2026年9月底至10月初的韩国银行事件，暴露了严密交易平台与周边小服务之间的落差。CrowdStrike后续研究增加AI辅助操作证据，但银行披露与攻击方记录回答不同问题，不能据此认定一个自主智能体攻陷了所有机构。
本地机构报道提供最具体数字：新韩约25000名客户、KB国民119名、韩亚89名，以及BNK釜山11名外包开发人员。友利银行与NH农协银行发现了攻击尝试，但未确认发生类似的客户数据泄露。KB是119，不是早期错误119000。
CrowdStrike于10月7日描述与重合金融目标有关的ARTEX、多种模型及暴露的编程代理记录，支持人为指挥的AI辅助行动。受影响机构的完整名单、失窃数据总量、操作者身份，以及自动化究竟完成了哪些步骤，当时仍未查清。
首先失守的是辅助服务边界
新韩9月29日发现M-Shinhan查询激增，9月30日报告。经纪人通过移动网页查看贷款进度。当地报道描述了一条访问路径：攻击者绕过认证，反复提交受理编号以收集客户标识，再利用这些标识查询其他简化服务。
不同客户暴露的字段并不完全相同，包括姓名、电话、收入、申请金额、额度与贷款资料；部分有居民登记及关联身份信息。即使无法控制支付系统，这些信息也具有利用价值。
KB是员工移动工作支持系统，包含姓名、电话、地址及加密居民登记号。银行称它独立于网银、手机银行及客户交易。韩亚和釜山披露的环境、受影响人群又不同。
时间与目标重合支持同一行动假说，不证明同一个漏洞或工具导致全部泄露。公开报道未把这些事件认定为核心银行平台失陷，但日常交易未受干扰，并不意味着客户财务背景资料被盗只是轻微事件。
新韩连续五年获得个人信用保护最高评级，也有安全认证；这些没有阻止具体流程漏洞。即使主要银行应用受到严密保护，小型业务门户仍可能成为读取重要数据的入口。
暴露的ARTEX设施显示了什么
早期讨论依赖中文“自主渗透测试控制台”HTML标题。它证明服务器有界面，不证明已侵入某家银行。CrowdStrike找到的更多文件提供了更强上下文。
研究者在ARTEX旁发现Claude Code指令文件，文件中的中文测试提示又将调查指向位于香港的另一组基础设施。开放目录包含配置、会话历史和Claude记忆，活动目标与本地报道金融机构重合。
一个服务器托管ARTEX，另一个是主要操作设施。ARTEX后端为DeepSeek v4.1-flash，其他Claude Code会话还出现GLM-5.3和Grok 4.6。这些编程环境记录并不能证明Claude自行选择了目标，而是说明操作者使用了相关工具，并留下了提示词和操作上下文。
ARTEX是开源代理式渗透测试框架，能编排侦察、工具、攻击路径与结果验证。获得授权时这些合法。选择目标、维护服务器，并将模型与传统攻击工具组合起来的，仍是人类操作者。
自动化不必完美也会改变成本：重复发现、测试变便宜，一人聚焦有用回应并快速试多个目标。无效命令和死路仍要判断。公开材料没有提供针对每一家银行、逐条命令连接发现、利用与数据外传的完整自主链条。要判断ARTEX在哪一步真正成功，仍需把这些攻击方文件与银行自己的请求、认证和数据传输记录对照，不能因为工具存在就默认它独立完成了整个过程。
逐利动机的证据强于个人身份认定
会话询问韩国失窃数据在哪里卖、怎样找Telegram群，这支持逐利动机的判断，但不能证明数据交易已经发生。
另一提示请求把ARTEX成果写进安全研究简历，提供广东地点、教育、电话和账号等。CrowdStrike认为可能属于操作者，却不能确定，且年龄与此前生日矛盾。
公司以中等置信判断使用中文并以经济利益为目的，不是国家赞助或具名团伙。中文提示词、中国开发的工具和代理服务器，都不足以证明操作者的国籍；复制他人的材料或填写虚假身份信息，仍是可能的解释。
Reuters联系的人否认知情；中国官员称不了解并重申反黑客，韩国警方及Anthropic在报道时未回应。这些空白划开服务器证据与个人证明。
攻击者在保存文件上的失误，也为调查提供了线索。历史、记忆和配置帮助代理连续工作，开放目录却暴露意图与错误；不能期待未来攻击者也如此粗心。
监管回应暴露与后续诈骗风险
金融委员会10月2日召集监管、协会、银行与卡公司，要求检查所有能够从外部访问的服务，明确包括不直接面向客户的系统，强化认证、访问、减少暴露与指标共享。
总统关注后，国家调查机构组织团队。调查要把具体请求、路径、取出记录与CrowdStrike设施对照；攻击方的会话历史不能替代银行自己的网络、终端和访问日志。
10月6日开启可延长的一个月特别应对期，要求专门支持渠道。提醒包括冒充银行员工推销贷款、再融资或泄露赔偿，并索预付款、诱导安装应用。
即使无密码和一次性口令，姓名、收入、联系与借款背景也能提高欺骗可信度。这是可预见后果，不是已确认该行动产生次生损失。共享钓鱼活动信息和引入AI分析，都无法弥补资产清单中遗漏服务、因而未对其进行监测的问题。
长期弱点是有价值访问权的小应用
经纪人门户、员工工具、外包开发页面和旧API可能暴露在互联网上，却没有清晰的维护责任人。在一处得到客户号，若另一处视其为权限证明便危险。只保护支付不能约束这条路。
身份认证、数据最小化、网络分区和异常请求检测，并不因攻击者选用了不同模型而失去作用。友利、NH的阻断说明AI未消除防御优势；封禁IP可以临时阻断已知来源，但攻击者能够更换服务器和代理地址。
内部红队和外部供应商的授权测试，也需要由技术措施限制测试范围，并保留长期可查的操作记录。ARTEX名称本身不能认定犯罪，要关联时间、凭据、允许范围及行为。
开源禁未授权测试警告说明意图，却不能在分发后执行。模型商能限制，操作者也能换供应商或本地权重，因此，被攻击系统自身的访问控制、对攻击基础设施的调查，以及减少可被窃取数据的范围，仍然至关重要。
下一步要看经删节验证时间线、其他行动复用配置或行为、以及外围漏洞实际关闭。宣布更多AI防御产品不证明这些成果。
这不是机器独立攻击金融的证据，而是人能组合代理、模型、服务器，加速利用普通弱点的警告。准确的受害数字与审慎的归因，反而让这项警告更有力量：它们明确指出了哪些边界已经失守，也让仍待证明的主张保持清晰。