Google Threat Intelligence Group (GTIG) und Mandiant berichteten am 30. Oktober 2026, dass sie seit Ende August ARTEX, PentAGI und CAIRN in Einsätzen zur Reaktion auf Sicherheitsvorfälle beobachtet hatten. Die Frameworks automatisierten dabei einzelne Teile von Angriffen, etwa Aufklärung, Rechteprüfungen und Bewegungen innerhalb kompromittierter Systeme. GTIG und Mandiant beschrieben die bisherige Nutzung als früh, laut und vergleichsweise unausgereift (Bericht von Google Cloud).
Welche Aufgaben die Frameworks übernahmen
Die Beobachtungen umfassen Teile verschiedener Angriffsphasen. ARTEX automatisierte unter anderem Erkundung und Rechteprüfungen; Google beschrieb das Framework als in Go geschrieben, mit einer Next.js-Konsole und sechs spezialisierten Agenten. PentAGI teilte Aufgaben in Teilschritte auf. Seine Werkzeuge liefen laut Google in isolierten Kali-Linux-Sandboxes; das Framework unterstützte mehr als ein Dutzend lokale und cloudbasierte Sprachmodell-Anbindungen. CAIRN nannte Google ebenfalls unter den beobachteten Frameworks.
Das bedeutet nicht, dass jede Phase eines Angriffs in jedem Fall automatisiert ablief. Die Berichte beschreiben konkrete Aktivitäten, keine allgemeine Erfolgsquote oder ein einheitliches Vorgehen.
Schnelle Abläufe können deutliche Spuren hinterlassen
Google beobachtete ARTEX-Abläufe in kurzen Schüben von ungefähr zwei bis 25 Sekunden, unterbrochen von Pausen zwischen den Phasen. In einem einzelnen Fall registrierte das Unternehmen 27 Ereignisse während eines 23-sekündigen Schubs. Ein anderer Vorfall mit Linux Weaver OA erzeugte 240 Protokollereignisse, während das Framework teilweise Befehle ausführen und Informationen sammeln konnte.
Für eine von Wiz untersuchte Kampagne gibt Google außerdem eine spezifische Zeitspanne wieder: Vom ersten kompromittierten Konto bis zu weitreichendem Systemzugriff vergingen demnach üblicherweise rund vier Stunden, in einem Fall 15 Minuten. Diese Beobachtung bezieht sich auf die betreffende Kampagne. Sie ist kein allgemeiner Richtwert für die Dauer eines Angriffs.
Wiz beobachtete automatisierte Prüfungen bei Anbietern
Wiz beschrieb Versuche, Anwendungen und Identitätsdienste mehrerer IT- und Softwareanbieter auszukundschaften. Dazu gehörten Prüfungen von Anmelde- und Kontowiederherstellungsabläufen sowie Diensten wie Okta, Entra, Cognito und Microsoft-365-Anbindungen. Wiz zufolge scheiterte die Mehrheit der in diesem Zusammenhang beobachteten Versuche.
Damit ergänzen diese Beobachtungen das Bild schneller Automatisierung um einen wichtigen praktischen Punkt: Viele der beschriebenen Aktivitäten führten nicht zum Erfolg. Die Ergebnisse gelten für Wiz’ untersuchte Fälle, nicht pauschal für alle Einsätze von ARTEX.
Fünf Verteidigungsebenen gegen beschleunigte Angriffe
Mandiant empfiehlt fünf Schutzbereiche. Sie kombinieren Begrenzungen möglicher Aktionen mit der Erkennung auffälliger Abläufe. Dazu zählen eingeschränkte Admin-Zugänge, kurzlebige und möglichst wenig privilegierte Zugangsdaten, segmentierte Systeme und Schutzvorkehrungen für wichtige Anwendungsfunktionen. Mandiant erläutert die Ebenen im Bericht von Google Cloud.
| Verteidigungsebene | Schwerpunkt | Praktischer Ansatz |
| Kontrollsysteme schützen | Administrative Steuerung begrenzen | Admin-Schnittstellen auf vertrauenswürdige Netzwerke beschränken |
| Identitäten und Schlüssel einschränken | Reichweite und Gültigkeit von Zugangsdaten reduzieren | Kurzlebige, an Workloads gebundene Zugangsdaten und geringstmögliche Rechte verwenden |
| Konfigurationen härten und Angriffswege reduzieren | Erreichbare Systeme und mögliche Wege begrenzen | Internetzugängliche Workloads segmentieren und unnötige Zugriffswege verringern |
| Anwendungen schützen | Besonders folgenreiche Funktionen absichern | Schutzvorkehrungen für wichtige Anwendungsfunktionen einrichten |
| Verhalten und Volumen überwachen | Abweichungen vom üblichen Muster erkennen | Identitäts-, Steuerungs-, Daten-, Endpunkt- und Netzwerkaktivitäten gemeinsam auswerten |
Einzelne Aktionen können für sich genommen legitim wirken, etwa eine Anmeldung eines Dienstkontos oder ein API-Aufruf. Für die Erkennung zählt laut Mandiant deshalb auch, in welcher Reihenfolge und Häufigkeit die Aktionen auftreten, von wo sie ausgehen und ob sie vom üblichen Verhalten der jeweiligen Identität abweichen.
