。10月7日，美国网络安全公司CrowdStrike发布了一份分析报告，标题写得很克制，叫《未知威胁行为者利用AI驱动的ARTEX攻击韩国金融》。报告说，从9月下旬到10月初，韩国多家金融机构接连发生数据泄露事件：新韩银行披露大约2.5万名客户的个人信息受到影响；KB国民银行报告了119名客户信息泄露；韩亚银行也有89名客户中招。这些数字来自韩联社等媒体的行业报道，有媒体统计目标一共覆盖7家金融机构。韩国警方随后也针对这批事件展开了调查，不过CrowdStrike也在报告里留了一句：受影响机构的总数目前还没有完全确认。

攻击的切入点并不神秘，其中一家银行被攻破的是一个给金融中介使用的贷款进度查询服务；另一家银行出问题的是员工的移动办公支持系统。多家机构的活动还涉及重叠的IP地址，都指向同一个来源。另外有个佐证细节：行业报道之所以怀疑他用了ARTEX，是因为在他控制的服务器的HTML文件里出现了“ARTEX”这个字符串。接下来说这次事件的主角，ARTEX。先说明一点：ARTEX不是一个大语言模型，它是一款中国开发者开发的开源渗透测试工具。

“渗透测试”这个词，可以通俗理解成在获得授权的前提下，模拟黑客的手法去攻击企业系统，检查哪里有漏洞。银行这类机构本来就需要有人不断寻找系统弱点，赶在真正的攻击者发现之前修补掉。所以这类工具的存在是合理的，开发它本身并不是一件完全的坏事。而ARTEX的特别之处在于：它可以调用大语言模型，把模型的理解、推理和代码生成能力直接接进渗透测试的工作流。如果把大语言模型想象成一位知识面很广的技术顾问，那么ARTEX就像一个能调用各种工具的执行者。前者负责分析、出主意；后者把主意变成实际操作。当然，攻击能不能成功最终取决于目标系统有没有可利用的弱点，以及操作者手里有什么权限。

CrowdStrike的调查发现，这次攻入韩国银行系统的攻击者主力工具就是ARTEX。模型后端配的是DeepSeek v4.1-flash，另外智谱的GLM-5.3和Grok 4.6也出现了在其他几个Claude Code的会话里。整套攻击就是靠“Claude Code”这个编程智能体串起来的。研究人员还判断，攻击者访问DeepSeek很可能是通过了一个叫xcai.pro的API代理服务。具体到操作层面，他做的事情本质上是告诉AI一个目标，然后AI自己评估环境、生成脚本、执行、看结果、再调整，循环往复。他不需要懂怎么找漏洞，ARTEX会帮他扫；也不需要懂怎么绕过安全检测，模型会给出方案。甚至不需要懂怎么卖数据——因为他直接在聊天框里就这么问AI：放到几年前，一个不熟悉某种编程语言的人得先花几个月去学；现在他可以直接请AI解释代码。不知道某个工具怎么用，就让AI读文档；如果跑出了报错，直接就把错误信息丢给AI分析。

基础设施上也有一些细节：攻击者搭了一套双服务器架构，一台位于香港的服务器承担主要控制角色；另一台IP地址为38.244.50.120的服务器上跑着ARTEX实例，被认为很可能就是执行韩国攻击的那台。研究人员在这台服务器的开放端口上找到了一个markdown文档，里面是一段中文写的渗透测试提示词，详细规定了模型应该怎么开展渗透活动。那段提示词里同样出现了一个香港的IP地址。行动期间，他先后用了9个代理IP来隐藏自己的真实位置。CrowdStrike还按ATT&CK这套攻击战术框架给这次行动做了归类：从租用服务器、把AI当作攻击能力来获取，到使用代理隐藏行踪，一条链路完整。

如果故事到这里结束，这就是一起用了AI工具的黑客攻击，虽然新鲜，但谈不上震撼。真正让人印象深刻的，是CrowdStrike后来又发现了什么：研究人员在这些服务器的开放目录里找到了Claude Code的会话历史、ARTEX的配置文件，还有Claude的记忆文件。这些东西就那么明晃晃地留在那里，任何人打开浏览器输入地址都能看到。它们像是遗落在作案现场的工作日记：不仅记录了攻击者用过什么工具、怎么操作的，还把他自己的信息暴露得干干净净。比如在一个会话记录里，他问Claude：“通常在哪里可以出售韩国的数据泄露信息？”还让AI帮忙整理了一份韩国Telegram数据交易群组的列表。这就好比抢完银行，站在大厅里问导航：“最近的销赃点在哪？”

