Invasores já usam ARTEX, Hexstrike e outros frameworks com agentes de IA para automatizar intrusões, diz GTIG

O GTIG descreve invasões em que agentes baseados em LLM conduziram partes relevantes do ciclo de ataque: movimentação lateral, exploração de bancos de dados e preparação de exfiltração. O ARTEX é uma plataforma multiagente de pentesting e C2 ofensivo, escrita em Go, com console web em Next.js e seis subagentes especializados. Ele usa APIs de modelos de fronteira e open source para transformar objetivos táticos em comandos. O repositório original foi retirado pelo autor em outubro de 2026, por causa do abuso, mas forks seguem circulando, incluindo ScopeWeaver e uma versão comercial chamada ARTEX PRO.

Os casos mostram a assinatura técnica dessas ferramentas. Em rajadas de 2 a 25 segundos, uma operação gerou 27 eventos em 23 segundos sondando permissões na AWS. Em outro caso, o ARTEX usou uma API SQL exposta para manipular o general_log do MySQL e gravar webshells JSP, errando e refazendo até funcionar. Isso gerou 240 eventos de log, ou seja, é muito mais barulhento que um operador humano competente. O GTIG também viu o PentAGI, que roda ferramentas do Kali em sandbox. A maior parte da atividade ficou em mapeamento e varredura, mas algumas operações chegaram a intrusão e persistência.

Para quem opera defesa, a leitura é que o básico continua valendo, só que com menos tempo de reação. O GTIG diz que a mecânica é a mesma (credenciais comprometidas e sistemas sem patch). Num caso ligado ao UNC7228, o ator foi da primeira conta comprometida a acesso profundo em cerca de quatro horas, e uma vez em 15 minutos. Credenciais de curta duração, menor privilégio, segmentação e detecção comportamental passam a ser questão de tempo de detecção. O ruído em logs, como rajadas e tentativas repetidas, pode ser um bom sinal para alertas.