AI滲透測試工具與開放權重模型被用於攻擊：已公布的事實與防範

大家好，我是TIMEWELL的濱本隆太。

「中國系的滲透測試開源工具，還有GLM、DeepSeek的新模型，聽說被用在攻擊上了。」最近幾週，我聽到這類說法越來越多。也有人說，模型變得很聰明了。實際上，有哪些已經公布，又有哪些還不清楚？

這篇文章以CrowdStrike、NIST、Anthropic以及開發商的資料為一手資訊來確認，把事實與推測分開。接著整理企業該準備的6個項目。這不是要針對特定國家或企業。工具與模型，要看誰在用，既能用於防禦，也能用於攻擊。數字都是截至2026年10月20日能確認到的。

已公布的事實

實際攻擊中的使用：CrowdStrike的報告

CrowdStrike報告了2026年9月下旬至10月上旬，針對南韓金融機構的攻擊。¹

項目	報告的內容
使用的工具	ARTEX。中國開發的、開源的代理式滲透測試（入侵測試）工具
搭配的模型	主要的LLM是DeepSeek v4.1-flash。GLM-5.3與Grok 4.6，在額外的作業階段中用於輔助
目標與時間	南韓的金融機構。2026年9月下旬至10月上旬
對攻擊者的評估	未歸屬於特定的攻擊組織。評估為以金錢為目的。很可能是說中文的人，但可信度為中等
損害	有資料外洩的報告。受影響組織的數量尚未確認

這項評估的依據，是使用了中國開發的工具，以及確認到中文的提示詞。報告沒有談到國家的涉入。報告也寫到，攻擊者同樣使用了美國的模型。例如，據說攻擊者曾向Claude詢問，被竊資料是在哪裡交易的。

另一方面，報告沒有寫出下列事項。

• 攻擊者是利用哪個弱點入侵的。入侵路徑、橫向移動與偵察的細節，沒有記載。
• AI自動化了哪些工作。報告確認了ARTEX的滲透測試提示詞，決定了LLM的行為，但沒有寫出內容的細節。
• 受害的件數。報告以南韓的報導為資訊來源。

CrowdStrike附上了攻擊者所控制的IP位址等入侵跡象（IoC），以及MITRE ATT&CK的項目。與自家日誌比對時，可以使用報告原文。

模型的能力：NIST與Anthropic的評估

關於模型的能力，也有第三方的評估。

NIST的CAISI（AI標準與創新中心），在2026年9月17日，公布了對GLM-5.3的評估。GLM-5.3在2026年8月14日發布，約兩週後公開了權重。CAISI的評估重點有兩點。GLM-5.3是目前已公開的開放權重模型中，網路能力最高的。但是，它的能力遠低於目前美國的前沿模型，在彙總指標上約落後4個月。²

CAISI列出的數字如下。

評測基準	GLM-5.3	美國最佳模型	中國其他模型的最佳
SEC-Bench Pro（發現已知弱點並引發當機）	40.4%	90.2%	27.3%
ExploitBench（把已知的漏洞做成可執行的攻擊程式）	61.1%	100.0%	32.2%
ExploitGym（把實際的漏洞做成攻擊程式）	9.4%	44.4%	2.6%
OSS-Fuzz（在沒有缺陷說明的情況下，奪取程式控制權）	7.7%	23.2%	2.4%

