KI-Agent ARTEX: Spionage gegen über 200 Organisationen in elf Tagen

Vor einem Monat war ARTEX noch das Werkzeug eines mutmaßlichen Einzeltäters gegen südkoreanische Banken. Jetzt zeigt der Sicherheitsanbieter CrowdStrike, was daraus geworden ist: Laut Bericht vom 29. Oktober 2026 setzte die China zugeordnete Gruppe Vapor Panda das Agenten-Framework seit dem 17. Oktober gegen mehr als 200 Organisationen in mindestens 14 Ländern ein. Ein Mensch steuert dabei, die Agenten arbeiten mehrere Einbrüche gleichzeitig ab. Für Unternehmen ist vor allem interessant, wie sie hineinkamen: selten mit etwas Neuem, oft über alte Versäumnisse.

Was CrowdStrike beobachtet hat

Die Angaben stammen aus den Daten von CrowdStrike und aus Protokollen, die auf einem zeitweise offen erreichbaren Steuerserver der Angreifer lagen:

• Ziele: Außenministerien in Lateinamerika, Europa, Asien und Nahost, außerdem 19 US-Organisationen aus Pharma, Halbleitern, Verteidigung, Nuklearbranche und Finanzen sowie Telekommunikationsanbieter in den USA, Belgien und auf den Philippinen.
• Modelle: Vorwiegend DeepSeekDeepSeekChinesischer Anbieter kostengünstiger, teils offener Modelle.Im Glossar ansehen →, dazu ein zweites kommerzielles Abo-Modell, das CrowdStrike nicht bestimmen konnte.
• Verbrauch: In einem einzigen Einbruch verarbeiteten die Planungsagenten rund 1,4 Milliarden Eingabe-Token.
• Tempo: Laut CyberScoop kamen Anfragen teils alle 10 Sekunden. CrowdStrike-Manager Adam Meyers vergleicht das so: Menschliche Angreifer schaffen typischerweise bis zu 40 Befehle pro Stunde, mit ARTEX seien es über 1.500.

Bei der Trefferzahl gehen die Angaben auseinander. Im Bericht bestätigt CrowdStrike Folgeaktivitäten bei neun Organisationen, bei mindestens zwölf weiteren gab es Passwort-Angriffe. CyberScoop nennt dagegen rund 140 kompromittierte Ziele, also etwa 70 Prozent. Diese Zahl enthält laut CrowdStrike auch Fälle, in denen ein Einbruch nur mit mittlerer Sicherheit angenommen wird. Sicher belegt ist also die kleinere Zahl. Zu beachten ist außerdem: Die Daten stammen von einem Anbieter, der selbst Schutzsoftware verkauft.

„This is the first time that we're seeing an agentic adversary nation-state threat actor at this scale“

So ordnet Meyers den Fall gegenüber CyberScoop ein. Die Kampagne lief demnach Ende Oktober weiter und ist laut CrowdStrike unabhängig von den ARTEX-Angriffen, die Microsoft der Gruppe Storm-0940 zuschreibt. Das Werkzeug verbreitet sich also. CrowdStrike zählte im September rund 45 Angriffe mit KI-Agenten, im Oktober bereits 126.

Der Weg hinein war meist bekannt

Die eigentliche Lehre steckt in den Einzelfällen, die CrowdStrike aus den Protokollen rekonstruiert hat:

• Bei einer griechischen Behörde reichte ein Verzeichnis-Export aus dem Jahr 2022. Die darin enthaltenen Schlüssel waren wohl nie getauscht worden. Der Agent fälschte damit ein Administrator-Token und las Postfächer.
• Bei einem US-Pharmaunternehmen verband der Agent eine unsignierte SAML-Anmeldung mit einer XXE-Lücke, fragte den Metadatendienst der Cloud ab und erhielt eine Rolle mit Befehlsrechten auf Tausenden Instanzen.
• Bei einem zweiten Pharmaunternehmen erreichte er über einen Orchestrierungsdienst ohne Anmeldung Root-Rechte in einer Produktionsumgebung.

Meyers sagt selbst, die Angriffe zeigten nichts grundlegend Neues, nur Tempo und Umfang seien ungewohnt. Das deckt sich mit dem Beitrag über KI-Erpresser und schwache Passwörter: Kleine Altlasten, die früher zu aufwendig auszunutzen waren, lohnen sich für Angreifer jetzt.

Auch Softwareanbieter sind betroffen

Dass es nicht nur um Ministerien geht, zeigt ein zweiter Fall. Der Entwicklerdienst WorkOS, der Anmeldefunktionen für mindestens 3.000 Unternehmen bereitstellt, entdeckte am 30. Oktober einen unbefugten Zugriff auf eine interne Vertriebsanwendung. Laut BleepingComputer vom 3. November flossen Geschäftskontakte sowie Zusammenfassungen und Auszüge aus Vertriebsgesprächen, Support-Fällen und Slack-Unterhaltungen mit Kunden ab. Produktivsysteme und App-Daten seien nach Angaben der Firma nicht betroffen.

WorkOS selbst spricht von einem KI-Framework für Angriffe, Gründer Michael Grinich nennt ARTEX und verweist auf entsprechende Kennungen in den Webanfragen. Eine Verbindung zu Vapor Panda ist nicht belegt, denn ARTEX ist inzwischen nicht mehr öffentlich, Kopien des Codes kursieren aber weiter. Für Kunden solcher Dienste heißt das: Ihre Gesprächsnotizen beim Anbieter sind Material für gut gemachtes Phishing. WorkOS warnt selbst davor.

Was das für Ihr Unternehmen heißt

• Alte Schlüssel tauschen: CrowdStrike rät, Signaturschlüssel, Vorabschlüssel und Dienstkonten nach jedem Verdacht auf Datenabfluss zu erneuern, auch solche aus alten Backups und Exporten. Sehen Sie nach, welche Schlüssel seit Jahren unverändert laufen.
• Anmeldung und Cloud härten: SAML-Signaturen zwingend prüfen, IMDSv2 vorschreiben und die Befehlsrechte von Cloud-Rollen auf die nötigen Instanzen begrenzen.
• Internes nicht als sicher behandeln: Dienste ohne Anmeldung und Vertriebswerkzeuge gehören in dieselbe Prüfung wie die Hauptanwendung. Bei WorkOS traf es genau so ein internes Werkzeug.
• Geräte im Netz aktuell halten: Laut CrowdStrike gilt das besonders für langlebige Linux-Server und Appliances, die aus dem Internet erreichbar sind.
• Dienstleister mitdenken: Fragen Sie nach, welche Ihrer Daten in CRM, Support und Slack Ihrer Anbieter liegen. Warnen Sie Ihr Team vor Mails, die sich auf echte Gespräche beziehen.
• Auf Geschwindigkeit einstellen: Wenn ein Angriff 1.500 Befehle pro Stunde abarbeitet, zählt jede Meldekette. Dazu passt die Warnung der britischen Cyberbehörde vor KI-Ransomware bis 2028.

Fazit

Die Zahlen gehen teils auseinander und stammen von einem Sicherheitsanbieter, die Richtung ist trotzdem klar: Ein Mensch kann mit Agenten viele Ziele zugleich bearbeiten, und die Einstiege sind meist alte Bekannte. Oder wie Meyers sagt: „It's not hopeless, but you've got to take action.“ Das Gute daran: Die wichtigsten Gegenmaßnahmen brauchen keine neue Technik. Wenn Sie wissen möchten, wo in Ihren Systemen solche Altlasten liegen, sprechen Sie mich gern an.