ARTEX AI击穿韩国9家银行：65,000条数据外泄，开源工具数周内变武器

2026年9月底到10月初，韩国9家金融机构先后出现客户数据外泄。据称，目前已有至少65,000条个人信息和信贷数据遭窃取。韩国政府已进入全天候网络安全紧急状态，总统下令彻查。

CrowdStrike的报告指出，这次攻击的关键工具是一款开源AI渗透测试代理ARTEX，它背后接入了DeepSeek、Claude Code、Grok等多款大模型。整场大规模攻击很可能只有1名人类黑客在指挥。事情曝光后，ARTEX的中国开发者在10月8日宣布，因工具遭滥用，项目由开源转为闭源，并称对此类行为不承担责任。

这起危机并非普通的黑客事件。近几个月网络安全圈对系统性脆弱的担忧，一直被当成假设，如今被它坐实——人工智能加快漏洞发现与潜在利用的速度和广度，已不再停留在报告里的虚拟语气。韩国银行业被区区1名非顶级黑客大范围入侵，这一事实就是该趋势的现实版本。

这也不只是金融系统被全面攻破，而是攻防成本彻底失衡。所以，无论是开发攻击工具的一方，还是作为攻击目标的金融机构，都能从这次事件里得到新的警示。

一、此次网络事件“新”在哪里？

要弄清这起事件的法律意涵，就得先看到它和传统网络攻击的本质差别。这些差别不只关乎技术细节，而是决定责任怎么分、防线怎么重画的根本变量。

1、工具会“思考”，门槛降到“会提问就行”

ARTEX是一套基于人工智能的自主渗透系统，原本用来帮公司和机构做网络安全测试与风险排查。它出自中国网络安全工程师之手，2026年7月首次上线GitHub，8月在百度“agent+”攻防挑战赛中夺冠。

但它的能力不只是在比赛中得到认可。仅仅1个月后，韩国银行攻击事件里它又出了大力。

ARTEX与其他大模型配合，把整个攻击自动化并形成循环：它并非一次扫描，也不是一个模型写一段恶意代码那么简单，而是让多个模型按成本、语言和任务分工协作，再根据上一轮结果决定下一轮动作。操作员的技术底线因此被大幅拉低——他只要把工具部署到可访问互联网的韩国银行门户，把任务指向目标，然后等着就行。

CrowdStrike给出“中等信心”评估（moderate confidence），人为操作者未必是顶级黑客。可ARTEX把一个初级人员放大成一支多目标渗透团队，短短几天内就拿下了过去专业渗透团队要数周才能完成的战果。

2、打外围不打核心——“水桶效应”下的理性选择

银行最核心、防火墙最稳固的清算网络和账务数据库，并没有被直接击穿。已披露的受损资产全部集中在外围辅助系统，比如中介查询、员工办公支持系统、销售支持和外包人员库。

攻击者，或者说工具本身，“理性”地挑中了防护标准更低、行为检测空白但数据价值高的接口，再用人工智能不知疲倦的多轮试探，把这些外围弱点彻底暴露出来。攻击手法本身也只是老旧的凭据填充，可AI带来的自适应能力——根据防御反馈调整速率、更换代理、归纳哪类门户返回有效记录——让这一老手法重新有了杀伤力。

所以ARTEX事件展示的不是最高明的技术手段，而是在充分理解整体系统“安全水平落差”之后，做出的最有效率、最经济的决策。

3、安全工具两用化：从冠军到黑客软件，只用了数周

ARTEX本来不是黑客程序，而是一个面向授权渗透测试的开源智能体（agent）：它自己不产生大模型能力，而是把外部对话模型接进来，按使用者指令做资产梳理、弱点扫描、利用代码编写和结果验证。设计初衷是帮企业找漏洞、做红队演练。

问题恰恰出在这里——凡是能“自主规划、自主调用模型、自主对外网出手”的防御工具，反过来也最适合被未授权者拿去打目标。同一套架构不用改写，只换目标、换提示词、关掉授权校验，就能从“安全助手”变成“入侵流水线”。ARTEX从7月开源的“合规研究项目”、8月赢得冠军，到9月成为“银行入侵工具”，这一“武器化”的周期已被压缩到数周。

更值得法律人注意的，是事件后开发者的反应。

软件开发者“快速闭源＋免责声明”的组合，在以往网络安全案件里不常见。ARTEX作为开源的智能体渗透工具，本身具有“两用性”，加上韩国整个国家金融系统面临的巨大风险后果，让开发者陷入一种责任不确定的“恐慌”，于是才用最极端的方式“切割”，把资源从公共领域彻底移除。

