Artex 转为闭源：安全工具被滥用之后，作者还能做什么

一个用来找漏洞的工具，被发现大量用在真实攻击上，然后它的作者选择关门。这件事在 10 月上旬发生了。

发生了什么

Artex 是一款 AI 驱动的网络安全工具，最初的目标很朴素：帮机构检查自己的系统里有哪些能被利用的漏洞。

韩国方面的说法是，它很可能被用于针对七家以上金融机构的数据泄露事件。韩国金融服务委员会给出的受影响人数超过 6.8 万，其中新韩银行一家就涉及约 2.5 万名客户。同一时间，日本也出现了手法类似的攻击。

开发者化名 Autumn-27，在 GitHub 上发了一份声明：项目不再更新，转为闭源，不再发布新的公开版本，也不再提供维护支持。他的说法是，把 Artex 用于网络攻击「完全有违」这个项目的初衷。

这不是第一次

「漏洞利用工具被滥用」几乎和工具本身一样古老。Metasploit、Cobalt Strike、各类扫描器，都经历过同一个循环：

1. 工具被做出来，用于防守方验证；
2. 攻击方发现它更好用；
3. 舆论开始追问工具作者的责任；
4. 作者收紧分发（闭源、审核、商业授权），或干脆停止维护。

区别在于速度。Artex 是 AI 驱动的：它把「找漏洞」这一步的成本压下来了，攻击者不需要先成为专家。工具越自动化，滥用与初衷之间的时间差就越短。

闭源能解决问题吗

我的判断是不能，但它确实能解决一部分问题。

闭源挡不住已经拿到副本的人——代码一旦公开过，就再也收不回去了。它能做的是提高下一次获取的成本：新版本不再随手可得，滥用者需要自己去维护一个分叉。

代价也很实在：

收益	代价
降低被随手滥用的概率	防守方也用不了了
作者不必再为下游行为背书	审计能力丧失，没人能验证它是否安全
分发可控	社区修复与分叉消失

一个安全工具闭源之后，它自己也变成了不可审计的东西。防守方失去了用它来验证的机会，而攻击方手里的旧版本一分钱没少。

我的判断

这件事真正暴露的不是某个工具的好坏，而是**「开源安全工具」这个形态在自动化时代的位置**。

当攻击成本主要由「人的水平」决定时，把工具公开是净收益——防守方人多，收益更大。当攻击成本主要由「工具的自动化程度」决定时，公开的净收益开始变负，因为攻击方的复制速度不比防守方慢。

我不认为答案是闭源。更可能的答案是分发层面的门槛——署名申请、用途声明、可追溯的使用记录。它们都不完美，但至少把「谁在用」这件事从完全不可见变成部分可见。

在那之前，每一次这样的事件都会把同一个问题再问一遍，而每一次的答案都会更靠近「不公开」。