Google Threat Intelligence Group (GTIG) en Mandiant meldden op 30 oktober 2026 dat zij sinds eind augustus meerdere dreigingsactoren ARTEX zagen misbruiken in onderzoeken naar beveiligingsincidenten. Hun bevindingen gaan over een bredere groep actoren; CrowdStrike beschreef daarnaast een specifieke campagne die het aan VAPOR PANDA toeschreef.
NeoTeo schreef eerder over vier groepen die AI-agenten inzetten bij cyberaanvallen. De nieuwe bevinding van GTIG en Mandiant gaat specifiek over ARTEX en meldt gebruik door meerdere actoren in incidentonderzoeken.
Onderzoekers zagen ARTEX bij meerdere incidenten
GTIG en Mandiant rapporteerden dat verschillende actoren ARTEX en andere offensieve frameworks gebruikten. Daarbij hoorden financieel gemotiveerde actoren en vermoedelijke cyberspionagegroepen. De onderzoekers zagen agentactiviteiten in meerdere fasen van aanvallen. Hun waarnemingen laten zien dat ARTEX in incidentonderzoeken opdook, zonder alle activiteiten aan één groep toe te schrijven. Het rapport van GTIG en Mandiant verscheen op 30 oktober.
CrowdStrike koppelde een campagne aan VAPOR PANDA
CrowdStrike meldde dat de campagne op 17 oktober 2026 begon en elf dagen duurde. De groep richtte zich volgens het beveiligingsbedrijf op meer dan 200 organisaties in ten minste 14 landen. CrowdStrike bevestigde activiteit na binnendringen bij negen organisaties, waaronder de inzet van een achterdeur en vervolgactiviteiten zoals het scannen van netwerken en inloggegevens. Het bedrijf meldde daarnaast wachtwoordaanvallen en het scannen van inloggegevens bij minstens twaalf andere organisaties. CrowdStrikes campagneverslag verscheen op 29 oktober.
De twee rapporten hebben een verschillende reikwijdte: GTIG en Mandiant beschreven meerdere actoren in incidentonderzoeken, terwijl CrowdStrike één campagne aan VAPOR PANDA toeschreef. De campagnebeschrijving van CrowdStrike noemt meer dan 200 doelwitten, maar bevestigde activiteit na binnendringen bij negen organisaties.
ARTEX, DeepSeek en de menselijke operator
ARTEX is een framework dat AI-agenten en beveiligingstools coördineert, geen taalmodel. Volgens CrowdStrike gebruikte VAPOR PANDA DeepSeek vooral als model achter ARTEX, naast een tweede commercieel model waarvan de naam niet bekend was. CrowdStrike beschreef planner- en uitvoerende agenten die taken oppakten en parallelle aanvalspaden onderzochten.
Een menselijke operator gaf de agenten instructies in het Chinees en stuurde ze bij beslismomenten. In één inbraak verbruikten de planningsagenten volgens CrowdStrike ongeveer 1,4 miljard inputtokens. ARTEX automatiseerde dus een deel van het werk binnen een operatie die door een mens werd aangestuurd.
