Wprowadzenie do problemu / definicja
Wykorzystanie sztucznej inteligencji w operacjach ofensywnych wchodzi w nowy etap. Framework ARTEX pokazuje, że modele językowe oraz architektury wieloagentowe mogą być używane nie tylko do wsparcia analitycznego, ale także do automatyzacji pełnego łańcucha ataku — od rekonesansu i eksploatacji po utrzymanie dostępu i działania poeksploatacyjne.
W praktyce oznacza to zmianę skali i tempa działań cyberprzestępczych oraz cyberszpiegowskich. Zamiast pojedynczych, ręcznie prowadzonych włamań, operatorzy mogą nadzorować wiele równoległych intruzji, delegując znaczną część pracy systemom AI.
W skrócie
Według ujawnionych informacji kampania rozpoczęta 17 października 2026 roku objęła ponad 200 organizacji w co najmniej 14 państwach. Na celowniku znalazły się między innymi instytucje rządowe, operatorzy telekomunikacyjni oraz podmioty z sektorów farmaceutycznego, półprzewodników, obronnego, nuklearnego i finansowego.
W potwierdzonych przypadkach doszło do naruszeń co najmniej dziewięciu organizacji. Badacze opisali również aktywność obejmującą password spraying, skanowanie poświadczeń, wdrażanie web shelli, ruch boczny oraz omijanie hostów chronionych przez rozwiązania EDR. W części incydentów wykorzystano również backdoor BLOODALCHEMY.
Kontekst / historia
ARTEX został opisany jako wieloagentowy framework testów penetracyjnych oparty na dużych modelach językowych. Jego znaczenie wykracza jednak poza klasyczne zastosowania red teamowe, ponieważ w analizowanych kampaniach miał zostać wykorzystany do rzeczywistych operacji ofensywnych przypisywanych aktorowi powiązanemu z Chinami.
To istotna zmiana jakościowa. Wcześniej AI była postrzegana głównie jako narzędzie pomocnicze do analizy danych, generowania skryptów lub przyspieszania wybranych etapów pracy. Obecnie obserwujemy model, w którym jeden operator może zarządzać wieloma ścieżkami ataku przeciwko licznym celom jednocześnie, interweniując jedynie na najważniejszych etapach decyzyjnych.
Dodatkowy kontekst daje wcześniejszy przypadek, w którym ARTEX miał autonomicznie przejść od dostępu początkowego do uprawnień roota w ciągu kilkunastu minut, łącząc dwa błędy zero-day. Takie zdolności wskazują, że agentowe systemy AI mogą istotnie skrócić czas od wyboru celu do pełnej kompromitacji środowiska.
Analiza techniczna
Z technicznego punktu widzenia ARTEX działa jako architektura wieloagentowa. Główny agent koordynuje pracę agentów planujących i wykonawczych, które współdzielą informacje o celach, podatnościach, ustaleniach oraz kolejnych krokach operacyjnych. Dzięki temu framework może jednocześnie mapować infrastrukturę, testować różne ścieżki ataku i przełączać się na alternatywne techniki, gdy pierwotny wariant okazuje się nieskuteczny.
W opisywanej kampanii napastnicy mieli korzystać głównie z modelu DeepSeek, wspieranego przez dodatkowy komercyjny model językowy. W jednym z incydentów agenci planujący zużyli około 1,4 miliarda tokenów wejściowych, co pokazuje skalę automatyzacji oraz intensywność przetwarzania informacji podczas prowadzenia operacji.
- rozpoznanie infrastruktury i enumerację usług,
- eksploatację podatności w aplikacjach publicznie dostępnych,
- wdrażanie web shelli,
- pozyskiwanie poświadczeń,
- odczyt skrzynek pocztowych,
- skanowanie sieci wewnętrznej,
- nadużycia związane z tożsamością i federacją,
- ruch boczny i eskalację uprawnień,
- świadome omijanie ochrony endpointów.
W jednym z opisanych przypadków wykorzystano łańcuch ataku oparty na niepodpisanych asercjach SAML oraz podatności XXE. Pozwoliło to odpytąć usługę metadanych instancji chmurowej i uzyskać rolę umożliwiającą wykonywanie poleceń administracyjnych. W innym incydencie agent wdrażał web shelle, uzyskiwał dostęp root w środowisku kontenerowym, odczytywał hasła LAPS i nadużywał mechanizmów delegacji w celu podszycia się pod konto uprzywilejowane.
Szczególnie niepokojący był przypadek instytucji rządowej w Grecji, gdzie wykorzystano historyczny eksport katalogu z 2022 roku zawierający klucze uwierzytelniające, które prawdopodobnie nie zostały zrotowane. Umożliwiło to sfałszowanie tokenu administratora, odczyt skrzynek pocztowych oraz dalsze wykorzystanie danych uwierzytelniających i konfiguracji VPN.
