Investigadores de seguridad han detectado ARTEX, un framework de pruebas de penetración impulsado por inteligencia artificial, expuesto en 1.465 servidores conectados a internet. Algunos de estos hosts también contenían software de phishing, herramientas de comando y control y archivos de exploits, lo que demuestra la integración de plataformas de prueba automatizadas con infraestructuras de ataque ya establecidas. Estos hallazgos permiten a los defensores analizar dichos entornos gracias a los archivos que los operadores dejaron accesibles públicamente.

Investigadores de seguridad han encontrado ARTEX, un entorno de pruebas de penetración impulsado por IA, expuesto en 1.465 hosts orientados a internet.

Algunos servidores también alojaban herramientas de comando y control, software de phishing y archivos de exploits, lo que demuestra cómo las plataformas automatizadas de pruebas de seguridad están apareciendo junto a infraestructuras de ataque ya establecidas.

Los hallazgos ofrecen a los defensores una visión de estos entornos, incluidos archivos que los operadores dejaron accesibles públicamente. El recuento no significa que haya 1.465 grupos de hacking independientes operando el entorno.

Alrededor de 650 hosts compartían configuraciones repetidas en dos proveedores de alojamiento, lo que sugiere sistemas clonados o servidores que utilizan múltiples direcciones.

Al eliminar esos grupos, quedan aproximadamente 815 despliegues con apariencia distinta. La exposición pública tampoco establece una actividad maliciosa, ya que los evaluadores de seguridad autorizados pueden utilizar ARTEX.

Investigadores de Censys identificaron las consolas expuestas y las herramientas de ataque asociadas en un informe del 5 de noviembre. Describieron ARTEX como un entorno de doble uso, no como una familia de malware.

Su investigación encontró detecciones de amenazas adicionales en 155 hosts, o el 10,6% del total, y 32 directorios abiertos que exponían herramientas, implantes y archivos de operadores.

ARTEX: Entorno de Hacking con IA encontrado en 1.465 servidores públicos

Lanzado el 26 de julio de 2026, ARTEX combina un backend en Go, una consola Next.js y una base de datos PostgreSQL. Se conecta con ScopeSentry, una plataforma de descubrimiento de activos, para importar dominios, direcciones, puertos y endpoints.

Tú defines un objetivo, el alcance de la prueba y la meta; entonces, los agentes de IA planifican las tareas, ejecutan las herramientas y registran los resultados. Coberturas anteriores sobre la automatización de ataques empresariales de ARTEX explican cómo este enfoque reduce el trabajo manual en las etapas del ataque.

Un planificador divide los objetivos en acciones más pequeñas, mientras que los agentes trabajadores ejecutan herramientas como nmap y devuelven los hallazgos. ARTEX mantiene un grafo de activos que muestra los sistemas descubiertos y un grafo de exploración que rastrea lo que ya ha sido probado.

Soporta Anthropic, OpenAI y endpoints de modelos compatibles, permitiéndote cambiar de proveedor sin tener que reconstruir el flujo de trabajo.

Censys encontró CyberStrikeAI junto a ARTEX en 70 hosts, apareciendo también PentAGI, HexStrike AI y RedAmon. Otros servidores contenían Vshell, Cobalt Strike, Adaptix C2, FRP y Gophish.

Estas combinaciones son importantes porque el reconocimiento, el phishing, el acceso remoto y las pruebas asistidas por IA pueden coexistir, aunque el alojamiento compartido por sí solo no prueba un ataque coordinado.

Los directorios expuestos proporcionaron pistas operativas más sólidas. Sus contenidos incluían herramientas de movimiento lateral de Windows, un exploit público de sudo, implantes de Linux, scripts de reverse-shell y stagers compilados.

Un directorio expuesto

Un directorio expuso la carpeta personal de un operador, incluyendo material de SSH e historial de la shell. Informes independientes sobre ataques de ARTEX a Active Directory describen cómo los agentes han apoyado ataques de credenciales y el movimiento entre sistemas Windows.

Censys también rastreó un servidor de ARTEX citado por CrowdStrike con directorios abiertos visibles desde el 18 de agosto, siete semanas antes del informe de CrowdStrike.

Esa investigación vinculó a ARTEX con ataques contra instituciones financieras de Corea del Sur. Por separado, Microsoft atribuyó la actividad asistida por ARTEX contra inquilinos de clientes de ConnectWise al grupo Storm-0940.

La cobertura sobre el objetivo de ARTEX en Microsoft 365 detalla el escaneo, el password spraying y el abuso de OAuth de esa campaña. Como defensor, debes correlacionar las coincidencias de infraestructura con los registros de autenticación, la actividad de los endpoints y las conexiones de red, en lugar de tratar cada consola de ARTEX como hostil.

Censys recomienda revisar directorios abiertos cercanos, servicios de tunelización, pasarelas de LLM desconocidas y registros históricos de escaneo. Los directorios de corta duración son particularmente útiles: diez desaparecieron y quince aparecieron en otros lugares entre el 3 y el 5 de noviembre.

Fuentes:
https://cybersecuritynews.com/artex-ai-hacking-framework/