Hackers patrocinados pelo governo da China estão usando o ARTEX, uma ferramenta de teste de invasão baseada em inteligência artificial, para atacar alvos de alto valor ao mesmo tempo. Segundo a CrowdStrike, o grupo é conhecido como Vapor Panda, também chamado de VexatiousTemper, e é ligado a um cluster de ameaças que a Trend Micro chama de Earth Estries. A atividade começou em 17 de outubro de 2026 e já atingiu mais de 200 organizações no mundo.

Os alvos incluem ministérios das relações exteriores de países da América Latina, Europa, Ásia e Oriente Médio, empresas dos setores de semicondutores, defesa e centros de estudo nos EUA, e operadoras de telecomunicações em várias regiões. Em nove organizações, os invasores já conseguiram manter acesso e instalar o BLOODALCHEMY, uma variação do ShadowPad. Em pelo menos outras 12 organizações houve tentativas de adivinhar ou testar senhas.

O funcionamento lembra uma equipe de agentes: agentes de IA planejadores e executores se coordenam para sair do primeiro acesso, mapear computadores e se mover pela rede. A ferramenta usa o DeepSeek e um modelo de linguagem comercial por assinatura ainda não identificado. Um operador humano supervisiona e orienta os agentes, por exemplo para criar webshells e extrair senhas de administrador. Só em uma invasão, os agentes de planejamento consumiram cerca de 1,4 bilhão de tokens, o que mostra a escala da operação.

A CrowdStrike também descreve técnicas conhecidas combinadas com a IA, como abuso de assinaturas SAML sem assinatura e de falhas XXE para obter privilégios na nuvem, uso de chaves de autenticação não trocadas desde 2022 para forjar tokens de administrador, e reaproveitamento de configurações de VPN vazadas em um e-mail de maio de 2024. A pesquisa também cita um grupo chamado Titan Panda, que explorou uma chave de máquina fixa no Intapp Time Server para atacar escritórios de advocacia, e o Overcast Panda, que instala o backdoor FlowCloud por acesso físico a dispositivos de viajantes na China.

Por que isso importa: a IA permite que uma equipe pequena alcance muito mais alvos ao mesmo tempo. Quem trabalha com governo, defesa, telecomunicações e advocacia está entre os mais expostos. Como a fonte não traz orientações específicas de proteção, a recomendação geral é seguir as instruções oficiais dos fabricantes, trocar credenciais periodicamente, revisar chaves e configurações antigas e manter os sistemas atualizados.