2026年9月末至10月初，韩国9家金融机构连续遭遇客户信息泄露事件，据称已有至少65,000条个人资料及信贷数据被窃取。韩国政府随即启动全天候网络安全紧急状态，总统下令展开全面调查。

根据CrowdStrike发布的报告，此次网络攻击的核心工具是一个名为ARTEX的开源AI渗透测试代理，该工具集成了DeepSeek、Claude Code、Grok等多款大模型，且很可能仅由一名人类黑客指挥便完成了这次大规模攻击。事件曝光后，ARTEX的中国开发者于10月8日宣布，因工具遭到滥用，该项目将从开源转为闭源，并对相关行为表示不承担任何责任。

这次危机并非普通的黑客事件，而是印证了近期网络安全领域对系统性脆弱性的担忧并非空穴来风——人工智能加速漏洞发现与潜在利用的速度和广度，已不再是仅存于报告中的假设。韩国银行系统被仅一名非顶级黑客入侵的事实，已成为这一趋势的现实写照。

这不仅是金融系统的全面溃败，更体现了攻防成本的彻底失衡。因此，无论是作为攻击工具的开发者，还是作为攻击目标的金融机构，都有理由从此次事件中汲取新的警示。

一、此次网络事件“新”在哪里？

要理解这起事件的法律意义，必须先厘清它与传统网络攻击的本质差异。这些差异不仅体现在技术细节上，更决定了责任如何划分、防线如何重构的根本变量。

1、工具会“思考”，门槛降到“会提问就行”

ARTEX被设计为一款基于人工智能的自主渗透系统，初衷是协助公司和机构进行网络安全测试与风险排查。它由中国网络安全工程师开发，于2026年7月首次在GitHub上线，并在8月的百度“agent+”攻防挑战赛中夺冠。

然而，它的能力不仅在比赛中得到认可，更在仅一个月后的韩国银行攻击事件中发挥了关键作用。

ARTEX与其他大模型协作，将整个攻击流程自动化并形成闭环：它并非仅是一次扫描或一段恶意代码，而是协调多个模型按成本、语言和任务分工合作，基于上一轮结果决定下一轮行动，大幅降低了操作者的技术门槛——他只需懂得将工具部署到可访问互联网的韩国银行门户，设定任务指向目标，然后等待即可。

CrowdStrike以“中等信心”评估，认为人为操作者未必是顶级黑客。但ARTEX将一名初级人员放大为一个多目标渗透团队，短短几天内达成了过去需要专业渗透团队数周才能完成的战果。

2、打外围不打核心——“水桶效应”下的理性选择

值得注意的是，银行最核心、防火墙最稳固的清算网络和账务数据库并未被直接攻破。已披露的受损资产全部集中在外围辅助系统，如中介查询、员工易懂办公支持系统、销售支持和外包人员库。

攻击者或工具本身，“理性”地选择了防护标准更低、行为检测空白但数据价值高的接口，利用人工智能不知疲倦的多轮试探将这些外围弱点彻底暴露。攻击手法本身仍是老旧的凭据填充，但AI带来的自适应能力——根据防御反馈调整速率、更换代理、归纳哪类门户返回有效记录——使这一老旧手法焕发出新的杀伤力。

因此，ARTEX事件所展现的并非最高技术手段，而是在充分理解整体系统“安全水平落差”后，做出的最高效、最经济的决策。

3、安全工具两用化：从冠军到黑客软件，只用了数周

ARTEX原本并非黑客程序，而是一个面向授权渗透测试的开源智能体：它本身不生产大模型能力，而是接入外部对话模型，按使用者指令进行资产梳理、弱点扫描、利用代码编写和结果验证。设计初衷是帮助企业查找漏洞、进行红队演练。

问题恰恰在于——凡是能“自主规划、自主调用模型、自主对外网出手”的防御工具，反过来也最适合被未授权者拿去攻击目标。同一套架构无需改写，只需更换目标、调整提示词、关闭授权校验，就能从“安全助手”变为“入侵流水线”。ARTEX从7月开源的“合规研究项目”、8月赢得冠军，到9月成为“银行入侵工具”，这一“武器化”周期已被压缩到数周时间。

更值得法律人关注的，是事件后开发者的反应。

软件开发者“快速闭源加免责声明”的组合，在以往网络安全案件中并不常见。ARTEX作为开源智能体渗透工具本质上具有的“两用性”，以及韩国整个国家金融系统的巨大风险后果，使开发者陷入责任不确定的“恐慌”中，因此才以最极端的方式进行“切割”，将资源从公共领域彻底移除。

二、监管框架与监管难点：跨国AI攻击如何管？

难点一：受害者的合规瑕疵

韩国金融监督院和金融安全院的事后处置，重点似乎指向银行自身。

虽然此次攻击范围在韩国前所未有，但并非所有银行和系统都遭受了同等损害。调查人员称，至少还有两家银行机构成功抵御了相同攻击，且未确认数据丢失。

与之相对，被成功入侵并窃取信息的银行，暴露了其在网络安全管理和技术上的瑕疵。新韩银行的“伤亡”最为惨重，攻击者窃取了约25,000名客户的姓名、电话号码、年收入数据及贷款限额，以及用于在线身份验证的66个国家ID号码和97个CI标识符，这一结果可能源于其贷款门户的身份验证存在一定问题。

