掃描結果看起來像一支軍隊，實際上有大半是同一批人開了很多台機器。真正該看的是那些忘了關門的測試環境。
Censys 掃到 1,465 台跑著 Artex AI hacking tools 的主機
Censys 在 11 月 5 日公布掃描結果，兩天後被媒體接手報導。它找到 1,465 台可從網際網路直接連上的主機，上頭跑的是開源滲透測試框架 ARTEX。
Censys 明確寫了，對外暴露不等於有人在從事惡意活動。授權測試者本來就會用這套工具，把每一台都當成犯罪現場會看錯整件事。
Artex 是什麼：一套會自己拆任務的 offensive AI framework
它在 7 月 26 日釋出，由 Go 後端、Next.js 主控台與 PostgreSQL 資料庫組成，另外接上 ScopeSentry 匯入網域、位址與端點。
使用時，操作者只給目標、範圍與目的。規劃代理把目的拆成一串任務，工作代理去跑 nmap 這類工具並記錄結果，框架自己維護一張資產圖與一張探索圖。它支援 Anthropic 與 OpenAI 的模型端點，換供應商不用重寫流程。
從 1,465 台收斂到 815 個部署，還有 32 個公開目錄
1,465 這個數字要拆開看。其中約 650 台集中在兩家代管商、設定重複，看起來是複製出來的系統，或同一個操作者用了很多位址。扣掉這些叢集，剩下大約 815 個比較像獨立部署的個體。
真正麻煩的是細節。155 台，大約每十台就有一台出現額外的威脅偵測結果；32 個公開目錄直接把工具、植入程式與操作者的檔案晾在外面。其中一個目錄是操作者的家目錄，裡面放著 SSH 金鑰、shell 歷史與其他工作檔案。
同批主機上還看到 CyberStrikeAI 與 PentAGI 這類框架，也有 Cobalt Strike 與 Gophish。
被指到的攻擊：韓國金融業與 Storm-0940
CrowdStrike 把 9 月針對韓國金融機構的攻擊連到某個 ARTEX 實例。Censys 回頭查，發現那台機器的公開目錄從 8 月 18 日就看得見，比 CrowdStrike 的報告早了七週。
10 月針對 ConnectWise 客戶租戶的活動，微軟歸給它稱為 Storm-0940 的團體，攻擊者用這套框架摸進客戶的微軟雲端環境。微軟的描述是：一組 AI 代理可以從偵察一路做到資料外流，幾乎不需要人插手。
這些攻擊的弱點很老派：弱密碼、已知密碼、沒開多因素驗證。
exposed AI agent servers 通常缺了哪幾樣東西
把 32 個公開目錄的狀況攤開，缺的東西很一致：主控台沒有驗證、連接埠直接對外、LLM 的 API key 就放在同一台機器上。分開看都不算致命，湊在一起等於把工作筆記連同鑰匙一起貼在門口。
台灣有不少團隊會在雲端開一台機器試新工具，測完忘了關。香港的金融與跨境電商團隊，則常把內部工具與對外服務放在同一組 IP 上，界線本來就模糊。這類環境一旦被掃到，攻擊者拿到的不是一個漏洞，是一整套已經授權好的操作介面。
AI security 的偵測訊號，與 Artex 轉閉源的變數
Censys 給的是偵測訊號，不是入侵證明。TCP 8787、8790 與 443 上的主控台，頁面標題以 ARTEX 開頭、帶著 _next/static 資源，附近還有公開目錄、通道服務或沒見過的 LLM 閘道，這些組合起來值得查。
還有一個變數。ARTEX 已宣布轉為閉源，之後只給付費客戶，但這件事還沒生效，程式碼在代碼分享站上仍有幾十份副本。也就是說，之後掃到的數量會變，這套工具不會因為轉閉源就從網路上消失。
你家那台「先開著測試」的機器還開著嗎？這則新聞的用處不在記住 1,465，而在回頭檢查它。
