ARTEX 检测规则包 v1.1.0 发布：LLM 驱动攻击要靠行为特征来抓
evilsocket · x · 2026-11-15
malwaremustdie 发布 ARTEX 签名检测规则包 v1.1.0,并澄清这套东西的真正价值不在 IOC 清单——IOC 一年内就会过期,真正发布的是一套工作流:如何以攻击者的速度把新型 LLM 驱动攻击快速转化为检测规则。
作者强调 ARTEX 本质是一个 LLM harness:换掉模型、提示词或基础设施后所有 IOC 都会变,但 agent 的行为模式变化很小——机器速度的侦察链、约每秒一次且轮换 UA 的密码喷洒、自我修正的 API 重试、系统化的记录枚举。因此规则包以行为优先,这些模式写在 Sigma 关联规则、Sentinel KQL 和 Zeek SumStats 中,而非包过滤器。
v1.1.0 主要更新:
- 改名免疫的 webshell 规则(覆盖上传→执行,不限文件名)
- Windows 覆盖:IIS/PHP worker 派生 shell、脚本投放
- 针对反制工具 AntiFox 的 AWS 规则(secrets/IAM/S3 扫描)
- OAuth 高权限授权 + Graph 侦察(Sentinel)
- 服务器 LLM-API 出口策略规则
- IP IOC:90 天告警窗口,之后仅保留狩猎用途
- 新增 D0/D1/D2 耐久性标签与变异测试
作者说明已知缺口已公开记录而非隐藏,并标注 #BehaviorFirst、#FightAIwithAI。
「安全」频道最新
- 华盛顿特区议会 3:3 否决无人出租车法案，就业顾虑压倒安全数据 — QuintinPope5 · 2026-11-15
- 曝 AI 公司一周内集体弃 Fireworks 转投 Baseten，安全响应引争议 — AccBalanced · 2026-11-15
- 观察：AI 公司大量人才愿大幅降薪进入政府安全机构 — AndyMasley · 2026-11-15
- 开源工具 Permission Delta：在 GitHub PR 里审查 MCP 配置变更 — AGENTPROOFINC · 2026-11-15
- 纽约 RAISE 法案生效：OpenAI、Anthropic 须 2027 年前注册并 72 小时上报事故 — dl_weekly · 2026-11-15
- 「DC游行呼吁AI条约」：安全派集会主张禁止递归自我改进 — jeremiecharris · 2026-11-15