AI 滲透框架 ARTEX 攻破韓國銀行：一次全鏈路覆盤

2026 年 9 月下旬到 10 月初，韓國多家金融機構接連被曝數據泄露。真正讓安全圈坐不住的，不是泄露規模本身，而是攻擊者留下的一整套“作案工具包”：一個叫 ARTEX 的開源 AI 滲透框架，加上 Claude Code、DeepSeek、GLM、Grok 幾個大模型的組合。CrowdStrike 通過攻擊者自己服務器上的開放目錄，幾乎完整還原了這次行動的全過程。本文按公開情報做一次全鏈路拆解。

一、事件概況

根據 CrowdStrike 2026 年 10 月 7 日的報告，一個尚未命名歸因的攻擊者，在 2026 年 9 月下旬至 10 月初針對韓國金融組織發起定向攻擊，併成功外泄數據。攻擊者被評估爲“中文使用者、經濟動機”，置信度爲中等——依據是所用工具 ARTEX 的中國開發背景，以及會話中觀察到的中文提示詞。

需要先說明：ARTEX 與入侵之間的關聯，主要建立在攻擊者自己的會話日誌之上，尚未得到受害機構或韓國官方的獨立確認。不同媒體的受害機構數量口徑也不一致（有 5 家、7 家、9 家等說法），因此本文的受害面數據均爲暫定口徑。

二、ARTEX 是什麼

ARTEX 是一套基於多智能體架構的開源滲透測試系統。按其描述，它“使用多個 agent 自動完成信息收集、漏洞發現、攻擊路徑規劃、安全工具調用與漏洞驗證”。它不是模型本身，而是負責編排對外部大模型和安全工具的調用。

它於 2026 年 7 月 26 日以 AGPL-3.0 許可首發，作者署名爲 Autumn-27。事件曝光後，10 月 8 日開發者將項目從 GitHub 下架，聲明因遭濫用不再更新、轉爲閉源。但下架並不能收回已經分發的副本——據報道，一個韓國 fork 已經出現。

三、全鏈路拆解：一次攻擊是怎麼跑起來的

CrowdStrike 從攻擊者控制的服務器開放目錄中，拿到了 Claude Code 會話歷史、ARTEX 配置文件與 Claude memory 文件，據此還原出工具鏈與操作手法：

• 雙服務器架構：一個位於香港的 IP 作爲主控基礎設施，另一個 IP（38.244.50.120）承載實際對韓目標發起攻擊的 ARTEX 實例。
• 模型分工：ARTEX 以 DeepSeek v4.1-flash 作爲主推理後端，另用智譜 GLM-5.3 與 xAI 的 Grok 4.6 支撐額外的 Claude Code 會話。DeepSeek 疑似經 API 代理/轉售商 xcai.pro 訪問。
• 代理跳板：約 9 個代理 IP 用於流量中轉，與主控/實例服務器共同構成 C2 與基礎設施層。
• Claude 的角色：不只是技術協助。日誌顯示操作者還讓 Claude 幫忙尋找可以出售韓國泄露數據的韓語 Telegram 羣組，並代寫一份“安全研究員簡歷”，把這次入侵戰果寫成簡歷條目。

四、馬腳是怎麼露出來的

這次暴露的關鍵，是攻擊者把自己的基礎設施留成了“開放目錄”。CrowdStrike 在 IP 38.244.50.120 的 18899 端口上，直接讀到了 .claude/CLAUDE.md——一份中文的滲透測試提示詞文檔，規定了 LLM 應如何開展滲透活動。順藤摸瓜，又在香港 IP 上發現了更多開放目錄，裏面是完整的會話歷史、ARTEX 配置和 Claude memory 文件。

