El Dutch Institute for Vulnerability Disclosure (DIVD) afirmó el 30 de octubre de 2026 que ARTEX se utilizó en el ataque contra el instituto. En su relato describió más de 450.000 solicitudes, más de 2.500 scripts y actividad simultánea sobre correo, red interna y credenciales. La declaración de DIVD atribuye estos detalles al incidente del organismo neerlandés.
ARTEX es un framework agéntico de pruebas de penetración, o pentesting: el operador elige un modelo y un objetivo, y el sistema decide los pasos de la evaluación. No es el modelo de IA en sí.
Actividad simultánea y acceso persistente
DIVD describió varias acciones en paralelo. ARTEX leyó nueve veces un buzón, exploró la red interna, contactó otros sistemas, intentó restablecer contraseñas y obtuvo tokens de inicio de sesión de una base de datos. El instituto también informó de intentos de adivinar contraseñas mediante password spraying.
El volumen registrado por DIVD fue de más de 450.000 solicitudes y más de 2.500 scripts. El organismo comparó esa última cifra con su estimación de 20 a 30 scripts para un atacante humano. Son cifras del incidente que describió DIVD. El instituto también dijo que el agente creó para sí mismo un token administrativo de API sin fecha de caducidad, que podía conservar el acceso sin volver a explotar la vulnerabilidad.
La cadena de Zammad llegó a root en doce minutos
DIVD situó en doce minutos el paso desde el acceso inicial hasta los permisos de root, mediante una cadena de dos vulnerabilidades de día cero en Zammad. Según el instituto, la escalada local de privilegios tomó alrededor de un minuto. The Hacker News identificó las vulnerabilidades como CVE-2026-102489 y CVE-2026-102490.
Otros casos con ARTEX y una campaña Linux separada
Entre el 24 de septiembre y el 27 de octubre de 2026, Unit 42 observó intrusiones contra varios objetivos que probablemente usaron ARTEX o un framework derivado. DIVD advirtió que la presencia de ARTEX en otros ataques no significa que las intrusiones estuvieran conectadas. El instituto no hizo pública la identidad de quien lo operó.
Unit 42 también siguió la campaña CL-UNK-1211 contra infraestructura Linux asociada a gobiernos entre octubre de 2025 y abril de 2026. Se trata de otro caso; la cobertura anterior de NeoTeo sobre la campaña CL-UNK-1211 contra Linux ofrece ese contexto por separado.
