W oświadczeniu opublikowanym 30 października 2026 r. holenderski instytut Dutch Institute for Vulnerability Disclosure (DIVD) poinformował, że w ataku na jego systemy wykorzystano ARTEX, otwartoźródłowy agentowy framework do testów penetracyjnych. Instytut opisał równoległe działania w sieci i wokół poczty, ponad 450 000 żądań oraz token administracyjny API bez terminu wygaśnięcia. DIVD przedstawił swój opis incydentu.

ARTEX to framework, a nie sam model AI: operator wskazuje cel i wybiera model, zaś agent dobiera kolejne kroki. Według DIVD agent dziewięć razy odczytał skrzynkę pocztową, skanował sieć wewnętrzną i kontaktował się z innymi systemami. Instytut opisał też próby resetowania haseł do kont DIVD u dostawcy hostingu oraz pobieranie tokenów logowania z bazy danych. Te czynności miały przebiegać równolegle.

Skala działań i utrzymanie dostępu

DIVD podał, że w incydencie odnotował ponad 450 000 żądań i ponad 2 500 skryptów. Agent utworzył też dla siebie token administracyjny API bez daty wygaśnięcia. Według instytutu token mógł pozwolić na zachowanie dostępu bez ponownego wykorzystania luki.

Dwanaście minut do uprawnień roota

DIVD podał, że przejście od początkowego dostępu do uprawnień roota zajęło 12 minut. Atak wykorzystał łańcuch dwóch podatności typu zero-day w Zammad, w tym lukę umożliwiającą lokalne podniesienie uprawnień. Sam etap eskalacji miał zająć około minuty.

Inne przypadki ARTEX i kampania Linux

Unit 42 obserwowało od 24 września do 27 października 2026 r. próby włamań przeciwko wielu celom, które prawdopodobnie wykorzystywały ARTEX lub framework wywodzący się z tego projektu. DIVD zaznaczył, że użycie ARTEX w innych atakach samo w sobie nie oznacza, że sprawy są ze sobą powiązane.

CL-UNK-1211 to osobna kampania wymierzona w infrastrukturę Linux powiązaną z administracją, obserwowana od października 2025 r. do kwietnia 2026 r. W jej opisie pojawiają się skrypty podejrzewane o wsparcie AI oraz SysGoRAT. Wcześniejszy artykuł NeoTeo opisuje kampanię CL-UNK-1211. DIVD nie ujawnił informacji o sprawcy ataku na instytut.