800 多个 AI 黑客工具裸奔公网：Artex 让自动化渗透变成白菜价

安全公司 Censys 在 11 月 6 日公布了一份扫描结果：全网有 800 多个 Artex 实例可以不用密码直接访问。Artex 不是普通软件，而是一款 7 月开源的自主渗透测试工具——用 AI Agent 自动找漏洞、自动打进去、自动把数据拉出来。

换句话说，攻防两端最锋利的工具之一，眼下有八百多份摆在公网上，谁都能上手。这件事的荒诞之处在于：Artex 本身完全不需要暴露在公网就能运行，是使用者自己把它挂上去的。

Artex 是什么：一个不用人盯着的攻击 Agent

Artex 是开源自主渗透测试工具，逻辑上更接近”AI 攻击小组”而不是单个扫描器。微软此前对它的描述是：一组 AI Agent，可以在几乎不需要人工介入的情况下，完成从信息侦察到数据外流的全过程。

它能火起来有个现实原因：Anthropic 和 OpenAI 最先进的网络安全模型都有严格的使用限制，绝大多数人拿不到。而 Artex 开源、免费、能自己部署，于是成了拿不到官方授权的团队（以及攻击者）的替代方案。

Censys 首席安全研究员 Silas Cutler 说得很克制：并非每个 Artex 实例都在被恶意使用，很多是授权的测试人员在跑。问题在于没有理由把测试系统暴露到公网——这些开放实例里还留着植入物（implant）这类攻击工具，谁先找到谁就能用。

已经打过的仗：韩国金融业与 ConnectWise

这不是纯理论风险。9 月韩国金融行业遭遇的大规模攻击，CrowdStrike 归因于一名中文使用者，其中一个关键线索就是攻击者留下的”开放目录”——那个 Artex 实例在公网上暴露了几个月，里面的攻击数据远不止韩国银行，还包括支付和游戏公司。

10 月对 IT 服务商 ConnectWise 的攻击同样与 Artex 有关：攻击者借助它进入客户在微软云上的环境，窃取托管在里面的数千家机构的数据。微软的说法是攻击速度太快，防守方”几乎没有时间检测和响应”。

最扎心的细节：得手的都是低级漏洞

把上面两起事件和漏洞细节放在一起看，会发现对比非常刺眼。多数关联攻击利用的是最基础的问题：弱密码或已泄露的默认密码、缺失多因素认证。不是零日，不是 AI 自己发明的攻击手法。

AI 在这里起的作用不是”想出人类想不到的招”，而是把”发现这些低级问题 → 尝试利用 → 横向移动”的执行成本压到了接近零。以前需要一个人花几天做的事，现在交给 Agent 集群跑一晚上。攻防的成本曲线被彻底改写了。

这也解释了为什么我们对 Agent 越权行为的报道越来越密集：从 OpenAI 模型黑进加密钱包 到 Qwen3.8-Flash-Next 被曝外传文件，都是同一个问题的不同侧面——Agent 拿到凭证之后，边界在哪里。

防守方的工具也在同步进化，比如 Anthropic 的免费 OSS Scanner 和 OpenAI 安全模型扫出 Linux 948 个漏洞，都是用强模型替开源项目做体检。但工具再好，前提是你别把工具本身的门敞开。

对普通团队意味着什么：三条能立刻做的事

• 自查公网资产：任何带”管理后台”的自建系统，先确认有没有免登录访问。Artex 这类系统的默认配置往往监听 0.0.0.0，测试机上随手一开就是全公网可见。
• 给 AI Agent 加身份边界：Agent 用的凭证应该是短期的、最小权限的、可审计的。别用长期有效的管理员 token 让它”方便一点”。
• 多因素认证先补齐：上面两起大规模事件里，MFA 缺失都是关键放大器。这条比买任何 AI 安全产品都便宜有效。

Artex 转闭源，但”复制品”还在

Artex 团队后来宣布转闭源，只对付费客户提供新版本，算是主动收口。但已经流出的代码不会消失——代码托管网站上仍有几十份 Artex 副本可以被拿去发动攻击。开源模型一旦放出去，就收不回来了。

顺带一个信号：Google 的 Gemini 4 Argon 明确专攻网络安全、能自主发现并修补漏洞，OpenAI 也把网络安全模型当成独立产品线。安全正在成为前沿模型的第一个”杀手级企业场景”，而这背后是攻防双方都在用同一批模型。

常见问题（FAQ）

Artex 是什么？合法吗？

Artex 是一款开源的自主渗透测试工具，本身属于合法的安全测试软件，授权范围内使用完全合法。它的风险来自滥用：对未授权目标发起测试就是攻击行为。目前该项目已宣布转闭源，新版本只对付费客户开放。

为什么会有 800 多个实例暴露在公网？

多数是部署时的疏忽。这类系统默认监听所有网卡，测试人员在自己的云服务器上跑起来，安全组没限制端口，就直接变成了全网可访问。Artex 本身不需要公网暴露也能正常工作，纯属配置问题。

我的服务器会不会被这类工具扫到？

会被扫到，而且这是常态——互联网上的自动化扫描每天都有。能决定结果的是你有没有基础防护：关闭不必要的公网端口、强制多因素认证、及时打补丁、不用弱口令。这几项做到，绝大多数自动化攻击会在第一步就放弃。

企业该怎么防 AI 攻击 Agent？

核心是管住凭证和权限，而不是试图拦住流量。给 AI Agent 的账号做最小权限、短有效期、全量审计；对高危操作（导出数据、修改权限、转账）加人工二次确认。可参考 Meta 与 Shopify、Stripe 制定的个人智能体协议 里的权限分层思路。

总结

800 个裸奔的 Artex 实例，暴露的不是某个产品的 bug，而是整个行业对”AI 工具默认安全”的想当然。攻击成本正在被 Agent 压到白菜价，而多数组织的防线还停在弱密码和没有 MFA 的水平上。这个差距，今年不会自动缩小。

想持续跟踪 AI 安全与工具动态？看看我们的 AI 模型库 和 工具对比引擎，或继续阅读：Claude VS Code 扩展被投毒 · OpenAI 智能体泄露用户照片 · 全部深度评测。