2026年9月底到10月初，韩国9家金融机构接连发生客户数据外泄，据称目前包含至少65,000条个人信息和信贷数据被盗取。韩国政府已经启动了全天候网络安全紧急状态，总统下令彻查。

根据CrowdStrike的报告，此次网络攻击事件的核心工具是一个开源的AI渗透测试代理ARTEX，其背后搭载了DeepSeek、Claude Code、Grok等多款大模型，并很可能是仅在1名人类黑客指挥下实施了这次大规模攻击。事件被披露之后，ARTEX的中国开发者在10月8日宣布，由于工具被滥用，该项目将从开源转为闭源，并表示对此类行为不承担任何责任。

这场危机不是一起寻常的黑客事件，它印证了近几个月网络安全领域对于系统性脆弱的担忧并非假设——人工智能加速漏洞发现和潜在利用的速度和广度，不再是仅仅出现在报告中虚拟语态中。韩国银行大范围被仅仅1名非顶级黑客入侵的事实，已经成为这一转变趋势的现实版本。

这并非仅仅是金融系统的全面溃败，而是攻防成本的彻底失衡。因此，无论是作为攻击工具的开发者，还是作为攻击目标的金融机构，都有理由从此次事件中学习到新的警示。

一、此次网络事件“新”在哪里？

要理解这起事件的法律意涵，必须先看清它与传统网络攻击的本质区别。这些区别并非仅仅在于技术细节，而是决定了责任如何分配、防线如何重画的根本变量。

1、工具会“思考”，门槛降到“会提问就行”

ARTEX被设计为一个基于人工智能的自主渗透系统，本来的用途是帮助公司和机构做网络安全测试与风险排查。它由中国的网络安全工程师设计，在2026年7月首次上线GitHub，并在8月的百度“agent+”攻防挑战赛中夺冠。

然而，它的能力不仅仅在比赛中获得了认可，也在仅仅1个月之后的韩国银行攻击事件做出了巨大的贡献。

ARTEX与其他大模型合作，将整个攻击自动化并形成了循环：它不是一次扫描，更不是一个模型写一段恶意代码那么简单，而是协调多个模型按成本、语言和任务分工协作，基于上一轮的结果决定下一轮动作，大大降低了操作员的技术底线——他只需懂得将工具部署到可访问互联网的韩国银行门户，将任务设置指向目标，然后等待即可。

CrowdStrike给出“中等信心”评估（moderate confidence），人为操作者未必是顶级黑客。但ARTEX把一个初级人员放大成了一个多目标渗透团队，短短几天内达成了过去需要专业渗透团队数周才能完成的战果。

2、打外围不打核心——“水桶效应”下的理性选择

值得注意的是，银行最核心、防火墙最稳固的清算网络和账务数据库并未被直接击穿。已披露的受损资产全部集中在外围辅助系统，如中介查询、员工易懂办公支持系统、销售支持和外包人员库。

攻击者或者是工具本身，“理性”地选择了防护标准更低、行为检测空白但数据价值高的接口，用人工智能不知疲倦的多轮试探把这些外围弱点彻底暴露出来。攻击手法本身也只是老旧的凭据填充，但AI带来的自适应能力——根据防御反馈调整速率、更换代理、归纳哪类门户返回有效记录，也让这一老旧的手法焕发出新的杀伤力。

因此ARTEX事件所展现的并不是最高的技术手段，而是在足够理解了整体系统“安全水平落差”的情况下，做出的最有效率、最经济的决策。

3、安全工具两用化：从冠军到黑客软件，只用了数周

ARTEX本来不是黑客程序，而是一个面向授权渗透测试的开源智能体（agent）：它自己并不生产大模型能力，而是把外部对话模型接进来，按使用者的指令做资产梳理、弱点扫描、利用代码编写和结果验证。设计初衷是帮企业找漏洞、做红队演练。

问题恰恰出在这里——凡是能“自主规划、自主调用模型、自主对外网出手”的防御工具，反过来也最适合被未授权者拿去打目标。同一套架构不需要改写，只换目标、换提示词、关掉授权校验，就可以从“安全助手”变成“入侵流水线”。ARTEX从7月开源的“合规研究项目”、8月赢得冠军，到9月成为“银行入侵工具”，这一“武器化”的周期已经被压缩到数周的时间。

更值得法律人注意的，是事件后开发者的反应。

软件开发者“快速闭源＋免责声明”的组合，在以往网络安全案件里不常见的。ARTEX作为开源的智能体渗透工具在本质上所具有“两用性”，以及韩国整个国家金融系统的巨大风险后果，让开发者陷入一种责任不确定的“恐慌”之中，因此才以最极端的方式进行“切割”，将资源从公共领域彻底移除。

