一套原本公开放在 GitHub 上、让企业拿来找自己漏洞的 AI 工具，作者突然决定不再公开更新。
原因不是项目做不下去了。
也不是没人使用。
而是这套工具被资安公司发现，出现在针对真实银行的攻击活动里。
这套 AI Agent 叫做 ARTEX。
它原本被设计成自动化渗透测试工具。
企业可以在获得授权的系统里，让它协助找出网络弱点、检查安全风险。
但到了 10 月，事情开始完全变调。
美国资安公司 CrowdStrike 调查南韩金融机构遭攻击的事件时，在攻击者控制的基础设施里找到：
ARTEX 设置档、
AI Coding Session 纪录，
以及其他与大型语言模型交互留下的数据。
原本拿来「找自己的漏洞」的工具，
开始出现在「攻击别人的系统」里。
ARTEX 其实不是一个自己从头到尾完成所有事情的模型
ARTEX 本身不是像 ChatGPT 或 Claude 那样的大型语言模型。
它比较像是一个会调度 AI 的渗透测试 Agent。
它可以连接外部模型，再把原本需要资安人员一步一步完成的测试流程自动化。
Reuters 报导，ARTEX 可以连接包括 ChatGPT、Claude、DeepSeek 等模型。
设计初衷是让企业与组织在自己的授权环境中进行安全风险测试。
这种工具本身并不等于恶意软件。
渗透测试原本就是正常的资安工作。
你必须真的去找漏洞、模拟攻击，才知道系统能不能被突破。
真正麻烦的是：
同一种能力如果换了一个目标，也可能从防御工具变成攻击工具。
CrowdStrike 后来在真实攻击活动里找到 ARTEX
CrowdStrike 10 月 7 日公布调查结果。
研究人员分析攻击者控制的服务器后，找到 ARTEX 的设置数据，以及多段 AI Coding Session 纪录。
CrowdStrike 认为，这名威胁行为者在 9 月底到 10 月初之间，利用 ARTEX 搭配多种大型语言模型，针对南韩金融机构进行活动。
CrowdStrike 还认为，攻击者很可能是中国语用户、以财务利益为目的。
但这些仍然是资安公司的归因与判断。
南韩警方目前仍在调查。
所以不能直接把这件事写成：
「法院已经证明 ARTEX 入侵了九家银行。」
目前更准确的说法是：
CrowdStrike 将 ARTEX 与这波攻击活动链接起来，而至少 9 家南韩银行自 9 月底以来已公开或被媒体报导遭到网络攻击。
作者后来做了一个很直接的决定：不再公开
事情曝光后，ARTEX 开发者「Autumn-27」宣布：
ARTEX 不再公开更新。
项目转成 Closed Source。
未来不再对外发布新版，也停止公开维护支持。
Reuters 随后确认，原本的 ARTEX GitHub 页面已经被撤下。
开发者表示，ARTEX 原本的用途是帮助企业与组织进行安全风险测试、提升防护能力。
他也表示反对任何非法使用，并认为未经授权、违法的使用行为不应由工具作者负责。
到这里，看起来事情似乎有一个很简单的解法：
既然工具被滥用，
那就把程序关掉。
问题是——
Open Source 没有真正的「收回键」。
GitHub 关掉了，已经下载出去的 Code 呢？
一套程序只要曾经公开，
别人就可能已经：
下载，
Fork，
备份，
修改，
重新发布。
原始 Repository 消失，
不代表那些副本会一起消失。
ARTEX 现在就是最直接的例子。
原始项目虽然已经撤下，但网络上仍能找到保留既有 ARTEX 代码的公开备份 Repository。
也已经出现创建在 ARTEX 原始代码上的衍生项目。
也就是说，作者现在真正能控制的是：
未来的官方版本。
他可以不再更新。
