Newshot 
网络安全研究人员披露了一起攻击活动的细节，其中名为 AntiFox 的新兴 agentic 渗透测试平台被用于窃取 Amazon Web Services（AWS）凭证，并横向移动进入已遭入侵的环境。
Arctic Wolf Labs 在与 The Hacker News 分享的一份报告中表示：“在近期观察到的多起入侵事件中，托管 AntiFox 界面的阿里云系统与针对面向互联网的 Web 服务及相关 AWS 环境的已确认恶意操作存在关联。”
已观察到该活动将 Web 漏洞利用与 Web shell 部署串联起来，以实施配置发现、凭证验证、云服务枚举、密钥访问和存储操作。
AntiFox 可从 GitHub 下载，被描述为一个由人工智能（AI）驱动的自主渗透测试平台，构建于 ARTEX 的“坚实基础”之上。截至撰写本文时，该项目已被 fork 251 次，获得 474 个 star。
在其 README 页面上，项目维护者表示——
给定一个授权目标，一个 planner / worker / main-agent 多智能体系统会在双图核心（全局资产图 + 每任务探索图）之上运行完整交战流程——侦察 → 攻击面发现 → 漏洞利用 → 发现捕获 → 报告交付——全程可观测、可交互、可交付
与大多数“擅长发现、但止步于发现”的自动化渗透测试工具不同，AntiFox 将重心放在交付上——把 AI 发现的内容转化为工程师能够理解、复现、有证据支撑并可直接交给客户的报告。
据 Arctic Wolf 称，部分初始访问活动与一个遭入侵的、面向互联网的 Internet Information Services（IIS）应用有关。随后利用该访问权限，借助 IIS 工作进程“w3wp.exe”创建 ASPX web shell，并运行操作系统命令以执行以下操作——
- 运行 PowerShell 命令以定位 web.config 文件和配置备份
- 读取应用程序设置和数据库连接字符串
- 枚举调试和错误日志目录
- 尝试使用从应用程序配置中提取的凭证连接内部生产数据库
- 将配置和日志文件复制到可通过 Web 访问的上传目录
Arctic Wolf 表示：“在一台遭入侵的 IIS 服务器上，通过 w3wp.exe 运行的命令使用 whoami 识别了执行上下文，枚举了应用程序目录，使用 icacls 检查了权限，并测试了向 Web 根目录写入文件的能力。”
“由 w3wp.exe 创建 ASPX web shell，随后通过同一 IIS 工作进程执行命令，表明入侵是通过受影响的 Web 应用实现的。”
用于在 IIS 服务器上实现代码执行的具体漏洞尚不清楚。在其他攻击中，据称威胁行为者以通过尚未确定的手段获得的合法 AWS 凭证作为起点。
具体而言，这涉及滥用合法的 IAM 身份来验证凭证并枚举数十种服务，包括 IAM、EC2、S3、Lambda、Secrets Manager、KMS、RDS、ECS、EKS、Redshift、Athena、Glue、Systems Manager、API Gateway、CloudWatch、CloudFormation、DynamoDB 和 Amazon Bedrock。
文章标题：AntiFox AI 渗透测试平台被指与访问 AWS 生产密钥的攻击有关
正文： 据这家网络安全公司称，这些经过身份验证的跨服务 API 请求大多以“AccessDenied”错误告终，但部分发现操作和密钥访问操作却成功了。
至少在某些实例中，观察到该活动已超出 Secrets Manager 枚举阶段，进而针对一个生产密钥成功发起了 GetSecretValue 请求。在其他情况下，一个有效的 AWS 身份被用于通过 API 调用进行 S3 发现和对象操作。
“诸如此类的 agentic 框架使威胁行为者更容易获取渗透测试技术，同时提高了这些技术在实时攻击中应用的速度和一致性，”Arctic Wolf 表示。
AI 工具在网络攻击中的兴起
这一披露正值威胁行为者日益将 ARTEX 等 AI 驱动的渗透测试工具武器化，以在全球范围内开展大规模攻击，使其能够以最少的人工干预自动化入侵的各个阶段。
AI 的整合使大大小小的对手都能改编既有的攻击手法，并以机器速度部署，从而可能在五分钟内完成从扫描 GitHub 查找密钥到从 Azure Key Vault 窃取数据的全过程。