二、监管框架与监管难点：跨国AI攻击如何管？

难点一：受害者的合规瑕疵

韩国金融监督院和金融安全院的事后处置，重点似乎指向银行自身。

虽然此次攻击的范围是韩国前所未有的，但并不是所有银行和所有系统受到了同等的损害。调查人员称，至少还有两家银行机构成功抵御了相同的攻击，且未确认数据丢失。

而与之相对的，被成功入侵并窃取信息的银行，暴露了其网络安全管理和技术上的瑕疵。新韩银行的“伤亡”作为惨重，攻击者窃取了约25,000名客户的姓名、电话号码、年收入数据及贷款限额，以及用于在线身份验证的66个国家ID号码和97个CI标识符，而这个结果可能是由于其贷款门户的身份验证存在一定问题。

韩国正在推进的《电子金融交易法》第二阶段改革，核心就是强化CEO和董事会对网络安全问责，罚款制度写入法律。这意味着监管的逻辑是：即使攻击手段前所未见，基础设施运营者的基本防护义务并不因此减轻。受害者的合规瑕疵与攻击者的违法责任是两个独立问题，但在舆论和诉讼中经常被混为一谈。

然而对于ARTEX事件中大部分金融机构外围系统失守，是否应当按照“人工智能时代的合理技术措施”提高注意义务的门槛呢？

难点二：FTC调查的信号：模型厂商不是中立管道

就在韩国银行事件发生的同一时期——2026年9月底——美国联邦贸易委员会（FTC）对Anthropic和OpenAI启动了调查，焦点是它们的大模型是否被用于生成欺诈、误导和侵权内容。其中一个调查的关键问题是，这些智能体是否被允许访问、侦查或攻破第三方网站和系统？FTC这场调查起因也是智能体导致的HuggingFace泄露事件，它释放了一个信号：监管机构开始追问“模型能力被武器化时，厂商有没有尽到合理注意义务”。

这个逻辑如果延伸到ARTEX事件，就会变成：DeepSeek、GLM、Grok和Claude Code的应用程序接口被用于自主渗透，厂商是否知道、能否阻断、是否留存了会话日志以供执法。

更进一步，我们将不得不面对一个法律地位转换的问题：模型应用程序接口被用于攻击时，厂商是中立的管道还是有能力合理拦截的主体？

难点三：攻击基础设施的全球分布，让国别归属失去意义

CrowdStrike的报告揭示了一个关键事实：调查人员识别的攻击基础设施中，美国占IP地址的65.7%，中国14.8%，香港10.9%，其余散布在其他国家和地区。攻击者使用了香港主控服务器、美国云主机、多国代理节点。工具本身是公开的，代码在GitHub上任何人都可以下载、修改、部署。IP地址分布在全球，意味着你不能从“哪个国家的IP多”推断攻击者的国籍或国家背景。

据报道，金融安全研究所将识别出的外国攻击者IP地址分享给托管这些IP的云服务提供商，并要求这些运营商在基础设施层面拦截恶意流量。但具体这种监管措施是否有力、有效，仍有待验证。

这不是一次“某国黑客入侵某国银行”的传统叙事，而是一次“全球分布式基础设施发起、开源工具武装、多国模型赋能”的跨境攻击。国别归属在法律上的意义在这类事件中被严重削弱，跨境执法也充满了诸多不确定。

难点四：开源开发者责任

开源开发者的责任通常需要结合许可协议、权利限制、安全合规举措和信息披露程度综合认定。且原则上，免费开源与商业服务应当区别对待。

ARTEX在GitHub仓库中标注了严格的免责声明，禁止针对未授权系统使用。但意图和实际效果出现了巨大的落差。法律实务中，单纯的“按现状”免责声明并不能自动免除所有责任。

但如果监管者要为开源软件的开发者设置这类责任边界，就不得不面对一个问题和矛盾：是否应该像商业服务软件一样，让开源智能体也接受发布审查？严格管控安全类开源软件可能会伤害合法的红队测试，而完全放任就会出现“发布数周就成黑客软件”的局面。

三、结语：两个教训

这起事件给两类主体留下了不同的教训，但底层逻辑是相通的。

对金融机构：你的安全水平，取决于你最薄弱的那个接口。

AI智能体的攻击逻辑是效率驱动的——它不挑最有名的目标，只挑最容易攻破的入口。这意味着网络安全遵循的不是“平均强度”或者“最高强度”，而是“水桶效应”——最低处即围墙高度：贷款中介门户、员工移动系统、外包人员库，只要有一个接口的认证或速率限制弱于核心部门和同行，你就可能成为攻击者的选择。

在一个AI可以同时试探上百个目标的时代，网络安全不仅仅要把所有入口当做核心门户来保护，而且还要跟隔壁银行做比较。你的护栏如果比同业低一寸，你就替整个行业挡了这一刀。

对模型大厂：能力可以开源，责任不行。

模型厂商提供的是一台能自主规划、调工具、换策略的机器。使用政策写在网站上，攻击者会当然无视。真正的合规底线不是“我们禁止非法使用”，而是“我们有没有在产品层面让非法使用变得足够困难”——目标白名单、授权校验、危险动作人工审批、全链路日志，缺少主动的防御技术和合规动作，免责声明就只是一行字。闭源可以切断未来，但切不断已经流出去的版本和已经产生的损害后果。