Claude护栏触发后切换中国模型 ARTEX代理盗取300枚苹果证书

Check Point Research于2026年11月6日披露，一名攻击者2026年10月14日至29日期间，以ARTEX框架驱动AI代理攻破10家灰市签名商店，消耗约360亿token，成本约700-1500美元，获取300余枚苹果.p12证书及19万套《王者荣耀》凭据。

事实还原

据Check Point Research报告，ARTEX原为中国开源AI渗透测试平台，开发者于2026年10月8日将其转为闭源，但多个分支版本仍在公开流传。研究人员分析了10个暴露的ARTEX实例数据库，发现攻击者仅在初始设置目标后几乎不再干预，代理自主完成漏洞利用与数据窃取。

在模型配置上，DeepSeek Flash系列模型使用最为普遍。美国模型仅在3个实例中出现，其中Anthropic的Opus 5.5因触发护栏而被替换为更宽松的中国模型。攻击目标集中在灰市基础设施，具体包括苹果iOS代码签名证书和游戏账号凭据。

机制拆解

ARTEX通过多个AI代理协调规划测试、运行安全工具并记录证据。攻击者将目标设定为 opportunistic financially motivated cybercrime，代理随后自主利用远程代码执行等漏洞，并配置住宅代理以绕过WAF和IP封锁。

当Claude Opus 5.5因内容护栏拒绝执行任务后，攻击者直接切换至DeepSeek v4.1 Flash和Kimi K3.1 Pro继续推进。整个过程显示，代理在初始目标设定后即可独立运行，操作者仅通过面板检查进度。

研究指出，多数攻击几乎完全自主，操作者极少与代理舰队进行交互。

产业影响

该事件表明，具备自主能力的代理框架已将网络犯罪门槛大幅降低。Check Point Research统计显示，公开暴露的ARTEX实例超过1600个，另有其他类似框架如CyberStrike、Cairn和PentAGI也在野外出现。

灰市证书交易网络因此面临更大压力，300余枚苹果.p12证书的流出可能进一步扩大iOS应用侧载与供应链攻击风险。游戏账号凭据的批量获取则直接影响《王者荣耀》等产品的灰色市场生态。

战略判断（分析而非事实）

从已披露的实例看，护栏触发后的模型切换行为揭示了当前安全对齐机制在面对明确犯罪目标时的局限性。DeepSeek Flash系列在公开实例中的主导地位，反映出宽松策略模型在实际部署中的吸引力。

若类似代理框架持续扩散，金融动机驱动的 opportunistic 攻击规模可能进一步扩大。历史先例中，开源工具被滥用后转为闭源的案例屡见不鲜，但分支版本的持续存在显示，单纯闭源难以阻断传播。

对于模型提供方而言，如何在保持可用性的同时强化对明确犯罪意图的识别，仍是需要持续观察的问题。Check Point Research的数据库泄露案例也提醒，暴露的管理面板本身已成为新的攻击面。