AI 真开始自己动手黑银行了

攻防两端的AI，几乎在同一周完成了各自的'成人礼'。

三起看似不相关的安全事件，在近期接连曝光：一起利用 Anthropic、OpenAI 等多家大模型驱动的 Agentic AI 攻击行动，盯上了韩国金融行业；一批披着 Anthropic 外衣的低劣钓鱼邮件，却穿透了多家顶级安全邮件网关；而一款用户量以百万计的 Discord 安全机器人 Double Counter，自己先被打穿，约 12GB 数据库内容被拖走。

把它们放在一起看，结论并不乐观：AI 参与攻击已经从论文和演练走进真实战场，而安全产业自身的信任链，正在成为最脆弱的那一环。

🤖 Agentic AI 首次'实战上岗'，目标直指韩国金融圈

真正的分水岭，从来不是模型多聪明，而是有人愿意用它做事。

据 GBHackers 披露，一起以经济利益为动机的攻击行动，在 2026 年 9 月底至 10 月初持续活跃，目标直指多家韩国金融机构，并完成了数据窃取。这不是一次'AI 辅助写脚本'级别的攻击——研究者从攻击者暴露的运维文件中，还原出了完整的基础设施、提示词（prompt）记录和任务编排过程。

攻击链的核心组合拳是这样的：攻击者使用了一款名为 ARTEX 的开源渗透测试平台（由中国开发者社区维护），并将其与多个大语言模型串联，让 AI 承担侦察、决策、执行等多个环节的'智能体'角色。换句话说，攻击者搭的是流水线，AI 是流水线上不知疲倦的操作工。

整个作战结构大致如下：

有三个细节值得产业圈警觉。其一，攻击者留下的暴露文件表明，这是一次可复制、可迭代的'工程化'行动，而非一时兴起的炫技。其二，攻击者混用了多个大模型——大概率是为了取各家之所长，也让基于单一模型行为特征的检测更难奏效。其三，目标选在金融行业，说明攻击者对'AI 攻击的投入产出比'已经做过测算：金融数据的变现路径最短，容得下更高的攻击成本。

一位接近事件响应团队的人士私下透露，这类暴露的运维文件正在成为安全研究的'金矿'——攻击者的提示词、任务分解方式，第一次让防守方得以一窥 Agentic 攻击的内部构造。这在两年前是不可想象的。

产业判断很直接：AI 攻击的技术门槛，正在被开源工具快速抹平。ARTEX 这类平台本身是渗透测试的正当工具，但'开源+大模型'的组合，让一个小团队也能拥有过去国家级团伙才有的作业效率。防守方不能再假设对面是按部就班的人工操作。

🧲 钓鱼邮件的'悖论'：越明显的陷阱，越容易穿网

最拙劣的诱饵，反而钓到了最贵的鱼。

第二起事件充满黑色幽默：一批几乎全是红旗特征的钓鱼邮件——域名可疑、措辞粗糙、破绽百出——却绕过了多款业界领先的安全邮件网关（SEG）产品。更讽刺的是，这些邮件的伪装主题，恰恰是 Anthropic。

按理说，这类'一眼假'的钓鱼邮件，正是 SEG 规则库最容易拦截的对象。为什么反而漏了？合理的产业逻辑有两条：

第一，攻击者深谙'负空间'策略。安全网关对常见品牌（银行、物流、办公软件）的钓鱼有海量规则积累，但 AI 公司作为钓鱼伪装对象是相对新的品类，规则覆盖不足。攻击者赌的就是你还没来得及为'AI 品牌钓鱼'建立完整的防御基线。

第二，AI 主题自带稀缺性与紧迫感。'你的 Anthropic 账户异常''额度即将过期'这类话术，命中了当下大量 AI 工具付费用户的真实焦虑——账号里绑定着公司信用卡、存着工作数据。用户自己都容易点，更别说指望网关全覆盖。

这件事的价值不在攻击本身，而在于它戳破了一个幻觉：安全产品的'领先'，很大程度上是历史规则的领先。攻防的本质是规则覆盖的猫鼠游戏，新攻击面的出现窗口期，就是防守最薄弱的时刻。

