Censys publicó el 5 de noviembre un recuento incómodo: 1.465 servidores con Artex, un framework de pruebas de penetración con agentes, visibles desde cualquier sitio. La mayoría probablemente sean pruebas legítimas. El problema es cómo están montadas.
Qué contó Censys sobre Artex AI hacking tools
El informe empieza con una cifra y sigue con una advertencia. Censys encontró 1.465 hosts accesibles desde internet ejecutando ARTEX, y avisa de que la exposición no demuestra actividad maliciosa: también lo usan equipos autorizados.
Ese matiz no es cortesía. Es la diferencia entre una noticia de incidente y una de higiene.
TechCrunch y Cybersecurity News cubrieron el informe al día siguiente y coincidieron en el marco: herramientas ofensivas mal configuradas, no una campaña coordinada.
Qué es Artex, el offensive AI framework
Artex salió el 26 de julio. Lleva backend en Go, consola en Next.js y base de datos PostgreSQL, y se conecta a ScopeSentry para importar dominios, direcciones, puertos y endpoints.
En uso, el operador fija objetivo, alcance y meta. Un agente planificador parte la meta en tareas. Los agentes trabajadores ejecutan herramientas como nmap y apuntan resultados. El framework guarda dos grafos: el de activos y el de exploración.
Admite Anthropic, OpenAI y endpoints compatibles. Cambiar de proveedor de modelo no obliga a rehacer el flujo.
El resultado es un framework que se instala como una aplicación web cualquiera, con su login, su panel y su base de datos, y que por dentro coordina modelos de lenguaje con herramientas clásicas de escaneo.
Con eso montado, cualquiera con una tarjeta y un servidor virtual barato puede tener un puñado de agentes apuntando a un dominio. Esa es la parte que explica el resto.
Los números que importan: 815 despliegues y 32 directorios abiertos
El total de 1.465 hosts engaña un poco. Unos 650 compartían configuraciones repetidas en dos proveedores de hosting, lo que sugiere clones o un solo operador con muchas direcciones. Al descontar esos grupos quedan unos 815 despliegues distintos.
De ahí salen los datos duros. 155 hosts, el 10,6%, mostraban detecciones adicionales de amenazas. 32 directorios abiertos exponían herramientas, implantes y archivos de operador.
Uno de esos directorios dejaba ver la carpeta personal de un operador, con material SSH y el historial de la shell. Eso no es un panel mal cerrado. Es la casa entera.
A qué ataques se ha vinculado Artex
Censys describe Artex como un framework de doble uso, no como una familia de malware. Aun así, hay incidentes alrededor.
CrowdStrike vinculó una instancia de Artex a ataques contra instituciones financieras de Corea del Sur en septiembre. El directorio abierto de ese servidor llevaba visible desde el 18 de agosto, siete semanas antes del informe.
En octubre, Microsoft atribuyó al grupo que llama Storm-0940 actividad asistida por Artex contra clientes de ConnectWise. La entrada fue la de siempre: contraseñas débiles o conocidas y falta de doble factor.
Microsoft ya había descrito el framework como un sistema de agentes capaz de llevar un ataque desde el reconocimiento hasta la exfiltración con poca intervención humana. La frase describe capacidad, no autoría. De quién es cada ataque lo dicen CrowdStrike y Microsoft, no el código.
Por qué un AI security descuidado abre la puerta
Un servidor con Artex no es solo un servidor. Suele llevar claves de API de modelos, credenciales de proveedores y registros de todo lo que se probó.
De ahí el interés para cualquiera que pase por allí. No hace falta atacar el objetivo: basta con leer la consola del atacante. ¿Cuántos de esos paneles siguen abiertos ahora mismo?
Hay un caso que se repite en consultoras pequeñas. Montan el framework en un servidor de ocho euros para un cliente, guardan la clave de OpenAI en el mismo sitio y dejan el panel sin contraseña porque "solo lo usamos nosotros". Ese "nosotros" es una dirección IP pública.
En España, además, esos registros pueden contener datos personales bajo el RGPD. Un directorio abierto con nombres y tráfico es una brecha notificable, aunque el objetivo del trabajo fuera otro.
Cómo detectar exposed AI agent servers en una red
Censys da señales, no pruebas. Consolas en TCP 8787, 8790 y 443. Títulos de página que empiezan por ARTEX y recursos bajo _next/static.
Alrededor suelen aparecer directorios abiertos, servicios de túnel y pasarelas de modelos que nadie reconoce. Esas tres cosas juntas rara vez son casualidad.
Si llevas inventario de activos, la consulta es directa: qué hosts exponen un panel con nombre de herramienta ofensiva y quién tiene la clave de facturación del modelo.
Un equipo que encuentra una consola así dentro de su propio rango de direcciones debería asumir que las claves de modelo que contiene ya están comprometidas, y rotarlas antes de seguir investigando.
Junto a Artex, Censys vio CyberStrikeAI en 70 hosts, y también PentAGI, HexStrike AI y RedRamon. En otros había Vshell, Cobalt Strike, Adaptix C2, FRP y Gophish. La mezcla importa: un servidor de pruebas compartiendo red con herramientas de acceso remoto es otra categoría de problema.
El giro a código cerrado de Artex
Artex anunció que pasará a código cerrado, lo que limitará las próximas versiones a clientes de pago. El movimiento no está aplicado y no borra lo publicado: quedan decenas de copias en sitios de código.
Cerrar el código reduce la superficie de copias nuevas, pero no cambia nada en los servidores que ya están encendidos con la versión abierta y sin actualizar.
Mientras tanto, la población se mueve. Entre el 3 y el 5 de noviembre desaparecieron diez directorios expuestos y aparecieron quince en otro sitio.
La conclusión práctica no cambia. El riesgo no está en que exista un framework ofensivo. Está en que se instala con la configuración por defecto y nadie mira la puerta.
