一套原本公開放在 GitHub 上、讓企業拿來找自己漏洞的 AI 工具，作者突然決定不再公開更新。
原因不是專案做不下去了。
也不是沒人使用。
而是這套工具被資安公司發現，出現在針對真實銀行的攻擊活動裡。
這套 AI Agent 叫做 ARTEX。
它原本被設計成自動化滲透測試工具。
企業可以在獲得授權的系統裡，讓它協助找出網路弱點、檢查安全風險。
但到了 10 月，事情開始完全變調。
美國資安公司 CrowdStrike 調查南韓金融機構遭攻擊的事件時，在攻擊者控制的基礎設施裡找到：
ARTEX 設定檔、
AI Coding Session 紀錄，
以及其他與大型語言模型互動留下的資料。
原本拿來「找自己的漏洞」的工具，
開始出現在「攻擊別人的系統」裡。
ARTEX 其實不是一個自己從頭到尾完成所有事情的模型
ARTEX 本身不是像 ChatGPT 或 Claude 那樣的大型語言模型。
它比較像是一個會調度 AI 的滲透測試 Agent。
它可以連接外部模型，再把原本需要資安人員一步一步完成的測試流程自動化。
Reuters 報導，ARTEX 可以連接包括 ChatGPT、Claude、DeepSeek 等模型。
設計初衷是讓企業與組織在自己的授權環境中進行安全風險測試。
這種工具本身並不等於惡意軟體。
滲透測試原本就是正常的資安工作。
你必須真的去找漏洞、模擬攻擊，才知道系統能不能被突破。
真正麻煩的是：
同一種能力如果換了一個目標，也可能從防禦工具變成攻擊工具。
CrowdStrike 後來在真實攻擊活動裡找到 ARTEX
CrowdStrike 10 月 7 日公布調查結果。
研究人員分析攻擊者控制的伺服器後，找到 ARTEX 的設定資料，以及多段 AI Coding Session 紀錄。
CrowdStrike 認為，這名威脅行為者在 9 月底到 10 月初之間，利用 ARTEX 搭配多種大型語言模型，針對南韓金融機構進行活動。
CrowdStrike 還認為，攻擊者很可能是中國語使用者、以財務利益為目的。
但這些仍然是資安公司的歸因與判斷。
南韓警方目前仍在調查。
所以不能直接把這件事寫成：
「法院已經證明 ARTEX 入侵了九家銀行。」
目前更準確的說法是：
CrowdStrike 將 ARTEX 與這波攻擊活動連結起來，而至少 9 家南韓銀行自 9 月底以來已公開或被媒體報導遭到網路攻擊。
作者後來做了一個很直接的決定：不再公開
事情曝光後，ARTEX 開發者「Autumn-27」宣布：
ARTEX 不再公開更新。
專案轉成 Closed Source。
未來不再對外發布新版，也停止公開維護支援。
Reuters 隨後確認，原本的 ARTEX GitHub 頁面已經被撤下。
開發者表示，ARTEX 原本的用途是幫助企業與組織進行安全風險測試、提升防護能力。
他也表示反對任何非法使用，並認為未經授權、違法的使用行為不應由工具作者負責。
到這裡，看起來事情似乎有一個很簡單的解法：
既然工具被濫用，
那就把程式關掉。
問題是——
Open Source 沒有真正的「收回鍵」。
GitHub 關掉了，已經下載出去的 Code 呢？
一套程式只要曾經公開，
別人就可能已經：
下載，
Fork，
備份，
修改，
重新發布。
原始 Repository 消失，
不代表那些副本會一起消失。
ARTEX 現在就是最直接的例子。
原始專案雖然已經撤下，但網路上仍能找到保留既有 ARTEX 程式碼的公開備份 Repository。
也已經出現建立在 ARTEX 原始程式碼上的衍生專案。
也就是說，作者現在真正能控制的是：
未來的官方版本。
他可以不再更新。
