CrowdStrike稱韓國銀行攻擊使用了開源滲透測試工具ARTEX並調用DeepSeek
CrowdStrike週三發佈報告稱，9月底到10月初針對韓國金融機構的攻擊，使用了中國開源滲透測試工具ARTEX，主模型後端是DeepSeek v4.1-flash。公司沒有把事件歸於已命名的組織，只以中等置信度判斷行爲者很可能是中文使用者，且有牟利動機。依據是ARTEX和會話裏的中文提示。
報告來自對人工智能編程工具會話和相關基礎設施的分析。ARTEX被描述爲新近發佈的中國開源工具，本身不是大模型，而是接到ChatGPT、Claude、DeepSeek等外部模型，官方頁面寫明用於個人學習、代碼研究和本地驗證，不應拿去對在線系統做真實測試。CrowdStrike稱，攻擊者主要通過Claude Code會話調用模型，DeepSeek v4.1-flash是主後端，另有智譜GLM-5.3和Grok 4.6。DeepSeek的調用很可能經過轉售接口xcai.pro，而不是行爲者自己的直連賬戶。
會話裏出現一份未覈實的個人材料。行爲者讓Claude按安全研究員簡歷起草，材料寫了26歲、廣東華南理工大學背景。韓國媒體稱信息前後不一致，身份仍未確認。CrowdStrike還看到兩臺服務器：一臺在香港，作爲主要基礎設施；另一臺託管ARTEX實例。文件分析顯示，對方詢問過韓國被盜數據的交易場所和相關Telegram羣，被用來支持牟利判斷。
銀行側已有披露數字。Shinhan Bank稱約2.5萬名客戶受影響，KB國民銀行報119名客戶，韓亞銀行報89名客戶的信息暴露。路透社稱，自9月底至少九家韓國銀行被披露或報道爲攻擊對象。被點到的系統包括一家銀行供金融中介使用的貸款查詢服務，以及另一家銀行員工用的移動辦公支持系統。被盜數據總量和入侵全貌沒有被確認。
韓國警方本週立案，並稱已識別28個相關IP地址，其中多數看起來在掩蓋真實痕跡。總統Lee Jae Myung要求作出有力回應。國會政策委員會已批准在10月19日審計中傳喚KB國民、新韓、韓亞、友利和NH農協的行長。金融當局在考慮放寬網絡隔離，以便加強人工智能防禦。
這是事件驅動的安全採購，不是模型股價公告。買方是要補客戶通知、審計和防護的韓國銀行，賣方是出售事件響應和終端檢測的安全公司。受益的是CrowdStrike這類把會話日誌做成歸因的廠商。承壓的是被點名的銀行、被當成主後端的DeepSeek，以及把調用和賬戶拆開的接口轉售。錢的流向是合規罰款風險、客戶賠償和安全合同，不是公開市場裏的拋售指令。
來源：公開信息
ABAB AI 解讀
CrowdStrike的公開路徑是把終端日誌賣成歸因。2016年民主全國委員會事件後，它用入侵指標換到上市公司地位。這次報告的新材料不是惡意軟件家族名，而是Claude Code會話、ARTEX配置和記憶文件。行爲者讓模型寫簡歷，把26歲和華南理工寫進會話，等於把身份線索留在工具商的記錄裏。中等置信度被公司自己寫明，簡歷信息也被韓國媒體稱不一致。
資本在接口，不在模型品牌。ARTEX把規劃接到外部模型，DeepSeek v4.1-flash是主後端，GLM-5.3和Grok 4.6做補充，調用被CrowdStrike指到轉售接口xcai.pro。轉售把賬單和真人賬戶拆開，模型公司收到的是聚合流量。韓國銀行付出的是客戶數據：新韓約2.5萬人，國民119人，韓亞89人。國會10月19日要傳喚五行行長，把成本從技術事故改成管理層問責。
類比是2016年後盜版軟件和遠控工具被拆開賣，調查先打到經銷商而不是作者。行業位置是擴張期的濫用：開源滲透框架加上可替換模型，使Claude的護欄只覆蓋打到Claude模型的請求。DeepSeek、智譜和Grok各自只看見自己的接口，看不見整條任務。
結構上這是定價權轉移。過去攻擊歸因靠惡意軟件和IP，定價權在安全公司的特徵庫。會話日誌把定價權分給模型供應商和轉售站。機制是代理外殼和模型分離，賬單不在行爲者名下，追蹤就停在轉售接口。誰留着會話和簡歷草稿，誰就擁有下一段身份線索。誰只賣算力，誰就先被寫成後端，而不是被寫成僱主。
ABAB News · 認知定律
工具留檔的地方，就是身份露出的地方。
模型可以替換，賬單就會和人分開。
轉售接口一插入，追查先停在賬單層。