黑客比安全厂商先等到了Agent

2025年10月底到11月初，多家韩国金融机构被攻破，数据被窃走。反常的不是攻击手法有多精妙，而是攻击者的『武器库』——一套开源渗透测试平台，加上多个大语言模型，组成了近乎全自动的攻击流水线。这不是论文里的推演，是一起有实锤痕迹的真实入侵。我的判断很直接：攻击侧的AI产业化，已经从概念验证阶段，正式进入了生产环境。

🤖 现场没锁门：攻击者留下了自己的『工作日志』

先说场景。据GBHackers于2025年11月的报道披露，研究人员在这起针对韩国金融机构的攻击中，恢复了一批暴露在外的操作文件——里面记录着攻击者的基础设施、编写的提示词，以及完整的运营流程。打个比方：这相当于小偷作案后，把自己的装修图纸落在了现场。

这批材料的价值，远超一起普通入侵事件。它让外界第一次拿到了一份『Agentic AI（智能体AI）犯罪现场』的完整样本。这里的Agentic AI，不是指拿ChatGPT问几个问题，而是让模型自主调用工具、串联任务、执行多步骤操作——从目标侦察、漏洞利用，到横向移动、数据外泄，链条被智能体串了起来。

综合GBHackers的报道与研究人员披露的分析材料，可以确认几个关键事实：攻击活跃期为2025年10月下旬至11月上旬；目标集中在韩国金融行业；核心工具是ARTEX——据其GitHub仓库页面及GBHackers的报道，这是一个诞生于中国的开源渗透测试平台；攻击者同时调用了多个大语言模型协同作业；攻击动机是纯粹的经济利益，数据已被外泄。

对产业而言，这份『日志』最大的意义在于研究范式的变化。过去应急响应看恶意样本、看流量、看回连域名；现在，还得看提示词。攻击者的提示词工程水平、任务编排逻辑、对模型的调用方式，都成了新的取证对象。安全圈私下有个说法：『以后应急响应报告里，得专门加一章提示词分析。』话糙理不糙——攻击产物已经多了一个维度。

📉 攻击成本曲线被打下来了

金句先放这儿：当攻击的技术壁垒从『十年功力』降到『两周提示词工程』，防御方的一切假设都要重算。

过去，一场针对金融行业的多目标渗透，需要一支成熟的攻击队：有人懂目标行业的业务系统，有人写漏洞利用，有人做C2基础设施，有人负责反溯源。这是用真金白银和多年经验堆出来的能力。而Agentic AI做的事情，本质上是把『专家经验』编译进了自动化流程——模型负责判断、决策、生成内容，开源工具负责执行，人只需要在关键节点做确认。

用一张四象限图看当前攻击工具的格局，会更直观：

这张图的含义值得琢磨：ARTEX这类开源平台加上智能体编排，已经落在『高自动化、中等门槛』的区间——这正是最危险的象限。商业红队套件技术强但贵，天然限定了使用者；纯手工脚本门槛低但效率低；而『开源平台+大模型』的组合，用近乎零成本拿到了接近专业级的自动化能力。

从GBHackers披露的操作文件来看，这类组合的可怕之处不在单点技术，而在迭代速度：攻击者可以在几天内换模型、换平台、换目标行业，而传统攻击组织的技能迭代是以年计的。攻防两端的成本曲线，正在朝着不利于防御方的方向移动。经济型犯罪最爱这种『边际成本递减』的生意。

🎣 冒充Anthropic的钓鱼邮件，把邮件安全网关干沉默了

第二个场景更讽刺。就在韩国金融攻击事件披露的前后，据行业媒体The Hacker News报道：一批冒充Anthropic的钓鱼邮件，存在大量肉眼可见的红旗特征——却成功绕过了多家业界领先的邮件安全网关（SEG）产品。

注意措辞：是『显而易见』的钓鱼邮件，带着『大量红旗特征』。这不是什么高精度定向鱼叉，而是粗糙到老手瞄一眼就该进垃圾箱的东西。它们却穿透了企业真金白银采购的、号称行业标杆的防护产品。

