10月初，安全圈出了件荒诞到喷饭、又后劲极大的事。
一名黑客用AI工具黑进了韩国多家银行。作案手法很前沿：他用的是开源渗透测试框架ARTEX，跑多智能体协同——一个Agent规划攻击路径，另一个调用工具干活，底层主要靠DeepSeek，中间还串了GLM和Grok。以前人工试探几个星期的冷门接口，这玩意儿自己拆任务、自己报错重试，24小时不知疲倦。微博
结局是喜剧片级别的。他在香港租的服务器开放了目录访问，CrowdStrike直接拿到了CLAUDE.md、Claude Code会话记录、ARTEX配置文件和Claude Memory。微博微博
聊天记录里有两条让人哭笑不得的prompt：一条让AI去Telegram找买家销赃，另一条让AI把"战果"润色进一份网络安全研究员的求职简历。他用AI攻击银行，却忘了让AI检查自己的服务器。微博
这工具是真吓人，也是真好用
ARTEX不是地下黑产物，它是GitHub上AGPL协议的开源项目，拿过百度"Agent+"攻防赛的奖，支持接入Claude、GPT、DeepSeek等主流大模型，填个API key就能跑。安全公司Theori实测：这类AI渗透工具在识别目标后，能在20分钟内发出多达3.2万次请求。微博IT时代网
代价接踵而至。仅新韩银行一家，就被拖走约2.5万条带年收入、贷款额度的个人信息。至少7家金融公司中招，约6.8万名客户与员工信息外泄。韩国总统李在明要求彻查。10月接连被攻击活动滥用后，原作者火速下架了上游仓库、停止维护——但开源的潘多拉魔盒关不上：Fork和镜像还在继续流通。微博联合早报微博
11月，反转来了：打猎的工具被猎了
11月6日，安天CERT发布分析报告：ARTEX的一个流行Fork（trhhubsd/ARTEX）及其指定的Docker镜像，被植入了后门。知乎
手法相当阴——源码一行没改，只是把docker-compose.yml里的镜像引用，换成了攻击者自己Docker Hub账号下的tomicdd/artex镜像。镜像里的主程序被塞进一个未认证WebShell：往登录接口发请求，只要captcha字段以感叹号开头，就跳过账号密码校验，把后面的内容直接当shell命令执行。安天的验证请求发了一句{“captcha”:“!whoami”}，返回结果是"root"。安天CERT
也就是说：凡是照着README敲下docker compose up -d的人，等于在自己机器上架了个root权限的后门，管理端口绑在所有网卡上，公网谁都能来敲。而且翻源码根本查不出来——源码是干净的，毒下在预构建镜像里。安天给的处置红线也很直白：只要跑过，就按主机失陷处理，重建机器、轮换全部凭据，别以为删掉容器就完事了。知乎
据TechCrunch 11月7日报道，安全研究者还发现数百台运行ARTEX的服务器没做鉴权，直接裸挂在公网上。猎人和猎物，在这条链上犯了同一个错误。微博
给所有玩AI编程的人三个提醒
第一，会话记录就是认罪书。你的prompt、执行日志、AI记忆里的API key，比你想象的敏感——Session、Memory、CLAUDE.md这些原本用来增强Agent的机制，一旦缺乏安全隔离，就可能成为最完整的情报泄露渠道。黑客栽在自己的AI聊天记录上，普通人的聊天记录同样是骗子的宝藏。微博
第二，"一键启动"等于把陌生人的二进制请进家。AI工具圈的文化是clone仓库、docker compose up，这次的毒恰恰下在"一键"里——不信任任何预构建镜像，从源码自己build，上线前执行源码与二进制的一致性校验。安天CERT
第三，AI放大能力，也同等放大草台班子。这个故事最荒诞的闭环在于：黑客用最前沿的AI框架，配最业余的运维；装工具的人以为自己是猎人，其实才是猎物。工具越强，越不能省掉该做的那一步。
