AnswersPublished23 sources
ARTEX i cyberataki wspierane przez AI: co ujawniają chińskie kampanie
Według CrowdStrike grupa VAPOR PANDA używała ARTEX, by w ciągu 11 dni atakować ponad 200 organizacji w co najmniej 14 krajach. Microsoft powiązał ARTEX z działaniami Storm 0940 dotyczącymi ConnectWise, a Google i Mandiant opisują szersze wykorzystywanie agentowych narzędzi ofensywnych.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Według CrowdStrike grupa VAPOR PANDA używała ARTEX, by w ciągu 11 dni atakować ponad 200 organizacji w co najmniej 14 krajach.
- Microsoft powiązał ARTEX z działaniami Storm 0940 dotyczącymi ConnectWise, a Google i Mandiant opisują szersze wykorzystywanie agentowych narzędzi ofensywnych.
- Ustalenia wskazują na skalowanie i automatyzację części pracy, nie na w pełni autonomiczne ataki prowadzone bez ludzkiego nadzoru.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What do CrowdStrike’s October 29, 2026 report and findings from Google Threat Intelligence Group, Mandiant, Microsoft and Trend Micro reveal. Article summary: The available evidence shows ARTEX spreading across China-linked operations as a tool for automating and scaling intrusion work, rather than demonstrating an attacker that operates entirely without people. Reporting link. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
ARTEX pojawia się w kilku operacjach przypisywanych podmiotom powiązanym z Chinami. W jednej z nich grupa VAPOR PANDA miała w ciągu 11 dni skierować działania przeciwko ponad 200 organizacjom. Microsoft z kolei powiązał narzędzie z aktywnością Storm-0940 i incydentem dotyczącym ConnectWise. Wspólny wniosek z tych doniesień jest istotny, ale węższy niż sensacyjne nagłówki: agenci AI mogą pomóc atakującym działać szybciej i na większą skalę, lecz nie oznacza to, że człowiek przestał kierować operacją. 9
17
25
Ponad 200 celów, ale dziewięć potwierdzonych przypadków
CrowdStrike podał, że kampania VAPOR PANDA rozpoczęła się 17 października 2026 roku. Przez kolejnych 11 dni grupa korzystała z ARTEX, modelu DeepSeek oraz drugiego, niezidentyfikowanego komercyjnego modelu językowego. Na celowniku znalazło się ponad 200 organizacji w co najmniej 14 krajach. Wśród nich były ministerstwa spraw zagranicznych, operatorzy telekomunikacyjni oraz podmioty z sektorów farmaceutycznego, półprzewodników i obronności, a także think tanki. 3
9
Warto odróżnić liczbę zaatakowanych lub wytypowanych celów od liczby potwierdzonych włamań. CrowdStrike potwierdził działania po uzyskaniu dostępu w dziewięciu organizacjach — nie w ponad 200. 3 Według osobnego opisu operator nadzorował agentów i kierował ich decyzjami, co wskazuje na udział człowieka w kampanii.
