示意图。
韩国多家金融机构近期遭到网络攻击。美国网络安全公司CrowdStrike周三（10月7日）公布调查报告，研究人员从黑客使用人工智能（AI）工具的操作记录中，发现的身份线索疑似与中国广东一名26岁人士有关，但目前尚无法确认这些资料是否属于攻击者。
自9月底以来，韩国金融业接连发生数据泄露事件。据韩联社报导，截至周一已有至少7家金融机构发生入侵事件，包括新韩银行、KB国民银行、韩亚银行等。据《韩国时报》报导，估计有超过6.7万人的个人信息外泄。
韩国总统李在明周二表示，部分攻击事件出现使用AI的迹象，已要求加强网络安全措施。
AI操作记录提供黑客身份线索
CrowdStrike在周三发布的调查报告中指出，相关攻击活动从2026年9月底持续至10月初。研究人员分析攻击者控制的服务器，取得Claude Code会话历史记录、ARTEX配置档案及Claude记忆档案，从中发现疑似黑客的身份线索。
其中一次Claude Code会话显示，使用者曾要求Claude帮忙撰写一份网络安全研究人员的履历，并条列出使用ARTEX工具所取得的成果。
这份提示词包含姓名、电话、Telegram账号等个人资料，并列出26岁、华南理工大学教育背景，以及所在地为中国广东茂名等信息。
研究人员还发现，同一Telegram用户名曾出现在其它网络活动中，包括针对一个基于Telegram的NFT礼品交易市场的漏洞研究，以及一起疑似针对中国支付平台的攻击。
CrowdStrike表示：“虽然目前尚未将这次活动归因于任何具名攻击者，但攻击者很可能使用中文，而且很可能以经济利益为动机。”
该公司指出，这项判断的可信度为“中等”，依据是攻击者使用中国开发的工具，以及研究人员观察到的中文提示词。
不过，相关身份资料仍存在疑点。例如，提示词虽然写明26岁，最初提供的出生日期却是2007年9月22日，两者并不一致。CrowdStrike强调，目前掌握的信息仍不足以确定这些个人资料确实属于攻击者。
黑客利用中国开发的ARTEX及多款AI模型
CrowdStrike调查发现，攻击者使用了近期推出的、由中国开发的开源代理式渗透测试（penetration testing）工具ARTEX，并结合多个大型语言模型，对韩国金融机构发动攻击。
其中，ARTEX主要使用DeepSeek v4.1-flash模型，攻击者另外在Claude Code会话中使用智谱AI的GLM-5.3及Grok4.6。
研究人员还发现一套双服务器架构。其中一台位于香港，是攻击者控制的主要基础设施；另一台则负责运行ARTEX，很可能被用于攻击韩国金融机构。
遭入侵的系统包括一家银行供金融经纪人使用的贷款进度查询服务，以及另一家银行的员工行动工作支援系统。
CrowdStrike指出，这次攻击显示，AI工具与传统网络攻击手段结合，可能使攻击者在短时间内实施多次入侵。
黑客曾询问如何出售韩国数据
CrowdStrike还发现，攻击者曾向Claude询问，黑客通常在哪些地方出售韩国数据泄露事件所取得的信息，并要求协助寻找Telegram上的韩国数据交易群组。
这些记录提供了攻击者可能以经济利益为动机的线索，但CrowdStrike并未证实遭窃数据已被出售。
韩国警方已成立28人专案小组，调查近期金融机构遭网络攻击事件。韩国金融监督院也已向金融机构提供近30个与攻击活动相关的IP地址，要求加强安全检查。
韩国金融委员会与金融监督院表示，目前尚未确认有造成资金损失的案例。两个机构已发布警示，并启动为期一个月的特别应对措施，以防止后续损害。
CrowdStrike评估，攻击者未来可能继续尝试运用AI工具，提高网攻的速度与能力。