二、监管框架与监管难点：跨国AI攻击如何管？

难点一：受害者的合规瑕疵

韩国金融监督院与金融安全院在事后处置中，把矛头主要对准了银行自己。

这次攻击的波及范围在韩国实属罕见，可受损程度并不均等。调查人员透露，至少另有2家银行机构顶住了同样手法的攻击，也没有确认出现数据外泄。

反观那些被攻进去、信息被偷走的银行，其网络安全管理与技术层面都露出了破绽。新韩银行损失最重：约25,000名客户的姓名、电话号码、年收入数据和贷款限额被窃，另有用于在线身份验证的66个国家ID号码和97个CI标识符一并外流。调查方认为，问题可能出在该行贷款门户的身份验证环节。

韩国眼下正推动《电子金融交易法》第二阶段改革，重点就是让CEO和董事会对网络安全真正担起责任，罚款制度也将写入法律。监管的思路很清楚：哪怕攻击手法从未见过，基础设施运营者的基本防护义务也不会因此打折。受害者自身的合规漏洞和攻击者的违法责任本是两回事，但在舆论场和诉讼里，这两者常被搅在一起。

不过，ARTEX事件里多数金融机构的外围系统失守，是否该按“人工智能时代的合理技术措施”这一标准，把注意义务的门槛往上提？

难点二：FTC调查的信号：模型厂商不是中立管道

韩国银行出事的同时，也就是2026年9月底，美国联邦贸易委员会（FTC）对Anthropic和OpenAI立案调查，盯的是它们的大模型有没有被拿来生成欺诈、误导和侵权内容。调查的关键问题之一：这些智能体是否被允许访问、侦查乃至攻破第三方网站和系统？这轮调查的由头同样是智能体引发的HuggingFace泄露事件，它传出的信号是——监管开始追问“模型能力被武器化时，厂商有没有尽到合理注意义务”。

同样的逻辑放到ARTEX事件上，就变成这样：DeepSeek、GLM、Grok和Claude Code的应用程序接口被用于自主渗透，厂商知不知情、能不能阻断、有没有留下会话日志供执法调取。

再往深一层，一个法律地位转换的问题就躲不开了：模型应用程序接口被用于攻击时，厂商究竟算中立的管道，还是有能力合理拦截的一方？

难点三：攻击基础设施的全球分布，让国别归属失去意义

CrowdStrike的报告点出一个关键情况：调查人员锁定的攻击基础设施里，美国占IP地址的65.7%，中国14.8%，香港10.9%，剩下的零散分布在其他国家和地区。攻击者动用了香港的主控服务器、美国的云主机和多国代理节点。工具本身是公开的，GitHub上谁都能下载、改动、部署。IP地址撒在全球，也就意味着没法靠“哪国IP多”去推断攻击者的国籍或国家背景。

有报道称，金融安全研究所把识别出的境外攻击者IP地址交给了托管这些IP的云服务商，要求运营商在基础设施层面拦下恶意流量。这类监管措施到底管不管用、能有多大效果，还得再看。

这已经不是“某国黑客入侵某国银行”的老套剧情，而是“全球分布式基础设施发起、开源工具武装、多国模型出力”的跨境攻击。国别归属在这类事件中的法律分量被大大削弱，跨境执法也处处是不确定性。

难点四：开源开发者责任

要认定开源开发者的责任，通常得把许可协议、权利限制、安全合规举措和信息披露程度放在一起看。原则上，免费开源和商业服务应当区别对待。

ARTEX在GitHub仓库里写明了严格的免责声明，禁止对未授权系统使用。可意图和实际效果之间落差巨大。法律实务中，光靠一句“按现状”的免责声明，并不能自动把责任全部推掉。

但监管者若真要为开源软件开发者划出这类责任边界，就绕不开一个矛盾和问题：要不要像商业服务软件那样，让开源智能体也过一遍发布审查？对安全类开源软件管得太死，合法红队测试会受伤；完全放手，又会出现“发布几周就变成黑客软件”的局面。

三、结语：两个教训

这件事给两类主体留下的教训各不相同，底层的道理却相通。

对金融机构来说：安全水平取决于最薄弱的那个接口。

AI智能体的攻击逻辑由效率驱动——它不挑最有名的目标，只挑最容易攻破的入口。网络安全因此遵循的不是“平均强度”或“最高强度”，而是“水桶效应”——最低处就是围墙高度。贷款中介门户、员工移动系统、外包人员库，只要有一个接口的认证或速率限制弱于核心部门和同行，你就可能被攻击者选中。

在一个AI能同时试探上百个目标的时代，网络安全不光要把所有入口当核心门户来守，还得跟隔壁银行比一比。你的护栏比同业低一寸，就等于替整个行业挡了这一刀。

对做模型的公司来说，技术可以放出去，责任甩不掉。厂商交到用户手里的，是一台能自己定计划、自己调工具、自己换打法的机器。使用条款挂在官网上，攻击的人根本不会点开看。合规的真正底线，不在于那句“我们不许非法使用”，而在于产品本身有没有把非法使用变得足够难：目标白名单、授权校验、危险操作走人工审批、全过程留日志。缺了这些主动防御和合规动作，免责声明也就是一行字而已。闭源能挡住以后，却挡不住已经流出去的版本，更挡不住已经造成的损害。