当渗透测试不再需要懂技术： AI Agent 正在改变网络攻防的游戏规则

原创

JacobWang
JacobWang

NowSec

2026年11月11日 18:03
陕西

去阅读

最近，一张关于政务服务 App“湘易办”的截图引起了我的注意。

截图中的用户反馈，原本集中在 App 短时间内大量推送相同通知的问题上。但仔细查看，会发现部分通知中出现了 ARTEX-TEST、ARTEX283CHK、ARTEX3928-NEGCTL 等字符串。

熟悉近期 AI 安全工具的人，应该对 ARTEX 这个名字不陌生。它是一款 AI Agent 驱动的自主渗透测试平台。

这些字符串是否真的与 ARTEX 自动化测试有关，目前没有足够证据下结论。它们也可能只是人为设置的测试内容，单凭截图无法确认消息来源，更不能直接认定相关系统遭到了入侵。

但这张截图确实让人联想到一个正在发生的变化。

过去，发现漏洞、构造测试请求、分析返回结果，需要一定的安全技术积累。现在，部分工作已经可以交给 AI Agent 自动完成。

而且，这种变化已经不只是停留在实验室里。

ARTEX 的出现，让自动化渗透测试进入了新阶段

传统的自动化安全工具并不新鲜。从端口扫描、目录探测到漏洞扫描，安全行业早就有大量成熟工具，它们能够帮助安全人员减少重复劳动，提高测试效率。

但这些工具大多存在一个共同特点：需要人来决定下一步做什么。

扫描发现某个服务，接下来测试什么？一个接口返回异常，是否值得继续分析？发现一个疑似漏洞后，应该如何验证？这些判断通常仍然依赖人工。

AI Agent 的出现，正在改变这个过程。

以 ARTEX 为例，它将大语言模型、多 Agent 协作、资产图谱、工具调用和任务编排结合在一起。系统可以根据已有信息制定测试计划，调用工具执行任务，再根据返回结果调整后续动作。

发现资产 → 分析目标 → 制定计划 → 执行测试 → 评估结果 → 继续探索

整个过程不再是单纯执行一组预设规则，而是形成了一个持续运行的闭环。

这种架构的价值，不只是让工具跑得更快，而是减少了每一个环节必须由人工参与的程度。

对于有经验的安全工程师，它可以成为提高效率的助手；但对于缺乏安全经验的人，它同样可能成为一种能力放大器。

区别在于，前者理解自己在做什么；后者可能只知道输入目标、启动任务，然后等待结果。

AI 自动化攻击，已经有了真实案例

如果只是一个开源项目，ARTEX 未必值得如此关注。

真正需要重视的是，它已经出现在真实网络攻击的调查报告中。

2026 年 10 月，ARTEX 因被关联到针对韩国金融机构的网络攻击而受到关注。随后，原开发者宣布停止公开版本的更新和维护，并将项目转为闭源。

但项目停止公开维护，并不意味着相关技术从互联网消失。此前公开的代码、分支和备份仍可能继续流通，其他开发者也可以在原有基础上继续修改。

更值得关注的是后续公开的安全调查。

10 月 21 日，微软披露攻击组织 Storm-0940 使用 ARTEX 开展大规模自动化攻击的活动。根据微软的分析，攻击者利用 AI Agent 加快目标探测、身份验证尝试以及云环境中的后续操作。在部分受影响环境中，从最初针对目标开展行动到取得高权限访问，耗时不到三个小时。

11 月 6 日，微软又披露另一个以金融机构为主要目标的攻击集群 Storm-3358。调查显示，攻击者将 ARTEX 与传统攻击工具结合，实施漏洞利用、凭据滥用及后续入侵活动。

11 月 5 日，Check Point Research 发布的研究报告也发现了大量曾经或正在公开暴露的 ARTEX 管理实例，其中部分系统甚至因为配置不当直接暴露了数据库。

通过分析相关记录，研究人员发现，一些操作者只需要在开始时设置目标，之后主要查看执行进度，具体测试和利用过程则由 Agent 持续完成。

过去，一个攻击者的技术能力，直接决定他能完成多少操作。现在，攻击者自身技术水平与实际可调用的攻击能力之间，开始出现越来越大的差距。

当然，这并不意味着 AI 已经可以稳定攻破任何系统。自动化攻击同样会失败，也会误判，更无法保证复杂攻击链一定能够执行成功。

但从这些公开案例来看，AI 已经开始改变攻击的成本、速度和规模。

真正值得担心的，是大量缺乏安全意识的人开始入场

以前想进入网络攻防领域，往往需要学习计算机网络、Linux、Web 安全、脚本编程和漏洞原理。即使只是完成一次较完整的渗透测试，也需要投入不少时间。

这些知识门槛虽然不能阻止所有恶意行为，但至少限制了部分人员的实际操作能力。

AI Agent 正在削弱这种限制。

一个没有系统学习过网络安全的人，可能并不理解 HTTP 请求的具体结构，也不知道某类漏洞为什么能够被利用，但他可以阅读项目文档、部署工具、连接大语言模型，然后用自然语言描述任务。

