Des groupes de pirates informatiques liés à la Chine intensifient leurs opérations grâce à ARTEX, un cadre de test d'intrusion piloté par l'IA — une catégorie de logiciels normalement utilisée par les équipes de sécurité pour sonder leurs propres systèmes à la recherche de faiblesses exploitables. Selon CrowdStrike, le groupe suivi sous le nom de Vapor Panda utilise l'outil depuis le 17 octobre 2026 dans des attaques contre plus de 200 organisations dans le monde. L'essentiel du travail est réalisé par l'IA, tandis que les humains conservent la décision finale.

Des agents planificateurs et exécutants qui poursuivent plusieurs pistes simultanément

ARTEX repose sur un agent principal qui supervise des agents « planificateurs », qui conçoivent les attaques, et des agents « exécutants », qui les mènent à bien. Les agents partagent leurs découvertes tandis qu'ils analysent les systèmes, exploitent les vulnérabilités et se déplacent dans les réseaux. CrowdStrike a rapporté que Vapor Panda avait combiné DeepSeek avec un système d'IA commercial non identifié. Lors d'une seule attaque, les agents planificateurs ont consommé 1,4 milliard de tokens d'entrée — les unités de texte traitées par les modèles d'IA.

La campagne a touché au moins 14 pays, avec des ministères des Affaires étrangères et des opérateurs télécoms parmi les cibles. Aux États-Unis, les attaquants ont visé 19 organisations couvrant les secteurs pharmaceutique, des semi-conducteurs, de la défense, du nucléaire et de la finance.

L'ampleur ne garantissait pas le succès. CrowdStrike a confirmé une activité post-exploitation chez seulement neuf entreprises, dont le déploiement de la porte dérobée BLOODALCHEMY. Des opérateurs humains ont ensuite pris le relais, créant des web shells, extrayant des mots de passe et repérant des machines non protégées.

Un deuxième groupe passe à l'échelle, de ConnectWise à Microsoft 365

ARTEX a également été utilisé par Storm-0940, un autre groupe de pirates lié à la Chine. Selon Microsoft, le groupe a commencé à utiliser l'outil dès septembre 2026, a visé des centaines d'organisations et a obtenu un accès cloud privilégié en moins de trois heures dans plusieurs cas. Microsoft a également associé le groupe à la compromission de ConnectWise Cloud Backup.

Le volume d'activité était considérable : Microsoft a recensé plus de 151 000 connexions échouées entre le 10 et le 14 octobre contre 327 comptes répartis sur huit entreprises, avec un pic de 2 900 tentatives par minute. Aucune connexion réussie n'a été observée.

La compromission de ConnectWise constituait un volet distinct des activités du groupe. À la suite de cette intrusion, les attaquants ont également tenté de modifier des identifiants d'applications cloud, comme Cryptopolitan l'avait précédemment rapporté.

Un acteur motivé financièrement s'attaque aux banques sud-coréennes

Une troisième campagne ARTEX poursuivait un objectif différent. Fin septembre 2026, des attaquants ont utilisé l'outil contre des institutions financières sud-coréennes, selon Zscaler, et ont volé les informations personnelles d'environ 67 000 personnes. Zscaler a évalué, avec une confiance modérée, que l'attaquant était sinophone et motivé financièrement, sans confirmer de commanditaire étatique. CrowdStrike a également découvert des fichiers ARTEX et des journaux Claude Code sur des systèmes contrôlés par les attaquants.

Comment le piratage est devenu agentique

Le virage vers le piratage automatisé — porté par l'IA agentique, des systèmes capables de planifier et d'exécuter des tâches en plusieurs étapes avec une supervision humaine limitée — a commencé bien avant ARTEX. En 2025, Anthropic a révélé une campagne soutenue par l'État chinois qui utilisait Claude Code contre une trentaine de cibles, l'IA réalisant environ 80 à 90 % du travail. Google a également documenté la manière dont les attaquants dépassent les simples requêtes d'IA pour passer à des opérations autonomes. Ces activités antérieures étaient distinctes des campagnes ARTEX, mais elles illustrent la rapidité d'évolution du piratage assisté par l'IA.

Ce que cela pourrait signifier pour les banques, les fabricants de puces et les fournisseurs cloud

Les risques dépassent les organisations déjà touchées. Les banques font face à d'éventuelles fuites de données clients, les fabricants de puces pourraient perdre une propriété intellectuelle précieuse, et les fournisseurs cloud affrontent une préoccupation distincte : des identifiants d'applications compromis pouvant exposer plusieurs clients.

Les chiffres du secteur expliquent pourquoi la rapidité des attaques inquiète les entreprises. Verizon a constaté que les intrusions système représentaient 61 % des violations dans son rapport 2026, tandis que Microsoft a indiqué que les charges de travail cloud exposées subissaient des attaques en moyenne dans les 5,3 heures. Le Forum économique mondial a révélé que 65 % des grandes entreprises considèrent les vulnérabilités de tiers et de la chaîne d'approvisionnement comme leur principal défi en matière de cybersécurité, contre 54 % en 2025.

À mesure que les attaques deviennent plus rapides et plus automatisées, les entreprises pourraient réorienter leurs dépenses de sécurité vers un contrôle d'identité renforcé, une détection plus rapide et une surveillance accrue des fournisseurs.