可以停止维护。
可以不再公开新的功能。
但已经发布出去的旧代码，
并不会因为原作者按下 Delete 就全部消失。
这就是 Open Source 遇到 Dual-use 最难处理的地方
很多科技其实都有 Dual-use，也就是：
同一个能力可以做好事，也可以做坏事。
加密技术可以保护数据，也可以被犯罪者使用。
无人机可以救灾，也可以被拿来攻击。
资安扫描仪可以帮公司找漏洞，也可以帮攻击者找入口。
ARTEX 的麻烦在于：
AI Agent 开始把原本需要较多人工操作的能力，变得更容易自动化。
所以问题已经不只是：
「这套工具能不能攻击？」
而是：
它把完成这些工作的门槛降低了多少？
Reuters 另一篇报导就指出，南韩与日本近期的资安事件让政府与企业开始担心：AI 正让部分攻击变得更快、更便宜，也降低运行复杂网络攻击所需要的技术门槛。
那是不是这种工具一开始就不该开源？
这也没有那么简单。
如果安全研究工具完全不公开，
防御者可能也失去：
检查方法，
研究数据，
测试工具，
验证能力。
公开工具的另一个好处，是资安社区能够一起检查它、修改它，也能更快研究如何侦测它造成的行为。
问题因此不是简单的：
Open Source 好，还是 Closed Source 好。
真正困难的是：
当一套公开工具从「帮人找到弱点」进化到「可以由 AI Agent 自动完成更多攻击链条」之后，
原本靠一句：
「只能合法使用」
真的还够不够？
开发者到底该负责到哪里？
ARTEX 开发者的立场也很容易理解。
他做的是安全测试工具。
有人拿刀犯罪，不代表制造菜刀的人参与犯罪。
有人拿渗透测试工具入侵别人，也不能因此直接说工具作者就是攻击者。
目前也没有可靠证据显示 ARTEX 开发者参与南韩银行攻击。
这个界线必须说清楚。
但 AI Agent 又让问题比传统工具更难。
因为当工具：
更自主，
更容易使用，
可以串接强大的模型，
能自己完成更多步骤，
开发者可能就必须更早思考另一个问题：
不是「我原本想让它做什么」，而是「一旦公开，最坏的人可以拿它做到什么」。
真正令人不安的，不是作者把 GitHub 关掉
真正值得记住的，是他为什么现在才必须关掉。
一套工具被公开时，
能力已经开始离开作者的控制范围。
当它仍然只是帮研究员加快一些步骤，风险可能相对有限。
但当 AI Agent 开始能把侦察、分析、漏洞利用等原本分散的工作串得更自动，
「发布代码」就不只是分享一个工具。
有时候也是在分享一种新的能力。
而能力和一般软件最大的不同是：
软件可以下架。
已经学会、拷贝、Fork 出去的能力，却未必收得回来。
所以 ARTEX 最值得我们记住的问题，不是：
「开源 AI 很危险。」
而是：
当 AI 工具同时具有真正的防御与攻击能力时，我们应该在它公开之前，就先决定哪些能力一旦放出去，可能再也没有真正的撤回键。
推荐阅读
AI 只是想通过测试，为什么最后却闯进别人的系统？一场 Agent 资安事件暴露真正风险
这篇从另一个角度回答同一类问题：即使 Agent 原本没有恶意，只要能力与目标设置足够强，它也可能跨过原本预期的安全边界。
只是滑 TikTok，为什么资安研究员能靠免费 AI 找到漏洞，远程打开手机相机？
当可下载、可修改的 AI 模型开始能协助真正的漏洞研究，「让防御者更强」和「降低攻击门槛」有时只差用户的目的。
今日 AI 工具｜2026/08/08：Inspect AI，把 AI Agent 放进可重复测试与沙箱，先看它会怎么失败再上线
如果 AI Agent 的能力愈来愈强，另一条路就是在正式放出去之前，先用固定测试、权限与 Sandbox 看清楚它会怎么失败。