韩国正在推进的《电子金融交易法》第二阶段改革，核心是强化CEO和董事会对网络安全的问责，将罚款制度写入法律。这意味着监管的逻辑是：即使攻击手段前所未见，基础设施运营者的基本防护义务并不因此减轻。受害者的合规瑕疵与攻击者的违法责任是两个独立问题，但在舆论和诉讼中常被混为一谈。

然而，对于ARTEX事件中大部分金融机构外围系统失守，是否应按“人工智能时代的合理技术措施”提高注意义务的门槛呢？

难点二：FTC调查的信号：模型厂商不是中立管道

就在韩国银行事件发生的同一时期——2026年9月底——美国联邦贸易委员会（FTC）对Anthropic和OpenAI启动调查，焦点是它们的大模型是否被用于生成欺诈、误导和侵权内容。其中一个关键问题是，这些智能体是否被允许访问、侦查或攻破第三方网站和系统。FTC这场调查的起因也是智能体导致的HuggingFace泄露事件，它释放了一个信号：监管机构开始追问“模型能力被武器化时，厂商有没有尽到合理注意义务”。

这一逻辑如果延伸到ARTEX事件，就会变成：DeepSeek、GLM、Grok和Claude Code的应用程序接口被用于自主渗透，厂商是否知情、能否阻断、是否留存了会话日志以供执法。

更进一步，我们将不得不面对一个法律地位转换的问题：模型应用程序接口被用于攻击时，厂商是中立的管道还是有能力合理拦截的主体？

难点三：攻击基础设施的全球分布，让国别归属失去意义

CrowdStrike的报告揭示了一个关键事实：调查人员识别的攻击基础设施中，美国占IP地址的65.7%，中国14.8%，香港10.9%，其余散布在其他国家和地区。攻击者使用了香港主控服务器、美国云主机、多国代理节点。工具本身是公开的，代码在GitHub上任何人都可以下载、修改、部署。IP地址分布在全球，意味着不能从“哪个国家的IP多”推断攻击者的国籍或国家背景。

据报道，金融安全研究所将识别出的外国攻击者IP地址分享给托管这些IP的云服务提供商，并要求这些运营商在基础设施层面拦截恶意流量。但具体这种监管措施是否有力、有效，仍有待验证。

这不是一次“某国黑客入侵某国银行”的传统叙事，而是一次“全球分布式基础设施发起、开源工具武装、多国模型赋能”的跨境攻击。国别归属在法律上的意义在这类事件中被严重削弱，跨境执法也充满了诸多不确定。

难点四：开源开发者责任

开源开发者的责任通常需要结合许可协议、权利限制、安全合规举措和信息披露程度综合认定。且原则上，免费开源与商业服务应当区别对待。

ARTEX在GitHub仓库中标注了严格的免责声明，禁止针对未授权系统使用。但意图和实际效果出现了巨大落差。法律实务中，单纯的“按现状”免责声明并不能自动免除所有责任。

但如果监管者要为开源软件的开发者设置这类责任边界，就不得不面对一个问题和矛盾：是否应该像商业服务软件一样，让开源智能体也接受发布审查？严格管控安全类开源软件可能会伤害合法的红队测试，而完全放任就会出现“发布数周就成黑客软件”的局面。

三、结语：两个教训

这起事件给两类主体留下了不同的教训，但底层逻辑是相通的。

对金融机构：你的安全水平，取决于你最薄弱的那个接口。

AI智能体的攻击逻辑是效率驱动的——它不挑最有名的目标，只挑最容易攻破的入口。这意味着网络安全遵循的不是“平均强度”或“最高强度”，而是“水桶效应”——最低处即围墙高度：贷款中介门户、员工移动系统、外包人员库，只要有一个接口的认证或速率限制弱于核心部门和同行，你就可能成为攻击者的选择。

在一个AI可以同时试探上百个目标的时代，网络安全不仅仅要把所有入口当做核心门户来保护，而且还要跟隔壁银行做比较。你的护栏如果比同业低一寸，你就替整个行业挡了这一刀。

对模型大厂：能力可以开源，责任不行。

模型厂商提供的是一台能自主规划、调工具、换策略的机器。使用政策写在网站上，攻击者会当然无视。真正的合规底线不是“我们禁止非法使用”，而是“我们有没有在产品层面让非法使用变得足够困难”——目标白名单、授权校验、危险动作人工审批、全链路日志，缺少主动的防御技术和合规动作，免责声明就只是一行字。闭源可以切断未来，但切不断已经流出去的版本和已经产生的损害后果。

本文来自微信公众号“Internet Law Review”，作者：张颖，36氪经授权发布。