Oltre 800 deployment di Artex, uno strumento di attacco basato sull’intelligenza artificiale, risultano accessibili dal web senza autenticazione. Chiunque potrebbe individuarli e utilizzarli per colpire obiettivi ignari. Censys ha individuato le installazioni durante le proprie scansioni di sistemi esposti o vulnerabili; il software, di fabbricazione cinese, automatizza la ricerca di punti deboli nei computer.
Artex è stato pubblicato come progetto open-source a luglio 2026 e può essere scaricato ed eseguito gratuitamente su server propri. Questa disponibilità lo rende particolarmente utile per chi non può ricorrere ai modelli di sicurezza più avanzati di Anthropic o OpenAI nell’individuazione delle vulnerabilità. Microsoft lo ha descritto come un sistema di agenti AI in grado di condurre attacchi dalla ricognizione fino all’esfiltrazione dei dati, con scarsa necessità di intervento umano.
Non tutte le installazioni sono però impiegate per finalità malevole. Silas Cutler, principal security researcher di Censys, ha spiegato che molte servono ai tester autorizzati. Resta inoltre poco chiaro il motivo per cui centinaia di sistemi Artex siano raggiungibili via internet, dato che il programma non richiede questa configurazione. Gli ambienti esposti possono fornire strumenti aggiuntivi agli aggressori, fra cui implant, software nascosto progettato per compromettere una rete e conservarvi l’accesso in modo persistente.
Il legame tra Artex e gli attacchi su larga scala è stato ricostruito da diverse aziende di sicurezza. Gli attacchi al settore finanziario coreano di settembre sono attribuiti a un hacker di lingua cinese tramite CrowdStrike. L’indagine ha indicato che l’intruso utilizzava un’istanza di Artex, agevolato dalla presenza di una directory aperta che ne ospitava il sistema.
Secondo i dati raccolti da Censys, quell’installazione era pubblicamente esposta da mesi e conteneva informazioni sugli attacchi che andavano ben oltre le banche sudcoreane: i bersagli comprendevano anche società di pagamenti e aziende di gaming. Il caso mostra come una configurazione sbagliata possa contemporaneamente esporre l’aggressore e offrire spunti utili contro le vittime.
L’attacco a ConnectWise ha permesso di spiare migliaia di organizzazioni nel cloud Microsoft. L’episodio si è verificato a ottobre 2026 e ha coinvolto hacker collegati alla Cina, che hanno impiegato Artex per penetrate negli ambienti cloud dei clienti e sottrarre i loro dati. Microsoft, in grado di osservare l’intrusione, ha dichiarato che il furto è avvenuto a una velocità tale da lasciare ai difensori pochissimo tempo per rilevare l’attacco e reagire.
Molte delle operazioni riferite ad Artex hanno sfruttato problemi elementari: indovinare password deboli o già note e l’assenza di multi-factor authentication. Non è quindi necessario individuare exploit complessi per sfruttare il tool; bastano misure di protezione carenti e sistemi accidentalmente accessibili.
Nel frattempo, Artex ha annunciato il passaggio a closed-source, con rilasci futuri limitati ai clienti paganti. La disponibilità del codice non è però cessata: decine di copie continuano a essere presenti su siti di code-sharing e possono alimentare attacchi in corso.
