以前黑一家银行得先当"高手"，现在只要会打字。
今年9月底到10月初，韩国金融圈炸了锅：新韩、KB国民、韩亚等7家金融机构在两周里被同一个攻击者接连打穿，客户信息外泄，总统亲自下令彻查。知乎知乎
不是国家队，也不是专业团伙，就是一个单打独斗的个人——他把一套叫ARTEX的开源AI渗透测试工具和多个大语言模型串起来用，自己只负责报目标，AI负责评估环境、生成脚本、执行、看结果、循环调整。知乎
单次攻击成本0.88美元，耗时22秒。Anthropic在9月的威胁情报报告里给这种模式起了个名字，叫"vibe hacking"——操作者只负责选目标，AI负责所有战术执行。知乎知乎
而真正让他暴露的，不是防御系统，是他自己：他在Claude Code的会话里让AI帮他生成一份网络安全研究员的简历，姓名首字母、Telegram账号、学历、居住地一个没落下。这案子最瘆人的地方不是银行能被黑，而是我们的防守并没有变强，只是他太不小心。知乎
如果说0.88美元是攻击方的黑色幽默，防御方拿到的就是科幻剧本。北京时间11月6日，OpenAI宣布推出网络安全专用模型GPT-6Cyber。界面新闻IT时代网
OpenAI之前发布的通用模型GPT-6 Astra啥都能干，但你让它写攻击程序，它会拒绝；GPT-6Cyber是在Astra基础上又专门用安全任务训练了一轮、放宽了安全限制——简单说，这个模型可以写攻击代码。微博
成绩单相当扎眼：它在开启全套现代防护的标准Linux系统上，写出了948个能让普通用户夺取最高Root权限的提权程序，而同一条管线，三个月前上一代模型只挖出166个。整场实验的API成本约121万美元，平均每个能用的攻击程序花了1279美元。换算下来，这批产出对应最高6630万美元的悬赏价值，回报率55倍。知乎微博
它还从被反复排查了很多年的Firefox里，独立揪出81个此前没人知道的高危漏洞，全部给出复现代码和修复补丁，随Firefox 159版本紧急推送给了全球数百万用户。知乎
它的"分寸感"同样被写进了发布材料：测试显示，该模型越界行为的发生率低于1%，上一代约为5%。在OpenAI内部安全评测中，它触发了网络安全最高警戒等级"Critical"。所以这个模型不对公众开放：首批仅通过API与Codex向一小部分获批的Daybreak Red客户开放，并将逐步扩大访问范围。OpenAI还拨出10亿美元，给资金紧张的政府机构和基础设施运营商做安全防护。IT时代网知乎界面新闻微博
于是老问题又来了：网安从业者的饭碗还保得住吗？知乎上讨论方向出奇一致：先被压缩的是"漏洞发现"和"初步验证"这两段；真正贵的环节——定级、修复方案、上线决策——反而会更值钱。"找洞"正在变成白菜价，但补不补、要不要停服务器去打补丁，还是人的活——工具再强，责任没法外包给一个模型。知乎
对普通用户，最扎心的判断是这句：只要一台系统没打齐最新补丁，攻击者拿到了一个普通低权限账号，在功能上就已经等同于拿到了最高Root权限。也就是说，被你忽略的"强制更新弹窗"、跨平台重复使用的密码、家里没关远程管理的摄像头和路由器——在单次攻击成本降到0.88美元的时代，就是你仅剩的第一道防线。知乎
0.88美元能撬开银行大门，1279美元能堵上一个漏洞。网络安全这本攻防账，正在被AI重写成两份价目表，而规则只剩一条：防守方必须比过去跑得更快，因为对面的进攻，已经输得起太多次。
