CrowdStrike稱中國駭客借ARTEX擴大網絡間諜行動
CrowdStrike披露，疑與中國有關的駭客組織 Vapor Panda，自10月17日起利用AI滲透測試框架 ARTEX，針對至少14個國家、逾200個企業及機構展開網絡間諜活動。目標涵蓋外交部門、半導體、國防、製藥、核能、金融與電訊等領域；iThome 報道指出，美國、比利時及菲律賓的電訊公司亦在目標之列。
不過，現時歸因、受影響機構數目及入侵情況，主要建基於 CrowdStrike 的技術披露，未見文中提供獨立機構的確認。因此，這宗事件較適合視為一項值得SOC及IT團隊核查的威脅情報，而非已被全面驗證的「AI自主攻擊」案例。
ARTEX把AI代理放進入侵流程
iThome 報道引述 CrowdStrike 指出，ARTEX在行動中擔當協調層：它會按偵察結果與目標資料，把主機偵察、規劃及工作任務分配給不同代理，並讓代理共享發現及目標資訊，令多項入侵工作可同步推進。CrowdStrike稱，單一入侵行動的規劃代理曾消耗約14億個token，反映其自動化操作規模。
這種模式的風險不一定在於工具能完全自行作出所有決策，而是在於它可壓縮攻擊者整理環境資訊、分派工作和反覆偵察的時間。若多個代理能同時處理不同主機或帳戶，防守方所見到的活動可能更分散，也更容易被誤當成零碎的日常異常。
人手仍在關鍵環節介入
報道亦顯示，Vapor Panda並非完全放手讓ARTEX自行運作。攻擊者曾以簡體中文輸入指令，要求代理建立後門、取得網域管理員密碼，以及盤點端點防護軟件的部署。CrowdStrike稱，攻擊者特別要求尋找未安裝其 Falcon 產品的電腦，藉此把攻擊集中到防護較弱的端點。
這點對企業的啟示較直接：AI代理可加快執行，但帳戶權限、端點覆蓋不足和內部網絡可見度不足，仍是攻擊者要利用的基本缺口。工具換了，入侵鏈的核心防線並沒有消失。
企業可先核查三類跡象
CrowdStrike稱，9個受入侵組織其後被植入名為 BloodAlchemy 的後門，並出現密碼噴灑、網絡掃描及環境偵察活動。對電訊、金融、政府及其他關鍵服務機構而言，以下檢查值得優先進行：
- 核對端點防護的安裝與回報覆蓋，找出未受管理、失去連線或防護策略不一致的設備。
- 檢視異常偵察行為，包括短時間大量掃描、帳戶與資產盤點，以及不尋常的內部主機查詢。
- 追查密碼噴灑與可疑橫向移動跡象，特別是針對高權限帳戶、網域管理員憑證及跨網段存取的失敗或成功登入。
香港雖未在報道中列為受害地區，但目標類型與本地企業及關鍵基建的防護場景相近。下一步應觀察是否有更多技術報告或受害機構披露，以釐清Vapor Panda的歸因、實際入侵範圍，以及ARTEX在這類行動中究竟承擔了多少自主工作。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — 中國駭客濫用AI滲透測試框架ARTEX攻擊，於全球逾200個企業組織從事網路間諜活動 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
