7.0
深览指数
科技虎嗅·斯凯有话说··AI 生成
深度｜0.88美元攻陷一家银行：AI黑客正在改写安全规则
2026年9月，韩国七家金融机构遭到一次系统性攻击，攻击者并未攻破核心网银系统，而是利用贷款代理查询、员工移动办公、外包开发系统等外围系统作为跳板。攻击总体成本经安全公司Everspin复现测试仅为0.88美元、22秒，使用的自动化攻击框架ARTEX开源可下。文章借此分析了攻击方与防守方在成本上的结构性失衡，并对比中国金融安全现状，提出“外围系统应获核心级防护”的判断。适合金融/安全从业者及关注数据隐私的读者阅读。原文 ↗
核心观点
- ▍核心论点不是AI被滥用，而是攻击者选了金融机构没设防的路径——外围系统。这些系统（贷款代理查询系统、员工移动办公系统、外包开发系统）安全投入低、管理松散，却与内网存在数据交换通道，是比核心系统更薄弱的突破口。
- ▍当攻击成本经由AI驱动的开源自动化工具（如ARTEX）降至接近零时（0.88美元/次），金融机构必须重新定义“核心资产”并重新分配防御预算，因为博弈的经济学已经失衡。
- 012026年9月28日至10月1日，新韩银行（约2.5万客户）、KB国民银行（119人）、韩亚银行（89人）、BNK釜山银行（11人）及耶加兰储蓄银行（约4万人）等累计超过6.8万人数据泄露。
- 02韩国安全公司Everspin的复现测试：完成一次类似银行系统攻击耗时22秒，消耗4.4万token，成本约0.88美元。
- 03攻击采用的工具是开源项目“ARTEX”，由中国安全工程师李普华开发，在GitHub上免费下载，填入AI模型API密钥即可使用。它会自动整合Claude、ChatGPT等模型，与渗透工具配合。
- 04泄露的数据包括姓名、电话号码、年收入、贷款额度；新韩银行还包含了66名客户的居民登记号码。这些数据可直接被用作精准电信诈骗的脚本。
- 05韩国正在经历跨行业数据泄露潮：2025年12月Shinhan Card（19.2万条）、2026年4月SK Telecom（2696万人）、8月Lotte Card（296万人）、9月Coupang（3370万人）和Tving（约3954万人）均遭重大泄露。
- 06新韩银行中国分行于2026年6月因违反网络安全管理规定和数据安全管理规定被央行北京分行罚款248.94万元。
反方 / 局限
- — 作者指出攻击未触及核心网银系统，但并未讨论：如果核心系统在外围被突破后，其防御隔离机制是否真的能完全阻挡横向移动。文章暗示“外围是跳板”但未展开核心系统防御被绕开的具体技术细节。
- — 文章提出的解决方案是“以AI防御AI攻击”，但并未讨论这一方案的已知局限，例如AI安全模型的对抗鲁棒性不足、误报率高、以及同样可能被攻击者滥用来“测试防御边界”。
斯凯ARTEX李普华Everspin李在明李亿远新韩银行KB国民银行韩亚银行BNK釜山银行耶加兰储蓄银行Shinhan CardSK TelecomKTLotte CardCoupangTving韩国金融委员会韩国金融服务委员会高丽大学信息安全研究生院金承柱
8 分钟 · 4 卡片 · 8 资料
读原文 →