这起事件和韩国金融攻击放在一起看，逻辑就串起来了：攻击者不仅在用AI发起攻击，还在蹭AI厂商的品牌做攻击。员工对Anthropic这类AI工具的信任度正在快速上升——收到『AI服务商』发来的账单、账号验证、更新通知，很多人的警惕心会自动降低。攻击者非常精准地利用了这个正在形成的『新信任锚点』。

（注：上图各环节比例系依据The Hacker News报道中所描述的拦截与到达情况的示意估算，非厂商官方统计数据。）

为什么SEG会失守？说到底，传统邮件网关的检测逻辑高度依赖内容特征与历史模式——而大语言模型天然擅长生成『统计上无害』的变体文本，同一套钓鱼话术可以无限改写。当内容层面的博弈天平倒向攻击方，防御就必须回到更硬的锚点：发件域身份验证、品牌冒充检测、DMARC策略强制、以及把『AI服务商』纳入企业的高风险冒充名单。

一句话总结：内容不可信之后，身份才是唯一锚点。

⚙️ 双刃剑的另一面：开源安全工具被拿去作案

回到ARTEX本身。据其GitHub仓库的公开信息，它是一个面向渗透测试的开源平台，本是给防守方红队、乙方安全工程师用的工具。现在，它成了跨境经济犯罪的作案平台。

这不是新故事——Cobalt Strike被盗版滥用多年，早已是行业常识。但智能体化的加入让问题升级了一个量级：过去滥用安全工具，至少还需要人懂怎么用；现在智能体负责『懂』，工具只负责『干』。开源工具的中立性正在被智能体层打破——平台本身没有恶意，但把大语言模型接上去做任务编排，它就变成了自动化攻击引擎。

把整条攻击链拆开看，各环节的角色会清晰很多：

对开源社区的启示很直接：安全工具项目需要在设计阶段就考虑滥用治理——许可条款、滥用监测、对自动化编排接口的访问控制。而对模型厂商，这份操作文件里的提示词就是最真实的滥用案例库：攻击者怎么写的提示词、怎么绕的对齐，厂商都应该拿去打磨自己的安全策略。

开源与供应链安全的边界，从『依赖包投毒』扩展到了『防御工具武器化』——这一课，很多团队还没上。

🧭 防御方现在该做什么

骂完厂商，得给可落地的建议。基于这两起事件，我把防御方的行动清单整理如下：

其中第三条值得展开。Agentic AI的执行模式与人类操作员有本质差异：任务节奏更规律、并行度更高、日志里会留下模型调用的结构性痕迹。这些都可以做成检测信号。安全厂商如果还停留在『识别恶意样本哈希』的老路上，会被甩开一代。

产业层面还有一个值得押注的方向：AI安全检测本身正在成为独立赛道——检测AI生成钓鱼、检测智能体化攻击行为、审计模型的滥用。微软、CrowdStrike等头部厂商已先后公开发布了面向AI驱动威胁与异常行为检测的产品与能力布局。方向是对的，但节奏仍比攻击者慢了半拍。半拍，在攻防对抗里就是生死。

小结

韩国金融攻击事件的价值，不在于损失了多少数据，而在于它把『AI攻击』从演示视频变成了有操作文件、有提示词、有完整基础设施的实锤案例。攻击者的门槛在塌，防御方的锚点在换——从内容转向身份，从样本转向行为。接下来半年的关键变量，是模型厂商能否把滥用治理做到产品化，以及邮件网关们能否放下内容博弈、转身做身份验证。Agent不会等谁，防御方的时间窗口，就是现在。

写在最后

安全行业过去二十年的经验告诉我们：每一次攻击工具的『民主化』，都会带来一轮攻防失衡——从漏洞利用框架到勒索软件即服务，再到今天的智能体化攻击，剧本从未变过，只是速度越来越快。这一次的不同在于，攻击能力的复制成本第一次趋近于零。

对每一家企业，现在能做且应该做的，是把『AI服务商冒充』写进安全意识培训、把提示词取证写进应急响应手册、把行为检测排进下一季度的预算。对每一位从业者，请记住这两起事件留下的最朴素教训：当攻击不再需要天赋，防御就不能再依赖侥幸。