En su página de README (aquí), el mantenedor del proyecto afirma:

Dado un objetivo autorizado, un sistema multi-agente de planificador / trabajador / agente principal ejecuta el compromiso completo sobre un núcleo de grafo dual (un grafo de activos global + un grafo de exploración por tarea) — reconocimiento → descubrimiento de superficie de ataque → explotación → captura de hallazgos → entrega de informe — totalmente observable, interactivo y entregable.

A diferencia de la mayoría de las herramientas automatizadas de pentesting que son "excelentes en el descubrimiento, pero se detienen ahí", AntiFox pone su peso en la entrega, convirtiendo lo que la IA encuentra en un informe que un ingeniero puede entender, reproducir, respaldar con evidencia y entregar directamente al cliente.

Según Arctic Wolf, parte de la actividad de acceso inicial está asociada con una aplicación de Internet Information Services (IIS) comprometida. El acceso se aprovecha entonces para crear una web shell ASPX utilizando "w3wp.exe", el proceso trabajador de IIS, y ejecutar comandos del sistema operativo para realizar las siguientes acciones:

* Ejecutar comandos de PowerShell para localizar archivos web.config y copias de seguridad de configuración.
* Leer ajustes de la aplicación y cadenas de conexión de bases de datos.
* Enumerar directorios de depuración y registros de errores.
* Intentar conectarse a una base de datos de producción interna utilizando una credencial extraída de la configuración de la aplicación.
* Copiar archivos de configuración y registros en un directorio de carga accesible vía web.

"En un servidor IIS comprometido, los comandos ejecutados a través de w3wp.exe identificaron el contexto de ejecución con whoami, enumeraron el directorio de la aplicación, verificaron permisos con icacls y probaron la capacidad de escribir archivos en la raíz web", dijo Arctic Wolf.

"La creación de una web shell ASPX por w3wp.exe, seguida de la ejecución de comandos a través del mismo proceso trabajador de IIS, sugiere un compromiso a través de la aplicación web afectada".

La vulnerabilidad precisa utilizada para lograr la ejecución de código en el servidor IIS no se conoce. En otros ataques, se dice que el actor de amenazas comenzó con una credencial de AWS válida obtenida por medios aún no determinados.

Demo de AntiFox

Específicamente, esto implicó abusar de identidades IAM válidas para validar credenciales y enumerar docenas de servicios, incluyendo IAM, EC2, S3, Lambda, Secrets Manager, KMS, RDS, ECS, EKS, Redshift, Athena, Glue, Systems Manager, API Gateway, CloudWatch, CloudFormation, DynamoDB y Amazon Bedrock.

Aunque la mayoría de estas solicitudes de API autenticadas entre servicios terminaron en un error "AccessDenied", algunas de las operaciones de descubrimiento y acceso a secretos tuvieron éxito, según la empresa de ciberseguridad.

En al menos algunos casos, se observó que la actividad progresó más allá de la enumeración de Secrets Manager hacia una solicitud exitosa de GetSecretValue contra un secreto de producción. En otros casos, se utilizó una identidad de AWS válida para el descubrimiento de S3 y operaciones de objetos mediante llamadas a la API.

"Los frameworks agenticos como estos hacen que las técnicas de pruebas de penetración sean más accesibles para los actores de amenazas, al tiempo que aumentan la velocidad y la consistencia con la que estas técnicas pueden aplicarse en ataques reales", afirmó Arctic Wolf.

El auge de las herramientas de IA en los ciberataques

La revelación llega mientras los actores de amenazas están armando cada vez más herramientas de pruebas de penetración impulsadas por IA como ARTEX para llevar a cabo ataques a gran escala en todo el mundo, permitiéndoles automatizar varias etapas de una intrusión con una intervención humana mínima.

La integración de la IA ha permitido a los adversarios, tanto grandes como pequeños, adaptar tácticas establecidas y desplegarlas a velocidad de máquina, haciendo posible pasar del escaneo de secretos en GitHub a la exfiltración de datos de un Azure Key Vault en cinco minutos.

A principios de esta semana, VECERT reveló detalles de una campaña llamada Operación Ghost-Campus orquestada por un actor de amenazas chino que utiliza agentes de IA para mantener un acceso perpetuo y gratuito a modelos de lenguaje extensos (LLM) y, eventualmente, realizar fraudes académicos automatizados y robar datos de más de 5.000 estudiantes matriculados en el Campus de Fengxian.

"El agente industrializa la creación de cuentas en el motor de búsqueda fofa.info, escanea el ciberespacio global en busca de servidores mal configurados, extrae claves API de OpenAI y DeepSeek, verifica automáticamente sus saldos financieros y las inyecta en el entorno de desarrollo del atacante", dijo VECERT en este artículo.

