L’FBI rivela come gli hacker utilizzano gli AI agent ARTEX per ottenere un accesso…

L’FBI ha messo in guardia sul fatto che gli hacker stanno utilizzando gli AI agent ARTEX per automatizzare gli attacchi alle reti, con alcune intrusioni che riescono a ottenere l’accesso privilegiato in meno di tre ore. L’allerta FLASH del 13 novembre 2026 descrive come gli aggressori combinano credenziali rubate, applicazioni esposte e autorizzazioni cloud per ridurre il lasso di tempo tra il rilevamento e la compromissione. ARTEX è un framework open-source per i test di sicurezza, non una famiglia di malware

Scritto in Go, collega LLM esterni ad agenti che trasformano le istruzioni in comandi. Gli operatori definiscono gli obiettivi, mentre gli agenti scansionano i target, eseguono gli strumenti, esaminano i risultati e correggono le fasi non riuscite con un intervento umano limitato durante tutta la campagna di attacco. ARTEX accelera gli attacchi alle aziende Come illustrato nell’analisi degli attacchi alle aziende condotta da ARTEX su Cybersecuritynews.

com, il framework collega vulnerabilità note anziché fare affidamento su un singolo nuovo exploit.

Gli agenti possono esaminare le autorizzazioni cloud, mappare Active Directory e testare i percorsi di accesso. Google ha osservato singoli picchi automatizzati della durata di 2-25 secondi, lasciando ai difensori poco tempo per valutare gli eventi correlati. L’FBI elenca attacchi che comportano l’inserimento di codice SQL, l’assenza di autenticazione API, l’esposizione di password e l’abuso di connessioni cloud affidabili.

Dopo l’accesso, gli agenti hanno aggiunto credenziali ad applicazioni esistenti, implementato web shell e tentato di rubare le credenziali.

. Altre attività hanno incluso la ricerca di sistemi Windows privi di protezione degli endpoint e la mappatura di oltre 110.000 oggetti directory. In precedenza, Microsoft aveva collegato ARTEX a Storm-0940, un gruppo legato allo Stato cinese che prendeva di mira gli ambienti Microsoft 365 utilizzando credenziali dell’applicazione ConnectWise compromesse. Gli aggressori hanno tentato di accedere a oltre 2.250 tenant utilizzando autorizzazioni già approvate dai clienti

. Quel numero misura il targeting, non le violazioni confermate, e i soli accessi riusciti non costituiscono un furto di dati dei clienti. L’avviso dell’FBI riunisce questi risultati, mettendo in guardia sul fatto che ARTEX punta anche portali dei fornitori trascurati, strumenti di vendita e back-end mobili. Il dato relativo al tempo inferiore a tre ore descrive alcune intrusioni osservate, non una capacità fissa.

. Le console pubblicamente esposte superavano le 1.600 unità all’inizio di novembre, sebbene le installazioni esposte non dimostrino automaticamente un uso doloso da parte dei loro operatori. Un rapporto separato sulle violazioni di WorkOS evidenzia il rischio per le applicazioni aziendali interne. WorkOS ha rilevato un unauthorized access a un’applicazione di vendita contenente i dati di contatto dei clienti e i registri delle conversazioni, inclusi estratti di Slack

. Il suo CEO ha individuato il coinvolgimento di ARTEX, mentre la società ha riferito di non avere prove del fatto che i servizi di produzione o i dati dell’applicazione WorkOS siano stati compromessi. Un’altra indagine di Microsoft ha documentato agenti di ARTEX che cercavano su GitHub segreti esposti. In un caso, un agente è passato dalle ricerche nei repository al furto di dati di Azure Key Vault in soli cinque minuti.

L’attività illustra come le credenziali di un’applicazione divulgate possano diventare un mezzo di accesso al cloud, in particolare quando tali identità dispongono di ampie autorizzazioni per i servizi connessi. I ricercatori hanno inoltre esaminato i server resi pubblici da un operatore collegato ad attacchi finanziari in Corea del Sud. I file hanno rivelato strumenti di routing basati sull’intelligenza artificiale, istruzioni riutilizzabili, servizi proxy e credenziali memorizzate.

Questi attacchi hanno colpito circa 67. 000 persone

. Tuttavia, l’uso condiviso di ARTEX non dimostra che questo operatore, Storm-0940, e l’autore dell’attacco a WorkOS fossero collegati. Cosa dovrebbero monitorare i team di sicurezza L’FBI raccomanda di limitare gli strumenti di amministrazione esposti, ridurre le autorizzazioni delle applicazioni e scansionare i repository alla ricerca di segreti. I difensori dovrebbero collegare gli accessi insoliti alle applicazioni con l’aggiunta di credenziali, le modifiche dei ruoli e l’attività rapida delle API.

. Conserva le prove durante il contenimento, indaga sui percorsi di accesso secondari e convalida gli indicatori storici rispetto ai log attuali prima di bloccare l’infrastruttura cloud condivisa. Fornisci al tuo SOC il contesto degli avvisi per bloccare rapidamente gli incidenti. Integra le threat intelligence provenienti da 16.000 SOC.