1,465 台不设防的攻击控制台：ARTEX 敲了三个月的警钟
ARTEX 是一款今年 7 月才公开发布的开源渗透测试 Agent。它的作者在 10 月宣布闭源、仓库已经删除，但它在互联网上留下的东西没有被删掉。
Censys 在 11 月 3 日扫了一遍互联网，找到 1,465 台对外可达、且不需要密码就能打开的 ARTEX 控制台。这些控制台不是数据中心的监控面板——它们是攻击工具的操纵界面，里面存着攻击目标、植入程序、以及操作者自己的家目录。
这件事值得单独写一篇，不是因为「又有个工具泄露了」，而是因为它把 AI Agent 落地后的一个新形态暴露得很完整：一个 LLM 驱动的攻击 Agent，从代码到部署到失控，全程只用了三个多月。
一句话结论
- 1,465 台是扫描命中数，不等于 1,465 个攻击者。其中约 650 台集中在两家托管商的同一套模板里，真正看着像独立部署的约 815 台。Censys 判断这个整齐程度更像「一个开服模板被复制」，不是几百个各自为战的团队。
- 这工具已经真的被用去打人了。CrowdStrike 把它归到 9 月底针对韩国金融业的攻击；Microsoft 把它归到 10 月 ConnectWise 云备份供应链攻击，那次尝试登录超过 2,250 个租户，峰值 每分钟 2,900 次，部分受害者在三小时内就拿到了特权云访问。
- 最危险的泄露不是控制台本身，是开放目录。Censys 看到 32 个开放目录，其中一个从 8 月 18 日就对外可见，比 CrowdStrike 发报告早了七周；里面躺着攻击脚本、一个
.claude文件夹，还有一个操作者完整的家目录（含.ssh与.bash_history）。 - 对防守方的意义：这类 Agent 工具的攻击速度确实变了量级，但入侵入口没有变——大部分关联攻击仍然靠弱密码、已知密码、没开多因素认证。工具升级了，卫生没升级。
1）ARTEX 是什么：给扫描器装上 LLM 大脑
ARTEX 的结构不复杂，值得讲清楚，因为它解释了为什么这种工具能被快速复制和部署。
它用 Go 写主体，配一个 Next.js 的 Web 控制台和一个 PostgreSQL 后端。操作方式是「定目标、给意图」：界面上有个默认的任务框，写着类似「要达成什么，比如拿到后台管理权限或服务器权限」的提示，然后 Planner Agent 生成攻击意图，Worker Agent 去执行具体工具——Docker 镜像里自带 nmap。它会维护一张资产图和一张探索图，还能用 mitmproxy 记录流量。
模型接的是 Anthropic、OpenAI 或任何 OpenAI 兼容端点。也就是说，这东西的门槛不是技术，是一个 API key。
它也不是从零开始的项目。ARTEX 建在一个叫 ScopeSentry 的国产资产发现与漏洞扫描项目上，那个项目 GitHub 星数超过 2,000。Censys 的说法很准确：ARTEX 是「在那套侦察底座上加的一层 AI Agent」。
时间线很短：7 月 26 日在 GitHub 上以 Autumn-27/ARTEX 发布，AGPL-3.0；十周内长到 1,500–2,000 星。10 月 7 日 CrowdStrike 发报告，10 月 8 日作者 Autumn-27 就声明自己与那些攻击无关、初衷是授权测试，并宣布闭源、不再发版本。仓库随后被删——但存档、翻译版和改名版继续流传，其中一个叫 ScopeWeaver。
「删仓库」在开源世界里从来不是撤回。代码一旦被镜像过，删除只是把首发地址拿掉了。
2）1,465 台怎么来的：两家托管商占四成
Censys 的识别方法是页面标题加静态资源特征：本地化标题以 ARTEX 开头，后面跟空格、冒号或破折号，再配合 Next.js 的 _next/static 路径。按这个方法，11 月 3 日扫到 1,465 台，11 月 4 日复扫确认。
但数量本身需要打折，而且折扣打得很大：
| 观察项 | 数量 | 说明 |
|---|---|---|
| 暴露的 ARTEX 控制台 | 1,465 台 | 11 月 3 日 Censys 探测命中 |
| 集中在两个同配置托管区块 | 约 650 台 | 同一套端口布局，不像独立部署 |
| 看着像独立部署 | 约 815 台 | 扣掉模板化的部分 |
| PEG Tech（AS54600） | 493 台 | 分布在 13 个 /24 网段 |
| Yancy Limited（AS138415） | 157 台 | CyberPanel 加邮件服务器的模板 |
| 两家合计占比 | 约 44% | Censys 称其为「开服模板」 |
| 默认端口 8787 的端点 | 1,931 个 | 其次为 8790、443、80 |
Censys 原话说得很克制：这个均匀程度反映的是「一个开服模板，而不是几百个独立操作者」。对 Yancy 那 157 台，他们的描述是「一台服务器的模板在很多地址上重复」。
地理分布倒是很说明问题：美国 726 台、香港 387 台、中国 177 台、日本 51、新加坡 38、韩国 21。界面语言默认中文，另有英、韩、日、俄、葡几种本地化。
还有一条数字比上面这些都值得盯：155 台（10.6%）同时还挂着至少一条其他威胁检测。CyberStrikeAI 与它共存于 70 台；PentAGI、HexStrike AI、RedAmon 也出现了。43 台跑着自建的 LLM 网关或转售软件——CLIProxyAPI 19 台、New API 18 台。这几个名字眼熟：转售 API 的中转站，和前面那些自主攻击 Agent 是同一批人。
3）真正的杀伤在开放目录