"Esta potencia de cálculo robada alimenta una terminal GoTTY interactiva ('Pi — AI Coding Assistant') y, por extensión, proporciona inteligencia a los scripts que sostienen los bots de fraude académico ('heartbeat') y extractores de datos financieros e información de identificación personal (PII) pertenecientes a miles de estudiantes del Campus de Fengxian".

Según datos de Censys, hay 1.465 hosts ejecutando una consola de ARTEX expuesta al 4 de noviembre de 2026, la mayoría ubicados en EE. UU., Hong Kong, China, Japón, Singapur y Corea del Sur. Sin embargo, cabe señalar que no todas las instancias son necesariamente maliciosas.

En un informe separado, Check Point Research dijo haber identificado 2.557 sistemas que alojaban ARTEX, incluyendo 10 instancias mal configuradas que exponían sus bases de datos completas.

"En muchos casos observados, ARTEX requirió muy poca interacción de sus operadores una vez establecido un objetivo", dijo Check Point en su blog. "En lugar de dirigir los ataques paso a paso, los operadores frecuentemente emitían una meta y dejaban que la flota de agentes trabajara para lograrla. Las interacciones humanas se limitaban principalmente a revisar el progreso, preguntar si un objetivo había sido comprometido o ajustar ocasionalmente las prioridades".

La gran mayoría de los ataques están diseñados para succionar criptomonedas, robar certificados de firma de código de Apple, comprometer cuentas de juegos y realizar ataques de denegación de servicio (DoS) contra sitios web de apuestas. Se ha descubierto que la actividad explota vulnerabilidades relacionadas con contraseñas débiles o hard-coded, falta de autenticación, referencias directas a objetos inseguras y ejecución remota de código.

En la campaña dirigida a los certificados de firma de código de Apple, los agentes de ARTEX buscaron bases de datos de certificados en sistemas comprometidos, procediendo luego a validar los certificados robados verificando contraseñas, claves privadas, estado de revocación de Apple, fechas de vencimiento y perfiles de provisión asociados.

En última instancia, se estima que la actividad ha recolectado más de 300 certificados y sus contraseñas, de los cuales tres pasaron el proceso de validación completa y podrían usarse para firmar aplicaciones iOS arbitrarias.

El mayor cambio que el hacking agentico ha traído al panorama de ciberamenazas es la escala y la velocidad, advirtió Check Point, ya que un cibercriminal con habilidades técnicas limitadas puede encargar a agentes de IA la investigación de múltiples objetivos en paralelo y explotarlos usando vulnerabilidades conocidas y zero-day con menos esfuerzo manual.

"Su relevancia para nosotros reside en su escala, velocidad y persistencia", dijo CERT-EU en una alerta publicada en su web. "ARTEX puede probar una gran cantidad de configuraciones erróneas de baja complejidad, incluidas aquellas que un evaluador humano notaría pero no tendría tiempo de revisar, y puede trabajar a través de largas cadenas de ataque sin la fatiga que limita las pruebas manuales".

"Lo mismo ocurre con la creación de payloads complejos. Las rutas de explotación que necesitan payloads cuidadosamente diseñados a menudo requieren más esfuerzo de lo que la gravedad del hallazgo justifica, por lo que una evaluación manual podría dejarlas sin probar".

Herramientas como AntiFox y ARTEX forman parte de un conjunto más amplio de unos 45 frameworks de ataque agenticos de código abierto diseñados para conectarse a un LLM y actuar sobre los resultados de forma autónoma. Se dividen en cinco categorías generales:

* Cadena de eliminación de red capaz de reconocimiento, explotación y post-explotación de extremo a extremo: PentAGI, RedAmon y DarkMoon.
* Aplicaciones web y API: Strix, Shannon y PentestGPT.
* Integrados en C2: Sage, echidna, Pojun y FORANG.
* Harnesses: RAPTOR, CyberStrike, cyber-harness, Nebula y Cybermes.
* Prototipos de investigación: Incalmo, hackingBuddyGPT, VulnBot, HackSynth, AutoPT y Ares.

"Cada framework tiene código fuente público y conecta un modelo en un bucle que ejecuta herramientas y actúa sobre su salida", dijo GitGuardian en su blog.

"Las herramientas de pentesting de IA agentica le entregan a su agente una shell y acceso web, para que el modelo pueda ensamblar un pipeline en tiempo de ejecución. Una búsqueda en GitHub, la descarga de un escáner y una clave encontrada pasada a la siguiente llamada están a solo un prompt de distancia, aunque nada de eso se envíe en el repositorio".

Fuente:
THN