对于ARTEX的吃瓜与思考及小白AI挖洞吐槽

原创

安全小八
安全小八

小亿的红队梦

2026年10月12日 11:38
福建

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

继上次打穿欧巴的银行，炒的沸沸扬扬，很热闹，吓得我也赶紧部署一个玩玩看了，看看究竟多牛。（最近有校招面试会问哈哈哈）

部署后发现，ui界面和功能算是比较全面的，确实部署和使用起来都非常适合小白（尤其是带了可视化，有现成的固然好），但是我个人使用起来感觉一般（现在都可以VideCoding了，还是自己开发的比较熟悉比较香），配置llm的时候也都花费了不少时间，由于对于实现功能不了解，我是不大敢使用的，使用自由度和配置是比较方便的，可以自己添加skills和mcp等等，还有邮件通知功能。出厂配置也是限制了gov和edu的，但是门禁措施其实做的不够死，导致又出现了吃瓜事件：

AI确实大大提高了测试效率和降低了攻击的门槛，但是边界问题我们还是要注意的。我们宁愿去多做几个限制门，也要去避免AI瞎搞，往往造成重大损失只需要一条命令，一条payload，一个请求数据包，希望大家可以通过这次瓜引以为戒吧。

其实工具本身是没问题的，也要感谢师傅的开源精神，但是使用者自身需要注意，既然使用其他师傅的成果，好歹也要了解一下实现的功能，以及具体的哪些门禁，哪些不能做呢，开源的师傅一开始就做好了对edu和gov站点的限制了，说明了测试的时候就需要注意了。尤其是安全，不能一股脑部署好了，就是直接开蹬了。最终的行为和操作自己都要负责任的

最后也想吐槽一下，现在AI挖洞大大提高了效率，门槛也降低了。是吸引了很多小白也加入了挖洞。但是！！！能不能先把基础学好学明白学扎实了，有实际危害的再往上面提啊，不要看见AI随便爆个前端js的AES密钥泄露都库库往平台交，你是交的很爽了，很有成就感了，但是审核师傅和其他白帽就遭殃了，同时无疑给自己浪费时间，也是给审核师傅和整个src环境造成恶劣的影响啊，极大影响了审核的效率，多少家被这种情况给干下线了呢，不要看着大佬好像轻轻松松就拿奖金了，就很着急，自己先好好沉淀了再挖掘也不迟的。