ARTEX: framework de IA agêntica entra no arsenal de ataques

A Sophos X-Ops publicou em 10 de novembro de 2026 uma análise sobre o ARTEX, um framework de código aberto para testes de intrusão construído sobre agentes de IA. O ponto central do texto não é a ferramenta em si, mas o fato de ela ter saído do uso legítimo em times de segurança ofensiva e aparecido em intrusões reais desde o seu lançamento público, em julho de 2026.

A publicação soma a telemetria própria da Sophos ao que Microsoft, Google/Mandiant, CrowdStrike e Okta já haviam relatado nas semanas anteriores. O retrato que emerge é menos espetacular do que o rótulo “IA agêntica” costuma sugerir: as técnicas continuam as mesmas de sempre — abuso de credenciais, webshells, movimentação lateral — mas executadas em escala, velocidade e volume muito maiores, com um nível de ruído que muda a forma como esses ataques aparecem nos registros.

Para quem administra ambientes corporativos, a notícia prática é que já existem assinaturas, regras de detecção e indicadores de caça publicados para esse tipo de atividade, e que a janela de investigação recomendada começa em setembro de 2026.

O que é o ARTEX

Segundo a descrição da Microsoft, o ARTEX é um sistema multiagente baseado em modelos de linguagem, escrito em Go e com interface em Next.js. Ele não depende de um provedor específico de modelo: as campanhas observadas pela Sophos o conectaram a DeepSeek, GLM e Grok. A interface e a saída usam inglês por padrão, com opção de coreano, mandarim, espanhol e japonês.

A arquitetura divide o trabalho em duas camadas. Agentes de planejamento mapeiam o alvo e decidem o próximo passo; agentes executores rodam as ferramentas ofensivas e devolvem o resultado. As descobertas — ativos, serviços, falhas — vão para um grafo que o sistema consulta para perseguir vários caminhos de invasão ao mesmo tempo, do reconhecimento à exfiltração, com pouca intervenção humana.

É exatamente essa autonomia que explica o padrão de ruído. Em vez de um operador testando uma hipótese por vez, há dezenas de tentativas simultâneas, repetição de variações do mesmo comando e marcadores estruturados de saída — tudo registrado nos logs.

Da ferramenta pública à operação ofensiva

O marco público foi o relatório da Microsoft de 21 de outubro de 2026, que atribui ao Storm-0940 — grupo que a empresa avalia como alinhado ao Estado chinês e ativo desde 2021 — o comprometimento de uma aplicação multi-tenant da ConnectWise. A Microsoft afirma que o ARTEX foi usado pelo grupo já em setembro de 2026 e que o episódio não decorreu de falha ou comprometimento de sistemas ou produtos da própria Microsoft.

Vale separar o que é atribuição de quem. A ligação do Storm-0940 com a China é uma avaliação da Microsoft, formulada com a linguagem de confiança típica desse tipo de análise, não uma constatação definitiva. A Sophos reproduz essa atribuição e não a verifica de forma independente. A Okta, por sua vez, afirma não conseguir confirmar que toda a atividade observada tenha usado especificamente o ARTEX, e considera o Storm-0940 apenas um entre vários operadores de um fork ou derivado do projeto.

O Plugged Ninja já havia tratado do lado ConnectWise desse caso em outubro, quando a Sophos X-Ops descreveu a varredura de tokens entre tenants do Microsoft 365, e do uso de IA agêntica em pós-comprometimento no caso UAT-10147, documentado pela Cisco Talos. O ARTEX é a peça que faltava para entender como essas operações ganharam escala.

Os números das campanhas

Dois recortes merecem atenção. O primeiro: a Microsoft afirma não ter observado autenticação bem-sucedida na campanha de pulverização de senhas de outubro, e descreve a maior parte do direcionamento como malsucedida. O segundo: o dano relevante não veio da força bruta, e sim do material de autenticação roubado da cadeia de fornecimento, usado para pedir tokens somente-aplicação ao Microsoft Graph sem qualquer login interativo.

O que a Okta observou no lado da identidade

O relatório da Okta, de 6 de novembro, é o mais detalhado sobre o comportamento dos agentes contra fluxos de autorização. Os pedidos fraudulentos de OAuth usavam valores válidos de client_id e redirect_uri, provavelmente coletados de páginas públicas de login. A partir daí, os agentes testavam sistematicamente a validação de domínio de redirecionamento, a aplicação de escopos, PKCE, cabeçalhos DPoP e a verificação de assinatura de JWT.

A Okta é explícita em um ponto que convém repetir: não houve exploração inédita. Os agentes exploram configurações incorretas conhecidas e comuns, só que em alta velocidade e escala, ajustando o padrão de ataque conforme o resultado do reconhecimento. Três endereços IP (144.172.64.60, 144.172.64.99 e 144.172.64.128) aparecem tanto nos dados da Okta quanto nos da ConnectWise e da Microsoft.

