中国AI Agent被曝攻击80家日本企业

反噬开发者的工具

七月，一群讲中文的开发者将一个名为 ARTEX 的系统上传至一个在线技术分享平台。宣传语简明扼要：这是一款成熟的 AI 智能体，能够自主扫描网络以发现软件漏洞，其设计初衷是帮助组织加固防御。它本应是一个诊断工具——有用、无害、开源。

到了九月，ARTEX 已被用于入侵约 80 家日本企业的系统。其中八家公司已公开确认数据泄露。两家最引人注目的涉事方——一家保险服务商和一家物流企业——率先证实自身系统遭入侵。

从渗透测试助手沦为进攻性武器的转变速度，超出了多数安全团队的预期。而且，这很可能根本就不是 ARTEX 最初开发者的本意。

调查发现了什么

受多家受害企业委托接手此案的东京 GMO Cybersecurity by YellAE 公司确认，9月18日至10月18日期间，攻击共使用了六台位于海外的公共服务器。这六台服务器均留下了 ARTEX 运行的清晰痕迹，未发现其他任何 AI 智能体。这种高度一致性意义重大——它暗示可能系单一操作者或一个协调作案的团伙，选择了同一种武器并始终如一地加以使用。

美国安全巨头 CloudStrike 也独立确认，在同期针对多家韩国金融机构的一系列攻击中同样出现了 ARTEX 的身影。同样的工具、同样的时间窗口、不同的目标。这表明日本并非孤例，而是更大范围区域性行动的一部分。

日本国家计算机应急响应团队 JP-CERT 也表示，自8月起就已在针对日本企业的网络攻击中检测到 AI 智能体的痕迹——比发现 ARTEX 专用服务器早了约两个月。这轮更早的活动可能是某个前置阶段的表现，也可能是仍在调查中的另一种独立工具。

ARTEX 为何不同

传统恶意软件按既定脚本运行：利用这个已知漏洞、移动到那个目录、窃取那份数据。当目标符合其预设时它确实威力十足，但一旦遇到陌生环境便束手无策。

ARTEX 则另辟蹊径。作为一款 AI 智能体，它被设计为系统性地探索环境、推演陌生场景并在学习过程中调整策略。它不只是寻找某一个漏洞——而是对整体攻击面进行全面测绘，找出最薄弱的环节。这正是使其在防御性安全评估中颇具价值的能力，也正是它在错误使用者手中变得危险的原因。

开发者声称 ARTEX 旨在帮助组织提升安全水平，这一说法或许属实。但正是这套让安全团队能够发现盲点的架构，同样能让攻击者找到组织的盲点。代码一旦流入外界，便不存在可靠的开关可以在两种用途之间切换。

如今谁掌控着 ARTEX

10月8日，发布 ARTEX 的开发者宣布，在得知该工具被用于攻击后，已将其实从公共渠道下架。这是开源安全领域颇为熟悉的模式——代码公开、有人将其武器化、作者将其撤下。但这通常无济于事。副本早已存在，衍生版本不断涌现。如何操作 ARTEX 的知识，已经扩散至一批无需依赖原始仓库即可利用它的操作者之中。

GMO 确认的那六台服务器，很可能由攻击者控制，而非开发者。ARTEX 从原始平台移除，并不能解释为何数周后仍有六台服务器在积极运行它。要么是其他行为主体在工具下架前就已经获取了它，要么是开发者早已失去了对分发渠道的控制。

这些攻击中究竟损失了什么

目前公开披露入侵的八家公司只是冰山一角。在日本的职场文化中，信息披露往往出于自愿且姗姗来迟。企业在承认遭遇入侵后，面临巨大的声誉损害、监管审查以及股价波动压力。许多受害者可能永远不会站出来，这使得整个行动的真实规模依旧成谜。

泄露了什么与泄露了多少一样重要。对于金融机构而言，可能是账户详情和交易记录；对于物流企业，是供应链数据和客户信息；对于保险公司，则是保单持有人记录和理赔历史。每一类信息都承载着不同的合规义务，也对受影响个人带来不同的后果。

真正的脆弱之处

GMO 的深森隆启（Takahi Fukamori）直言不讳：涉事企业是通过系统中那些微小却被忽视的弱点遭到入侵的。这些并非需要数百万研发投入的全新零日漏洞。它们是安全团队在日常防御审计中 routinely 发现的同一类配置漏洞、过时补丁和配置错误的服务。

这里真正值得关注的不是 ARTEX 是否是一款无懈可击的工具。而是攻击者现在拥有了能够大规模发现这些相同微小漏洞的 AI 智能体——同时对数十个目标采取行动，无需人类分析员逐一手动探测。

这才是结构性的转变。对一个目标自主扫描的漏洞扫描器，与对80个目标自主扫描的漏洞扫描器，在性质上截然不同。攻击的经济账已被改写。以往需要专业人工操作者参与的行动，其准入门槛正急剧下降。

接下来会发生什么

日本乃至亚洲的安全团队应将此事视为预警信号，而非已经完结的案例。那六台被确认的服务器可能被替换。但这种技术——AI 驱动的系统性侦察加上对易取漏洞的利用——是可移植的，可应用于开源生态中的任何工具。ARTEX 本身在公开渠道仅存在了约三个月便被撤下。就在这短暂的时间窗口内，足够的副本已被制作，足够的知识已被吸收，足以在撤下之后支撑运营继续运转。

日本政府及其地区合作伙伴需要决定：是否将用于进攻性网络行动中的 AI 智能体视为一种需要建立新监测协议的独立威胁类别，还是现有框架能否在不作调整的情况下消化这一变化。这一选择将塑造人们对下一次行动重视的程度——以及被瞄准的企业做好准备应对的程度。