对一部分人来说，整个过程可能被简化为：

找到目标 → 输入要求 → 启动任务 → 观察结果

这并不代表所有初学者都会参与违法攻击。相反，AI 辅助工具同样可以降低合法学习和安全研究的门槛。

问题在于：

技术能力的获得速度，可能远远超过安全意识和法律意识的形成速度。

有些人可能认为，自己只是运行了一个开源工具，并没有手工编写攻击代码；还有人可能觉得，只要没有删除数据、没有造成明显损失，就不算真正的入侵。

但未经授权的探测和漏洞利用，并不会因为操作者使用的是 AI 而自动变成合法行为。

尤其在政务、医疗、金融、能源等重要业务场景中，即使测试者没有主观破坏意图，自动化工具持续发送请求，也可能造成服务异常、资源消耗甚至数据泄露。

更麻烦的是，操作者可能根本不知道 Agent 具体执行了哪些动作。

过去，执行一条危险命令通常需要人自己输入。现在，Agent 可能根据任务目标自主选择工具和参数。如果缺乏明确的授权范围、执行审批和操作限制，操作者未必能及时意识到某一步已经越界。

当工具具备实际执行能力，而使用者又缺乏足够判断能力时，风险就不再只来自恶意攻击者。对自己行为缺乏认知的使用者，同样可能制造安全事件。

对防守方来说，最大的变化不是攻击变复杂，而是攻击变得更频繁

过去，我们经常把网络攻击理解为一名攻击者针对某个目标，经过较长时间的信息收集和分析，寻找可以利用的漏洞。

实际情况当然比这复杂，但从防守角度看，很多攻击活动至少存在一定的时间窗口：安全设备发现异常请求，分析人员研判告警，确认风险后再实施阻断。

AI Agent 带来的变化，是攻击者可以在较低人工参与度下，持续对多个目标进行测试。即使一次尝试失败，也可以根据返回信息调整策略，再换一种方式继续。

首先，告警数量可能继续增加。

过去需要人工操作的测试，现在可以被持续调度。即使单次请求危险程度不高，多个接口、多个资产和多个时间窗口中的测试行为叠加起来，也可能形成大量告警。

其次，攻击链推进速度会更快。

传统告警分析往往关注单条事件，例如 SQL 注入、目录遍历、敏感文件访问或异常登录。但自动化攻击可能把多个看似独立的操作连接起来。

前一分钟是资产探测；
随后开始访问特定接口；
接着出现认证失败；
再之后可能出现敏感资源访问或者权限变化。

如果防守方仍然把这些事件分别处理，就可能无法及时识别整个攻击过程。

第三，人工研判的时间正在被压缩。

微软披露的部分案例已经显示，自动化工具能够显著加快攻击进程。对于仍然依赖人工逐条查看日志、复制 IP、查询情报和上报工单的安全运营团队来说，压力会越来越大。

AI Agent 不一定使用全新的攻击技术。真正变化的是，那些原本需要不同工具和人工判断才能串起来的步骤，现在可以被更紧密地自动编排。

安全行业可能面临一种新的不对称

网络攻防本来就不是完全对等的。

攻击者只需要找到一条有效路径，而防守方需要管理大量资产、系统、账号、接口和配置。

AI Agent 可能进一步放大这种不对称。

攻击者可以通过自动化扩大测试范围、提高尝试频率、减少人工投入，但防守方不能只靠自动化工具不断扩大封禁范围。

一个异常 IP 可能是攻击来源，也可能是正常业务出口；一个疑似恶意请求可能是真实攻击，也可能是业务系统的特殊参数。

在生产环境中，误封同样会造成损失。尤其是重要业务系统，安全人员不仅要考虑能不能拦截，还要考虑业务影响、变更流程，以及采取措施后能否及时恢复。

攻击者可以让 Agent 不断试错，但防守方的很多处置动作必须考虑业务连续性、影响范围和责任边界。

所以，攻击端自动化和防守端自动化并不是简单对称的关系。

防守侧真正需要的，是让自动化分析和现有安全控制机制形成可靠闭环，而不是把所有处置权限直接交给模型。

AI Agent 自己，也可能成为新的攻击面

还有一个容易被忽略的问题：这些自动化渗透平台，本身也可能成为攻击目标。

Check Point 的调查发现，部分 ARTEX 管理平台直接暴露在公网，甚至存在数据库暴露的问题。

这意味着，一些使用自动化攻击工具的人，可能连自己部署的平台都没有做好基本安全防护。

而 Agent 往往需要调用外部工具、访问网络、保存任务记录，有时还会接触凭据、测试目标和敏感响应数据。如果平台被入侵，风险可能远远不止管理界面本身。

AI Agent 还有传统自动化程序不完全相同的风险，例如可能受到恶意网页内容、工具返回结果或者其他不可信输入的影响，偏离原本的任务要求。

OWASP 已经将提示词注入、工具滥用、权限提升、敏感数据外泄和 Agent 记忆污染等问题列为需要重点关注的风险。

AI 自动化渗透并不是给传统扫描器接一个大模型那么简单。Agent 自己同样需要权限控制、网络隔离、日志审计和安全边界。

防守方不能继续只盯着单条攻击告警

