韩国多家金融机构遭AI智能体入侵，被攻破的不是银行App，而是贷款中介和员工用的系统

2026年10月7日，美国安全公司CrowdStrike发布了一篇文章，分析针对韩国金融机构的攻击。9月底到10月初，韩国多家金融机构发生客户信息外泄。CrowdStrike认为，攻击者借助AI智能体，在短时间内入侵了多个目标。但CrowdStrike描述的两个受害系统，都不是客户使用的银行App。一个是贷款中介使用的进度查询服务，另一个是员工用的移动办公支持系统。 crowdstrike

攻击者把AI工作记录留在了谁都能打开的服务器文件夹里，被CrowdStrike拿到

CrowdStrike分析的材料，来自攻击者控制的一台服务器上的公开目录，也就是被设置成任何人都能浏览的文件夹。里面原样留着Claude Code的会话记录、一个名为ARTEX的AI智能体的配置文件，以及Claude用来记住工作内容的记忆文件。CrowdStrike从韩国的事件报道入手找到了这些痕迹，并核对记录中出现的目标是否与业内已知的受害机构吻合。 公开说明中没有提到它是否直接查看过受害机构的内部日志。 crowdstrike

记录里还留下了入侵之后的事。攻击者问Claude，韩国泄露的数据通常在哪里出售；在另一个会话里，攻击者让Claude写一份写进此次行动成果的“安全研究员简历”，并输入了姓名、联系方式等个人信息。CrowdStrike写道，这些信息很可能属于攻击者本人，但无法确定。 从入侵到打听数据销路，都在同一个AI工作空间里完成，这些记录也就成了追踪攻击者的线索。 crowdstrike

CrowdStrike在结论中这样写道： crowdstrike

“AI tooling can enable a financially motivated threat actor to conduct multiple intrusions within a short time span.”（AI工具能让以牟利为目的的攻击者在短时间内实施多次入侵。）

不过，CrowdStrike在同一篇文章中写明受害机构的数量尚未得到确认，并表示对攻击者是中文使用者、以牟利为目的这一判断只有中等把握。CrowdStrike是销售威胁情报产品的公司，这篇分析的末尾也附上了申请产品演示的入口。 crowdstrike

攻击者用别家公司的商用AI模型驱动一款问世仅两个月的免费工具，对多家金融机构广撒网式入侵

ARTEX是7月26日在GitHub上发布的开源智能体，用AI自动执行渗透测试，也就是故意尝试入侵系统来寻找漏洞。9月3日，它在百度举办的AI安全智能体攻防对抗赛中，从约150支队伍里拿下综合第一。9月24日最新版本发布，三天后的9月27日，针对国民银行的攻击开始了。 reuters +1

ARTEX本身没有AI模型，必须接入ChatGPT、Claude、DeepSeek等外部商用模型才能运行。 从CrowdStrike拿到的配置来看，攻击者给ARTEX接入的主模型是DeepSeek v4.1-flash，而且不是通过DeepSeek官方服务，而是通过一家疑似转售使用额度的中间商接入。除了ARTEX，攻击者还另外使用了Anthropic的AI编程工具Claude Code，并在部分Claude Code会话中把智谱AI的GLM-5.3和xAI的Grok 4.6用作辅助模型。 这次攻击用到的AI，全都是多家公司已经在提供服务的商用模型。 reuters +1

CrowdStrike的Adam Meyers对Reuters表示，这是一起“借助AI智能体的人类攻击者”发动的攻击，有了AI的帮助，“一个人就能在极短时间内瞄准大量目标”。 韩国当局也认为，这不是挑选特定公司下手的攻击，而是用AI对多家金融机构不加选择地尝试入侵，防御薄弱的地方被攻破了。韩国金融安全院院长表示，针对各家银行的攻击来源IP几乎相同，储蓄银行那边则略有不同。 目前还没有官方确认所有受害公司都是被同一攻击者用同一工具攻破的。 reuters +1

主导攻击的是人。金融安全院相关人士表示，这次攻击中AI并没有在无人介入的情况下独立行动。 媒体Forkast也总结说，眼下的AI入侵仍由人主导，AI的作用是扩大攻击规模。 americanbanker +1

