Amazon Threat Intelligence 观测到利用 ARTEX AI 智能体的威胁行为者活动

AWS Security Blog

Amazon Threat Intelligence 观察到威胁行为者使用 ARTEX AI 智能体开展网络犯罪活动

2026 年 10 月 3 日至 11 月 5 日期间，Amazon 的 MadPot——一个由诱饵威胁传感器组成的全球分布式网络——捕获了来自 AI 智能体的请求，这些请求中包含威胁行为者在 ARTEX 上运行的攻击活动中的运行内存。ARTEX 是一个开源的智能体式 AI 渗透测试框架。这些 ARTEX 智能体将请求发送至被配置为模拟流行大语言模型（LLM）推理 API 的 MadPot 传感器，而这些请求携带了智能体自身对其活动的记录。

Amazon Threat Intelligence 对涉及可能受影响 AWS 客户的威胁活动进行了评估，并酌情通知了他们。由于针对其他组织的活动无法得到确认，本文分享相关发现和入侵指标（IOC），以便运行受影响技术的组织审查自身环境。

最突出的 ARTEX 活动是一次大规模窃取凭证以访问 AI 模型的行为，其组织方式是一种自我维持的运作：被盗密钥用于支付 LLM 推理算力，而这些算力又支撑进一步的凭证搜寻。另一起活动针对加密货币交易所，利用实时深度伪造注入绕过了解你的客户（KYC）验证。总体而言，智能体记录显示，智能体框架已从实验性使用发展为持续、多目标的攻击行动，且仅需极少人工干预即可运行。本文基于智能体自身对活动的描述，介绍这些活动是如何运作的。

归因与指令

Amazon Threat Intelligence 以中等置信度评估认为，这些活动使用了 ARTEX，依据是提示中对 ARTEX 工具链的引用以及其他引用 ARTEX 的技术痕迹。威胁行为者通过常设指令提示指导 ARTEX 智能体，设定任务目标、目标选择规则和行动约束。在这些指令范围内，智能体自行处理工作。在一起凭证窃取活动中，操作者要求智能体按固定国家顺序推进，优先选择企业生产站点而非个人项目，并对每一份窃取的凭证按其是否可用以及能访问什么进行评级。智能体被指示将公开暴露超过 30 天的凭证视为低价值库存。

Amazon Threat Intelligence 还以中等置信度评估认为，这些是不同的中国背景威胁组织，依据是提示中使用简体中文、配置为中国时区、目标选择与中国利益一致，以及主要为中国背景威胁所使用的工具链。示例指令包括设定红线，例如排除中国大陆目标和政府域名，并要求所有出站流量必须经过代理。

MadPot 如何看到这些活动的内部情况

MadPot 向潜在攻击者呈现受控服务，并记录他们如何发现、测试并尝试入侵或滥用这些服务。MadPot 遥测使 Amazon Threat Intelligence 能够在不对客户工作负载构成暴露风险的情况下观察攻击者行为。在本例中，MadPot 传感器在多个端口上呈现流行的 LLM 兼容 chat-completions 接口。智能体框架作为其攻击工作流的一部分，向这些接口发送提示，将它们视为 LLM 推理后端。

生成的遥测数据包含了持久任务上下文、系统提示、工具历史、知识图谱状态以及上报的发现结果——这些正是此类框架通常发送给 LLM 以做出运营决策的内容。由于智能体框架会保留过往对话的历史，单个请求往往包含了一次行动的完整运营历史。该历史描述了在捕获请求之前以及两次捕获请求之间、在 MadPot 未监控的系统上发生的活动。Amazon Threat Intelligence 并未实时观察到这些活动，也无法核实智能体所报告的结果，但这些记录显示了攻击者当时在追求什么。

大部分活动使用 ARTEX 在规划、执行、验证和压缩智能体之间分配工作，这些智能体共享一个持久知识图谱。知识图谱充当行动的共享记忆：每个智能体都从中读取，并将结果写回，因此每个智能体都能从其他智能体中断的地方继续。这些智能体的记录描述了横跨数百个目标（涵盖 AI 应用平台及其他工作负载）的侦察、漏洞测试、凭据窃取、云权限扩展和加密货币欺诈尝试。这些记录显示了威胁行为者如何利用智能体 AI 框架组织持久、出于经济动机的进攻性行动。

活动 1：大规模窃取 AI 凭据

在该活动中，威胁行为者利用 AI 智能体窃取 API 密钥及其他可授予 AI 模型访问权限的凭据，最可能的目的在于让他人为其模型使用买单。智能体的记录显示，被盗密钥被送入框架自身的模型网关，用于驱动智能体去搜索更多密钥。除 AI 模型访问密钥外，云凭据被视为通往更多访问权限的门户。智能体通过各提供商的令牌和身份服务验证身份、枚举存储、评估权限范围，并针对托管式 AI 模型服务、密钥和参数存储以及应用程序身份发起攻击。它们优先获取高端前沿模型的访问权限，而非一般云权限。