面对 AI Agent 带来的变化，企业安全运营最需要调整的，可能不是某一条 WAF 规则，而是整体风险发现和响应方式。

首先，要从单条告警分析转向跨事件关联。

同一个来源在短时间内访问了哪些资产？是否先进行广泛探测，随后转向特定接口？是否出现连续的认证失败、异常参数访问或身份权限变化？

这些事件单独看可能并不严重，但放在一起，可能呈现出完全不同的风险。

其次，需要更重视身份和权限。

单靠 WAF 拦截 Web 攻击，无法覆盖所有利用合法凭据、API Token、云身份或者第三方应用授权开展的攻击。一旦攻击者获得有效身份，后续操作甚至可能不再表现为明显的恶意请求。

再次，需要缩短高风险事件的响应链路。

对于已经经过验证、业务影响可控的场景，可以通过自动化完成日志聚合、情报查询、关联分析、资产归属识别和处置建议生成。

但涉及生产网络封禁、账号停用、大规模隔离等高影响操作时，仍然应该保留明确的权限控制、审批机制和回退措施。

自动发现 → 自动聚合 → 自动关联 → 自动研判 → 人工确认 → 执行处置 → 可回退

最后，企业内部自己使用 AI 渗透测试工具，也必须先把测试资产范围、授权时间、禁止操作、调用权限、执行速率、数据保存和人工审批机制定清楚。

不能因为使用的是企业自建 Agent，就默认它的所有行为天然安全、合理和被授权。

对网络安全从业者来说，真正的挑战才刚刚开始

AI Agent 不会让网络安全知识失去价值。

恰恰相反，当工具能够自动完成越来越多基础操作时，理解底层原理、判断结果真实性和控制业务风险的能力反而更加重要。

不会分析 HTTP 请求的人，可以借助 AI 发起测试，但未必能判断测试结果是否可靠；不理解网络架构的人，可以让 Agent 探测资产，但未必知道某次操作会影响哪些业务；不熟悉身份权限体系的人，可以利用工具发现配置问题，却未必能够评估真实风险边界。

这些问题不会因为模型能力提升而自动消失。

AI 可以降低操作门槛，但不能替使用者补上专业判断、授权意识和责任意识。

对安全从业者来说，未来的竞争力可能越来越体现在：能否理解完整攻击链、识别自动化误判、处理复杂业务场景，以及真正把 AI 能力融入安全运营流程。

而对于企业来说，也不能继续假设只有具备丰富经验的攻击者，才能实施复杂攻击。

当越来越多专业能力被封装进自动化平台以后，攻击者的知识水平与工具能力之间，已经不再完全一致。

写在最后

ARTEX 并不是第一个自动化渗透测试工具，也不会是最后一个。

它值得关注的地方，不在于某个具体功能有多强，而在于它代表了一种正在成形的趋势：网络攻防中的部分专业能力，开始以 AI Agent 的形式被封装、复制和规模化使用。

这种技术可以帮助企业提高安全测试效率，也可以被攻击者用于降低入侵成本。

技术本身不能决定最终用途。

但当越来越多缺乏安全知识、授权意识甚至基本法律意识的人也能够使用这些工具时，网络空间面对的就不只是专业攻击者能力增强的问题。

还有大量低经验操作者，正在借助 AI 获得过去不具备的行动能力。

过去我们讨论的是：AI 会不会取代渗透测试工程师。

现在更现实的问题可能是：当越来越多的人不需要掌握完整的渗透测试技术，就能让 AI 自动实施测试甚至攻击时，我们现有的安全防线准备好了吗？

对攻击方来说，AI Agent 正在放大一个人的能力。

对防守方来说，则意味着传统靠人工逐条研判、逐级上报、再手工处置的流程会越来越吃力。

AI 改变的不只是渗透测试工具，而是攻防双方能够行动的速度、规模和门槛。

参考资料

1. Microsoft Threat Intelligence，2026 年 10 月 21 日，《AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise》

2. Microsoft Threat Intelligence，2026 年 11 月 6 日，《ARTEX abuse expands as cybercriminals target financial sector》

3. Check Point Research，2026 年 11 月 5 日，《Hacking on Autopilot: Inside ARTEX Cybercrime Campaigns》

4. Datadog Security Labs，2026 年 11 月 9 日，《On the hunt for ARTEX: understanding agentic attacks in AWS environments》

5. OWASP，《AI Agent Security Cheat Sheet》

说明：本文关于 ARTEX 的事件信息依据公开安全研究及报道整理。文中涉及“湘易办”的截图仅作为现象引入，不构成对其存在漏洞、遭到入侵或受到 ARTEX 攻击的认定。