12分钟。在欧洲近期的一次网络安全模拟演练中，一个由AI驱动的自动化攻击者仅用12分钟，就从初始访问推进到取得目标网络的完整管理员root控制权限。12分钟，比安全团队的晨间站会还短，更不用说安全运营中心（SOC）的标准告警分诊周期了。
留给CISO从容应对的时间正迅速减少。当自主AI智能体能在人工分析师打开告警工单之前，就完成扫描、跳转、漏洞利用和凭据窃取时，安全领导者的战略任务已不容置疑：必须以机器速度的防御，应对机器速度的威胁。
导致应对时间大幅缩短的推手是Artex，这是一款最初在中国开发、并在GitHub上开源发布的攻击型多智能体框架。尽管作者在该框架遭到广泛滥用后删除了公开代码仓库，但代码此前已被复刻数千次，导致数百个仍在运行的部署实例可通过互联网公开访问。
各类攻击者已将其用作攻击武器。在韩国，网络犯罪分子通过自动化手段入侵了7家金融机构，影响约67,000名个人和2,200家组织，并以此索要赎金。在全球范围内，与国家有关联的团体利用Artex攻击了14个国家/地区的200多个电信、制药和政府目标；在印度的攻击行动中，攻击者则利用它直接调用银行资金转账API。
“在我们的实验室测试中，AI驱动的WAF、恶意用户检测、机器人防御和API模式强制执行协同作用，使Artex的总体攻击成功率降低了90%以上。”
要保护企业，我们需要透过行业炒作看清本质。Artex并非独立的超级智能模型，而是一个用Go编写的编排框架，将DeepSeek、Claude和Grok等商用大语言模型（LLM）与命令行工具、脚本及模型上下文协议（MCP）服务器结合使用。
LLM充当认知大脑，分析响应、规划多步骤攻击行动，并即时生成定制的漏洞利用脚本。自动化工具则充当双手。这种架构让每个人都能实施黑客攻击。过去需要高水平团队花费数天协调的复杂多阶段攻击，如今技术水平较低的攻击者也能在几分钟内执行，利用弱密码、缺少多因素身份验证（MFA）和API暴露等常见漏洞发动攻击。
为什么单层防护措施难以应对机器速度的攻击
F5安全研究人员将Artex连接到主流AI模型，并在实验室中用它对一个刻意设置了漏洞的应用进行测试，结果十分明确：底层LLM的能力越强，Artex执行攻击的速度就越快，攻势也越猛烈。
关键的是，我们观察了该智能体面对传统单点防御时的行为。大多数现有安全架构会孤立地检查传入请求。当我们在应用前部署F5 Web Application Firewall for Distributed Cloud时，现有特征规则立即拦截了Artex第一波可识别的Web注入载荷。此外，通过AI驱动的风险评分将特征检测与机器学习相结合，WAF能够评估传入请求更广泛的上下文，让团队有信心实施主动拦截，而非被动监控。
然而，拦截第一波攻击并不意味着攻击就此结束。Artex一检测到其常规Web漏洞利用手段遭到拦截，大语言模型便实时调整了策略。它开始探查应用程序的应用程序编程接口（API），并寻找业务逻辑缺陷，例如通过篡改客户ID参数来访问其他用户的私人账户。对于每次仅检查单个数据包的单点防火墙而言，这些请求看起来与正常的应用流量无异。
要击败在不同攻击向量之间动态切换的对手，需要让安全技术栈中的各项防护协同运作。在F5 Distributed Cloud中，恶意用户检测通过跟踪请求背后的行为主体来实现这种联动，而不是孤立地评估每个请求。它汇总WAF违规事件、禁止访问尝试、登录失败事件、机器人遥测数据和速率限制触发事件，形成持续更新的威胁评分，并根据威胁程度逐步升级处置措施，从JavaScript质询、验证码验证直至完全阻断。
对于CISO，持续跟踪可消除三个关键的安全运营盲区。首先，Artex攻击活动不断轮换代理基础设施；在一次针对已暴露的攻击者服务器的分析中，某代理服务为首批测试的100个身份生成了79个出口IP地址。恶意用户检测结合JA4 TLS指纹、JWT声明、Cookie和会话标头来补充IP跟踪，即使IP地址发生变化，也能持续跟踪同一攻击者。
其次，持续跟踪可将单独看来无害的微弱侦察探测行为关联起来。第三，由于Artex会即时生成没有现有特征签名的新型脚本，持续跟踪行为演变趋势可自动阻断零日攻击序列。在我们的实验室模拟中，将恶意用户检测与AI驱动的WAF结合使用，使攻击成功率降低了70%以上。
在边缘建立持续信任
