Frameworks ofensivos baseados em agentes já aparecem em intrusões reais, aponta Google

O GTIG e a Mandiant dizem que, desde o fim de agosto de 2026, viram invasores operando frameworks multiagente de pentest de código aberto, como ARTEX, PentAGI e CAIRN, em casos de resposta a incidentes. O ARTEX é escrito em Go, tem console web em Next.js e divide o ciclo de ataque em seis sub-agentes. Ele usa APIs de modelos de fronteira e abertos para transformar objetivos de alto nível em comandos. O repositório original foi retirado pelo autor em outubro de 2026 por causa do abuso, mas forks seguem circulando, incluindo ScopeWeaver e uma versão comercial chamada ARTEX PRO.

Em vários casos, os invasores entregaram credenciais comprometidas ao framework e mandaram ele executar as etapas seguintes. Num dos incidentes, o ARTEX usou uma API SQL exposta para ajustar o MySQL (general_log_file e general_log) e gravar logs com extensão .jsp em local público, tentando criar webshells JSP. Houve várias iterações com nomes incrementais, até um webshell rodar sem erro. Em outro, o agente contornou um erro de "script too large" cortando o script e subindo uma instância com 17 snapshots em cerca de 10 segundos.

O GTIG também ressalta o lado fraco: o ARTEX é muito ruidoso. Um acesso a um servidor web Linux gerou 240 eventos de log, com erros que podem vir de sub-agentes sobrescrevendo uns aos outros. A UNC7228 (sobreposta ao que a Microsoft chama de STORM-0940, segundo a Wiz) costuma ir da primeira conta a acesso profundo em cerca de quatro horas, e em um caso levou 15 minutos. O GTIG avalia que o uso ainda está em estágio inicial, com ferramentas abertas usadas de forma pouco sofisticada.

Em 10 de setembro de 2026, o CEVIU noticiou "Ameaças de IA Evoluem: Atores Maliciosos Adotam Autonomia e Agentes Sofisticados", sobre a transição de prompts simples para fluxos agentic. Em 22 de outubro de 2026, a cobertura sobre o grupo ligado à China que usa o ARTEX contra centenas de empresas e a cadeia de suprimentos da ConnectWise já mostrava o framework em campanha. Em 28 de outubro de 2026, o CEVIU publicou "Barulhentos, rápidos e onipresentes: como é um ataque real à nuvem conduzido por IA, segundo a Wiz". Agora o GTIG e a Mandiant somam observações próprias de resposta a incidentes: detalhes técnicos (rajadas de 2 a 25 segundos, envenenamento de logs do MySQL), atores além da UNC7228 e recomendações defensivas da Mandiant. Em 1 de novembro de 2026, o CEVIU já havia publicado a primeira cobertura deste mesmo relatório.

Para quem opera defesa, a leitura é que a mecânica do ataque continua a mesma (credencial roubada, sistema sem correção), mas o tempo de reação encolhe. Isso favorece credenciais de curta duração, escopo mínimo e detecção comportamental ajustada a rajadas em velocidade de máquina. O ruído forense do ARTEX é uma brecha para detecção hoje, mas a própria fonte espera mais discrição conforme os frameworks amadurecerem.