被攻破的原因不是新发现的漏洞，而是业务系统里残留的身份验证薄弱等老问题

金融委员会在10月4日的新闻参考资料中指出，近期发生入侵事件的是“贷款中介、外包企业等外部人员和公司员工使用的系统”。 CrowdStrike描述的两个系统也在此范围内。在新韩银行，被攻破的是外部贷款中介而非银行员工使用的查询网站，客户的姓名、联系方式、年收入和贷款额度外泄。 网上银行、手机银行以及处理账户和交易的核心网络都没有被攻破，密码和OTP也没有泄露。目前也没有发现客户资金受损的案例。 fsc.go +3

American Banker报道称，攻击者利用的不是复杂的漏洞，而是看起来属于常见安全管理疏失的缺口。新韩银行查询网站的手机身份验证环节被突破，釜山银行也承认部分网页没有充分验证登录会话。American Banker还把向外部人员开放过宽的查看权限列为原因之一。 在目前公开的资料中，没有出现这次攻击中新发现的安全缺陷。在开发者博客Dev Genius上撰文的NAJAM US SAQIB，也给讨论这起事件的文章起名为“AI智能体是韩国银行入侵案中最便宜的部分”（The AI agent was the cheapest part of the Korean bank hack）。 安全公司Stealien的CEO Park Chan-am表示，金融核心系统除了账号和密码还有其他认证手段，所以没出问题；这次之所以能得手，在于攻击对象是外围系统。 americanbanker +2

关于受害规模，流传最广的是Wall Street Journal援引官员说法报道的“至少7家金融机构、6.8万人”。 这个数字并不在金融委员会的发布原文里。CrowdStrike没有公布受害公司名称，韩国当局也没有正式点名ARTEX。 韩国媒体报道的各公司泄露规模，以及每家公司与AI工具关联的依据公开到了什么程度，见下表。 wsj +5

表中数字加起来约为6.8万，但这是把人数（人）、企业客户记录数（条）以及人数不明的现代资本“一部分”混在一起的粗略值，也不是官方数字。占比最大的Yegaram储蓄银行约4万人，没有与AI相关的公开报道，因此很难把6.8万人全部算作AI智能体攻击的受害者。 reflectiz

Korea JoongAng Daily还披露了三家银行从遭入侵到发现所花的时间。 koreajoongangdaily

三家中有两家过了一天以上才察觉入侵，国民银行则用了将近三天。

攻击工具的副本四处流传，难以封堵；金融委员会按是否对外开放、而非是否面向客户来检查系统

工具被滥用的消息传开后，ARTEX开发者于10月8日将源代码转为非公开并停止更新，表示反对非法使用，对违法行为不承担责任。 原来的GitHub页面上也写着该工具仅供个人学习和代码研究，不要用于真实的线上系统。 但已经扩散出去的副本依然存在。BleepingComputer称，改成英文和韩文的衍生版本至今仍能获取；Dev Genius则写道，GitHub上仍有897个任何人都能下载的副本。 金融安全院相关人士也表示，像ARTEX这样的开源AI工具非常多。 即便开发者关闭了源代码，同类工具依然随手可得。 reuters +4

10月4日（周日），金融委员会把金融业各协会会长、主要金融机构和相关部门召集到政府首尔大楼，召开紧急检查会议。金融委员会要求，不论是否面向客户，所有对外暴露的IT资产都要检查，业务上并非必需的外部访问原则上一律阻断。会议要求检查认证流程可能缺失或被绕过的路径，并要求建立“以AI防御AI攻击”的安全体系。 在此之前的10月1日，金融当局已将攻击所用的IP信息共享给约500家金融机构。 fsc.go +1

金融委员会划分检查对象的标准，不是系统是否给客户用，而是是否对外开放。这次被攻破的贷款中介查询网站和员工移动办公系统，虽然不是客户直接使用的系统，却都是外部中介和员工从外面登录的系统。 crowdstrike +1

客户使用的银行服务和核心网络这次没有被攻破 → 攻击者用接入商用AI模型的智能体对多家金融机构不加选择地尝试入侵，身份验证薄弱的贷款中介和员工业务系统被攻破 → 所以金融委员会定下的检查标准，不是是否面向客户，而是是否对外开放。

延伸阅读

CrowdStrike的一手分析 原文介绍了CrowdStrike如何拿到攻击者服务器上残留的AI工作记录，以及从中确认了什么（英文）。 crowdstrike.com

金融当局的官方判断与应对 金融委员会的新闻参考资料，说明了当局认定的原因以及对金融业提出的要求（韩文）。 fsc.go.kr

老问题才是原因的分析 这篇报道指出了贷款中介网站、薄弱的身份验证和会话验证不足等问题（英文）。 americanbanker.com