AI 黑客开始按流程交付了

过去我们讨论 AI 安全，谈的多是'将来时'：大模型会不会生成漏洞利用代码、会不会帮攻击者写免杀。现在这个问题有了新的答案——不是会不会，而是已经干完了。

2026 年 9 月底到 10 月初，一场针对韩国多家金融组织的攻击被披露：攻击者把开源渗透测试平台 ARTEX 与多个大语言模型组合起来，以 Agent 化的方式执行侦察、利用与数据外传。同一时期，Anthropic 主题的钓鱼邮件绕过了行业头部安全邮件网关，韩国两家最大的教会则被 ERP Web Shell 加 IDOR 越权漏洞的组合攻破。

三件事凑在一起，指向同一个判断：攻击侧的工业化程度，正在超过防守侧的升级速度。

🤖 当 Agent 学会'接单干活'

金句先行：渗透测试平台本来就是给红队用的，现在红队的工具箱被人搬到了对面。

这场针对韩国金融目标的行动有两个细节值得反复咀嚼。其一，攻击是'经济动机'驱动的，目标明确、链路完整——从初始访问到数据外泄，不是 PoC，不是概念验证，而是一次真正跑完的入侵。其二，也是更关键的：研究人员找回了攻击者暴露在外的运维文件，里面记录了攻击基础设施、提示词和操作流程。

换句话说，这不是一次'AI 碰巧参与'的攻击，而是一套有文档、有流程、可复用的作业体系。ARTEX 本身是开源的渗透测试平台，攻击者做的是把它的自动化能力与大模型的推理决策拼接起来——模型负责规划与判断，平台负责执行与利用。

对产业而言，这个事件的真正冲击在于攻击门槛的结构性下移。过去跑通一条完整入侵链，需要一个懂漏洞、懂内网、懂目标业务的小团队；现在，Agent 化工具链把'规划—执行—迭代'压缩进了一个循环。防守方过去赌的是'攻击者会犯错'，而当执行环节交给 Agent，疲劳、情绪、手滑这些人类变量被抽掉了，留下的只有可无限重试的机器耐心。

颇具讽刺意味的是，研究者能还原这场攻击，恰恰因为攻击者自己的运维文件暴露了。AI 降低了攻击的技术门槛，但没降低运维的安全门槛——这个缺口，短期内就是防守方的窗口期。

📧 钓鱼绕过网关：信任正在被批量伪造

金句先行：当钓鱼邮件长得像你天天在用的工具，过滤器就先输了。

第二起事件更'日常'，也更麻烦：一批以 Anthropic 为主题的钓鱼邮件，带着大量肉眼可见的红旗特征，却穿越了多家行业领先的安全邮件网关（SEG）产品。

按多位邮件安全从业者在私下交流中的说法，这批邮件的可怕之处不在于技术多精妙，而在于它精准踩中了内容过滤的盲区：安全的发信基础设施、贴合时下热点的品牌主题、正常甚至'专业'的文案结构。SEG 这类产品的核心逻辑是基于内容特征与信誉评分做判定，当攻击者用 AI 批量生成自然、多变、且借用真实品牌信任度的内容时，特征库的更新速度永远追不上生成速度。

这里有一个必须说透的产业逻辑：邮件安全正在从'内容之战'退回到'身份之战'。 内容可以无限生成，但发件身份、域名、SPF/DKIM/DMARC 链路、账号行为是有限且可验证的。当 AI 让'内容伪造'的成本趋近于零，唯一还稀缺的变量就是可信身份。过去大家把预算花在网关上，未来的重点会越来越多地压向身份验证、域名保护、以及'这封邮件声称来自谁'与'它实际上来自谁'的一致性校验。

对终端用户而言，这同样是一场认知重构：'看得出来是钓鱼'这个防线，在 AI 生成内容面前正在快速贬值。防守设计必须假设——用户一定会点。

⚠️ 教会被攻破：老漏洞的致命组合拳

金句先行：杀死机构的往往不是零日漏洞，而是没人管的越权和没人换的密码。

第三起事件的目标让人意外：韩国两家规模最大的教会。Oasis Security 对攻击者服务器上回收文件的调查显示，攻击者通过两条不同的入侵链得手：一条走 ERP 系统 Web Shell，另一条利用了 IDOR（不安全的直接对象引用）越权漏洞，配合特权数据库访问权限与泄露的凭据。两条链最终汇聚到同一个结果——大量会众、员工、财务与管理信息被系统性收集。

需要强调的是，Oasis 的分析基于回收的攻击者痕迹，描述的是'已发生的收集行为'，而非完整的攻击全景。但仅凭已知信息，这起事件的教训已经足够刺眼：

值得注意的是三起事件的技术含量分布：金融事件里 AI 是放大器，而教会事件里几乎没有 AI 的影子——Web Shell、IDOR、泄露凭据，全是安全行业讨论了十几年的老问题。它们依然有效，恰恰说明组织在'对象级授权'和'凭据生命周期管理'上的欠账，比想象中大得多。

对宗教、医疗、教育这类'非典型高危目标'，这笔账尤其成立：它们同样握有大量个人敏感数据，但安全投入长期不足，IT 团队规模小、老旧系统多。攻击者的目标选择从来不看机构性质，只看投入产出比。

📉 攻防成本曲线正在断裂

金句先行：防守方还在按季度排期，攻击方已经按提示词迭代。

把三起事件放进同一个坐标系，能看到 AI 时代攻击手段的相对位置正在洗牌。

右上角的 Agentic 渗透之所以危险，不是因为它更'聪明'，而是因为它把高收益攻击的边际成本打到了地板。防御产品若还停留在拦截单点特征（一封邮件、一个载荷、一条请求），面对的是一条会自我迭代的流水线，胜负早已注定。

防守侧的答案其实在三起事件里各埋了一条线索：

更长期地看，Agent 化攻击会倒逼 Agent 化防御：安全运营中心（SOC）的告警分诊、日志关联、响应编排，本来就是最适合交给 AI Agent 的重复性工作。攻防两侧同时 Agent 化之后，竞争的核心变量将从'谁的工具多'变成'谁的反馈回路更快'——攻击者一次提示词迭代可能只要几分钟，而防守方一个策略变更要走审批。这个速度差，才是 AI 安全真正的战场。

结语： 三起事件没有出现超级漏洞，也没有天外来客式的技术奇迹——有的只是开源工具、大模型和老问题的组合。这恰恰是最值得警惕的版本：当攻击不再需要天才，防守就不能再依赖英雄。2027 年的考题已经写好：谁先把身份、授权和行为监测这三块地基补上，谁才有资格谈 AI 攻防。