2026-10-15 11:13:55 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

一份 CLAUDE.md，暴露对韩国金融业的攻击，事件余波进入外交层面

原创

qianlan
qianlan

帅仔回忆录

2026年10月10日 11:26
浙江

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

事件概述

2026 年 9 月 27 日至 30 日，多家韩国金融机构接连发生数据泄露。攻击者没有正面突破核心网银，瞄准贷款进度查询、员工移动办公等防护相对薄弱的外围系统。

韩国《京乡新闻》对新韩银行事件的描述更具体：攻击者据称向贷款经纪人使用的查询服务输入随机值，以识别有效客户编号，随后获取联系方式等关联信息。这一说法来自韩国媒体援引监管机构和业界消息，不是公开的技术调查报告。

10 月 4 日，韩国《京乡新闻》报道这批事件，并于 10 月 6 日更新。报道援引韩国金融监管机构及安全业界消息称，多家机构观察到近似的攻击 IP，安全研究人员还在相关攻击服务器的 HTML 标题中发现“ARTEX—自主渗透测试控制台”。ARTEX 是一款 7 月发布的开源智能体渗透测试工具，今年在百度挑战赛脱颖而出。

一天后的 10 月 7 日，CrowdStrike 发布进一步调查：研究人员从相关基础设施上的开放目录入手，发现了 Claude Code 的 CLAUDE.md、会话历史、ARTEX 配置和 memory 文件，并由此还原出更完整的攻击活动。

10月8日，被外媒记者在外交发布会上提及。

更值得关注的，或许不只是“AI Agent 被用于攻击”，而是攻击者的 Agent 工作负载反过来暴露了自己。

攻击造成的影响

据韩国报道，受影响范围覆盖商业银行、储蓄银行、资本公司和线上投资平台。被点名的机构包括新韩银行、KB 国民银行、韩亚银行、釜山银行、艺嘉蓝储蓄银行和现代资本；惠康储蓄银行及两家 P2P 借贷平台也报告了数据泄露。实际遭受攻击或尝试攻击的机构可能更多。

已公开的数据中，新韩银行涉及 25,727 条个人信息，包括姓名、联系方式、年收入和贷款额度；KB 国民银行和韩亚银行分别涉及 119 名和 89 名客户；惠康储蓄银行则有超过 2,200 条企业客户信息泄露。

外围业务系统中的个人和企业数据被获取。姓名、联系方式与收入、贷款额度组合后，也增加了后续精准诈骗和贷款类钓鱼的风险。韩国金融监督院和金融安全院随后对新韩银行开展现场检查，金融监管机构也召开了全行业紧急检查会议。

CrowdStrike 如何还原攻击活动

韩国多家金融机构观察到相互重叠的攻击 IP，或许是为后续调查提供了基础设施线索。

CrowdStrike 随后将 IP 38.244.50[.]120 与相关活动关联起来。该服务器不仅运行着 ARTEX，还在 18899 端口暴露了一个开放目录（将用户目录以临时的python -m web服务开放在了公网），其中包含：

/.claude/CLAUDE.md

CLAUDE.md 是 Claude Code 自动读取的持久指令文件，通常用来记录工作规则、项目背景、工具使用方式和长期上下文。该文件中出现了另一个位于香港的 IP。

调查人员以这个 IP 为新的线索继续扩展，发现了更多开放目录，其中包含 Claude Code 会话历史、ARTEX 配置和 memory 文件。通过这些材料，CrowdStrike 进一步还原出一套双服务器架构，以及攻击时间、目标机构、模型配置和代理 IP。

这些会话暴露的还不只是技术细节。CrowdStrike 称，操作者曾询问韩国数据泄露信息通常在哪里出售，并要求 Claude 协助寻找相关 Telegram 群组；另一次会话中，操作者让 Claude 编写安全研究员简历，并提供了姓名、联系方式、教育经历和所在地等个人信息。

受害方日志
→ 重叠攻击 IP
→ ARTEX 页面指纹
→ 开放目录
→ CLAUDE.md 中的新 IP
→ 更多会话和配置
→ 还原攻击行动

Agent 时代的启示

从传统溯源的角度看，这个过程平平无奇。但还是有一些事值得反思。

人确实会因为 Agent 变“懒”。过去手工搭建攻击基础设施，稍有经验的人往往会改掉默认端口和页面标题，也不会轻易把管理界面全网开放。现在只要让 Agent 完成安装、配置和启动，它很可能照着 README 一路执行，到“服务已经跑起来”为止。至于监听在哪个地址、暴露了哪些目录、任务结束后要不要关闭，操作者未必再逐项检查。

从空间测绘看，用户开放过不少临时的web服务。

18899 上的文件服务也可能是这种工作方式留下的痕迹。它或许是为了让不同 Agent 共享文件、读取上下文，或让操作者临时查看结果；甚至只是人手工启动了忘了关闭。无从得知具体原因，但用过 Agent 启动预览服务或临时工具的人，大概都能理解这种服务是如何被创建、又如何被遗忘的。

因此，Agent 安全不能只盯着它有没有执行危险命令。它新开了哪些端口、留下了哪些进程、创建了哪些账号和文件，同样需要被记录和回收。任务结束不应只是对话窗口关闭，还应该包括停止临时服务、撤销凭据和清理工作目录。

另一个变化是，操作者开始把越来越多的想法直接告诉 Agent。传统日志通常只能回答“做过什么”，会话记录却可能进一步回答“为什么做”和“接下来想做什么”。这次泄露中，关于韩国数据销售渠道的询问暴露了潜在获利意图，生成简历的提示又留下了可能的身份线索。CLAUDE.md、memory 和会话历史组合起来，就把韩国受害机构的日志、攻击 IP、页面指纹、开放文件和 Agent 会话连接起来，几乎就是一份由操作者自己持续书写的行动记录。代理可以隐藏单次连接的来源，却很难抹掉整套行动中不断留下的上下文。

对合法红队和企业用户来说，不是把端口藏得更深就行，而是别让 Agent 的控制面、记忆和临时服务直接暴露在公网。Agent 帮人做得越多，它留下的东西也越多，这些都应该被当成基础设施的一部分来管理。