中国AI工具ARTEX定向攻击80余家日本企业

打开新攻击维度的工具

ARTEX 并非被设计为武器。它被构建为一个自主渗透测试平台——供安全专业人员对其自有系统进行压力测试的工具——并作为开源软件从中国大陆发布。甚至在有报告指出恶意行为者正在利用它之后，开发者才撤下了该代码库。

但这一撤回来得太晚了。

GMO 的犯罪对策中心本周确认，针对超过 80 家日本企业的入侵浪潮正是由 ARTEX 所为。该中心还发现了六个额外的攻击基础设施服务器，它们部署着同一套基于 AI 的攻击剧本。其中八家目标企业已在九月至十月间宣布发生数据泄露，这表明相关行动已在未被发现的情况下持续了数月。

此事给出的教训并非 ARTEX 具有独特的危险性。而是任何开源 AI 工具一旦进入公开代码库，就会成为任何愿意将其指向他人的人都可以利用的靶子。

此事尤其令人不安之处在于攻击者展现出的复杂性。这些并非由业余青少年脚本小子驱动的简单行动。跨多个行业的协调配合、持续数月的长期战役，以及对需要配置专业知识才能使用的 AI 工具的运用，都指向有组织团体以专业级纪律在运作。一些分析人士将其与国家支持的网络行动相类比，尽管最终归属仍难以确定。

该事件也暴露出组织在检测 AI 驱动攻击方面的一个令人不安的缺口。传统基于签名的检测系统难以识别 ARTEX 的自动化行为模式，因为其行为模仿了合法的渗透测试活动。这对安全运营中心未来如何监控和预警类似工具具有深远影响。

攻击如何展开

ARTEX 通过连接大型语言模型来工作，并自动化漏洞发现与利用的完整流程。人类操作员设定参数后，工具会扫描、探测并测试各个入口，无需进一步输入。

GMO 对其中一台新发现的服务器进行的取证揭示了一种狭窄而集中的目标策略：大约 20 家日本企业，其中九家属于同一行业领域。另一台服务器聚焦于数字礼品与零售，另一台针对教育印刷业，再一台针对积分制营销系统，其余则针对保险、金融、电子商务、媒体和物流。

这种模式是精心策划的。攻击者并非随机撒网。他们在绘制整个行业的地图，并有条不紊地逐步推进。

CrowdStrike 独立得出了类似的结论。该公司报告称，ARTEX 也被用于针对韩国金融机构的攻击，并且从攻击者服务器上恢复的 ARTEX 配置文件以及与 Anthropic Claude Code 相关的会话历史。

GMO 认为，针对韩国的同一行动团体正在对日本进行类似操作。

取证证据表明，攻击者在发动攻势前花大量时间对目标进行侦察。在扣押服务器上发现的配置文件包含关于初步扫描阶段发现的漏洞、内部架构偏好以及主要访问方式失败时的备用策略的详细记录。这种文档水平表明其方法论更常见于专业的渗透测试项目，而非典型的网络犯罪行动。

幕后是谁——以及为何重要

报告并未点名特定的国家支持行为体。但操作的复杂性、跨越国界的触达范围，以及使用中国开发的 AI 工具，都指向一种环境：在该环境中，国家容忍或支持的网军单位可以以商业可用软件为其首选武器进行运作。

这一时刻的独特之处不在于工具的来源。而在于开源 AI 以多快的速度消弭了业余与专业级入侵能力之间的差距。

五年前，构建一个自动化渗透系统需要专业知识和资源。今天，一个具备基础编程知识的团体就能拉取一个开源 LLM 驱动的工具，针对目标列表进行配置，并全天候运行扫描。ARTEX 并非唯一例子。它只是第一个拥有硬 forensic 证据将其与东亚多起泄露事件联系起来的案例。

地缘政治影响超出了网络安全范畴。在中国开发的工具被用于针对日本和韩国金融机构的协调攻击，这引发了关于问责、出口管制的问题，以及当 AI 渗透工具的创作被武器化用于针对商业目标时，开发者是否应承担法律后果。

对于西方企业而言，这代表了威胁态势评估范式的转变。传统威胁情报专注于国家行为体或有组织犯罪集团。ARTEX 事件表明，下一前沿领域涉及利用任何人都可下载和配置的开源 AI 工具进行的分布式、低资源消耗行动。

被盯上的行业

目标行业清晰地揭示了攻击者的价值取向：

数字礼品和零售积分系统是金矿，因为它们大规模处理支付数据和个人信息，且安全水平通常低于核心银行基础设施。教育和印刷公司看似边缘，但它们掌握学生和员工记录。保险和金融目标是最高价值的猎物——保单持有人数据、索赔历史、账户凭据。电子商务、媒体和物流处于中间层级：数据库有价值，但安全措施通常不够成熟。

本报告未点名任何政府机构本身，但该中心确实将政府关联实体列为 80 多家被监控企业之一。这一分类很重要。一旦观察到攻击基础设施，归属难以确定，但意图已不再模糊。

对零售和积分制系统的关注反映了对有价值数据流动路径的精确理解——这些生态系统缺乏足够的保护控制。这些组织通常优先考虑客户体验而非安全，创造了自动化工具如 ARTEX 可以几乎没有阻力地运行的环境。同样的漏洞也存在于西方供应链中。

接下来会发生什么

GMO 已与日本执法机构分享了其发现。该中心还警告称，针对韩国看到的同一操作模式很可能也存在于日本——这意味着六台新服务器可能只是更大链条的冰山一角。

对西方企业而言，相关性是直接的。ARTEX 是一个开源工具。其方法论、其配置文件、其与 Claude Code 的集成模式——所有这些都可复制。攻击者无需自建系统。他们下载现有工具，然后指向新目标。

同一套剧本最终会瞄准欧美企业。问题只是时间，而非可能性。

安全团队应将此视为早期预警。如果中国 AI 渗透工具已被用于针对日本和韩国金融及零售行业的协调行动，那么该工具已被验证。它已历经实战考验。而且它对任何有互联网连接的人免费开放。

日本企业可能会在这次事件后面临增加的监管审查和强制性安全评估。韩国企业也将面临类似压力，西方政府可能会针对受 AI 驱动行动影响的企业引入新的披露要求。

网络安全行业需要开发新的检测方法，能够识别自动化渗透测试活动而不产生过多误报。这对安全供应商来说既是挑战也是机遇。

关于开源 AI 安全的残酷真相

在误用报告出现后才撤下源代码，是对负责任发布实践的拙劣替代。一旦 ARTEX 离开开发者的掌控，就无法再被约束。

网络安全社区需要就 AI 辅助攻击工具将如何改变威胁态势进行更诚实的对话。准入门槛已大幅下降。响应必须跟上这一速度。

目前，被 ARTEX 攻击的企业——今秋披露泄露事件的日本公司——正在为此付出惨痛代价。西方企业若能从他们的经验中学习，将是明智之举，而不应等到自己成为目标名单上的下一个。

该事件作为一个鲜明提醒：开源 AI 工具带来的责任不止于其即时功能。渗透测试平台的开发者、分发者和用户必须在其创作落入错误之手时考虑次生影响。ARTEX 案例表明，一旦代码进入公开代码库，就无法再进行约束。

西方安全团队应立即审查其对类似工具的暴露情况，实施行为检测能力，并重新评估关于什么是专业级威胁行为体能力的假设。专业级攻击工具的定义已永久改变。未能适应者将发现自己成为目前针对东亚企业的同一行动的受害者。

采取行动的时间是在下一次部署之前。工具已经存在。方法论已被验证。问题在于组织将如何回应这一新常态——是主动应对，还是被动反应。