智能体AI攻击通过脚本、无头浏览器和自动化框架执行大语言模型的指令，因此仅靠静态规则无法应对。安全负责人必须建立持续的运行时信任，验证与应用和API交互的实体究竟是真实用户还是自动化机器。F5 Distributed Cloud Bot Defense通过从四个不同维度检查客户端遥测数据，在边缘识别智能体自动化活动：
- 虚拟机硬件指纹识别： 自动化智能体通常在数据中心虚拟机中执行高负载任务，同时通过住宅代理路由流量，模拟消费者流量。高级指纹识别技术探测客户端硬件特征，揭示服务器级CPU、内存限制和GPU等信息，以区分数据中心虚拟机与消费者使用的笔记本电脑或移动设备。
- 网站导航路径遍历： 真人用户浏览网站时，行为模式不规则且难以预测。自动化代理则遵循统一的预设路径，以尽可能高的效率完成任务。专利序列检测技术通过评估这些导航路径，将自动化遍历与真人行为区分开来。
- 表单交互节奏： 无论是创建账户、测试凭据还是提交表单，自动化代理都会优先追求速度。遥测监控可检测出超越人类速度的字段输入，以及人手无法实现的非自然页面滚动。
- 用户生物特征与鼠标动态： 即使智能体试图模仿人类的光标移动，其遥测数据仍会呈现出数学般的精确性：笔直的轨迹、平滑的弧线，以及精准落在目标按钮中心的点击，与人类操作中自然存在的偏差形成鲜明对比。
当自动化智能体试图绕过边界防御并攻击暴露的接口时，F5 Distributed Cloud API Security提供关键防护层。持续的API发现可自动发现所有端点，包括未记录的影子API。随后，通过严格执行OpenAPI模式，明确每笔事务所允许的具体数据结构和身份验证要求，并自动拒绝Artex在侦察和ID操纵过程中生成的不合规、格式错误的载荷。
在我们的实验室测试中，AI驱动的WAF、恶意用户检测、机器人防御和API模式强制执行协同作用，使Artex的整体攻击成功率降低了90%以上。（注：这些结果反映了特定实验室配置和测试场景下的情况。实际性能和缓解率会因具体网络环境和应用架构而异。）
关键的是，在我们的实验室测试中，少数仍然成功的攻击尝试涉及的端点未验证请求者是否获得授权，就返回了敏感数据。这有力地提醒首席信息安全官，必须监控应用返回的内容，而不只是传入的内容。
要应对因公开可用工具被用于非预期的黑客攻击用途而导致的攻击泛滥，需要直面一些棘手的问题：我们是否全面掌握每个对外暴露的API，并要求逐一进行身份验证？是否已针对业务逻辑参数篡改开展测试？系统能否在攻击者快速轮换IP地址时持续追踪他们？红队是否在隔离环境中运行经过审查的工具？尤其值得重视的是，研究人员已发现62个面向互联网的Artex部署实例遭到后门入侵。
AI攻击者以机器速度行动，并能自主适应。能够保持韧性的企业，将是那些具备一体化分层防御体系，且该体系能在Web、机器人、用户行为和API环境中同步调整的企业。
准备好加强防御，应对自适应AI威胁了吗？了解F5 Distributed Cloud Services，或联系F5，为您的应用和API环境预约AI攻击防御准备度评估。
关于作者
Muhammad Abid现任F5应用安全和WAAP产品营销高级总监。他拥有20多年推动网络和网络安全业务规模化发展的经验，曾任职于Netskope、Cisco、Juniper和Fortinet。Muhammad负责F5统一WAAP产品组合，涵盖WAF、API安全、Bot Defense和后量子密码学。
Muhammad Abid 的更多博客文章相关博客文章
为什么多数企业的Kubernetes应用尚未成熟
F5研究显示，在生产环境中运行Kubernetes的企业中，仅有38%达到企业级成熟度。本文将介绍其他企业面临的障碍，以及可以从何处着手改进。
PQC进展掩盖了整体准备不足的问题
F5 Labs发布的2026年新报告评估了排名前100万的网站对后量子密码学（PQC）的准备情况。报告显示，相关工作虽有进展，但主动缓解措施仍明显不足，令人担忧。
F5 2026年报告：AI推理时代已经到来，让本已复杂的IT环境更添挑战
F5最新发布的研究显示，大多数企业正将AI推理转移至内部运行，目前每家公司平均使用7个AI模型。
IL5/6救不了您：提示词注入威胁只读LLM
随着大语言模型（LLM）集成到美国国防部IL5/IL6环境中，了解F5解决方案如何保护数据、防范注入攻击并增强零信任模型。