4
CrowdStrike używa wobec tej grupy nazwy VAPOR PANDA. W części doniesień jej aktywność łączona jest z klastrem Earth Estries śledzonym przez Trend Micro. Takie powiązanie nie musi jednak oznaczać, że obie nazwy są zawsze wymienne. 1
7
ARTEX pojawia się także w innych działaniach
Microsoft informował, że powiązana z chińskim państwem grupa Storm-0940 korzystała z ARTEX już we wrześniu 2026 roku, automatyzując ataki wymierzone w setki organizacji. Microsoft przypisał też tej grupie działania związane z nadużyciem przejętych poświadczeń aplikacji ConnectWise Cloud Backup i dostępem do środowisk Microsoft 365. 17
25
Google Threat Intelligence Group opisuje ARTEX jako napisany w Go, wieloagentowy system wykorzystujący duże modele językowe do testów penetracyjnych i ofensywnych działań typu command and control. Narzędzie ma konsolę internetową opartą na Next.js. Według Google stworzył je użytkownik GitHuba o nazwie Autumn-27, a oryginalne repozytorium zostało usunięte przez autora w październiku 2026 roku po tym, jak zaczęli nadużywać go napastnicy. 48
Usunięcie pierwotnego repozytorium nie zatrzymało jednak obiegu narzędzia. Google odnotowuje dalsze rozpowszechnianie jego społecznościowych kopii, w tym zlokalizowanej wersji ScopeWeaver. Inny raport wymienia także komercyjną odmianę ARTEX PRO. 47
48
Co wiadomo o możliwościach — a czego nie potwierdzono
Google i Mandiant informują, że różni napastnicy wykorzystywali ARTEX oraz inne agentowe frameworki do testów penetracyjnych podczas rzeczywistych incydentów, na różnych etapach cyklu ataku. W opisach działań pojawiają się między innymi rozpoznanie wewnętrznych sieci i Kerberoasting, ale dostępne materiały nie dowodzą, że każda z tych technik wystąpiła w każdej operacji z użyciem ARTEX. 35
47
55
Jeden z wtórnych raportów szacuje, że podczas pojedynczego włamania wykorzystano około 1,4 miliarda tokenów wejściowych. To może świadczyć o dużej skali przetwarzania przez model, ale sama liczba tokenów nie mówi, jak skuteczny lub autonomiczny był atak. 6
Kluczowe jest rozróżnienie między automatyzacją poszczególnych zadań a całkowicie autonomicznym włamaniem. W przypadku VAPOR PANDA operator miał wpływać na decyzje agentów. Z kolei w sprawie ConnectWise wykorzystano przejęte poświadczenia aplikacji — konwencjonalną drogę dostępu, której skutki mogły zostać spotęgowane przez automatyzację. 4
17
Jeden z badaczy Google Threat Intelligence Group określił opisywane działania jako „strzał ostrzegawczy”, jak podaje relacja z ustaleń. To określenie pasuje do obrazu narzędzia, które może ułatwić skalowanie pracy ofensywnej, ale nie przesądza o zdolności AI do samodzielnego prowadzenia całej kampanii. Publicznie przedstawione dowody nie wykazują, że operacje ARTEX odbywały się bez udziału człowieka. Nie należy też utożsamiać ponad 200 celów z ponad 200 potwierdzonymi włamaniami. 3
18
Najważniejszy wniosek
Znaczenie ARTEX polega na połączeniu wielokrotnego użytku narzędzi z automatyzacją części działań przeciwko wielu celom. Doniesienia pokazują, że takie rozwiązania mogą zwiększać skalę operacji. Nie dowodzą jednak, że AI zastąpiła operatorów ani że każda organizacja z listy celów została skutecznie zaatakowana. 3
4
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ARTEX i cyberataki wspierane przez AI: co ujawniają chińskie kampanie"?
Według CrowdStrike grupa VAPOR PANDA używała ARTEX, by w ciągu 11 dni atakować ponad 200 organizacji w co najmniej 14 krajach.
What are the key points to validate first?
Według CrowdStrike grupa VAPOR PANDA używała ARTEX, by w ciągu 11 dni atakować ponad 200 organizacji w co najmniej 14 krajach. Microsoft powiązał ARTEX z działaniami Storm 0940 dotyczącymi ConnectWise, a Google i Mandiant opisują szersze wykorzystywanie agentowych narzędzi ofensywnych.
What should I do next in practice?
Ustalenia wskazują na skalowanie i automatyzację części pracy, nie na w pełni autonomiczne ataki prowadzone bez ludzkiego nadzoru.
Sources
crowdstrike.comVAPOR PANDA Uses AI-Driven ARTEX to Scale a Global ...
huntress.comAI, Scripts, Operator: Inside the ConnectWise Attack
microsoft.comAI-driven, large-scale nation-state campaign using ARTEX ...
insurewire.orgCrowdStrike says China-nexus group used AI agents against more than 200 organisations in 11 days | insurewire.org