把当前主流防御手段放到一张图里看，位置差异一目了然：

左下角堆满了'存量玩家'——规则库和人工响应在新技术面前会持续贬值；右上角的大模型辅助检测和零信任验证，才是值得投入的方向。但注意：技术门槛越高，意味着绝大多数中小企业的实际防御水位，仍停留在左下角。

🛡️ 守门人先被破门：Double Counter 的信任链崩塌

你安装安全工具，是因为你信它。攻击者打穿的，正是这份信任。

第三起事件的主角 Double Counter，是 Discord 平台上广泛使用的安全机器人，主要用于防机器人验证、反 alts（小号识别），保护着数百万用户的社群安全。运营方 Tellter SAS 发布的事件报告还原了完整过程：攻击者实施了针对基础设施的定向入侵，获取了云凭据（cloud credentials），随后劫持了机器人本体，复制了约 12GB 的数据库内容，还滥用了另一个独立的支付账户。更糟的是，攻击者在系统中保持了持续活跃状态。

用一张流向图看清攻击者的'战果分配'：

这起事件的杀伤力在于'守门人悖论'：安全工具通常被授予极高的权限——它能读成员信息、做身份验证、接入基础设施。一旦它失守，攻击者等于拿到了所有受保护社群的钥匙。数百万用户数据的暴露，只是显性损失；攻击者通过被劫持的机器人继续'合法地'接触百万级社群，才是隐性的更大风险。

给防守方的启示可以浓缩成一张清单：

据多位接触过类似事件响应的从业者反馈，SaaS 化安全工具的云凭据管理普遍粗糙——凭据硬编码、权限终身有效、日志不全，几乎是行业默认状态。安全厂商自己是攻击面，这件事早就该成为共识，只是总要用一次真实的数据泄露来提醒。

📊 三件事拼在一起，是 AI 时代攻防的完整切面

孤立的新闻没有意义，拼起来才是情报。

三条线索指向同一个结构：AI 压低了攻击的人力成本，新攻击面拉长了防御的规则空窗，而安全工具自身的供应链风险，则在这个空窗期里被精准命中。三者不是巧合，是同一轮攻防再平衡的三个侧面。

对安全产业而言，接下来的竞争焦点会很明显地迁移：从'规则库的厚度'转向'检测新形态的能力'——能不能识别 AI 编排的自动化攻击节奏？能不能在钓鱼品牌刚冒头时就动态生成拦截规则？能不能把自己也当成零信任架构里不可信的一环来加固？

对采购方而言，评估安全产品时或许该加一条灵魂拷问：这家厂商自己的云凭据、CI/CD 和生产环境，是怎么管理的？

💡 写在最后：别恐慌，但要重新记账

这三起事件不需要恐慌叙事，但需要重新算账。

Agentic AI 参与攻击，目前看仍是'人力杠杆'而非'能力跃迁'——它放大的是熟练攻击者的效率，尚未展现出独立突破强防御的实例。真正的风险在成本曲线：当一次攻击的人力投入降到原来的十分之一，原本'不值得打'的中小目标，就会进入攻击者的射程。

防御预算的记账逻辑也要跟着变：过去花在'拦住已知攻击'的钱，要拿出一部分投到'假设规则会漏'的场景——邮件安全上叠加大模型检测与零信任验证，SaaS 工具接入时做权限最小化与行为监控，AI 资产本身纳入攻击面管理视野。

攻防天平短期内会向攻击者倾斜，这是每一次技术范式切换的常态。但历史也反复证明：率先把新技术用于防守的一方，会拿走下一轮的产业红利。现在的问题只是——你在哪一边先动手。

小结：韩国金融攻击证明 AI 攻击已实战化，Anthropic 钓鱼穿透 SEG 暴露了防御规则的空窗期，Double Counter 被黑则提醒所有人安全工具自身就是攻击面。2026 年接下来的看点，是大模型辅助检测能否追上大模型辅助攻击的速度——这场赛跑，才刚刚鸣枪。