El 5 y 6 de noviembre de 2026, las instituciones de investigación en seguridad Check Point Research y Censys Advanced Research Collective divulgaron simultáneamente una gran cantidad de consolas de control del marco de pruebas de penetración autónomo ARTEX accesibles públicamente. TechCrunch autorizó la publicación de metadatos relacionados con el informe. Los dos organismos utilizaron diferentes períodos de medición, unidades estadísticas y métodos de deduplicación, por lo que los números obtenidos no pueden combinarse en un total global.

Ambas instituciones divulgaron numerosas consolas ARTEX públicas

ARTEX fue originalmente desarrollado para evaluaciones de seguridad autorizadas, constituyendo un marco de prueba de penetración autónomo basado en modelos de lenguaje grande y de código abierto. Censys explicó que su agente planificador descompone los objetivos de prueba en intenciones de ataque, el agente de trabajo invoca herramientas de seguridad para ejecutar tareas, el ciclo de eventos explora, toma decisiones y registra resultados continuamente, mientras que los activos y el progreso de las pruebas se almacenan respectivamente en estructuras gráficas. El proyecto fue lanzado el 26 de julio, y sus desarrolladores anunciaron la transición a código cerrado el 8 de octubre tras reportes de uso malicioso; aunque el repositorio original ha sido eliminado, versiones archivadas, traducidas y ramas renombradas siguen circulando.

Check Point Research indicó que su medición reveló 2.557 sistemas que anteriormente o actualmente albergaban paneles ARTEX, de los cuales 1.608 seguían en línea y accesibles desde Internet público en el momento de la investigación. El equipo también identificó 10 instancias con configuraciones erróneas donde se exponía completamente la base de datos ARTEX, permitiendo a los investigadores visualizar los modelos seleccionados por operadores, las tareas asignadas, los prompts y los registros de ejecución de agentes. Estos números representan las observaciones del organismo en un momento específico y bajo ciertos métodos, no el total global de implementaciones.

Marco originalmente diseñado para pruebas de autorización ahora es abusado

Censys registró hasta el 4 de noviembre un total de 1,465 hosts expuestos con consolas ARTEX, de los cuales aproximadamente 650 se encuentran concentrados en dos segmentos de red alojados con configuraciones casi idénticas. La institución considera que este tipo de implementación concentrada es más coherente con una plantilla única, y no debe interpretarse directamente como la acción de cientos de operadores diferentes; tras excluir estos dos segmentos, quedan aproximadamente 815 implementaciones con apariencias distintas. Censys mide y procesa los alojamientos concentrados por host, mientras que Check Point cuenta simultáneamente los sistemas que han albergado anteriormente y actualmente los paneles, por lo que ambos conjuntos de resultados no son directamente sumables.

De los 1,465 hosts registrados por Censys, 155 coincidieron al menos con un tipo de detección de amenazas adicional, incluyendo otros marcos de ataque de IA, plataformas de reconocimiento, herramientas de túnel y software de control de comandos. Los investigadores también observaron 32 hosts ARTEX con directorios abiertos, cuyo contenido incluye herramientas de post-explotación, cargadores, implants, historial de comandos o materiales SSH; entre el 3 y el 5 de noviembre, ya se cerraron 10 de estos directorios, mientras que otros 15 aparecieron. La coexistencia y exposición constituyen señales observables, pero no permiten afirmar que todos los hosts estén operados por criminales o hayan sido comprometidos.

Check Point observó 2,557 sistemas y 10 bases de datos expuestas

El análisis de las 10 bases de datos expuestas realizado por Check Point indica que algunos operadores solo establecieron objetivos iniciales y luego se centraron principalmente en monitorear el progreso, mientras que los agentes completaban automáticamente los pasos de reconocimiento, descubrimiento de vulnerabilidades y explotación. Una operación dirigida a servicios de criptomonedas configuró 292 objetivos, generando 230 descubrimientos y 400.791 mensajes de agentes, sin nuevas indicaciones del operador después del establecimiento inicial de objetivos. Esta operación procesó 167.5 millones de tokens, encontró rutas de ejecución remota de código y bases de datos expuestas, pero el saldo registrado en las billeteras de los operadores era cero, y algunos agentes incluso malinterpretaron los resultados exitosos de las API como si los fondos ya hubieran sido transferidos.

Check Point también registró un caso de cadena de suministro: los agentes, al rastrear la infraestructura relacionada con billeteras específicas de criptomonedas, descubrieron una API no autenticada que exponía credenciales de AWS S3, obteniendo permisos de escritura en cubos de almacenamiento que contenían aplicaciones iOS y páginas de destino. Posteriormente modificaron su contenido y validaron las rutas de ataque. Los investigadores indicaron que los archivos originales fueron posteriormente restaurados, sin evidencia de que los operadores hayan obtenido beneficios de ello. La fuente no especificó la cantidad de usuarios afectados ni el tratamiento completo posterior, por lo tanto no se puede considerar que esta operación haya causado pérdidas económicas, control a largo plazo o éxito en la obtención de beneficios.

Diferencias entre el recuento de hosts y la deduplicación de Censys

Las diferencias numéricas entre los dos estudios también aparecen entre el resumen y el texto detallado de Check Point: el resumen menciona más de 1.800 instancias expuestas públicamente, mientras que el análisis detallado enumera 1.608 instancias públicas en línea y 2.557 sistemas históricos o actuales. Censys midió 1.465 hosts el 4 de noviembre y separó dos bloques de alojamiento con configuraciones idénticas de su estimación de implementaciones de apariencia distinta. Las fechas, las unidades de hosts e instancias, el alcance histórico y el tratamiento del alojamiento duplicado difieren, por lo que los materiales disponibles no permiten decidir qué cifra representa toda la infraestructura ARTEX.

Las mediciones públicas aún no permiten conocer el número exacto de implementaciones de ARTEX en el mundo ni confirmar la identidad y la intención de cada operador. Censys especifica que algunas consolas de acceso público pueden ser operadas por personal autorizado para realizar pruebas; la conclusión de Check Point sobre la escasa intervención humana procede del análisis de 10 bases de datos expuestas y no puede extrapolarse a todas las instancias. Las ubicaciones de alojamiento de servidores que enumera Check Point tampoco equivalen a la ubicación de las víctimas. TechCrunch solo aportó el título, el resumen breve, la hora y el enlace de su fuente pública; el cuerpo del artículo no fue obtenido ni utilizado en este proceso.