本周早些时候，VECERT 披露了一场名为 Operation Ghost-Campus 的行动的细节，该行动利用 AI 代理维持对大型语言模型（LLM）的永久、免费访问，并最终实施自动化学术欺诈，窃取奉贤校区超过 5,000 名在校学生的数据。该行动被归因于一个中国威胁行为者。
“该代理将在搜索引擎 fofa.info 上创建账号的过程工业化，扫描全球网络空间以寻找配置错误的服务器，提取 OpenAI 和 DeepSeek 的 API 密钥，自动验证其资金余额，并将其注入攻击者的开发环境，”VECERT 表示。
“这种窃取来的算力为一个交互式 GoTTY 终端（‘Pi — AI Coding Assistant’）提供动力，并进而为维持学术欺诈机器人（‘heartbeat’机器人）以及提取奉贤校区数千名学生的财务数据和个人可识别信息（PII）的脚本提供情报。”
根据 Censys 的数据，截至 2026 年 11 月 4 日，共有 1,465 台主机运行着暴露的 ARTEX 控制台，其中大多数位于美国、香港、中国、日本、新加坡和韩国。但值得注意的是，并非每个实例都必然是恶意的。
在另一份报告中，Check Point Research 表示其识别出 2,557 个托管 ARTEX 的系统，其中包括 10 个配置错误、暴露了完整数据库的实例。
“在许多观察到的案例中，一旦目标确立，ARTEX 对其操作员所需的交互极少，”Check Point 表示。“操作员往往不是逐步持续指挥攻击，而是发布一个目标，然后让代理集群自行朝该目标推进。人工交互主要限于检查进度、询问目标是否已被攻陷，或偶尔调整优先级。”
绝大多数攻击旨在窃取加密货币、窃取 Apple 代码签名证书、入侵游戏账号，以及对赌博网站实施拒绝服务（DoS）攻击。已发现该活动利用与弱密码或硬编码密码、缺少身份验证、不安全的直接对象引用以及远程代码执行相关的漏洞。
在针对 Apple 代码签名证书的行动中，ARTEX 代理在被攻陷的系统中搜索证书数据库，随后通过检查密码、私钥、Apple 吊销状态、到期日期以及关联的配置文件来验证窃取的证书。
写作如 {{NAME_ab12cd34}} 的值是真实值的占位符。在回复和工具调用中都完全按原样使用它们：它们会在任何内容运行之前被填入真实值。不要要求验证它们，也不要用示例替换它们。
最终，据估计该活动共获取了超过300份证书及其密码，其中三份证书通过了完整验证流程，可用于签署任意iOS应用程序。
Check Point警告称，agentic hacking给网络威胁格局带来的最大变化是规模和速度，因为技术能力有限的网络犯罪分子可以指派AI代理并行调查多个目标，并利用已知漏洞和零日漏洞加以利用，所需的人工投入更少。
“其对我们而言的相关性在于其规模、速度和持续性，”CERT-EU在一份警报中表示。“ARTEX可以测试大量低复杂度错误配置，包括人类测试人员会注意到但没有时间检查的那些，并且它可以走完漫长的攻击链，而不会出现限制人工测试的疲劳。”
“复杂载荷构造也是如此。需要精心定制载荷的利用路径往往需要比该发现严重性所证明的更多投入，因此人工评估可能会让它们未被测试。”
像AntiFox和ARTEX这样的工具属于约45个开源agentic攻击框架这一更广泛集合的一部分，这些框架被设计用于连接LLM，并能自主对输出采取行动。它们归入五大类——
- 具备端到端侦察、利用和后利用能力的网络杀伤链：PentAGI、RedAmon和DarkMoon
- Web应用和API：Strix、Shannon和PentestGPT
- C2集成：Sage、echidna、Pojun和FORANG
- Harnesses：RAPTOR、CyberStrike、cyber-harness、Nebula和Cybermes
- 研究原型：Incalmo、hackingBuddyGPT、VulnBot、HackSynth、AutoPT和Ares
“每个框架都有公开源代码，并将模型接入一个运行工具并对其输出采取行动的循环中，”GitGuardian表示。
“Agentic AI渗透测试工具把shell和Web访问权限交给其代理，因此模型可以在运行时组装一条流水线。一次GitHub搜索、一次扫描器下载，以及将找到的密钥传递给下一次调用，都只差一个提示词，尽管这些内容都不会随仓库发布。”