一、一个值得关注的事件
2026年9月底至10月初，韩国金融系统遭遇了一次不寻常的攻击。新韩银行、KB国民银行、韩亚银行、友利银行、NH农协银行等多家金融机构接连遭到网络攻击，至少七家金融公司确认信息泄露，约6.8万名客户及员工的姓名、电话号码、身份证号码、年收入乃至贷款额度等敏感信息外泄。
数字本身并不惊人。真正让安全界关注的是攻击的"手法"。
调查人员在攻击服务器上发现了"ARTEX AI"的痕迹------这是一款基于大语言模型的开源AI自主渗透测试工具，原本用于帮助机构发现自身漏洞，却被滥用于攻击。韩国金融安全研究院的复现测试显示，该工具仅用时22秒、消耗约4.4万个token，即可攻破目标服务器。
人类黑客策划并执行如此大规模的跨金融机构攻击，通常需要数周甚至数月；而AI辅助的攻击将这一周期压缩到了数天。
这起事件指向一个正在发生的变化：网络攻击正在从"人工主导"转向"AI Agent自主执行"。
二、什么是"自主攻击Agent"
2.1 与传统自动化工具的区别
传统的攻击自动化工具（如漏洞扫描器、暴力破解脚本）执行的是预定义的、固定的操作序列。它们做的是"重复执行同样的动作"，本身不具备判断和决策能力。
AI Agent的本质区别在于：它能够观察环境、推理判断、并根据反馈动态调整策略。
Google Red Teams在一篇分析中这样描述这种转变："我们正在进入一个时代，自主攻击由Agent代表威胁行为者执行。"Agent能够解析网络和系统文档，大幅加速侦察过程，并在获得初始访问后自主推进目标，速度之快甚至可能在人类分析师审查警报之前就已完成任务。
2.2 一个具体的案例
安全研究机构Sysdig披露了一个名为JADEPUFFER的攻击操作，被认为是首个完全由AI Agent端到端执行的勒索软件攻击。
攻击始于利用Langflow（一个开源的AI应用构建平台）的已知漏洞CVE-2025-3248。进入系统后，Agent执行了一系列操作：扫描系统、搜索API密钥和云凭证、访问存储服务器、建立持久化机制、横向移动到目标数据库服务器，最终加密数据并留下勒索信。
最值得注意的细节是：当遇到错误时，Agent能够在约31秒内自行诊断问题并调整策略，无需人工干预。攻击载荷中充满了用自然语言写成的注释，解释每一步操作的原因------这是人类黑客通常不会做的事情，却是大语言模型生成代码时的默认行为。
三、攻击链的自动化演进
3.1 从"人工分步"到"Agent编排"
传统网络攻击的"杀伤链"通常需要人类操作者在每个阶段做出决策：侦察、武器化、投递、利用、安装、命令控制、目标达成。每个阶段之间都存在时间间隔，给防守方留出了检测和响应的窗口。
IEEE发表的一篇论文提出了"自主攻击链"（Autonomous Attack Chain, AAC）框架，专门用于描述AI Agent执行的攻击行为。这个框架将攻击建模为一个连续的、循环的过程，核心是AI Agent的"认知核心"（一个生成式AI模型），涵盖规划启动、数据/工具获取、执行与适应、持久化/传播、影响优化等阶段。
关键区别在于：Agent在阶段之间不需要等待人类指令。它根据环境反馈自主决定下一步行动，形成一个闭环。
3.2 速度的质变
Google Red Teams的分析指出，AI正在从三个维度改变威胁格局：
攻击复杂度在提升。 攻击能力的"民主化"正在发生------原本只有精英团队掌握的战术、技术和程序，现在较低层级的攻击者也能通过AI工具获取和使用。
规模不再受限于人力。 过去中级威胁行为者受限于能部署的人类操作员数量，AI显著减少了对手动干预的需求，使攻击能够大规模并发执行。
速度正在接近"机器时间"。 "驻留时间"------从获得初始访问到达成目标之间的窗口------正在急剧收缩。Agent在获得立足点后能够以极快速度推进目标，即使触发了检测，Agent也可能在人类分析师审查警报之前就已完成任务。
Google的表述很直接："安全通过隐匿已经基本失效。"
四、攻击者瞄准了什么
韩国银行事件中有一个值得深思的细节：攻击者没有正面强攻核心交易系统。
网银、手机银行等核心系统拥有严格的内网隔离、多层认证和实时异常检测。攻击者选择的是外围系统：贷款代理查询系统、员工移动办公系统、销售支持系统、外包开发人员系统。
这些系统的共同特征是：互联网可访问、账号管理相对松散、使用人员包括外包人员和贷款代理、安全监控强度低于核心系统。但它们存储的数据------姓名、身份证号、年收入、贷款额度------价值并不低。
这印证了一个安全领域的基本逻辑：攻击者不需要翻越最高的墙，只需要找到没锁的那扇窗。
对于使用AI Agent的企业而言，这意味着需要重新评估"哪些系统是关键的"。AI Agent的访问范围可能远超预期，而它持有的凭证一旦失陷，可能触及多个内部系统。
五、防御的挑战与思路
5.1 攻防速度的不对称
AI Agent攻击带来的核心挑战是速度。当Agent能够以机器速度执行侦察、利用、横向移动和影响达成时，依赖人工分析和响应的防御体系面临结构性滞后。
Google的分析指出，Agent在获得初始访问后可以自主推进目标，速度之快使得"即使触发了检测，Agent也常常在人类分析师审查警报之前就完成了目标"。
这意味着防御需要向自动化方向演进。被动等待告警、人工分析、手动响应的模式，在面对机器速度的攻击时可能来不及。
5.2 面向Agent的防御考量
OWASP中国发布的AI Agent安全指南提出了一条核心原则："让智能体'能做事，但做不了大事'"。
具体而言，防御需要关注几个层面：
输入层：对外部内容做来源标记和不可信隔离，防止提示注入（通过网页、邮件或文档中的隐藏指令诱导Agent偏离目标）。
工具层：为每个工具设置独立的最小权限凭证，并在沙箱中运行，禁止默认高权限。如果Agent只是被授权整理文档，就不应该拥有删除文件或访问其他目录的权限。
决策层：对高影响动作（删除、外发、支付）引入人工确认或策略网关。
观测层：记录Agent的每一步推理与调用，确保事后可审计、可回溯。
这些措施的核心逻辑是权限收敛：Agent的访问范围越小，一旦失陷造成的影响半径就越小。
六、总结
AI Agent的"自主攻击"并非科幻场景，而是正在发生的现实变化。
从韩国银行事件到JADEPUFFER勒索操作，从ARTEX工具的22秒攻破到Agent在31秒内自行修复错误，这些案例共同指向一个趋势：攻击的执行正在从人类操作员转移到AI Agent，速度、规模和成本结构都在发生质变。
对于企业和开发者而言，这意味着几个需要正视的现实：
速度差异是真实存在的。 依赖人工分析的安全运营模式，面对机器速度的攻击可能来不及响应。自动化检测和响应能力的建设不再是可选项。
攻击面需要重新评估。 Agent的攻击路径可能绕过核心系统，从外围薄弱环节切入。哪些系统被Agent访问、哪些凭证被Agent持有，都需要纳入安全评估范围。
权限管理是关键防线。 无论是防御外部Agent攻击，还是管理内部部署的Agent，最小权限原则都是最有效的风险收敛手段。
理解这些变化，是应对下一阶段安全挑战的起点。