更离谱的是另一段会话：他让Claude帮他生成一份网络安全研究员的简历。简历里写着名字YY、电话号码、Telegram账号@YY520CN、年龄26岁、毕业于华南理工大学、居住地广东茂名。顺带一提，他一开始给出的出生日期是2007年9月22日，后来年龄那一栏又写成了26岁。连自己的身份信息都没编圆。而这个Telegram账号还出现在另一个会话里，那次的目标是Telegram上的NFT礼品市场用来做漏洞研究。有迹象显示同一个用户名还被用来试探过一个可能是中国的支付平台。研究人员把这些信息与服务器、账号和其他活动关联起来，推测它们可能指向同一个操作者。不过这里要补一句：CrowdStrike的原话是，他们认为这些个人信息很可能属于实施ARTEX相关活动的攻击者，但现有信息还不足以百分之百确认。

业内流传的说法是：攻击者疑似是华南理工大学的学生，但是到底是不是目前还没有定论。报告也没有把这件事归到任何已知的组织头上。官方口径是：这名操作者很可能是中文使用者，动机偏向经济利益。这个判断只是中等置信度，依据是工具来自中国开发者以及提示词是中文的。不管身份最终怎么认定，这个现场已经足够说明问题了：一个人、几组AI工具、两台服务器、一堆代理IP。他好像很认真地想做一件专业的事，会向AI请教怎么卖数据、怎么找买家；可他又完全没把隐藏痕迹当回事，把会话历史和记忆文件全部留在服务器上，连最基本的隔离都没有。对一个靠隐藏痕迹吃饭的行当来说，业余到这个程度很难理解。

Anthropic在9月的威胁情报报告里给这种模式起过一个名字，叫“vibe hacking”，意思是操作者只负责选定目标，所有战术层面的执行都交给AI。人类通常只在两个环节出场：选定攻击目标以及检视偷回来的数据。AI给了他一个人就是一支军队的能力。CrowdStrike的报告说得很直白：这个人的技术水平不高，但是攻击从9月底持续到10月初，数据是实打实地外泄了。一个人、两周、7家金融机构——这个效率放在过去几乎不可想象。可惜，AI放大的是他的执行力，却没有同步提升他的专业心智和反侦察能力。有评论把这叫“能力与心智错配”。他把大模型当成了无所不能的保姆，就像一个拿着核按钮的婴儿。

站在防守方的角度更麻烦的是另一件事：这次能抓到他，不是因为防守变强了，只是因为他太不小心。要是他稍微谨慎一点不在AI对话里写简历、不留个人信息，CrowdStrike可能根本不知道他是谁。而那些更谨慎、更懂隐藏的人用同样的工具、同样的模型做同样的事，我们可能根本也发现不了。CrowdStrike的报告里还提到了AI的适应能力：一种攻击方式被拦截之后，AI可以立刻改写、重试、生成变体。过去一次失败的钓鱼攻击可能意味着几周时间白费了，而现在几个小时就能生成几十个新的版本。AI真正改变攻击模式的地方就是把攻击者的失败成本压到极低：一个不怕失败的攻击者和一次失败就要重来的人，在同一个战场上是完全不同的两种对手。

如果我们把镜头拉远一点会发现这次事件并不是孤例：传统的黑客工作一般是一支团队互相配合，有人翻墙、有人撬锁、有人找保险柜。而这次事件展示的是另一种工作方式：过去发动一次针对金融机构的网络攻击，你需要理解目标系统、掌握漏洞利用代码、会写脚本、能分析运行结果，还得有足够的经验判断下一步做什么。通常要一支分工明确的团队花几个月筹划。现在这些活AI都能搭把手，门槛被抹平了一大截。而传统的网络安全防御体系建立在对手是专业组织或者国家级力量的假设上，我们投入巨资建防火墙防的是有组织的、高阶的持续性攻击。可现在威胁变得碎片化了，业余化了还无处不在：一个毫无背景的普通人被AI赋能之后就能对跨国金融机构造成实质性破坏。这类孤狼式的攻击恰恰是传统防御体系的盲区。

有几个先例可以对照：2025年8月Anthropic披露过一起使用Claude Code的数据窃取和勒索行动，操作者至少针对了17个组织包括医疗机构、应急服务和政府机构。AI被用来搜集信息、分析偷来的数据、撰写勒索话术。同一份报告里还有个更直接的例子：一个只有基础编程能力的犯罪者靠Claude制作并出售勒索软件。Anthropic的原话是：“离开AI的帮助，这个人很难完成其中的关键技术环节。”到了2026年9月Anthropic的威胁情报报告又披露了一个编号GTG-10007的案例：有中国背景的攻击者自动化分析安全设备的固件，一个月内就在全球大约50家机构的目标环境里挖出了十几个潜在的零日漏洞。这份报告的核心判断就一句话：国家支持的黑客组织和独立操作者之间的能力差距正在被抹平。

