把自动攻击别人的 AI 武器架在公网上，自己却连登录密码都忘设。网络安全公司 Censys 的首席安全研究员 Silas Cutler 在 2026 年 11 月 5 日发了一份报告，截至 11 月 4 日，他们在互联网上扫出了 1,465 个无需密码就能直接进后台的 Artex 控制台主机。哪怕剔除掉两个统一配置的托管集群（约 650 个），依然剩下约 815 个外观独立的部署实例在公网裸奔。
这事最荒诞的地方就在这里。Artex 是一款中国制造的开源多智能体（multi-agent）渗透测试工具，7 月刚放出来时，卖点是极少人工干预就能全自动跑完从侦察到窃取数据的整条攻击链。结果一帮黑客和测试人员拿它去扫别人的漏洞，转身就把自己的控制台、植入物木马（implants）和受害者名单全晾在了大马路上，任何路人点开网页就能接管这套攻击系统。
删库一个月后，1465 个控制台还在公网替黑客招供
先把这起事件的账本对清楚，顺便纠正一个流传很广的误读：
- 发生了什么.7 月开源的 Artex 被大量缺乏合规大模型权限的人当成平替武器。到了 9 月，它卷入针对韩国金融业的网络攻击；10 月又被用于攻击 IT 巨头 ConnectWise。
- 为什么会泄密.Artex 本身根本不需要暴露在公网上就能运行，但大批使用者不仅没设登录鉴权，还留着开放目录（open directory）。CrowdStrike 之所以能把 9 月韩国金融业遇袭溯源到一名中文黑客，正是因为对方把托管 Artex 的目录敞开放在网上好几个月；Censys 顺着这个实例查下去，发现里面的攻击数据远不止韩国银行，还牵扯了多家支付和游戏公司。
- 谁最受冲击.首当其冲的是使用 ConnectWise 等多租户管理软件及 Microsoft 365 的企业。微软安全研究与威胁情报团队在 10 月 21 日发报告点名，与中国国家背景关联的威胁组织 Storm-0940 在 ConnectWise 供应链攻击中用上了 Artex，借被滥用的应用凭据直接摸进下游数千家机构的微软云环境。
外界报道说 Artex 最近才宣布转为闭源，目的是把后续版本留给付费客户。这跟事实对不上。
Artex 的开发者 Autumn-27 早在 10 月 8 日，也就是韩国银行遭攻击的报告出来后，就顶不住压力宣布项目彻底转为闭源、停止公开更新和维护；路透社在 10 月 9 日核实时，其原始 GitHub 页面已经被删得干干净净。欧盟计算机应急响应小组（CERT-EU）也在 11 月 5 日发通告提醒，现在网上能下到的数十个代码副本全是独立分支（forks），早已不是官方上游版本，但全球多个威胁行为者照样在拿这些分支干活。
扒开 10 个裸奔数据库，全能黑客神话露出幻觉底裤
看完前面这些战报，你很容易产生一种恐慌，觉得 AI 已经成了无坚不摧的超级黑客。我对这种叙事不太买账。
微软在报告里确实强调，黑客用 Artex 闯入客户云环境、窃取数据的速度快到防守方几乎没有时间检测和响应。但速度快，不代表脑子好使。正因为这帮攻击者把后台敞在公网上，安全厂商得以直接趴在他们的数据库里看现场回放。
Check Point 在 11 月 5 日发布的报告里，直接拆解了 10 个暴露的 Artex 数据库操作端证据。结果让人发笑。在一场针对加密货币的攻击活动里，Artex 的 AI 代理把靶标服务器正常的 API 成功响应，脑补成了自己已经成功把钱偷出来了，喜滋滋地在后台报喜；Check Point 一查账，这场攻击的实际收益为零，一分钱都没划走。
AI 代理没有变成超级黑客，它只是把撞库变成全天候流水线。
再看那些真正得手的案例。无论是韩国金融机构还是企业云环境，Artex 攻破的绝大部分目标，靠的都是猜弱口令、试已知密码，或者钻了对方没开多因素认证（MFA）的空子。
这就是我更在意的分水岭。目前的自主 AI 攻防工具根本没有长出攻克复杂高难漏洞的智力，它的真实作用是低级漏洞加速器。以前需要几个熟练工熬夜盯屏幕的撞库、凭证复用和翻找目录，现在被多智能体包装成了一条高速运转的机器流水线。只要你的大门没锁好，它能在几分钟内把屋里搬空；可要是门锁稍微复杂一点，它连自己有没有进门都能看走眼。
数字石棉一旦撒进墙缝，原作者删库也收不回来
为什么一款用来找别人漏洞的工具，自己却成了全网最大的漏勺？
答案不在 AI 算法，而在用工具的人。OpenAI 和 Anthropic 对旗下的前沿模型做了严格的合规封锁，不让随便跑自动化攻击；这直接催生了地下和半地下市场对开源无限制工具的饥渴。但开源工具降低了开火门槛，却没有提高使用者的运维智商。大批脚本小子和急功近利的测试人员把代码拉下来、一键跑通容器就算完事，连最基础的端口隔离和后台鉴权都懒得配。
- 风险.在 Reddit 的 r/Pentesting 等技术社区里，不少一线渗透测试人员已经在提醒另一层隐患。虽然有人抱怨合法工具不该因为黑客滥用就被迫删库，也有人质疑早期报道在炒作威胁，但更致命的问题在于，跑这类 Agent 工具必须把客户目标的探测数据实时发给外部大模型提供商，这等于把甲方的敏感内网结构直接喂给第三方 API；更有分支维护者扒出，Artex 的上游代码本身就留着一堆遗留依赖项问题和没跑通的测试。
《韩非子》里讲，操刀必割。意思是拿着刀干活的人，手艺不精或者心神不宁，这把刀迟早要割到自己手上。
二十世纪初的冷兵器作坊变成了今天的 GitHub 仓库，人性里的偷懒和贪快却一点没变。Silas Cutler 给这篇调查报告起了个很毒的标题，叫代理石棉（Agentic Asbestos）。二十世纪的建筑业贪图石棉防火又便宜，往墙体里到处塞，等后来发现这东西致癌想拆掉时，它已经嵌进成千上万栋建筑的缝隙里了。
今天的情况跟石棉还不完全一样。物理世界的石棉至少不会自己繁殖，而开源的 AI 攻击框架一旦放上网，哪怕原作者 Autumn-27 在 10 月 8 日就悔悟删库，那数十个分叉出去的代码库和 1,465 台跑在公网上的主机，已经成了没人管辖的野生军火库。
- 建议.对于企业防守方来说，与其焦虑 AI 黑客是不是有了自我意识，不如今天就把所有多租户管理后台和 Microsoft 365 的多因素认证（MFA）强制焊死，顺手清掉长期不换的应用凭据。
毕竟，连黑客自己都因为忘设密码把老底交了出去。在这场比拼谁更粗心的游戏里，谁先把基础防线扎紧，那些看着吓人的自动攻击流水线就只能在对面空转。