去年九月,韩国新韩银行、KB 国民银行、韩亚银行等多家金融机构的服务器陆续传出异常流量。三个月后,业界才知道这是 AI 辅助攻击的样本级案例:攻击者用一款名为 ARTEX 的国产开源 agentic 渗透测试工具串联 Claude Code、DeepSeek v4.1-flash、智谱 GLM-5.3 和 xAI 的 Grok 4.6 四套大模型,完成了多银行并行入侵。
讽刺的是,把整个攻击链暴露给研究人员的也是 AI 自己。CrowdStrike 10 月 7 日发布的长篇分析显示,攻击者在香港 IP 和 38.244.50.120 这两台 server 上保留了完整的 Claude Code 会话历史、ARTEX 配置文件与 Claude memory 文件。研究员打开任何一个开放目录,就能看到攻击者给 Claude 的 prompt、Claude 的回复、还有攻击者随手敲进去的个人信息。
Claude Code 不小心替攻击者写了份简历
研究员在一段 Claude Code 会话里发现,攻击者让 Claude 生成一份「安全研究员简历」,要求把这次攻击的成果写进 bullet points 里,顺便把下列个人资料直接贴进了 prompt:姓名 YY,广东茂名人,26 岁(出生于 2007-09-22),手机号 17820191556,Telegram @YY520CN,毕业院校华南理工大学。同一个 Telegram 用户名还在 Telegram 上一个 NFT 礼品市场漏洞研究活动里出现过,又把触角伸到了某中国支付平台。
这相当于 Claude Code 不小心把自家用户的私事打成了日志,挂在了 attacker 上,被研究员一键下载。从攻击者角度,这是教科书级的 OPSEC 失误;从防御者角度,这是新型取证样本 —— 攻击者越是深度使用 LLM,留下的非结构化文本痕迹越多。
多模型栈已成攻击者标配
CrowdStrike 把这次攻击的工具链完整复盘了一遍,关键观察是「四模型并行」:
- ARTEX 实例以 DeepSeek v4.1-flash 作为主 LLM 后端,日常渗透和漏洞扫描靠它跑;
- 智谱 GLM-5.3 用于补充 Claude Code 部分会话,可能用于中文语境任务;
- xAI Grok 4.6 也在 Claude Code 会话里出现过,大概率作为不同供应商的冗余通道;
- Claude Code 承担规划、复盘、简历撰写和「在 Telegram 找哪里能卖韩国数据」等开放性任务;
- LLM API 走代理/转售商 xcai.pro,绕开直连供应商的支付和 KYC。
这套多模型打法的形成需要三个前提同时到位:每个模型都有可控 API,代理/转售商能串联多个供应商,以及代理工具能跨模型调度。三个条件在 2026 年下半年都已是公开服务,这就是为什么 CrowdStrike 判断「adversaries will likely continue to experiment with implementing AI tooling in their operations」。
agentic 工具的会话日志成为新的取证通道
传统网络取证要面对的是结构化日志:进程、网络包、文件 hash。LLM agent 的取证天然多一层 —— 任何 prompt 和回复都会以 markdown 文件的形式持久化,挂在 .claude/、.config/ 这类目录里。CrowdStrike 这次直接通过 http[:]//38.244.50[.]120:18899/.claude/CLAUDE.md 拿到了攻击者的中文 pentesting prompt,又从香港 IP 的开放目录里下载了会话历史和 ARTEX 配置。
这里的关键不是「攻击者忘了开防火墙」,而是「agentic 工具默认会把上下文当文件落到磁盘」。这给防御侧带来两点结论:第一,任何启用 Claude Code / Cursor / Codex 类 agent 的设备,只要被入侵,.claude/ 目录就是一份高密度情报源;第二,只要对端 LLM 提供商愿意配合执法,IP 段与账户绑定可以做主动溯源。
这起攻击对中国 AI 工具出海的影响
ARTEX 是这次攻击的唯一「国产」元素。事件发生后,原作者 Autumn-27 公开声明 ARTEX 被滥用于攻击韩国银行,宣布闭源并从 GitHub 下架整库。这不是 ARTEX 本身有漏洞,而是攻击者用它做的 prompt 直接以中文写成,CrowdStrike 因此以「moderate confidence」判定威胁源是中文使用者。
这件事给国内 agentic 工具出海带来一个微妙副作用:开源 ≠ 免责。如果一款工具公开提供 LLM 编排能力、又默认把上下文以明文形式写到磁盘,它未来被滥用的取证结果会反过来指向工具作者所在的生态。闭源不是技术答案,但是合规上更稳的选择。
那么接下来会发生什么
CrowdStrike 这次披露的不是「AI 第一次被用于攻击」,而是「AI agentic 工具的取证价值第一次被公开完整验证」。研究人员第一次拿到攻击者完整的 LLM 使用日志 —— 这是防御研究的一次结构性升级。
对国内同行来说,这件事至少有三层启示:第一,给业务团队采购 agentic 工具时,默认审计 .claude/ 这类目录的留存路径;第二,做企业安全监控时,把 LLM 调用日志接进 SIEM 是迟早的事;第三,做 agentic 工具的团队,默认加密持久化文件,默认不向磁盘写明文 prompt —— 这不只是产品体验,也是下游取证层面的护城河。
AI 时代的安全,正在从「拦截特征码」转向「还原调用链」。这场转向的早期样本,已经被一个广东的 26 岁年轻人亲自演示了。
主要参考来源:CrowdStrike 10 月 7 日报告(https://www.crowdstrike.com/en-us/blog/unknown-threat-actor-uses-artex-to-target-south-korean-finance/);国内综合报道:网易《22秒攻破一家,韩国五大银行同时遭 AI 驱动黑客攻击》(https://www.163.com/dy/article/L8SIV45V0550W16F.html)。