Censys hat 1.465 offen erreichbare Artex-Konsolen gezählt. Die meisten dürften zu autorisierten Tests gehören, ein Teil der Server trägt aber Werkzeug für echte Angriffe.
Artex AI hacking tools: 1.465 offene Konsolen im Netz
Censys hat am 5. November einen Bericht veröffentlicht, der sich in einer Zahl zusammenfassen lässt: 1.465 Hosts im Internet liefen mit Artex, einem offenen Framework für automatisierte Penetrationstests. Wer nach Artex AI hacking tools sucht, landet genau bei diesem Projekt. Der Bericht ist keine Warnung vor einem einzelnen Produkt, sondern eine Bestandsaufnahme eines Feldes, in dem hunderte Teams dieselbe Software aufsetzen und die wenigsten davon die Konsole hinter eine Anmeldung legen.
Die Zahl allein sagt wenig. Sie sagt nicht, ob dort Kriminelle arbeiten oder Sicherheitsfirmen. Wie viele dieser Installationen zu Firmen gehören, die für Kunden testen? Censys kann das nicht beantworten, und der Bericht behauptet es auch nicht. Censys schreibt selbst, dass die öffentliche Erreichbarkeit keinen Angriff belegt, weil autorisierte Tester dasselbe Werkzeug benutzen.
Was das offensive AI framework ist
Artex ist seit dem 26. Juli 2026 verfügbar. Es besteht aus einem Backend in Go, einer Konsole in Next.js und einer PostgreSQL-Datenbank. Über die Plattform ScopeSentry lassen sich Domains, IP-Adressen, Ports und Endpunkte importieren, die dann als Ausgangspunkt für Tests dienen.
Der Aufbau ist der eines offensive AI framework, also eines Werkzeugkastens für Angriffe, nicht für Verteidigung. Ein Bediener legt Ziel, Reichweite und Auftrag fest. Ein Planer-Agent zerlegt den Auftrag in Aufgaben, und Arbeiter-Agenten führen Werkzeuge wie nmap aus und schreiben die Ergebnisse zurück. Das Framework führt dabei zwei Karten: eine für die gefundenen Assets, eine für den Weg, den der Test genommen hat.
Bemerkenswert ist die Offenheit bei den Modellen. Artex spricht Anthropic, OpenAI und kompatible Endpunkte an. Wer den Anbieter wechseln will, baut den Ablauf nicht neu. Wer das Framework für einen Kundentest aufsetzt, bekommt damit einen Ablauf, der sich wiederholen lässt, und genau darin liegt der Unterschied zu einem einmaligen Skript, das nach dem Projekt in einem Ordner verrottet.
Die Zahlen hinter der Artex-Zählung: 815 Installationen, 155 auffällige Hosts
Von den 1.465 Adressen teilten rund 650 eine wiederkehrende Konfiguration, verteilt auf zwei Hosting-Anbieter. Das deutet auf geklonte Systeme oder einen Betreiber mit vielen Adressen hin. Zieht man diese Cluster ab, bleiben nach der Schätzung von Censys etwa 815 eigenständige Installationen, die TechCrunch auf mehr als 800 rundet.
Bei 155 Hosts, also 10,6 Prozent der Gesamtzahl, fand Censys zusätzliche Bedrohungssignale. 32 offene Verzeichnisse gaben Werkzeuge, Implantate und Dateien von Betreibern preis. In einem Fall lag das Home-Verzeichnis eines Bedieners offen, samt SSH-Material und Shell-Verlauf. Die Zahl 815 bleibt dabei eine Schätzung, weil sich nicht prüfen lässt, ob hinter zwei ähnlichen Adressen derselbe Betreiber steckt oder zwei Firmen mit derselben Standardkonfiguration arbeiten.
Das ist der eigentliche Befund. Das Problem ist weniger die Zahl der Konsolen als die Zahl der offenen Verzeichnisse daneben.
Wie ein Lauf mit Artex abläuft
Ein Test beginnt mit einem Ziel und einem Auftrag. Der Planer-Agent macht daraus eine Liste von Schritten, die Arbeiter-Agenten abarbeiten. Sie scannen Ports, prüfen Dienste, sammeln Endpunkte und tragen jeden Fund in die Asset-Karte ein. Am Ende steht eine Karte der gefundenen Systeme, eine Liste der abgearbeiteten Schritte und Material, das ein Mensch vor dem nächsten Schritt prüfen kann, wenn er es denn tut.
