亚马逊威胁情报：MadPot 伪装成 LLM 推理 API 的诱饵传感器，截获 ARTEX 攻击 Agent 自带的作战记忆——偷 AI 密钥「以战养战」、用实时深伪冲击加密交易所 KYC（深伪全部被拒）

核心背景与行业痛点

过去一个多月，ARTEX 这个开源的 Agent 化渗透测试框架接连出现在 CrowdStrike 报告和 FBI 11 月 13 日的 FLASH 预警里。亚马逊这份报告给出了一个新视角：不是从受害方日志反推，而是直接读到攻击 Agent 自己的「工作记忆」。对开发者最直接的痛点是：自建的 LLM 网关、AI 应用平台里存着大量上游模型密钥，一个没加鉴权的管理接口就可能连带暴露很多下游账号。

架构亮点与底层机制

关键在于 Agent 框架的工作方式：它要靠外部模型做决策，就会把持久任务上下文、系统提示词、工具历史和知识图谱状态整段发给「模型 API」。MadPot 把诱饵伪装成常见的 chat-completions 接口，ARTEX Agent 就把整场行动的记录发了过来。报告描述的 ARTEX 由规划、执行、校验、压缩几类 Agent 组成，共享一个持久知识图谱作为记忆；运营者通过常驻指令设定任务目标、目标国家顺序和红线（例如排除中国大陆目标和政府域名、所有出站流量走代理）。

权威 Benchmark 与实测跑分对比

这不是跑分新闻，以下数字均为亚马逊官方报告口径：观测期 10 月 3 日至 11 月 5 日；密钥分 L1/L2/L3 三级，暴露超 30 天视为低价值；深伪最好一次动作序列误差在 7 像素以内，但被服务端全部拒绝；单张消费级 GPU 实时换脸约 11.5 帧/秒；至少 4 个会话并行；附 11 个 IOC IP。亚马逊明确说无法核实 Agent 自报的战果，归因为中等置信度。

开发者实战落地与开箱指南

如果你在跑 LiteLLM、One API/New API、Dify、Langflow、RAGFlow、Open WebUI、Ollama 这类服务：先确认没有未初始化、可被认领的实例，管理和 provider 配置接口必须鉴权，改掉 LiteLLM 默认 master key，打上 Langflow CVE-2025-3248、RAGFlow CVE-2026-28797 等补丁；排查前端 JS、source map、调试路由和 .env 里有没有残留密钥，GitHub、npm/PyPI 包、镜像层泄露的密钥要立刻吊销；给模型账单设异常花费告警，并用报告末尾的 IOC 对照自己的日志。