当黑客把攻击链交给AI

两起攻击，两个行业，一个共同信号。

一边是韩国金融机构被打穿，攻击者用开源渗透平台搭配多个大语言模型，把侦察、利用、外传整条链路交给 Agent 自动跑；另一边是全球酒店业收到伪造的客人投诉邮件， payload 里的远控木马靠公链定位指挥端，查无可查。

这两件事发生在同一段时间窗口内，行业不同、手法不同，但剧本是同一份：开源工具当底座，LLM 当员工，区块链当藏身处。攻击侧的工具革命已经不谈「未来时」，只剩「现在时」。

🤖 AI 不是辅助，是主力

金句先放在这儿：过去黑客是拿工具的人，现在是雇了一个不打瞌睡的员工。

根据 GBHackers 披露的细节，这场针对韩国多家金融组织的攻击活跃于 2026 年 9 月底至 10 月初，是一个以经济利益为动机的行动。攻击者把 ARTEX——一个开源渗透测试平台——与多个大语言模型组合起来使用，从初始访问到数据外传，Agent 在链路中承担了大量原本需要人手逐台机器完成的编排工作。

真正让研究者眼前一亮的，不是攻击本身，而是他们恢复出的一批暴露在外的运维文件。这些文件完整记录了攻击者的基础设施、运行状态，甚至包括驱动模型工作的 Prompt。换句话说，蓝队第一次拿到了 AI 攻击链的「工作日志」——它几点上班、按什么流程干活、犯过什么拼写错误，全在纸面上。

这件事的产业含义在于角色的翻转。传统攻击是「人驱动工具」，节奏受限于操作者的精力和耐心；Agent 化的攻击是「目标驱动 Agent」，模型在合理授权范围内自行决定下一步动作，攻击的执行成本被摊薄到接近零。对金融机构而言，这意味着防御的时间窗口从「小时级」进一步压缩到「分钟级」——SOC 值班人员喝一杯咖啡的工夫，攻击链可能已经走完两轮迭代。

更微妙的一点是：暴露的运维文件是攻击者的失误，不是行业常态。可以推演，下一批行动者会把这些文件当作反面教材，把 Agent 的痕迹管理也写进操作规程。安全行业的对手，正在学会隐藏自己的自动化。

🧰 ARTEX 把渗透门槛打到地板价

金句：武器不会区分使用者，开源尤其如此。

ARTEX 的身份值得单独拎出来说：开源、渗透测试、由中国开发者社区维护。它的设计初衷是红队与安全评估——这没有任何问题，问题在于渗透测试工具的天平两端从来不是均衡的。Cobalt Strike 的盗版曾经养活了整整一代攻击者，如今开源平台把这一步省了：不用破解、不用付费、代码可读可改。

这构成了开源供应链安全的一个结构性盲区。行业此前讨论开源供应链风险，焦点集中在依赖投毒、CI/CD 劫持、恶意维护者接管——都是「供应链把恶意塞进你的系统」。而 ARTEX 代表的是另一个方向：供应链把「攻击能力」以合法形态分发出去，谁都能下载、谁都能二开。检测侧面对的不再是特征明确的商业木马，而是一套理论上谁都在用的测试框架。

把当前主流的攻击工具放在自动化和隐蔽性两个维度上，格局大致如下：

这个四象限揭示了一个不体面的事实：右上角——自动化与隐蔽性双高——正是 Agent 化攻击链的落点，而大多数企业的检测体系还停留在按左下角工具的特征码排规则。

据多位接触过相关事件的业内人士私下交流，蓝队的普遍感受不是「技术多先进」，而是「节奏被打乱了」：过去渗透测试平台的手工操作会在流量和行为上留下人味儿的停顿，Agent 把停顿抹掉了。防御方要补的不是某个具体漏洞，而是把「假设对手拥有全自动工具链」写进威胁模型的默认前提。

🔗 区块链成了 C2 的藏身处

金句：域名能被查封，链上的解析不会低头。

第二个故事发生在酒店业。攻击者伪造客人投诉与差评邮件，把 EtherRAT 和 TONResolver 两个木马家族送进酒店员工邮箱。这两个家族的共同点是：它们滥用公开区块链来定位自己的指挥控制基础设施。

为什么用区块链？逻辑很朴素。传统 C2 靠域名和 IP，注册商可以下架、托管商可以封禁、安全厂商可以把域名 Sinkhole 掉，攻击者每次被封都要重新搭基础设施。而区块链上的解析记录一旦写入就不可删除、不可被任何注册商处置，木马读链就能拿到当前有效的 C2 地址——攻击者只需换一次链上记录，就能完成基础设施轮换，防守方的查封动作全部落空。

Cofense 的评估认为，这波活动疑似延续了此前以 Booking.com 为主题的钓鱼行动，置信度为中等。支撑判断的证据有两条：邮件模板相似，行业瞄准一致。翻译成人话——同一伙人（或同一套产业分工）在酒店行业已经跑了一段时间，现在换了个更隐蔽的投递与回连方案。

把两场战役并排看，趋势更清楚：

一个打金融、一个打酒店，瞄准的都是「业务连续性依赖信任链」的行业：金融机构信任数据流，酒店信任客人的声音。攻击者不需要多高深的技术，只需要在信任链的入口处放一个足够像真的东西。

🛡️ 防御侧要换的不是规则，是前提

金句：当对手开始用 Agent，你还在按人工节奏排班，这仗没法打。

从这两起事件回看防御体系，问题-对策的映射其实相当清晰：

有三件事值得单独展开。

第一，Agent 治理要提前进场。企业内部部署的 AI 自动化能力，权限边界、操作审计、异常行为基线，都应当按「一个能力很强的实习生」来管理。这次韩国金融事件里暴露的运维文件也提醒攻击者之外的所有人：AI 参与的任何系统，它的配置、日志和 Prompt 都是敏感资产，泄露即等于交出攻击者的剧本，同样也等于泄露防御者的底牌。

第二，出口流量检测要扩容。区块链 C2 的本质是把解析从 DNS 生态搬走，那防御就在出口侧重新接住它——监控到公链节点的解析请求、识别进程层面的链读取行为。技术上并不玄妙，难的是把它排进优先级。

第三，乙方的新产品空间正在打开。Agent 行为审计、自动化攻击面模拟（拿 Agent 打 Agent）、面向 AI 参与攻击链的检测编排——这几个方向此前都是概念，现在有了真实案件作为需求背书。据业内消息，已有几家厂商在内部立项，把「AI 攻击链复现」做成威胁情报产品。安全产业的老规律再次生效：攻击侧的每一次工具跃迁，都是防御市场的一次重新定价。

🔮 小结：剧本已经写好，只是还没读完

两起事件放在一起看，攻击侧的产业升级是完整的：开源平台解决「用什么打」，LLM 解决「谁来打」，区块链解决「打完去哪躲」。三者都不新鲜，组合起来就是质变。

对防御方而言，真正要更新的不是某条检测规则，而是威胁模型的默认假设——对手是自动化的、基础设施是不可查封的、投递内容是场景级仿真的。往前看，Agent 之间的攻防对抗会从个案变成常态，谁能先把自动化真正用到蓝队一侧，谁才有一战之力。剧本已经写好了，问题是防御方读它的速度，能不能追上攻击方执行它的速度。