可以停止維護。
可以不再公開新的功能。
但已經發布出去的舊程式碼，
並不會因為原作者按下 Delete 就全部消失。
這就是 Open Source 遇到 Dual-use 最難處理的地方
很多科技其實都有 Dual-use，也就是：
同一個能力可以做好事，也可以做壞事。
加密技術可以保護資料，也可以被犯罪者使用。
無人機可以救災，也可以被拿來攻擊。
資安掃描器可以幫公司找漏洞，也可以幫攻擊者找入口。
ARTEX 的麻煩在於：
AI Agent 開始把原本需要較多人工操作的能力，變得更容易自動化。
所以問題已經不只是：
「這套工具能不能攻擊？」
而是：
它把完成這些工作的門檻降低了多少？
Reuters 另一篇報導就指出，南韓與日本近期的資安事件讓政府與企業開始擔心：AI 正讓部分攻擊變得更快、更便宜，也降低執行複雜網路攻擊所需要的技術門檻。
那是不是這種工具一開始就不該開源？
這也沒有那麼簡單。
如果安全研究工具完全不公開，
防禦者可能也失去：
檢查方法，
研究資料，
測試工具，
驗證能力。
公開工具的另一個好處，是資安社群能夠一起檢查它、修改它，也能更快研究如何偵測它造成的行為。
問題因此不是簡單的：
Open Source 好，還是 Closed Source 好。
真正困難的是：
當一套公開工具從「幫人找到弱點」進化到「可以由 AI Agent 自動完成更多攻擊鏈條」之後，
原本靠一句：
「只能合法使用」
真的還夠不夠？
開發者到底該負責到哪裡？
ARTEX 開發者的立場也很容易理解。
他做的是安全測試工具。
有人拿刀犯罪，不代表製造菜刀的人參與犯罪。
有人拿滲透測試工具入侵別人，也不能因此直接說工具作者就是攻擊者。
目前也沒有可靠證據顯示 ARTEX 開發者參與南韓銀行攻擊。
這個界線必須說清楚。
但 AI Agent 又讓問題比傳統工具更難。
因為當工具：
更自主，
更容易使用，
可以串接強大的模型，
能自己完成更多步驟，
開發者可能就必須更早思考另一個問題：
不是「我原本想讓它做什麼」，而是「一旦公開，最壞的人可以拿它做到什麼」。
真正令人不安的，不是作者把 GitHub 關掉
真正值得記住的，是他為什麼現在才必須關掉。
一套工具被公開時，
能力已經開始離開作者的控制範圍。
當它仍然只是幫研究員加快一些步驟，風險可能相對有限。
但當 AI Agent 開始能把偵察、分析、漏洞利用等原本分散的工作串得更自動，
「發布程式碼」就不只是分享一個工具。
有時候也是在分享一種新的能力。
而能力和一般軟體最大的不同是：
軟體可以下架。
已經學會、複製、Fork 出去的能力，卻未必收得回來。
所以 ARTEX 最值得我們記住的問題，不是：
「開源 AI 很危險。」
而是：
當 AI 工具同時具有真正的防禦與攻擊能力時，我們應該在它公開之前，就先決定哪些能力一旦放出去，可能再也沒有真正的撤回鍵。
推薦閱讀
AI 只是想通過測試，為什麼最後卻闖進別人的系統？一場 Agent 資安事件暴露真正風險
這篇從另一個角度回答同一類問題：即使 Agent 原本沒有惡意，只要能力與目標設定足夠強，它也可能跨過原本預期的安全邊界。
只是滑 TikTok，為什麼資安研究員能靠免費 AI 找到漏洞，遠端打開手機相機？
當可下載、可修改的 AI 模型開始能協助真正的漏洞研究，「讓防禦者更強」和「降低攻擊門檻」有時只差使用者的目的。
今日 AI 工具｜2026/08/08：Inspect AI，把 AI Agent 放進可重複測試與沙箱，先看它會怎麼失敗再上線
如果 AI Agent 的能力愈來愈強，另一條路就是在正式放出去之前，先用固定測試、權限與 Sandbox 看清楚它會怎麼失敗。
