开放目录里的 Claude Code 会话记录：CrowdStrike 还原一次韩国金融入侵

一个没关的目录，把整套工作台摊开了

按 CrowdStrike 情报团队的描述，线索来自攻击者自己控制的一台服务器：端口上挂着一个开放目录，里面既有写满中文渗透指令的 Claude Code markdown 文档，也有 ARTEX 的配置文件和 Claude 的记忆文件。顺着这些文件，研究人员拼出了一个双服务器结构——一台香港 IP 充当指挥中枢，另一台跑着专门对准韩国目标的 ARTEX 实例，外层还套了 9 个代理 IP 来隐藏来源。

被点名的受害系统都很“具体”：一家银行的贷款进度查询服务，另一家银行面向员工的移动办公系统。受影响机构总数在报告发布时仍未确认。据韩国媒体此前报道，近期韩国银行业已连续出现数据泄露事件，这份报告是第一次把其中的技术链条和 AI 智能体直接挂上钩。

ARTEX 是什么，模型又是从哪来的

ARTEX 是 GitHub 开发者 Autumn-27 发布的开源自主渗透测试系统，Go 写后端、Next.js 做前端，AGPL-3.0 协议。它的设计思路是“多智能体 + 大模型当大脑”：侦察、利用、横向移动拆成多个代理分工，背后可以接 DeepSeek、OpenAI、Anthropic 等不同模型。工具本身定位是授权测试，这一点和 Metasploit、Cobalt Strike 一样——问题出在谁拿去用。

会话记录显示，这名攻击者的模型栈相当“拼盘”：

• 主力后端是 DeepSeek v4.1-flash，但不是直连官方，而是经由一个叫 xcai.pro 的 API 中转站调用；
• 辅助用了智谱 GLM-5.3 与 xAI 的 Grok 4.6；
• Claude Code 承担的更像是“操作台”角色，攻击者在里面用中文下达渗透测试指令，还问过韩国泄露数据通常在哪里出售、怎么找韩国的 Telegram 数据交易群。

CrowdStrike 称该中转站目前已经关闭。报告还提到，其中一次会话让模型生成一份“安全研究员简历”，填入了年龄、学校和籍贯等个人信息，公司认为这些细节很可能属于攻击者本人，但身份与泄露规模均未证实，归属也只给到中等置信度，没有对上任何已知组织。

真正的看点：中转站成了攻击链里最模糊的一环

这起事件里最耐人寻味的不是 AI 写了多少攻击代码，而是模型调用这一层几乎没有可追溯性。直连官方 API 需要实名账户、支付方式和用量记录，厂商的滥用检测至少有机会介入；而经过中转站，上游看到的只是中转商自己的账号，真正的使用者藏在一层转售关系后面。Anthropic 和 OpenAI 这一年反复封禁“账号转售、地区绕行”，安全层面的理由正在于此——Anthropic 在 2025 年 8 月的威胁情报报告里，也披露过攻击者借 Claude Code 自动化入侵与数据勒索的案例。

反过来看，攻击者的失误也很“人类”：模型帮他提速，却没帮他把目录权限关上。CrowdStrike 在结论里只给了一句克制的判断：对手会继续尝试把 AI 工具接进行动，以提高节奏和能力。换句话说，这类案件以后会越来越多，而每一起能破，多半还是靠对方在操作安全上犯错。

对正常用户的一个侧面提醒

普通开发者和这起入侵当然不是一回事，但中转站“说关就关”、调用记录落在谁手里不透明，这两点同样会落到合法用户头上：今天能用、明天跑路，或者某天被上游整批封号，中间的会话内容去了哪里也说不清。真要长期用 Claude Code 干活，走官方账号、把本地环境和出口网络理顺更稳妥，具体配置可以参考这篇 Claude Code 稳定使用指南。