Telemetria, detecções e sinais de caça

A Sophos relata atividade compatível com ARTEX — ou com outro ferramental ofensivo assistido por IA — em um número pequeno de clientes, com centenas de eventos de proteção registrados. Os comportamentos recorrentes são execução de comandos via webshell e via SQL Server, roubo de credenciais, movimentação lateral e sequências rápidas de comandos repetidos.

Do lado de produto, a empresa publicou detecções nomeadas (entre elas Troj/Bckdr-SDA, para uma imagem Docker do ARTEX com backdoor, além de Troj/Loader-TU, Linux/Agent-KD e a família ATK/Artex) e assinaturas de IPS de firewall e endpoint identificadas pelos IDs 2313257 a 2313266, cobrindo abuso de redirecionamento OAuth, desvio de SSO por JWT com alg: none, quebra de isolamento entre tenants e agentes de usuário suspeitos.

Para caça em ambiente próprio, os sinais publicados incluem:

• Nuvem: credenciais adicionadas a service principals ou papéis atribuídos por uma aplicação; logins de aplicação com agentes de usuário de script; taxas anormais de falha de autenticação.
• Hosts: arquivos temporários com o padrão i<intentID>[variante]_<finalidade>.<ext>; arquivos cujo nome começa por artx, sobretudo em C:\Windows\Temp; comandos contendo marcadores como MARKER123 ou ARTX123; rajadas de comandos repetidos com saída gravada em arquivos temporários.
• Janela de busca: a Sophos sugere retroceder a investigação a pelo menos setembro de 2026.

Impactos, possibilidades e limitações

O efeito prático mais claro é de produtividade do atacante, não de capacidade. Um operador que antes conduzia uma intrusão por vez passa a conduzir muitas, com persistência maior e sem cansaço — e, em consequência, com menos cuidado operacional. Isso tem um lado favorável à defesa: o ruído gerado por agentes autônomos é, ele próprio, um sinal detectável, e foi justamente o que permitiu as assinaturas de agente de usuário e os marcadores de saída descritos acima.

Há também um uso legítimo em jogo. Times internos de segurança ofensiva e fornecedores de teste de intrusão adotaram ferramentas agênticas pelos mesmos motivos — cobertura e velocidade. Isso cria um problema de ambiguidade nos registros que a Sophos aborda diretamente ao recomendar que o ferramental agêntico autorizado seja registrado junto ao SOC.

As limitações do material são relevantes e a própria Sophos as declara. A avaliação de cobertura segue em andamento e a tabela de proteções será atualizada. As observações em clientes se restringem a um “número pequeno” de instâncias, sem números agregados além da contagem de eventos. A atribuição depende essencialmente do relatório da Microsoft. E o projeto original do ARTEX foi retirado do ar pelo próprio desenvolvedor — o que significa que cópias em espelhos não oficiais ou clones devem ser tratadas como não confiáveis, inclusive pelos times que quiserem estudá-lo.

Recomendações

• Auditar service principals e aplicações corporativas no Entra ID; remover consentimentos de terceiros sem uso e revisar adições de credenciais e atribuições de papéis desde setembro de 2026.
• Aplicar Acesso Condicional a identidades de carga de trabalho, onde o licenciamento permitir.
• Alertar sobre agentes de usuário de script e sobre taxas anormais de falha de autenticação.
• Automatizar a primeira resposta — por exemplo, desabilitar um service principal — com confirmação do analista em seguida.
• Revisar as configurações que os agentes testam de forma sistemática: validação de domínio de redirecionamento, aplicação de escopos, PKCE, DPoP e verificação de assinatura de JWT.
• Desabilitar fluxos legados de credencial direta (ROPC) sempre que possível e bloquear credenciais já vazadas, conforme orienta a Okta.
• Registrar junto ao SOC qualquer ferramental agêntico autorizado de red team, para que a atividade legítima não se confunda com a hostil.
• Consultar os avisos oficiais citados abaixo antes de aplicar indicadores: a Okta recomenda usá-los como contexto de investigação, não como prova de comprometimento.

Conclusão

O ARTEX importa menos como novidade técnica e mais como evidência de uma mudança de regime operacional. As técnicas são antigas; o que mudou foi quanta coisa um único operador consegue tentar por hora. A defesa continua sendo governança de identidade — permissões mínimas em aplicações multi-tenant, rotação de credenciais, monitoramento de mudanças de consentimento e de papéis — só que com menos tolerância a atraso.

O que observar a seguir: se as derivações e forks do projeto continuarão circulando após a retirada do original, se outros grupos além do Storm-0940 serão formalmente associados ao framework, e se as assinaturas baseadas em marcadores de saída e agentes de usuário sobreviverão à primeira tentativa séria dos operadores de reduzir o próprio ruído.

Fontes e referências

• Sophos X-Ops — “ARTEX: Attackers apply agentic AI” — sophos.com
• Microsoft Security Blog / Microsoft Threat Intelligence — “AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise” — microsoft.com
• Okta Threat Intelligence — “Agentic attack tools accelerate reconnaissance of identity flows” — okta.com
• Plugged Ninja — “Credencial do ConnectWise Cloud Backup expõe tenants do Microsoft 365” — plugged.ninja