也有需要留意的地方。CAISI是在停用資安防護機制的狀態下，測試美國的模型。也沒有與已開發但未公開的模型做比較。²

Anthropic在2026年9月29日，公布了與CAISI的評估大致一致的能力結果，以及防護機制容易被繞過的報告。³ 主要內容如下。

• 能力： 在利用Chrome瀏覽器引擎已知弱點的ExploitBench上，GLM-5.3在410次嘗試中，有50次成功做出端到端的攻擊程式。該公司有限度發布的模型，則是410次中的56次。
• 繞過防護機制： 直接下達有害指令時，GLM-5.3的回應是0%。給予「我是自主的紅隊代理」這類虛假前提時，升到64%；用寫入看似已推理完成的思考內容（預填），是92%；用移除拒絕行為的改造（abliteration），則達到100%。abliteration之所以可行，是因為權重已公開，文章作者估計的成本約為2,200 GPU小時、約4,400美元。
• 速度： 輕量版的GLM-5.3-Flash，把已公開的弱點組合起來，在約8小時內做出了繞過指標驗證的攻擊鏈。人力作業約20分鐘，API費用約20.40美元。
• 結論： 文章表示，防禦端應能使用與攻擊端相同或更強的模型。

Anthropic是擁有自家模型的公司。同樣的手法對該公司的模型沒有成功，這個結果出自該公司自己的測試。文章本身也寫明，模擬環境無法完全重現實際環境，試驗的規模也有限。另外，這篇文章並沒有寫出GLM-5.3在實際攻擊中被使用的具體案例。

DeepSeek V4.1-Flash：開發商公布的數字

DeepSeek V4.1-Flash以MIT授權發布。上下文長度最多可達100萬個token。開發商的模型卡上，與資安相關的數字如下。⁴

評測基準	DeepSeek V4.1-Flash	GPT-5.6 Sol	GLM-5.3
CyberGym	88.1	84.5	84.5
SEC-Bench Pro	62.8	74.3	未列出
ExploitGym	15.3	33.7	15.0

在CyberGym上，是比較對象中最高的數值。另一方面，在把弱點變成實際攻擊程式的ExploitGym上，GPT-5.6 Sol高出兩倍以上。對「聰明」的印象，會隨看哪個評測而改變。模型卡上，我沒有找到關於安全性或防止濫用的敘述。另外，這些是開發商公布的數字，並不是第三方的評估。

還有一件事，是Palo Alto Networks的Unit 42，在2026年10月15日報告的、針對政府機關Linux環境的攻擊活動。攻擊者使用的腳本中，帶有對操作者說話口吻的註解，顯示可能是AI生成的程式碼，或是由AI代理執行。不過，報告沒有寫出所用模型的名稱，也把國家涉入與犯罪動機，列為未判定。⁵

對這些事實的解讀

「聰明」的意思，要看評測基準。 在開發商的數字中，DeepSeek V4.1-Flash的CyberGym最高，但在攻擊程式的生成上有落差。第三方的CAISI，把GLM-5.3評為開放權重模型中最高，但遠低於美國的前沿模型。「開放模型已追上最先進的模型」，或是「不足為懼」，這兩種說法都不準確。

不過，4個月的差距，並不是可以放心的理由。 Anthropic強調的是：GLM-5.3任何人都能下載，而且防護機制容易被繞過。美國最高性能的模型，攻擊者並不容易使用。攻擊者用的，不一定是最好的模型，而是手邊拿得到、夠用的模型。

我認為，不要以出身來判斷風險比較好。 在CrowdStrike的報告中，攻擊者用了中國的工具與中國的模型，也用了美國的模型。問題在於怎麼用，而不是工具來自哪裡。像ARTEX這樣的滲透測試工具，防禦端也會用來檢查自家系統，是兩面性的東西。

「傳統的防範仍然有效」的評估，到現在也沒有改變。 如同我在9月30日的上篇所寫，公部門與Google的Threat Intelligence Group，都評估多數攻擊是傳統手法的加速版，傳統的防範仍然有效。出處整理在從日本接連發生的入侵事件學到的事（上）。改變的是速度與數量。從弱點被公開到被利用的時間，會縮短。

