El 30 de octubre de 2026, Google Threat Intelligence Group (GTIG) y Mandiant informaron de que habían observado ARTEX, PentAGI y CAIRN en investigaciones de incidentes desde finales de agosto. Los marcos automatizaron partes de algunos ataques, pero la actividad descrita también dejó rastros visibles. GTIG y Mandiant detallan sus observaciones y recomendaciones defensivas.
Qué automatizaron los marcos
GTIG y Mandiant describen tareas distribuidas a lo largo de varias fases: reconocimiento, comprobación de permisos, escalada de privilegios, movimiento entre sistemas y preparación para robar datos. Son partes de algunos ataques, no la automatización completa de cada intrusión.
ARTEX, escrito en Go, tiene una consola web Next.js y seis subagentes especializados, según el informe. PentAGI, desarrollado por VXControl, ejecuta sus herramientas en entornos aislados de Kali Linux y admite más de una docena de modelos de lenguaje grandes, tanto locales como en la nube. CAIRN también figura entre los marcos observados. El informe no atribuye a todos las mismas funciones.
Las técnicas descritas siguen incluyendo el abuso de credenciales y la explotación de sistemas expuestos o sin actualizar. La automatización puede acelerar la prueba y combinación de acciones, sin que eso signifique que cada intento tenga éxito.
La velocidad vino acompañada de actividad visible
GTIG y Mandiant describen secuencias de ARTEX en ráfagas de unos 2 a 25 segundos, con pausas entre fases. En un caso, una ráfaga produjo 27 eventos en 23 segundos mientras se comprobaban permisos en AWS. En otro, una operación relacionada con Linux Weaver OA generó 240 eventos de registro durante intentos que lograron ejecución parcial de comandos y reconocimiento. Son observaciones de casos concretos; el informe caracteriza el uso actual como temprano, ruidoso y relativamente poco sofisticado.
El mismo informe atribuye a hallazgos de Wiz una estimación para una campaña concreta: el paso desde la primera cuenta comprometida hasta el acceso profundo a los sistemas solía llevar unas cuatro horas y en un caso tomó 15 minutos. Esos plazos describen esa campaña, no el tiempo habitual de cualquier ciberataque.
Wiz observó sondeos contra proveedores e identidades
Wiz Research describió actividad asociada a ARTEX contra varios proveedores de tecnología y software. Los sondeos se dirigieron a servicios de identidad como Okta, Microsoft Entra y Amazon Cognito, además de aplicaciones e integraciones con Microsoft 365. Incluyeron pruebas de autenticación, recuperación de cuentas y APIs. Wiz indicó que la mayoría de los intentos que describió fracasó.
Ese resultado acota lo que puede concluirse de esa campaña: hubo intentos automatizados y repetidos, pero no todos terminaron en una intrusión. Las observaciones de Wiz corresponden a su actividad investigada y no describen necesariamente todas las operaciones con ARTEX.
Cinco prioridades defensivas de Mandiant
Mandiant recomienda combinar límites sobre lo que una identidad puede hacer con controles que ayuden a detectar comportamientos anómalos. Sus cinco capas agrupan esas prioridades:
| Capa | Prioridad de control | Aplicación práctica |
| Planos de control | Proteger las interfaces administrativas | Restringir su acceso a redes de confianza. |
| Identidades y claves | Reducir permisos y duración de las credenciales | Usar credenciales de corta duración vinculadas a las cargas de trabajo y aplicar el mínimo privilegio. |
| Configuración y rutas de ataque | Endurecer la configuración y reducir las vías de acceso | Segmentar las cargas de trabajo expuestas a Internet. |
| Aplicaciones | Proteger las funciones de mayor impacto | Aplicar salvaguardas a las funciones críticas. |
| Detección | Identificar cambios de comportamiento y volumen | Correlacionar señales de identidad, planos de control y datos, dispositivos y red. |
Estas medidas atienden dos problemas distintos: limitar el alcance de una cuenta comprometida y detectar actividad que se sale de su patrón habitual. Mandiant advierte que acciones aisladas, como autenticarse o llamar a una API, pueden parecer legítimas; la señal puede estar en su secuencia, volumen, origen, horario y diferencia respecto al comportamiento normal de esa identidad.