換句話說，攻擊鏈的技術含量和它的運維衛生水平並不匹配：一邊用前沿大模型驅動自動化攻擊，一邊把關鍵日誌和配置掛在公網可讀的目錄裏。

五、歸因與置信度：需要謹慎對待

CrowdStrike 沒有把活動歸因到某個具名對手，只給出“中文使用者、經濟動機、中等置信度”的判斷。會話中泄露的個人信息（姓名 YY、電話、Telegram 賬號 @YY520CN、華南理工大學、廣東茂名等）出現在報告中，但報告本身也提示：這些信息目前無法確證就是實施者本人。The Register 還指出其中年齡信息前後矛盾。韓國警方仍在評估是一人所爲還是團伙作案。

對個人身份信息，應以執法部門確認爲準，不宜直接當作定論傳播。

六、受害面與泄露數據

據報道，入口是兩類非常“常規”的系統：一是面向金融經紀人的貸款進度查詢服務，二是員工移動辦公支持系統。這些系統共同的特點是：面向互聯網、爲便利而建、往往不在覈心銀行系統的加固範圍內。

媒體點名的機構包括 Shinhan Bank（約 2.5 萬客戶）、KB Kookmin Bank（119 人）、Hana Bank（銷售支持系統小範圍）、Yegaram Savings Bank（約 4 萬人）等，另有 5 家、7 家、9 家等不同口徑，合計約 6.8 萬人的個人數據被曝。泄露字段包括姓名、聯繫方式、居民登記號、年收入與貸款額度——這些信息非常適合用於精準社工與後續詐騙。

七、爲什麼防禦方該緊張

兩處需要強調。第一，在服務器上發現 ARTEX 痕跡，本身並不等於證明就是 ARTEX 完成了入侵；報道也提到，憑據填充（credential stuffing）以及對防護較弱的員工入口的攻擊，同樣可以解釋這些事件。第二，事發時銀行與官方並未公開確認 ARTEX 參與。

但更值得警惕的是工具屬性：ARTEX 屬於“雙用途”授權測試工具，其功能與攻擊者功能高度重疊——偵察、漏洞發現、利用選擇、驗證。開源發佈意味着沒有廠商去執行可接受使用條款、沒有客戶審查、也無法吊銷訪問。開發者下架反悔，恰恰說明了這種控制的極限：fork、鏡像、本地克隆幾乎必然存在。

再疊加一點：模型供應商能檢測並中斷自家服務的濫用，但這個操作者把工作分散到了多個供應商。銀行不應把防線寄託在“模型廠商的護欄會攔住上游”這個假設上。

八、防禦建議

• 先摸清外網暴露面：本次入口是普通 Web 服務而非核心繫統。刷新外網資產清單，覆蓋客戶查詢門戶與員工移動後端，對沒有明確歸屬的系統立即下線或收緊。
• 加固認證：確認這些服務的認證能扛住憑據填充。
• 接入威脅情報指標：把 CrowdStrike 公佈的攻擊者基礎設施與代理 IP 列表接進歷史日誌檢索。
• 識別自動化行爲特徵：少量來源的高頻系統性探測、對錯誤響應的快速迭代、在目標間快速變化的利用嘗試——調優 WAF 與機器人管理規則匹配這一模式。
• 用同類工具做授權自測：在隔離環境、書面交戰規則下，用 ARTEX 類工具測試自己的暴露服務，量化檢測覆蓋；只用經過審查的本地構建，避開未經審覈的 fork。
• 字段級數據保護：居民登記號、收入、貸款額度等應最小化、令牌化或字段級加密，讓外圍系統被攻破時的損失更小。

更長期看，董事會與風險部門需要按“偵察與一階段利用變得廉價且持續”的威脅模型來規劃。過去依賴攻擊者成本的控制手段——比如靠冷門服務不被發現、低優先級系統慢打補丁——都需要重新評估。同時，下架雙用途項目並不能真正收編它們，應通過威脅情報持續跟蹤 fork 與後繼版本，而不是等某個工具被點名才響應。

當偵察和首輪利用的成本被 AI 壓到接近於零，靠“沒人會注意到我這個系統”過日子的時代就結束了。