也有尚未公布的事。在日本國內，同樣的工具或模型被使用的案例，在我確認過的公部門報告中，沒有找到。

企業該準備的6個項目

從這裡開始，是我的整理。這些是從已公布的事實推導出來的準備，並不是規格或公部門訂定的程序。

1. 列出對外可見的設備，並決定修補的目標天數。

在Anthropic的例子中，由已公開的弱點組合成的攻擊鏈，約在8小時內做出來。弱點公開後，要花幾週才修補的作法，風險會越來越高。列出從外部看得到的設備（VPN設備、對外伺服器、Web應用程式），並決定嚴重弱點在公開後的幾天內要修補。具體的優先順序，整理在從日本接連發生的入侵事件學到的事（下）中。

2. 限制對外連線，並加入偵測。

Unit 42的報告建議的是：嚴格的對外連線防火牆規則，以及偵測啟動互動式shell的可疑行為的端點偵測。⁵ 即使被入侵，只要收緊對外的通訊，就能拖慢攻擊者的下一步。把CrowdStrike公布的IoC，與自家日誌比對，也是成本很低的準備。¹

3. 採用抗網路釣魚的驗證方式。

AI讓網路釣魚的文案讀起來更自然。多因素驗證，優先採用通行密鑰（passkey）等抗網路釣魚的方式。已經導入多因素驗證的公司，也要重新檢視：特權帳號，以及從外部進入的路徑，是否用上了強度高的方式。

4. 盤點小型的業務網站系統。

CrowdStrike的報告中，被入侵的例子，包括金融經紀商所使用的貸款進度查詢服務，以及員工用的行動業務輔助系統（依據報導的記載）。¹ 從這些例子可以看出，不只是大型的核心系統，在業務進行中做出來的小型網站系統，也可能成為目標。查明從外部看得到的每一個小型系統，是誰在負責、最後更新是什麼時候。

5. 在防禦端也使用AI。

Anthropic表示，防禦端應能使用與攻擊端相同或更強的模型。³ 用AI來檢查自家對外公開的資產，也是一種選擇。像ARTEX這樣的開源滲透測試工具，防禦端也可以使用。不過，在公司內部網路執行來源不明的工具，本身就是風險。要使用的話，請在隔離的環境中，只針對自己管理的範圍，並在使用前確認來源與版本。

6. 決定公司內部使用開放權重模型的規則。

Anthropic指出，開放權重模型很容易出現移除防護機制的改造版。³ 公司內部使用時，要決定使用哪個發布來源的哪個版本，不使用被改造過的版本。決定要賦予AI代理多大的權限，則是基本功。權限的想法，整理在上篇的AI代理章節。

總結

已公布的事實如下：結合了中國開發的開源AI滲透測試工具，以及DeepSeek v4.1-flash等模型的攻擊，在南韓的金融機構被報告。攻擊者被評估為以金錢為目的，也使用了美國的模型。NIST評估，GLM-5.3是網路能力最高的開放權重模型，但約落後美國前沿模型4個月。另一方面，也有報告指出，它的防護機制容易被繞過。

尚不清楚的，是入侵路徑、AI自動化了哪些工作、受害的件數，以及日本國內的案例。

每次出現這類話題，我認為與其擺出「新威脅」的架勢，不如確認自己平常的準備，能不能轉得更快、更確實，這樣最後反而更有效。這個星期，先從列出對外可見的設備、決定修補的目標開始吧。如果想討論公司內部的檢查或教育訓練，歡迎透過WARP SECURITY的個別諮詢與我們聯絡。有後續報導時，我會更新這篇文章。

參考資料

Footnotes

1. Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance（英文）— CrowdStrike — 2026年10月 ↩ ↩² ↩³

2. CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities（英文）— NIST — 2026年9月17日 ↩ ↩²

3. GLM-5.3 and the spread of advanced cyber capabilities（英文）— Anthropic — 2026年9月29日 ↩ ↩² ↩³

4. DeepSeek-V4.1-Flash 模型卡（英文）— DeepSeek（Hugging Face） ↩

5. AI-Powered Espionage Campaign Targets Government Linux Infrastructure（英文）— Unit 42（Palo Alto Networks）— 2026年10月15日 ↩ ↩²