Le 30 octobre 2026, Google Threat Intelligence Group (GTIG) et Mandiant ont rapporté avoir observé plusieurs acteurs utilisant ARTEX et d’autres frameworks offensifs dans des enquêtes de réponse à incident, depuis la fin août. Cette observation élargit le tableau des usages signalés du framework ; elle porte sur plusieurs acteurs et ne se confond pas avec la campagne précise que CrowdStrike a attribuée à VAPOR PANDA.
Des usages d’ARTEX observés dans plusieurs enquêtes
Dans leur rapport publié par Google Cloud, GTIG et Mandiant décrivent des acteurs aux motivations diverses, notamment des groupes à motivation financière et des groupes soupçonnés d’espionnage. Leurs observations couvrent plusieurs phases d’activité au cours d’intrusions. Elles proviennent d’enquêtes de réponse à incident et s’étendent à plusieurs acteurs, plutôt qu’à une seule campagne attribuée.
Cette observation plus large complète les informations précédemment rapportées sur des campagnes d’attaques assistées par l’IA. NeoTeo avait notamment couvert quatre groupes utilisant des agents d’IA dans des cyberattaques.
CrowdStrike attribue une campagne à VAPOR PANDA
Dans un dossier distinct, CrowdStrike a attribué à VAPOR PANDA, un groupe qu’elle estime lié à la Chine, une campagne utilisant ARTEX. Selon son compte rendu, l’opération a commencé le 17 octobre 2026 et visé plus de 200 organisations dans au moins 14 pays. CrowdStrike a signalé une activité après intrusion confirmée dans neuf organisations, notamment le déploiement de portes dérobées, des tentatives de pulvérisation de mots de passe, de l’analyse de réseaux et de la reconnaissance. CrowdStrike a publié son évaluation de la campagne.
Les deux chiffres décrivent des choses différentes : plus de 200 organisations figuraient parmi les cibles, tandis que les neuf organisations correspondent aux cas où une activité après intrusion a été confirmée par CrowdStrike. Le rapport de GTIG et Mandiant, lui, porte sur plusieurs acteurs observés dans des enquêtes différentes.
ARTEX, DeepSeek et l’opérateur humain ont des rôles distincts
ARTEX est un framework de test d’intrusion qui coordonne des outils et des agents logiciels s’appuyant sur des modèles de langage. Ce n’est pas un modèle d’IA comme DeepSeek. Dans la campagne attribuée à VAPOR PANDA, DeepSeek aurait été le principal modèle utilisé par l’opérateur, avec un autre modèle commercial que CrowdStrike n’a pas identifié.
Le compte rendu de la campagne décrit aussi un opérateur humain donnant des instructions en chinois. Les agents planificateurs et exécutants d’ARTEX prenaient ensuite en charge des tâches. La campagne était donc dirigée par une personne, avec des agents logiciels employés pour réaliser une partie du travail.
CrowdStrike rapporte quatre campagnes de cyberattaques avec des agents IA
