GTIG und Mandiant berichten, dass sie seit Ende August 2026 in Incident-Response-Untersuchungen mehrere Bedrohungsakteure beim Missbrauch von ARTEX beobachten. Die Sicherheitsforscher beschreiben damit eine breitere Nutzung des Frameworks. CrowdStrike schrieb eine konkrete Kampagne dagegen der Gruppe VAPOR PANDA zu.

Mehrere Akteure nutzten ARTEX in untersuchten Vorfällen

Der Bericht der Google Threat Intelligence Group (GTIG) und von Mandiant vom 30. Oktober 2026 beschreibt mehrere Akteure, die ARTEX und andere offensive Frameworks missbrauchen. Zu den beobachteten Fällen gehören finanziell motivierte Akteure und mutmaßliche Spionagegruppen. Die Aktivitäten erstreckten sich laut den Teams über mehrere Phasen eines Angriffs. GTIG und Mandiant

Die Beobachtung ergänzt die frühere NeoTeo-Berichterstattung über KI-Agenten bei Cyberangriffen um einen konkreten Befund zu ARTEX und den Zeitraum, seit dem die Sicherheitsteams dessen Missbrauch untersuchen.

CrowdStrikes konkreter Fall: VAPOR PANDA

CrowdStrike ordnete eine ARTEX-Kampagne der Gruppe VAPOR PANDA zu. Laut dem Sicherheitsunternehmen begann sie am 17. Oktober 2026 und richtete sich innerhalb von elf Tagen gegen mehr als 200 Organisationen in mindestens 14 Ländern. Diese Zahl beschreibt Ziele. CrowdStrike bestätigte Aktivitäten nach einem Eindringen bei neun Organisationen; bei mindestens zwölf weiteren meldete das Unternehmen Versuche mit systematischem Ausprobieren von Passwörtern. CrowdStrike

Der konkrete Fall ist eine Kampagnenzuordnung durch CrowdStrike. Die breitere Beobachtung von GTIG und Mandiant betrifft mehrere Akteure in Incident-Response-Untersuchungen. Sie macht nicht jede dieser Aktivitäten zu einem Fall von VAPOR PANDA.

ARTEX, DeepSeek und der Mensch am Steuer

ARTEX ist ein Framework für Penetrationstests, das Werkzeuge und KI-Agenten koordiniert. DeepSeek ist ein Sprachmodell, das laut CrowdStrike in der VAPOR-PANDA-Kampagne hauptsächlich über ARTEX eingesetzt wurde. Hinzu kam ein zweites kommerzielles Modell, dessen Anbieter CrowdStrike nicht identifizieren konnte.

Die Kampagne lief nicht ohne menschliche Steuerung: CrowdStrike beschreibt einen Operator, der den Agenten auf Chinesisch Anweisungen gab. ARTEX koordinierte dabei Planungs- und Arbeitsagenten, die Teilaufgaben ausführten. Bei einem einzelnen Eindringen verbrauchten die Planungsagenten laut CrowdStrike etwa 1,4 Milliarden Eingabetokens. Der Wert bezieht sich auf diesen einen Vorfall.