Der Mensch sitzt dabei nicht an jedem Schritt. Genau das macht das Framework für Auftragstests interessant und für Angreifer nützlich. Microsoft beschreibt Artex als System aus KI-Agenten, das Angriffe von der Aufklärung bis zum Abfluss von Daten mit wenig menschlicher Beteiligung fahren kann.
Auf den Hosts fanden die Analysten Nachbarschaft. Auf 70 Servern lief zusätzlich CyberStrikeAI, dazu tauchten PentAGI, HexStrike AI und RedRamon auf. Andere Maschinen trugen Vshell, Cobalt Strike, Adaptix C2, FRP und Gophish. Das sind Werkzeuge, die in autorisierten Tests vorkommen und in Angriffen ebenso.
Wo Artex aufgetaucht ist: Südkorea und ConnectWise
CrowdStrike hat eine Artex-Instanz mit Angriffen auf südkoreanische Finanzinstitute im September in Verbindung gebracht. Das offene Verzeichnis dieses Servers war laut Censys seit dem 18. August sichtbar, also sieben Wochen bevor der Bericht erschien.
Im Oktober schrieb Microsoft Angriffe auf Kundenmandanten von ConnectWise der Gruppe zu, die das Unternehmen Storm-0940 nennt. Die Angreifer nutzten Artex, um in die Microsoft-Cloud-Umgebungen der Kunden zu kommen.
Viele dieser Fälle brauchten keine neue Lücke. Sie liefen über schwache oder bekannte Passwörter und über Konten ohne zweite Faktor. Ein Framework, das solche Fehler findet, ist nur so gefährlich wie die Umgebung, auf die es trifft. Wer ein Analysewerkzeug kauft, aber die eigene Anmeldung ohne zweiten Faktor lässt, schützt die falsche Seite des Problems, und das gilt für ein Krankenhaus in Bayern genauso wie für eine Bank in Seoul.
Was Censys als Erkennungssignal nennt
Censys liefert keine Beweise für einen Einbruch, sondern Hinweise zum Suchen, und wer diese Hinweise ernst nimmt, sollte mit der eigenen Inventarliste beginnen statt mit dem Netz. Konsolen laufen demnach oft auf TCP 8787, 8790 und 443. Seitentitel beginnen mit Artex, dazu kommen Assets unter _next/static. Auffällig sind offene Verzeichnisse in der Nähe, Tunnel-Dienste und fremde LLM-Gateways.
Wer in einem deutschen Rechenzentrum ein Testsystem betreibt, sollte diese Liste einmal gegen die eigene Inventarliste halten. Wer nicht weiß, welche Konsolen im eigenen Adressbereich laufen, kann auch nicht sagen, ob eine davon gestern noch nicht da war, und genau diese Frage stellt sich nach jedem Vorfall zuerst. Es ist dieselbe Regel, die in jedem Sicherheitskatalog steht, vom BSI-Grundschutz bis zur ISO 27001: Testsysteme gehören nicht ungeschützt ins Internet. Bei einem Kundentest kommt die schriftliche Freigabe mit abgegrenztem Zielnetz dazu, und in der Praxis ist das der Punkt, an dem viele Setups scheitern.
Der Artex-Wechsel zu Closed Source löst das Problem nicht
Artex hat angekündigt, künftig geschlossen zu entwickeln. Neue Versionen gingen dann nur noch an zahlende Kunden. Der Schritt ist noch nicht vollzogen.
Er ändert außerdem wenig an der Lage. Dutzende Kopien des Codes liegen auf Plattformen, die Code teilen, und die 815 Installationen verschwinden nicht, weil ein Projekt seine Lizenz ändert. Wer heute eine Liste erstellt, hat morgen eine andere.
Die Population bewegt sich ohnehin. Zwischen dem 3. und dem 5. November verschwanden zehn offene Verzeichnisse, fünfzehn neue kamen hinzu. Wer aus einer solchen Momentaufnahme eine Strategie ableiten will, arbeitet mit einem Bild, das beim Ausdrucken schon veraltet ist.
Für AI security ist das die unangenehme Nachricht: Die Werkzeuge werden kleiner, schneller und für jeden erreichbar, während die Betreiber derselben Werkzeuge ihre Konsolen offen lassen. Die exposed AI agent servers sind kein Randphänomen, sondern der Normalfall eines Feldes, das gerade erst lernt, seine eigenen Systeme abzusichern.
