ARTEX AI: Vapor Panda ha usato un framework di pentest agentico contro 200 organizzazioni

Per gran parte del 2026 la storia degli attacchi agentici è stata fatta di aneddoti: un agente autonomo che viola un laboratorio, un framework intravisto su una console esposta. Il 29 ottobre CrowdStrike ha pubblicato la versione che aneddotica non è — un attore China-nexus che traccia come Vapor Panda che usa ARTEX, un framework di penetration testing multi-agente open-source, contro più di 200 organizzazioni in almeno 14 paesi in una finestra di 11 giorni. È il momento in cui il pentester agentico open-source ha smesso di essere un giocattolo da ricerca ed è diventato un'arma statale che opera a una scala che nessun red team umano può reggere.

Notizia in evoluzione — pubblicata alle 22:46 (21:46 UTC) del 2 novembre 2026. Aggiornata man mano che CrowdStrike e altri vendor pubblicano.

Cosa è successo

CrowdStrike OverWatch ha trovato un unico controller ARTEX che "esponeva a intermittenza strumenti dell'attaccante, file dei bersagli e trascrizioni degli agenti ARTEX", permettendo ai ricercatori di leggere l'operazione dall'interno. A partire dal 17 ottobre 2026, Vapor Panda lo ha puntato su ministeri degli esteri in America Latina, Europa, Asia e Medio Oriente; aziende di semiconduttori, difesa, nucleare e think tank negli Stati Uniti; e operatori di telecomunicazioni in più regioni. I numeri, da CrowdStrike:

Framework	ARTEX — suite di penetration testing AI multi-agente open-source
Attore	Vapor Panda (China-nexus), un operatore umano dirige gli agenti
Finestra	dal 17 ottobre 2026 · 11 giorni
Portata	oltre 200 organizzazioni distinte · almeno 14 paesi
Intrusioni confermate	9 organizzazioni — post-exploitation, backdoor BLOODALCHEMY
Colpite anche	password-spraying / scansione credenziali su 12+ altre (think tank USA, enti di governo europei)
Backend LLM	DeepSeek, più un secondo modello commerciale non confermato
Segnale di scala	~1,4 miliardi di token in input negli agenti di pianificazione di una sola intrusione

Il modo in cui lo inquadra CrowdStrike è la parte su cui fermarsi: "Questa campagna segna un'escalation nell'uso di agenti AI da parte del fronte China-nexus, da intrusioni singole a più attività simultanee dirette da un operatore umano." Una persona, molte attività a velocità macchina, in parallelo.

Come lavoravano gli agenti — e cosa dovevano evitare

ARTEX "coordina un agente principale con agenti pianificatori e worker subordinati su un grafo condiviso di fatti, risultati e obiettivi, portando ogni attività dall'accesso iniziale alla ricognizione degli host e al movimento laterale". Le trascrizioni recuperate mostrano l'uomo nel ciclo alla lettera: un operatore che impartisce istruzioni in cinese, etichettate 【人类指令】 ("istruzione umana") e con orario in China Standard Time, che dirige gli agenti a scrivere web shell e a estrarre le password degli amministratori di dominio. Gli agenti gestivano la fatica — ricognizione, exploitation, lavoro sulle credenziali, ri-pianificazione quando un percorso falliva — e l'operatore interveniva nei punti decisionali.

Il dettaglio che dovrebbe cambiare il modo in cui pensate alla detection: l'operazione includeva istruzioni per individuare gli host senza il sensore CrowdStrike Falcon e concentrare lì il lavoro successivo. Agli agenti non è stato chiesto di sconfiggere l'EDR. È stato chiesto di aggirarlo.

Operatore: trova le macchine Windows di questo dominio senza agente endpoint. Lavora lì.

Quella singola istruzione è tutta la lezione difensiva. Un attaccante che aggira l'endpoint vi sta dicendo dove le vostre prove non saranno.

Lo strumento che non si può richiamare

ARTEX è stato rilasciato open-source da uno sviluppatore cinese ed è stato reso closed-source solo dopo essere stato legato ad attacchi reali — compresa una campagna precedente contro banche sudcoreane (Shinhan, KB Kookmin, Hana) che faceva girare ARTEX con DeepSeek v4.1-flash e sessioni di Claude Code. Ma passare a closed-source non richiama nulla: derivati in lingua inglese e coreana del codice pubblicato restano disponibili, e la campagna di Vapor Panda è opera di un operatore diverso da quello coreano. Una volta che un framework offensivo autonomo è su GitHub, è una capacità, non un prodotto — forkabile, ri-ospitabile e puntabile su chiunque. BleepingComputer riferisce che lo stesso strumento era dietro la violazione di settembre dell'associazione olandese DIVD, dove è passato dall'accesso iniziale a root in 12 minuti generando 450.000 richieste e 2.500 script — "rumorosissimo e disordinato".

