Un atac cibernetic asupra instituțiilor financiare din Coreea de Sud a fost realizat cu ajutorul unor instrumente de inteligență artificială și software open-source, în perioada finalului lunii septembrie și începutul lunii octombrie 2026, conform unei investigații publicate de CrowdStrike. Campania a vizat cel puțin nouă bănci sud-coreene, printre ele fiind Shinhan Bank și KB Kookmin Bank, și a rezultat în furtul unor date din organizațiile vizate. Autoritățile din Seul au început o anchetă oficială în acest caz.
Utilizarea combinată a ARTEX AI și Claude Code în atacuri
CrowdStrike a identificat infrastructura atacatorului după analiza unor directoare publice accesibile pe internet. În aceste directoare au fost găsite istorice ale sesiunilor Claude Code, fișiere de configurare ARTEX și fișiere de memorie asociate cu Claude. Aceste date au oferit o perspectivă detaliată asupra modului în care a fost coordonată campania de hacking.
ARTEX era, până recent, un instrument open-source dezvoltat în China pentru testarea penetrării în sisteme informatice. Acest tip de aplicație este folosit pentru identificarea vulnerabilităților înainte de a fi exploatate de către atacatori rău intenționați. În cazul de față, CrowdStrike afirmă că ARTEX a fost folosit efectiv într-o campanie reală împotriva unor instituții financiare din Coreea de Sud.
Infrastructura utilizată a integrat modelul DeepSeek v4.1-flash drept principal AI, plus modele precum GLM-5.3 de la Zhipu AI și Grok 4.6 în sesiuni Claude Code. Cercetătorii au descoperit inclusiv un prompt în limba chineză care indica modelului cum să execute activități de penetration testing.
Problema relevantă reieșită din acest caz este modul în care instrumentele pentru securitate au fost transformate în arme pentru atacuri. Experții afirmă că agenții AI precum Claude, Codex sau Cursor pot declanșa alerte sistemelor antivirus, fiind capabili să execute comenzi, să acceseze fișiere sau să automatizeze acțiuni similare celor realizate de un atacator uman.
Identitatea și motivația atacatorului
Unul dintre cele mai neobișnuite aspecte ale incidentului ține de modul în care cercetătorii au urmărit identitatea presupusului atacator. În infrastructura compromisă au fost găsite informații personale, date de contact și detalii despre un cont Telegram, care au fost folosite pentru crearea unui CV digital.
Datele indică un posibil suspect: un bărbat de 26 de ani din Maoming, provincia Guangdong, cu studii la South China University of Technology. CrowdStrike precizează că nu există o confirmare definitivă asupra identității, iar unele informații confruntă date anterioare, precum anul nașterii, introduse de atacator în sesiunile de lucru.
Cercetătorii nu atribuie campania unui grup specific și consideră că suspectul vorbește limba chineză și are un motiv financiar, însă nu există dovezi concrete care să confirme această ipoteză. Analiza documentelor sugerează că inițial atacatorul nu avea un plan clar pentru monetizarea datelor furate, însă a utilizat Claude pentru a identifica piața de vânzare pentru aceste informații, inclusiv pe grupuri Telegram.
Exploatarea AI în activități malitioase a fost deja documentată anterior, uneori contrar politicilor companiilor precum Anthropic, care interzice utilizarea sistemelor sale pentru spionaj, fraudă sau alte activități ilegale.
Decizia de închidere a dezvoltării ARTEX
După ce s-a confirmat utilizarea ARTEX în atacurile reale, dezvoltatorul proiectului a decis închiderea codului sursă și oprirea dezvoltării versiunii open-source. Reuters a anunțat această decizie pe 9 octombrie.
Chiar și după retragerea oficială, sursele software au fost copiate și adaptate, fiind create versiuni în limba engleză și coreeană ale ARTEX, ceea ce înseamnă că tehnologia nu a fost complet eliminată din circulație.
Această situație evidențiază riscul ca instrumentele AI pentru securitate, utile și în scop defensiv, să fie exploatate pentru activități ofensive. În paralel, companii precum Anthropic încearcă să limiteze riscurile, extinzând utilizarea modelului Claude în identificarea vulnerabilităților software, după ce acesta ar fi evidențiat peste 129.000 de probleme de securitate.
Impactul AI asupra dinamicii atacurilor cibernetice
Cazul din Coreea de Sud arată că agenții AI, deși nu pot desfășura complet autonom atacuri sofisticate, pot accelera și facilita munca unui infractor uman. Modelele AI pot genera cod, interpreta rezultatele, evalua pașii următori și automatiza task-uri repetitive, reducând timpul necesar pentru operarea unui atac.
Un exemplu este modul în care specialiștii în securitate au folosit Claude pentru a identifica vulnerabilități și a demonstra compromiterea anumitor conturi, într-un exercițiu de testare realizat în condiții controlate.
Informațiile sugerează că, dacă până acum AI era perceput mai mult ca un instrument de apărare, în prezent poate fi folosit și pentru orchestrarea unui lanț de atacuri digitale. Discuția despre riscurile și beneficiile inteligenței artificiale în domeniul securității cibernetice a intrat într-o etapă nouă.
