Em 30 de outubro de 2026, o Google Threat Intelligence Group (GTIG) e a Mandiant relataram ter observado vários agentes usando ARTEX em investigações de resposta a incidentes desde o fim de agosto. A observação amplia o quadro sobre o uso do framework, mas trata de casos distintos da campanha que a CrowdStrike atribuiu a VAPOR PANDA. O relatório do Google Cloud também descreve atividades em diferentes etapas de ataques.
O que as equipes de segurança observaram
GTIG e Mandiant relataram casos envolvendo vários agentes, entre eles grupos motivados por ganhos financeiros e grupos suspeitos de espionagem. As observações vieram de investigações de resposta a incidentes, ou seja, análises conduzidas após a identificação de atividades de segurança. A presença de ARTEX nesses casos não os torna parte de uma única operação atribuída a VAPOR PANDA.
A NeoTeo já havia abordado campanhas com agentes de IA em uma reportagem anterior. O relato de GTIG e Mandiant acrescenta observações mais amplas sobre o uso de ARTEX em diferentes investigações.
A campanha que a CrowdStrike atribuiu a VAPOR PANDA
Em um caso específico, a CrowdStrike atribuiu a VAPOR PANDA uma campanha que começou em 17 de outubro de 2026. Segundo a empresa, os operadores miraram mais de 200 organizações em pelo menos 14 países. A CrowdStrike relatou atividade pós-invasão confirmada em nove organizações. Portanto, o número de alvos não corresponde ao de organizações com atividade pós-invasão confirmada. A publicação da CrowdStrike sobre a campanha descreve essa atribuição.
O relato também menciona pelo menos 12 outras organizações que enfrentaram tentativas de adivinhação de senhas. Entre as atividades pós-invasão descritas estavam a instalação de backdoors, a tentativa de usar credenciais em várias contas e o reconhecimento de redes.
ARTEX, DeepSeek e o operador humano têm papéis diferentes
ARTEX é um framework de testes de penetração que coordena ferramentas e agentes apoiados por modelos de linguagem. DeepSeek não é o framework: no caso atribuído a VAPOR PANDA, foi relatado como o modelo usado principalmente, ao lado de outro modelo comercial não identificado.
O relato da campanha descreve um operador humano dando instruções em chinês, enquanto agentes de planejamento e execução do ARTEX realizavam tarefas. Essa divisão ajuda a entender o uso de IA descrito: o framework coordenava subtarefas sob orientação humana.
