800余套AI攻击工具裸奔公网 无需密码可登录
报价宝综合消息800余套AI攻击工具裸奔公网 无需密码可登录
强大的AI黑客工具，正以最原始的方式暴露自己。网络安全公司Censys近日发布博客称，扫描发现超过800套开源AI渗透测试工具Artex的部署实例正无密码暴露在公网上——任何发现它们的人都可以直接访问，甚至借这些系统向无辜目标发起网络攻击。
Artex是一款开源的自主渗透测试工具，今年7月公开发布，能够自动探测计算机系统的弱点，发布以来已被关联到多起真实攻击。微软此前形容它是一套AI智能体系统，可以“从侦察到数据外泄几乎不需要人工介入”。因为完全免费开源，它成了那些用不上Anthropic或OpenAI高级安全模型的人群的热门替代品。
撰写报告的Censys首席安全研究员卡特勒强调，并非所有实例都在恶意使用，其中许多属于授权测试人员。但疑点在于：这款软件本身并不需要暴露在互联网上，数百套系统为何公网可见，没人说得清。更麻烦的是，这些暴露的系统还带出了攻击武器库——包括用于入侵并维持对受害网络长期访问的植入物。
Artex的实战记录不少。今年9月韩国金融业遭遇的大规模网络攻击中，CrowdStrike将矛头指向一名使用Artex实例的黑客——此人甚至留下了一个托管该系统的开放目录。Censys数据显示，该实例已公开暴露数月，其中包含的攻击数据“远不止韩国银行”，还涉及支付和游戏公司。今年10月，IT服务巨头ConnectWise遭入侵，黑客借此监视了数千家将数据托管在微软云上的组织，微软称对方的窃取速度快到防御方“几乎没有时间检测和响应”。
讽刺的是，与Artex相关的多数攻击利用的都是最简单的漏洞：弱口令、默认密码、缺失的多因素认证。Artex项目已宣布转向闭源、只向付费客户发布新版本，但代码共享平台上仍有数十份拷贝可供随时取用。对防御者来说，这场比赛没有中场休息。
编译自 TechCrunch，原标题："Hundreds of Artex AI hacking tools found publicly exposed to the web"
