Autonoma AI-agenter används i större utsträckning för att kartlägga IT-miljöer, hitta sårbarheter och genomföra intrång. ARTEX har exempelvis kopplats till angrepp mot sydkoreanska banker, vilket bland annat CrowdStrike rapporterade om i oktober.

Utvecklingen är intressant för oss som arbetar med angrepp och försvar. Samtidigt har en distribuerad kopia av ARTEX visat sig innehålla en bakdörr som utsatte verktygets egen operatör.

Begreppet agentic hacking platforms beskriver plattformar där AI-agenter planerar och genomför säkerhetstester med hjälp av externa verktyg. Operatören anger ett mål och agenten anpassar arbetet utifrån resultaten.

Några projekt att hålla koll på som används av antagonister:

• Strix: applikationssäkerhet med verifiering av fynd och CI/CD-integration.
• Cairn: agenter som delar en graf över fakta och planerade undersökningar.
• PentAGI: specialiserade agenter för planering, pentest och rapportering.
• AIClient2API: gateway för åtkomst till olika språkmodeller.
• CyberStrikeAI: agentstyrning, säkerhetsverktyg och MCP-integration.
• AI-Infra-Guard: granskning av agenter, skills, MCP-servrar och AI-infrastruktur.
• ARTEX: offensiv plattform vars originalrepo enligt GTIG och Mandiant togs ned efter missbruk.

Hunt.io analys av ARTEX-infrastrukturen visar modellrouting, proxyhantering och 19 anpassade skills, dvs återanvändbara instruktioner. Där förekom Claude Code men även andra modeller såsom DeepSeek. Agentmiljön och språkmodellen behöver alltså hållas isär.

CrowdStrike beskrev även en ARTEX-kampanj med över 200 riktade organisationer och bekräftad aktivitet efter intrång hos nio olika organisationer. Loggarna visade mänsklig styrning vid viktiga beslut. Autonomin hade därför begränsningar.

Microsoft rapporterade samtidigt om ARTEX och inloggningsförsök i över 2 250 Microsoft 365-miljöer med komprometterade applikationsidentiteter.

Den ironiska delen är att en ARTEX-kopia i sig innehöll en bakdörr. Enligt BadBytes analys hämtade en tredjepartsdistribution Docker-avbilden tomicdd/artex, där bakdörren möjliggjorde kommandokörning utan autentisering som root inne i containern. Den som bara granskade GitHub-källkoden kunde därför ha missat bakdörren.

För oss som arbetar med säkerhet blir kontrollen över verktygen central. PentAGI dokumentation säger exempelvis att plattformen inte själv begränsar vilka mål som kan angripas.

Jag tror att vi kommer att se fler agenter i både penetrationstester och cyberangrepp. Det kan också vara så att agentdrivna attacker ligger bakom cyberangreppen mot frysar och kylsystem i Sverige och Europa, därför tror jag:

Vi behöver bli bättre på att upptäcka, försvåra och förhindra agentdrivna cyberattacker.