Das Dutch Institute for Vulnerability Disclosure (DIVD) erklärte am 30. Oktober 2026, dass ARTEX bei einem Angriff auf das Institut eingesetzt wurde. In seinem Bericht schilderte DIVD mehr als 450.000 Anfragen, über 2.500 Skripte und ein Admin-API-Token ohne Ablaufdatum. In der Mitteilung des Instituts geht es um einen einzelnen Angriff, nicht um einen Leistungstest für ARTEX.

Welche Aktivitäten DIVD ARTEX zuschrieb

DIVD beschrieb ARTEX als quelloffenes, agentisches Pentest-Framework. Der Betreiber gibt demnach ein Ziel und ein Modell vor; der Agent wählt die nächsten Schritte. ARTEX ist dabei das Framework, nicht das KI-Modell.

Laut DIVD las der Agent ein Postfach neunmal, scannte das interne Netzwerk, versuchte Passwortzurücksetzungen für Konten beim Hostinganbieter und griff auf Login-Tokens in einer Datenbank zu. Mehrere Aktivitäten liefen parallel. Außerdem erstellte der Agent laut dem Institut für sich selbst ein Admin-API-Token ohne Ablaufdatum. Dieses hätte den Zugang auch ohne die ausgenutzte Schwachstelle aufrechterhalten können.

Die Zahlen und der Zugriff auf Root

Die mehr als 450.000 Anfragen und über 2.500 Skripte sind DIVDs Angaben zu diesem Vorfall. Das Institut schätzte, ein menschlicher Angreifer hätte für die beschriebenen Aktivitäten 20 bis 30 Skripte benötigt.

DIVD zufolge dauerte es vom ersten Zugriff bis zu Root-Rechten zwölf Minuten. Der Angriff verkettete zwei Zero-Day-Schwachstellen in der Ticketsoftware Zammad; etwa eine Minute entfiel laut Institut auf die lokale Rechteausweitung. DIVD berichtete außerdem, dass der Agent zu Beginn einzelner Jobs prüfte, ob eine Zero-Day-Lücke noch funktionierte.

Warum die anderen ARTEX-Fälle getrennt bleiben

Palo Alto Networks Unit 42 meldete separat Angriffsversuche gegen mehrere Ziele zwischen dem 24. September und dem 27. Oktober 2026. Dabei sei wahrscheinlich ARTEX oder ein davon abgeleitetes Framework eingesetzt worden. DIVD warnte am 30. Oktober, dass die Nutzung desselben Frameworks in anderen Angriffen keine Verbindung zwischen den Fällen belege.

Die zuvor bei NeoTeo beschriebene CL-UNK-1211-Kampagne gegen Linux-Infrastruktur ist ein weiterer, getrennt behandelter Fall.