Open-source ИИ-агент ARTEX использовали для взлома банков Южной Кореи: что нашла CrowdStrike

Финансово мотивированный злоумышленник использовал китайский open-source инструмент ARTEX, автономный ИИ-агент для пентеста, чтобы проникнуть в системы нескольких финансовых организаций Южной Кореи и вывести данные. О кампании, шедшей с конца сентября по начало октября 2026 года, 7 октября сообщила CrowdStrike. Вывод для бизнеса: цикл «разведка → взлом → выгрузка» ИИ-агенты сжимают до часов, и периметр нужно проверять так же быстро.

ARTEX создавался как легальный инструмент для тестирования на проникновение, и именно поэтому кейс показателен: те же агентные сценарии, что ускоряют работу защитников, ускоряют и атакующих. Проверить, что найдёт такой агент на вашем внешнем периметре, раньше злоумышленника помогает тестирование на проникновение.

Вторая сторона истории касается компаний, которые сами внедряют ИИ-агентов. Атакующего выдали его собственные журналы сессий Claude Code и конфигурации, оставленные в открытом каталоге на сервере. Если агенты есть и у вас, их логи, ключи и память нужно защищать как секреты; об этом стоит подумать ещё на этапе разработки ИИ-агента.

Что произошло в южнокорейском финсекторе

По данным CrowdStrike Counter Adversary Operations, кампания длилась примерно две-три недели. Атакующий использовал ARTEX, недавно опубликованную на открытом коде агентную платформу для пентеста китайского разработчика, вместе с несколькими языковыми моделями. В отчёте упоминаются взломанные сервис проверки статуса кредитных заявок в одном банке и мобильная система поддержки сотрудников в другом. Точное число пострадавших организаций CrowdStrike не называет.

Infosecurity Magazine со ссылкой на корейские данные пишет о Shinhan Bank (около 25 тыс. затронутых клиентов) и сберегательном банке Yegaram (около 40 тыс.). Комиссия по финансовым услугам Южной Кореи призвала клиентов остерегаться фишинга и мошенничества с кредитами. По данным Security Affairs, украденное готовили к продаже на площадках в Telegram.

Как работала связка ARTEX и языковых моделей

• Основная модель. ARTEX работал на DeepSeek v4.1-flash, доступ к которой, по оценке CrowdStrike, шёл через посредника-реселлера LLM API.
• Дополнительные модели. В отдельных сессиях Claude Code атакующий подключал GLM-5.3 от Zhipu AI и Grok 4.6.
• Инфраструктура из двух серверов. Основной сервер управления находился в Гонконге, экземпляр ARTEX — на отдельном IP-адресе; ещё девять адресов служили прокси.
• Скорость. Один оператор запускал ARTEX сразу с несколькими LLM-бэкендами, и полный цикл атаки на одну цель укладывался в часы.

Почему атакующего удалось вычислить

Исследователи нашли на инфраструктуре злоумышленника открытые каталоги с историями сессий Claude Code, файлами конфигурации ARTEX и файлами памяти Claude. По ним восстановили ход атаки и китайскоязычные промпты. С умеренной уверенностью CrowdStrike считает атакующего китайскоязычным и финансово мотивированным одиночкой; конкретной известной группировке кампания не приписана.

После публикации разработчик ARTEX с ником Autumn-27 закрыл исходный код и прекратил обновления, заявив, что инструмент делался для обучения и исследований. Однако, как отмечает BleepingComputer, англо- и корееязычные производные версии остаются в открытом доступе, так что исчезновение репозитория угрозу не снимает.

Что это значит для команд разработки и безопасности

1. Сократите окно между обнаружением и исправлением. Если агент проходит путь от разведки до выгрузки за часы, ежеквартальный скан периметра уже не успевает. Нужны непрерывная инвентаризация внешних сервисов и быстрые патчи.
2. Проверьте второстепенные сервисы. Пострадали не ядро банков, а вспомогательные системы: проверка заявок и мобильный портал сотрудников. Именно такие сервисы часто выпадают из скоупа пентеста.
3. Защищайте артефакты своих ИИ-агентов. Истории сессий, файлы памяти, конфиги и API-ключи агентов содержат описание инфраструктуры и доступов. Храните их как секреты и не оставляйте в открытых каталогах.
4. Отслеживайте аномальную автоматизацию. Агентные атаки дают плотные серии запросов к API и формам. Лимиты, WAF-правила и алерты на нетипичные последовательности действий срабатывают раньше, чем ручной разбор логов.

Часто задаваемые вопросы

Взломали ли саму Anthropic или DeepSeek? Нет. Речь о злоупотреблении публично доступными моделями и инструментами: модели использовались как «двигатель» агента, а не были целью атаки.

Есть ли пострадавшие в России? CrowdStrike описывает только южнокорейские финансовые организации. Но open-source производные ARTEX доступны всем, а методика не привязана к стране.

Чем ARTEX отличается от обычного сканера уязвимостей? Сканер проверяет заранее заданный список проблем. Агентный инструмент сам выбирает следующий шаг на основе ответа системы и доводит атаку до выгрузки данных без постоянного участия человека.

Источники

CrowdStrike — Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance, 7 октября 2026 года.

BleepingComputer — Hacker used ARTEX AI and Claude agents to target South Korean banks, октябрь 2026 года.

Infosecurity Magazine — Chinese Hacker Deployed AI in Campaign Against South Korean Banks, 8 октября 2026 года.

Security Affairs — AI-driven tool ARTEX used in attacks against South Korean banks, октябрь 2026 года.