Remediation

Qui non c'è una patch — ARTEX sfrutta debolezze ordinarie più in fretta di quanto riusciate a farne triage. Irrobustite le cose che gli agenti hanno preso di mira:

1. Ruotate le chiavi che potrebbero essere già esposte. La guida di CrowdStrike parte dalla rotazione di chiavi di firma, pre-autenticazione e di servizio dopo qualsiasi sospetta esposizione — l'intrusione in Grecia è stata resa possibile, a quanto riferito, da chiavi di autenticazione di un vecchio export del mail server mai ruotate.
2. Chiudete le scorciatoie dell'identità cloud. Imponete la validazione della firma SAML, richiedete IMDSv2 per i metadati delle istanze e limitate i ruoli cloud perché un singolo ruolo compromesso non possa eseguire comandi sull'intera flotta.
3. Mettete l'EDR sugli host che l'attaccante spera abbiate dimenticato. Gli agenti cercavano le macchine senza il sensore. Server interni, appliance e host di build sono esattamente dove vive quella lacuna.
4. Applicate le patch ad appliance e app esposte su Internet secondo l'orologio KEV, con le fasce basate sul rischio di BOD 26-04 — questi framework partono dall'exploitation di servizi pubblici (T1190).
5. Cercate il ritmo, non solo lo strumento. CrowdStrike consiglia di cercare i marcatori operativi di ARTEX (stringhe da riga di comando e nomi di ruoli cloud con il prefisso artx/artex del tool). Ma il segnale duraturo è comportamentale: ricognizione a velocità macchina su molti host insieme, scrittura di web shell (T1505.003), password spraying (T1110.003), lettura di caselle di posta (T1114) e discovery del software di sicurezza (T1518.001) a una cadenza che nessun umano sostiene.

Cosa non si sa ancora

• Il secondo LLM commerciale non è confermato; CrowdStrike indica con sicurezza solo DeepSeek.
• Quali organizzazioni tra le 200+ siano state violate e quali solo raggiunte — CrowdStrike ha confermato post-exploitation in nove ma non le nomina tutte.
• IOC completi e dettagli tecnici su BLOODALCHEMY sono nel report di CrowdStrike; verificate qualsiasi lista sulla fonte prima di usarla per bloccare.
• L'attribuzione oltre il "China-nexus" — alias e sovrapposizioni storiche non sono ancora assestati nel reporting pubblico.

Dove lascia i difensori

La simmetria scomoda è che l'architettura dell'attaccante — un motore offensivo autonomo e multi-agente diretto da un solo umano — è anche l'unica architettura capace di testare contro di esso allo stesso ritmo. La differenza deve stare nel controllo. Zero Hunt è un red team AI autonomo costruito per essere la versione governata di ciò che ha fatto girare Vapor Panda: uno swarm di 10 agenti che esegue ricognizione fino al pivoting sui propri modelli privati, su un apparato on-premise, scrivendo un proof-of-concept fresco per ogni bersaglio e verificandolo nell'AI Gym prima che tocchi la produzione — così trovate l'host senza sensore, la chiave non ruotata, l'asserzione SAML falsificabile prima che lo faccia l'agente di qualcun altro. Cinque livelli di autonomia con l'umano nel ciclo presidiano ogni passo di exploitation ed escalation, e ogni azione è approvata, registrata e firmata al momento della scrittura: la disciplina che l'agente dell'attaccante non ha, e il motivo per cui un'AI offensiva che gestite voi non è lo stesso rischio di una che scaricate.

E poiché gli agenti di Vapor Panda hanno deliberatamente evitato l'endpoint, la superficie che non potevano modificare era la rete. Lo stesso apparato fa girare un modello di traffico deep-learning con quattro teste di inferenza sulla propria GPU, che legge la scala di probing a velocità macchina — molti percorsi, molti host, nessuna cadenza umana — e le raffiche di password-spraying e movimento laterale mentre accadono, non nel digest SIEM del mattino dopo. Quando l'attaccante è un agente che ri-pianifica dopo ogni risposta, la validazione automatica continua sullo stesso ciclo è l'unico test che conta. Parlane con noi per far girare quel ciclo contro i sistemi che un prober AI raggiunge per primi.