Analiza odzyskanych transkryptów wskazuje, że operator komunikował się z agentami w języku chińskim i nadzorował jedynie krytyczne etapy. Potwierdza to model human-in-the-loop, w którym AI wykonuje większość czynności operacyjnych, a człowiek zachowuje kontrolę nad priorytetami i decyzjami o najwyższym znaczeniu.
W części ataków wdrożono również backdoor BLOODALCHEMY. Malware był uruchamiany z użyciem legalnego pliku wykonywalnego przemianowanego na svchost.exe oraz złośliwej biblioteki DLL odpowiedzialnej za odszyfrowanie właściwego ładunku. Taka technika zwiększała szanse na ukrycie aktywności przed mechanizmami obronnymi i analizą behawioralną.
Konsekwencje / ryzyko
Najważniejszym skutkiem tej kampanii nie jest wyłącznie liczba celów, ale możliwość równoległego skalowania ataków. Agentic AI obniża koszt operacyjny po stronie napastnika i pozwala niewielkiemu zespołowi prowadzić działania, które wcześniej wymagałyby znacznie większych zasobów ludzkich.
- krótszy czas do kompromitacji,
- większa liczba równolegle testowanych ścieżek ataku,
- wyższe tempo generowania alertów i szumu telemetrycznego,
- większe obciążenie zespołów SOC,
- wyższe ryzyko przeoczenia krytycznych sygnałów.
Ryzyko szczególnie rośnie w środowiskach hybrydowych, gdzie współistnieją aplikacje webowe, infrastruktura chmurowa, katalogi tożsamości, systemy pocztowe, VPN-y oraz klastry kontenerowe. Takie środowiska dają agentom AI wiele punktów zaczepienia i umożliwiają automatyczne porównywanie skuteczności różnych technik w czasie zbliżonym do rzeczywistego.
Dodatkowo napastnicy aktywnie wyszukiwali hosty pozbawione sensorów EDR. To sygnał, że przyszłe kampanie mogą coraz częściej dobierać cele nie tylko według ich wartości biznesowej, ale również według poziomu widoczności obronnej i dojrzałości detekcji.
Rekomendacje
Organizacje powinny potraktować tego typu incydenty jako wyraźny sygnał ostrzegawczy. W obliczu ataków wspieranych przez AI konieczne jest przyspieszenie zarówno działań prewencyjnych, jak i procesów reagowania.
- Rotować klucze podpisujące, sekrety aplikacyjne, konta usługowe i inny materiał uwierzytelniający po każdym podejrzeniu wycieku, także jeśli dotyczy on starszych eksportów lub kopii zapasowych.
- Utwardzić konfigurację federacji i usług chmurowych, w tym wymusić walidację podpisów SAML oraz ograniczać role zgodnie z zasadą najmniejszych uprawnień.
- Priorytetowo łatać systemy publicznie dostępne, zwłaszcza starsze serwery Linux, komponenty pocztowe, urządzenia brzegowe i usługi orkiestracji.
- Zapewnić pełne pokrycie EDR lub XDR także dla serwerów, hostów administracyjnych i systemów uznawanych za wewnętrzne.
- Monitorować anomalie tożsamościowe i chmurowe, w tym nietypowe działania na aplikacjach OAuth, zmiany uprawnień i użycie usług metadanych.
- Prowadzić aktywny threat hunting pod kątem śladów automatyzacji, takich jak masowe skanowanie, nietypowe sekwencje poleceń czy gwałtowny wzrost liczby żądań HTTP.
- Ćwiczyć scenariusze SOC zakładające bardzo szybki rozwój incydentu oraz dużą liczbę pozornie niskopoziomowych zdarzeń.
Podsumowanie
Kampania wykorzystująca ARTEX pokazuje, że ofensywne użycie agentowej sztucznej inteligencji weszło w dojrzałą fazę operacyjną. Nie mówimy już o eksperymentach z LLM, lecz o zautomatyzowanych, wielowątkowych operacjach wymierzonych w setki organizacji w wielu krajach.
Połączenie frameworku wieloagentowego, komercyjnych modeli językowych, klasycznych technik eksploatacji i świadomego omijania detekcji tworzy nową klasę zagrożeń. Dla obrońców oznacza to konieczność szybszego wykrywania incydentów, pełniejszego pokrycia telemetrycznego oraz lepszej ochrony warstwy tożsamości i infrastruktury hybrydowej.
Źródła
- BleepingComputer — Chinese hackers use ARTEX AI in automated attacks against 200 orgs — https://www.bleepingcomputer.com/news/security/chinese-hackers-use-artex-ai-in-automated-attacks-against-200-orgs/
- CrowdStrike — VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign — https://www.crowdstrike.com/en-us/blog/vapor-panda-uses-artex-to-scale-global-campaign/
- Microsoft Security Blog — AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise — https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/
- Elastic Security Labs — Disclosing the BLOODALCHEMY backdoor — https://www.elastic.co/security-labs/threat-command/disclosing-the-bloodalchemy-backdoor