近日，网络安全（885459）AI渗透测试项目Artex的版权方微步在线对外发布版权声明，直指市面上出现大量非官方的Artex二次衍生版本，并有安全企业直接基于该项目二次开发后投入商用，就此明确项目开源协议边界、闭源时间与商用通道。
根据这份声明，Artex在今年10月8日正式宣布闭源。微步在线提示，在该时间点之后互联网上公开流传的各类Fork分支都不属于官方发布，建议从业者在使用时仔细甄别，防范代码投毒以及其他潜在安全风险。
在许可层面，Artex原始版本受AGPL3.0开源协议约束。微步在线在声明中重申协议要求：所有使用者必须保留原作者版权信息，标注配套开源软件与许可证；对外分发原版或是修改后的版本，都需要留存源码内版权声明，并附带完整的AGPL3.0许可文本；如果对源代码做出改动，应当以合适方式标注变更内容，不得删除、覆盖原有版权标识。
按照协议规则，如果第三方向客户交付基于Artex修改而来的软件或者相关服务，就有义务向使用者无条件提供对应的源代码。微步在线同时划出红线：如果第三方打算基于Artex打造商业闭源产品，或是存在其他不符合许可条款的使用行为，需要主动和微步在线洽谈商业授权。
随着原项目转入闭源，微步在线也对外明确商用版Artex Pro的官方渠道。目前该产品唯一公开获取入口为其旗下多AI Agent渗透测试平台RedAgents，平台仅面向企业客户开放，设有完整测试授权流程。
据介绍，RedAgents增加越权阻断、高危攻击阻断等防护机制，降低测试过程对被测业务系统造成破坏的可能性；平台支持通过白名单划定测试边界，限定Agent的行动范围；同时提供测试业务数据零留存能力，在任务结束之后，客户提交的原始素材以及中间运算结果，会在约定周期（883436）内彻底清除。
微步在线披露，在刚刚过去一周内，该平台已经完成数十家大型企业的授权测试验证，在本轮验证中实现100%RCE级别突破。
在安全行业，开源渗透工具被二次封装、商用化一直是长期存在的现象。AGPL协议具备强传染性，一旦分发修改后的程序，就伴随源码公开义务，不少厂商容易踩入合规盲区。此次微步在线公开发声，一方面是划定闭源之后的使用边界，另一方面也给整个行业抛出参考：开源项目的商用转化，需要严格遵守协议约定，若希望脱离开源许可约束，则需要走正规商业授权通道。
对于安全从业者而言，这份声明也释放信号：后续在下载、使用各类标注为Artex的衍生版本时，除了技术能力评估之外，还需要同步核查来源合法性，规避版权风险与恶意代码风险。