控制台暴露让人知道「这里有个攻击台」，开放目录暴露的则是攻击台里的全部内容。Censys 一共看到 32 个开放目录，几个样本足够说明问题的性质：
110.42.215.163:18080：GodPotato、Invoke-TheHash / SMBExec / WMIExec、pass-the-hash 脚本，以及一个 MSSQL UDF DLL。108.165.147.226:8299：三个beacon_linux_amd64植入程序构建产物、反弹 shell 脚本；同一台机器还跑着 FRP 和 CyberStrikeAI。154.12.86.207:18080：一个操作者完整的家目录，包括.ssh、.bash_history和 ARTEX 安装目录。181.41.194.136:8081：约 18 个 HTA dropper、批处理加载器、wpad.dat，以及一把 MITM 根证书的私钥。
最该记的一条是时间：CrowdStrike 点名的那台主机 38.244.50.120，它的开放目录从 8 月 18 日就对着公网可见了——比报告早七周。里面是漏洞利用二进制和一个 .claude 文件夹。
而且这些目录不是长期挂着让人慢慢发现的静态资产，它们是流动的：11 月 3 日到 5 日之间关掉了 10 个，在别的 ARTEX 主机上新开了 15 个。绝大多数只活了几个小时到一两天。Censys 对此的评价是「这个错误并不罕见」——这句话本身就是结论：这不是一次事故，是一种普遍的工作习惯。
4）已经打出去的两次：韩国金融与 ConnectWise
一份暴露清单如果没有对应的实战记录，说服力会打折。这里有两份，都来自一线厂商的归因报告。
CrowdStrike，10 月 7 日，韩国金融业。一个未归因的行为者从 9 月底到 10 月初，打了一家韩国金融机构。CrowdStrike 用中等信心评估为「以经济动机为主的中文使用者」。手法是攻破一家银行的经纪端贷款查询服务、另一家银行的员工移动系统，然后外泄数据。ARTEX 跑在 38.244.50.120 上，主模型是 DeepSeek v4.1-flash，Censys 判断「很可能是通过 API 转售商买的」。同一个行为者还在用 Claude Code 会话，后端接的是 GLM 和 Grok。那台机器 18899 端口上的开放目录，把 .claude 文件夹、提示词、会话历史和 ARTEX 配置文件全泄出去了。文件名显示，他们的目标不止韩国那几家银行，还延伸到支付和游戏公司。
Microsoft，10 月 21 日，ConnectWise 云备份。微软把这次供应链攻击归到 Storm-0940，一个至少从 2021 年就活跃的中国国家背景行为者，用 ARTEX 自动化扫描、密码喷洒和 OAuth 应用滥用。数字很硬：尝试登录超过 2,250 个租户，峰值 每分钟 2,900 次；部分受害者不到三小时就出现了特权云访问。微软的原话是防守方「几乎没有时间检测和响应」。
5）该怎么读这件事：AI Agent 加速的是速度，不是入口
把上面的材料放在一起，有三条判断值得分开说，因为混在一起就容易被讲成「AI 让黑客变强了」这种笼统结论。
第一，被放大的确实是速度。2,900 次/分钟的登录尝试、三小时内拿到特权访问，这个节奏不是人手能完成的。Agent 的价值在攻击侧和防守侧是对称的：它替人做重复的、需要判断的、量大到人做不完的事。
第二，入口没有升级。Censys 说得很直接：多数关联攻击依赖的是简单弱点——弱密码或已知密码，以及缺少多因素认证。也就是说，被攻破的原因在 2026 年和 2016 年是同一批原因，只是现在扫描和爆破的吞吐量高了一个量级。防守的优先级不该跟着新闻热度调整。
第三，模型来源的治理基本是空白。这三份材料里出现了 DeepSeek、GLM、Grok、Claude，其中一部分还走了转售通道。同一个「攻击 Agent」框架，换个 API 端点就是另一套能力。现在的制裁和出口管制体系里，几乎没有一条是针对「模型 API 被用于自动化攻击」的，而转售商让这条链路更难追溯。
6）如果你负责防守，具体该查什么
Censys 和 CrowdStrike 都给了可以直接落地的方向，这里挑出成本最低的几条：
- 查自己的出口流量有没有指向这些端口：默认 8787/tcp，其次 8790、443。如果内网里有人连过这类控制台，那是一条很硬的线索。
- 盯 mitmproxy 的横幅：ARTEX 会用它记录流量，扫描历史里出现 mitmproxy 特征、或者高端口上短暂的 Python SimpleHTTP 服务，往往出现在控制台之前。
- 排查 Vshell / FRP / NPS 监听器：这三个名字在样本里反复与 ARTEX 共存，属于同一条作战链上的常用件。
- 清掉自己的开放目录：这次的教训非常直接——攻击者自己也在犯这个错，而防守方没必要陪着犯。任何能通过 80/18080 直接列目录的服务，都该现在就关。
小结
ARTEX 的全部故事可以压成三句话：一个 7 月才开源的 LLM 渗透框架，10 周涨到两千星；10 月被两家厂商归到真实的金融与供应链攻击；11 月被扫出 1,465 台不设防的控制台，其中一部分装着操作者的 .ssh 和 .bash_history。
这里没有任何一环是「AI 独有的新风险」。开源即失控、删仓库即作废、默认配置即漏洞、模型 API 无人管——每一条都是老问题。真正新的地方只有一处：现在把这些老问题组装成一台自动化攻击机器，需要的时间是一个周末，不是一个团队半年。
想在自己机器上跑开源的 Agent 工具做防御验证、又不想为了一个 API key 到处试账单？可以看看俱乐部的 Claude Max / ChatGPT Pro 拼车方案。