英国国家网络安全中心NCSC在针对2027年之前网络威胁的评估里写道：“AI几乎肯定会让网络入侵行动更高效，攻击的频率和强度都会上升。”它还提出了一个概念叫“Digital Divide”，指的是能跟上AI赋能威胁的组织和跟不上的组织之间裂痕会越拉越大。这几份报告放在一起看指向的都是同一个现实：所以回到开头那个问题，AI到底会把一个人的能力放大到什么地步呢？这次事件给出的答案是：一个在这个领域没受过专业训练的人，借助现成的开源工具和几个大模型两周之内对7家金融机构完成了实际的数据窃取。这种放大是双向的，有建设性的用法自然也有破坏性的用法，只不过破坏性那一侧的门槛降得比很多人预想的快。

对于防守方来说这是个结构性的难题：攻守双方都会用AI，但攻击者只需要找到一个可行的入口捞一批有价值的数据就可以离开；而防御者要持续保护整个系统，面对各种类型的攻击还不能轻易中断正常业务。企业的安全团队有专业人员、检测平台和成熟流程，可一旦攻击者能低成本地自动化大量侦察、分析和尝试防守方要处理的告警、异常行为和潜在攻击面就会天量增加。网络安全的重心也因此从保护单个设备转向保护整条自动化工作链：模型、智能体、代码执行环境、API、云服务器和业务系统之间的连接越来越多，任何一环配置不当风险就会被放大。CrowdStrike在报告里的判断是：对手大概率会继续把AI工具引入自己的行动用来提升节奏和能力。

顺着这个方向看有三个领域的防守价值值得关注：一个是端点安全与威胁情报，代表公司就是CrowdStrike。这类产品帮企业识别恶意行为、调查攻击来源把分散的安全信号关联起来；一个是安全运营平台，代表公司是Palo Alto Networks。大型企业的安全信息散落在网络、终端、云和身份系统里，这类平台把信号整合起来帮安全团队更快判断哪些事件真的危险；还有一个是身份安全、零信任与云端访问控制，代表公司是Cloudflare。AI智能体普及之后企业系统里的访问主体不再只有员工和客户还有大量自动化程序，谁能访问什么、在什么条件下访问、访问之后能做什么会变成越来越重要的问题。

行业侧的反应也很快：韩国银行事件曝光后的第二天10月8日Anthropic宣布启动“Anthropic Cyber Mission”一项长期的网络安全计划向防御方提供工具、研究和资源支持。首批落点在关键基础设施与开源软件两个方向，创始合作伙伴包括埃森哲、博思艾伦、CrowdStrike、德勤、Palo Alto Networks和普华永道。后续还有个插曲：根据路透社的报道ARTEX的中国开发者已经宣布项目转为闭源不再公开发布后续版本并且停止维护支持。但是关掉一个开源项目对解决问题没有太大意义，代码已经流出去了AI放大攻击能力的逻辑也没有变。当一个人开始拥有一支AI团队，企业要重新思考的就不只是怎么防住某一个黑客而是怎么防住一种正在变得更便宜、更容易复制、每天都在变强的攻击能力。

最后我觉得可以给不同角色几条可以考虑的检查项：如果你在做AI产品，有几个问题值得先问自己一下。首先你的智能体拿到了哪些权限？它能不能碰到真实的客户数据？运行记录能不能追溯？出了问题怎么让它停下来？如果你在企业里负责安全更紧迫的检查是：有没有不该暴露在网上的系统？重要账户是不是还只靠密码？发现异常之后多久能停用权限、隔离系统、通知用户？这些事情听起来都很朴素，但是AI会让旧漏洞被发现和利用的速度变快。系统有没有及时修补、权限管不管得住，这个时候就变得很关键。

作为个人我们不需要成为安全专家但是有些习惯可以改一改了：比如说打开你最重要的三个账户看看是不是还在用密码加短信验证码登录，把多因素认证开起来；软件从官方渠道下载、及时更新；应用权限非必要不授权。在AI把各种事情都变得越来越容易的时代，这些最简单、最基础的防护原则反而更值得坚持。回到那个26岁的年轻人：他在问Claude韩国数据去哪里卖的时候可能觉得自己挺聪明，他以为自己在跟一个工具对话实际上是在跟一个会记住一切的见证者对话。他的暴露有很大的偶然性，但是这件事留下的问题是必然的：当一台电脑加几个AI工具就能打出过去一整个团队才有的效果时，过去所有的安全假设都需要重新推演一遍。

防御方过去习惯问的第一个问题是：谁在攻击我们？是国家、组织，还是竞争对手？而现在这个问题可能已经过时了。更该问的是：我们的防御体系是不是还建立在对手需要一个团队这个前提上？网络安全这个行业会最早见证这场变化，也必须最先学会应对它。感谢收看，我们下期再见。