智能体记录了使用不同的 AI 网关、密钥和模型，但它们都采用相同的方法：寻找暴露在互联网上的 AI 应用，提取其持有的上游提供商密钥，验证这些密钥，并将其存入托管池。智能体重点关注聚合提供商密钥的应用，因为一个薄弱的管理界面可能暴露众多下游账户。目标包括 LLM 网关和代理平台，如 One API、New API、Veloera、Sub2API 和 LiteLLM，以及 AI 应用构建器，如 Dify、FastGPT、Langflow、RAGFlow、Open WebUI、LobeChat 和 Ollama。一份成文的漏洞作战手册将每个通过指纹识别的产品映射到其已知攻击链，包括可被认领的未初始化安装、匿名管理和提供商配置端点、默认管理员凭据（如 LiteLLM 默认主密钥）、CVE-2025-3248（Langflow）、CVE-2026-28797（RAGFlow）、One API 系列系统中通过 isCliRequest 请求头实现的认证绕过、通过 URL 抓取功能指向云元数据服务的 SSRF，以及遗留在客户端 JavaScript、source map、调试路由和环境文件中的密钥。

为找到这些密钥，发现环节借助了互联网扫描服务、证书透明度以及公开代码和制品来源：GitHub 仓库和事件归档（针对未被自动吊销机制覆盖的密钥）、npm 和 PyPI 的 tarball、容器镜像层、notebook、模型托管空间、粘贴站点以及 Telegram 频道。一项并行的行动按固定的国家顺序推进，优先针对企业生产站点，并对每个凭据进行分级：L1 表示线索，L2 表示已确认可用的 API 调用，L3 表示量化影响，例如可读数据或可消费余额。公开暴露超过 30 天的密钥被视为低价值库存。

活动 2：用深度伪造击败身份验证

在这次活动中，威胁行为者使用 AI agent 通过深度伪造击败了两家加密货币交易所的身份验证（KYC）检查。agent 的记录显示，它们生成了实时深度伪造视频以通过实时自拍检查，并伪造了身份证件照片以通过证件检查。

记录描述了对活体检测的一种有条不紊的方法，活体检测是一种安全方法，用于确认与数字系统交互的人是真实、活生生的人，并且在采集时确实在场。agent 详细逆向工程了一家供应商的活体检测协议，记录了它发送的人脸检测事件流、它在检查过程中如何跟踪人脸位置，以及它用来告诉用户移动方向的坐标系。它们记录的最佳尝试在面部位置与目标相距 7 像素以内完成了完整的移动序列。即便如此，供应商服务器端的判定在 agent 记录的所有尝试中都拒绝了深度伪造。与此同时，另一个会话使用开源面部动画模型在单块消费级 GPU 上构建了实时深度伪造视频管线。通过拆分模型并避免 GPU 上不必要的内存拷贝，它达到了 11.5 帧/秒，接近实时视频检查的预期要求。

agent 也处理了身份证件。验证供应商会寻找证件照片被编辑过，或者是屏幕照片而非相机拍摄的迹象。为了通过这些检查，agent 记录显示它们构建了合成相机元数据，其图像尺寸与 JPEG 文件内部的真实值匹配，并保留了原始相机压缩表，而重新保存编辑过的图像通常会替换这些压缩表。结果是一张被修改过的图像，在文件层面看起来像一张未经处理的相机照片。

这次活动还展示了 ARTEX 如何围绕一个目标运行多个工作流。至少有四个 agent 会话同时运行：一个寻找套现方式，一个处理账户余额清算，一个搭建深度伪造视频管线，一个执行验证绕过。它们通过跨会话工具共享发现并交接任务。

这对防御者意味着什么

这些活动中的技术没有一个是新的。AI agent 改变的是攻击者的速度和持续性。agent 在缺乏基本安全卫生的地方取得了成功，包括默认或硬编码凭据、留在代码和公共产物中的密钥、未认证的接口和推理端点，以及未打补丁的软件。把这些基础工作做好仍然是最有效的防御。

鉴于攻击者的速度和持续性，组织应假设暴露的密钥和错误配置会被迅速发现，并据此进行修复。他们应将 AI 应用、模型网关和推理端点纳入与其他生产系统相同的控制措施，并应通过异常支出或异常使用来监视 AI 服务的滥用。

入侵指标（IOC）

如有疑问，请在 AWS re:Post 上开新帖或联系 AWS Support。

资源

• AWS Cloud Security

• AWS Compliance

• AWS Security Reference Architecture

• 最佳实践

• AWS 数据保护

• AWS 零信任

• 加密计算

关注

• 电子邮件更新