GTIG i Mandiant poinformowały 30 października 2026 r., że od końca sierpnia obserwowały wielu aktorów nadużywających ARTEX i innych frameworków ofensywnych w dochodzeniach dotyczących reagowania na incydenty. CrowdStrike opisał osobno kampanię przypisaną grupie VAPOR PANDA, w której według jego ustaleń wykorzystano ARTEX i model DeepSeek.
GTIG i Mandiant opisali użycie ARTEX w różnych incydentach
Google Threat Intelligence Group (GTIG) i Mandiant przekazały, że ich obserwacje pochodziły z dochodzeń dotyczących incydentów. Opisane przypadki obejmowały różne etapy ataków, a wśród aktorów znalazły się grupy motywowane finansowo oraz klastry podejrzewane o szpiegostwo. Raport Google Cloud przedstawia szerszy obraz użycia takich narzędzi niż pojedyncza kampania przypisana konkretnej grupie.
Wcześniej NeoTeo opisywało cztery kampanie z udziałem agentów AI. Nowe obserwacje GTIG i Mandiant dotyczą wielu aktorów zaobserwowanych w dochodzeniach, a nie jednej wspólnej atrybucji.
Co CrowdStrike przypisał grupie VAPOR PANDA
CrowdStrike przypisał VAPOR PANDA kampanię rozpoczętą 17 października 2026 r. Według firmy jej celem było ponad 200 organizacji w co najmniej 14 krajach; aktywność po uzyskaniu dostępu potwierdzono w dziewięciu organizacjach. Pierwsza liczba dotyczy celów, druga organizacji, w których stwierdzono działania po wejściu do systemów. CrowdStrike opisał tę kampanię jako operację VAPOR PANDA, grupy wiązanej przez firmę z Chinami.
ARTEX, DeepSeek i operator
ARTEX to framework do testów penetracyjnych, który koordynuje narzędzia i agentów korzystających z modeli językowych. Nie jest samym modelem DeepSeek. Według relacji o kampanii VAPOR PANDA DeepSeek był głównym używanym modelem, obok drugiego, niezidentyfikowanego modelu komercyjnego.
Opis kampanii wskazuje również na udział człowieka: operator wydawał polecenia po chińsku, a agenci planujący i wykonawczy realizowali podzadania. ARTEX organizował więc pracę narzędzi i agentów w ramach działań kierowanych przez operatora.
