ARTEX 是一款借助 AI 代理实施攻击的黑客工具，如今任何攻击者都能拿到：2026 年 11 月 5 日，Censys 统计到超过 1,465 台运行该工具且暴露在互联网上的服务器，一个与中国有关的组织已用它发起密码猜测攻击，峰值达到每分钟 2,900 次登录尝试。最便宜、最快的防护是双重身份验证：Microsoft 的一项研究发现，它能将账户被入侵的风险降低 99.22%。本周请做三件事：对所有邮箱和管理员账户强制启用双重身份验证，关闭旧式邮件协议，并要求提供尚未注册人员的报告。如果贵公司将外部应用连接到 Microsoft 365，也请阅读我们关于 ConnectWise 入侵事件的文章，因为那个漏洞单靠双重身份验证无法堵上。
ARTEX 是什么，为什么与您有关？
ARTEX 是一个用于自动化渗透测试的开源框架，开发者于 2026 年 7 月 26 日在 GitHub 上发布。根据 Censys 于 2026 年 11 月 5 日发布的报告，一个 AI 代理负责规划攻击并拆分成任务，其他代理运行扫描工具并回传结果，循环往复直到达成目标。Microsoft 将其描述为能够在极少人工参与的情况下，完成从侦察到窃取数据的整个攻击过程。
在其被用于真实攻击的情况曝光后，开发者宣布转为闭源并删除了代码库，但存档副本和改名版本仍在流传。Censys 在剔除配置完全相同的服务器后，统计到约 815 个独立部署，其中 726 台服务器在美国、387 台在香港、177 台在中国大陆。实际意义是：过去需要一支攻击团队才能做的事，现在一个人加一款免费工具就够了。
攻击者实际上用它做了什么？
Microsoft 在 2026 年 10 月 21 日发布的报告中记录了其追踪代号为 Storm-0940 的组织的一次攻击活动，该组织在 10 月 10 日至 14 日期间使用 ARTEX 自动猜测密码：
- 8 家机构的 327 个账户遭到密码喷洒攻击，即用常见密码在大量账户上逐一尝试。
- 超过 151,000 次登录失败，其中单日超过 111,000 次，并在 10 月 11 日达到每分钟 2,900 次尝试的峰值。
- 48 个账户各自遭受了超过 1,000 次失败尝试。
- 在该组织的其他攻击中，从首次锁定目标到取得云基础设施特权访问，用时不到 3 小时。
Microsoft 表示，这次特定攻击活动中没有观察到成功登录，因为账户锁定拦下了大部分尝试。但 TechCrunch 在 11 月 6 日总结称，这类攻击很多利用的是简单弱点：弱密码或已知密码，以及没有启用多重身份验证。
为什么仅靠密码已经不够
确实不够。机器不会疲倦也不会休息，任何使用重复密码或曾经泄露密码的账户迟早都会被尝试。双重身份验证增加了攻击者没有的第二个因素：员工手机应用中的验证码、安全密钥或通行密钥。Microsoft 研究人员分析了出现可疑活动的真实账户，在他们发表的研究中发现，双重身份验证可将被入侵风险降低 99.22%，即使密码已经泄露，也能降低 98.56%。他们还发现身份验证器应用优于短信验证码，不过两者都远好过什么都不用。
Microsoft 文档中的一个重要提醒：IMAP、POP3 和 SMTP 等旧式邮件协议不支持双重身份验证，攻击者可以通过它们登录，完全绕过防护。只有关闭这些协议，启用才算完整。
国家网络安全局的控制措施怎么说？
沙特阿拉伯国家网络安全局（NCA）发布的基本网络安全控制措施 ECC-2:2024 至少在三处要求多重身份验证：
- 控制项 2-2-3-2：用于远程访问和特权账户。
- 控制项 2-4-3-2：用于远程访问电子邮件和通过网页邮箱访问。
- 控制项 2-15-3-5：用于用户访问外部 Web 应用。
这些控制措施对政府机构、其附属公司以及拥有、运营或托管关键国家基础设施的私营实体具有约束力，国家网络安全局也强烈鼓励王国内所有其他实体加以采用。如果您为政府机构提供服务，预计在供应商评估中会被问到这一点。
本周开启的步骤
- Microsoft 365：在 Microsoft Entra 管理中心依次打开 Entra ID、Overview、Properties、Manage security defaults，然后启用。安全默认值免费，无需额外许可证，会强制管理员使用双重身份验证并阻止旧式协议。Microsoft 建议设置两个不绑定任何具体员工的紧急管理员账户，以免把自己锁在门外。
- Google Workspace：依次进入 Menu、Security、Authentication、2-step verification，先允许员工自行注册，再从指定日期起强制执行。Google 允许为新用户设置 1 天到 6 个月的注册期，您还可以要求管理层和财务人员使用安全密钥或通行密钥。
- 优先顺序：先处理管理员、财务和邮箱账户，然后是其他员工，再到会计系统、网店和主机控制面板等其他系统。
- 跟进：每周要求提供未注册人员报告，除临时且有书面理由的情况外不设例外。
Origami 的观点
改变的不是攻击类型，猜密码早已有之，改变的是成本：如今它自动化、廉价、人人可得。一家企业如果邮箱和会计系统仍然只靠一个密码就能打开，就等于在赌攻击者永远不会找上门，而这个赌注迟早会输。
因此，Origami 交付的每个系统都设计为登录至少经过两个因素，并在企业已有 Microsoft 或 Google 账户时与单点登录相连，正如我们在关于安全身份验证与 SSO 的文章中所解释的。如果您希望审查团队登录各系统的方式，或将它们统一到一个受保护的账户，请联系我们。
结论
一款免费的 AI 攻击工具现在每分钟不知疲倦地尝试数千个密码。双重身份验证加上关闭旧式协议，就能关上这扇门的大部分，而且在 Microsoft 365 和 Google 中几天内即可开启，无需额外费用。今天就从管理层和财务开始，别等到您的账户出现在下一份报告的受害者名单上。
资料来源
- Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise，2026 年 10 月 21 日
- Censys：ARTEX 与暴露服务器报告，2026 年 11 月 5 日
- 国家网络安全局（NCA）：Essential Cybersecurity Controls ECC-2:2024
- Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
- Microsoft Learn: Configure security defaults for Microsoft Entra ID
- Google Workspace: Deploy 2-Step Verification
- TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web，2026 年 11 月 6 日
常见问题
双重身份验证和两步验证有什么区别？
本质上是一回事：Google 称之为两步验证，Microsoft 称之为多重身份验证。原理相同：仅有密码不够，还需要第二个因素，例如应用中的验证码或安全密钥。
短信验证码够用吗，还是需要身份验证器应用？
短信远好过没有，但 Microsoft 的研究发现身份验证器应用更可靠。为全体员工使用应用，并尽可能为管理员和财务账户使用安全密钥或通行密钥。
在 Microsoft 365 中开启双重身份验证需要付费许可证吗？
不需要。Microsoft Entra 的安全默认值对所有租户免费，会强制双重身份验证并阻止旧式协议。只有需要自定义条件访问策略时才需要付费许可证。
在沙特阿拉伯，双重身份验证是法定要求吗？
基本网络安全控制措施 ECC-2:2024 要求对远程访问、特权账户和电子邮件使用它。这些措施对政府机构和关键基础设施运营方具有约束力，国家网络安全局（NCA）也强烈鼓励其他所有企业采用。
