Censys a compté 1 465 machines servant le framework de pentest Artex et joignables depuis internet. La plupart appartiennent probablement à des testeurs autorisés, ce qui n'excuse pas les portes laissées ouvertes.
Ce que Censys a trouvé sur les Artex AI hacking tools
Le rapport paraît le 5 novembre. Censys y décrit une mesure simple : chercher, sur l'internet public, les machines qui font tourner ARTEX, un framework de test d'intrusion assisté par IA.
Le premier chiffre est 1 465 hôtes. Il demande une correction, que l'entreprise apporte elle-même. Environ 650 machines partagent des configurations identiques chez deux hébergeurs, ce qui suggère des systèmes clonés ou un seul opérateur derrière plusieurs adresses, et fausse toute lecture brute du total. Une fois ces grappes écartées, il reste environ 815 déploiements distincts. TechCrunch arrondit à plus de 800.
Vient ensuite le chiffre qui inquiète. 155 machines, soit 10,6 % du total, présentent des détections de menaces supplémentaires. Et 32 dossiers ouverts laissent voir des outils, des implants et des fichiers d'opérateurs.
L'un de ces dossiers expose le répertoire personnel d'un opérateur, avec des éléments SSH et un historique de shell. Autrement dit, les clés de la maison.
Censys prend soin de cadrer sa trouvaille. Le framework est décrit comme dual, et une exposition publique ne prouve pas une activité malveillante, puisque des testeurs autorisés l'utilisent aussi dans le cadre de missions encadrées.
Combien de ces machines servent à des attaquants ?
Personne ne le sait.
Un offensive AI framework en trois briques
ARTEX sort le 26 juillet 2026. L'empilement est classique : un backend en Go, une console en Next.js, une base PostgreSQL.
Le framework se branche sur ScopeSentry, une plateforme de découverte d'actifs, pour importer des domaines, des adresses, des ports et des points d'entrée.
À l'usage, l'opérateur fixe une cible, un périmètre et un objectif. Un agent planificateur découpe l'objectif en tâches. Des agents travailleurs lancent les outils, dont nmap, et consignent les résultats. Le tout alimente un graphe d'actifs et un graphe d'exploration.
Le point pratique, pour un utilisateur, est la liberté de changer de fournisseur de modèle. ARTEX accepte les points d'accès d'Anthropic, d'OpenAI et des services compatibles, sans reconstruire le workflow.
Cette combinaison en fait un offensive AI framework complet. Reconnaissance, exploitation, journalisation. La partie humaine se réduit au cadrage et à la validation.
Pourquoi les exposed AI agent servers restent ouverts
La réponse tient en peu de mots : pas d'authentification par défaut. Les consoles sortent ouvertes, les clés d'API des modèles traînent sur la même machine, et personne ne referme après le test.
Le reste vient des habitudes. Beaucoup des attaques reliées à ces outils reposent sur des mots de passe faibles ou connus, et sur l'absence de double authentification.
La population bouge vite, ce qui complique le suivi. Entre le 3 et le 5 novembre, dix dossiers exposés ont disparu et quinze sont apparus ailleurs.
Censys a aussi trouvé de la compagnie sur ces machines. CyberStrikeAI est co-hébergé sur 70 hôtes, aux côtés de PentAGI, HexStrike AI et RedRamon. D'autres hôtes portent Vshell, Cobalt Strike, Adaptix C2, FRP et Gophish.
Un serveur de test d'intrusion qui héberge aussi un outil de phishing, voilà le genre de voisinage qui change l'interprétation d'une exposition.
Les attaques reliées à Artex, selon CrowdStrike et Microsoft
Aucune attribution du framework à un État n'existe, et il faut s'en tenir aux constats des éditeurs.
Microsoft décrit ARTEX comme un ensemble d'agents capables de mener une cyberattaque, de la reconnaissance à l'exfiltration, avec peu d'intervention humaine.
CrowdStrike a relié une instance ARTEX à des attaques contre des institutions financières sud-coréennes en septembre. Censys note un détail temporel : le dossier ouvert de ce serveur était visible depuis le 18 août, soit sept semaines avant le rapport de CrowdStrike.
En octobre, Microsoft a attribué à son groupe Storm-0940 une activité menée avec l'aide d'ARTEX contre des clients de ConnectWise. Les attaquants s'en sont servis pour atteindre les environnements cloud Microsoft de ces clients.
Ce que la sécurité IA peut détecter sans preuve d'intrusion
Censys ne fournit pas de liste de victimes. Il donne des signaux, ce qui est plus utile à une équipe défensive, et c'est l'angle le plus solide pour l'AI security aujourd'hui.
Les consoles écoutent sur les ports TCP 8787, 8790 et 443, et les titres de page commencent par ARTEX, avec des ressources _next/static typiques, ce qui suffit à repérer une installation sans y entrer. À proximité, on trouve des dossiers ouverts, des services de tunnelisation et des passerelles de modèles inhabituelles.
Ces indices ne valent pas preuve de compromission. Ils indiquent qu'une machine expose une capacité offensive, et qu'il faut aller regarder qui l'utilise.
Le virage closed-source d'Artex et les copies qui restent
Le projet a annoncé son passage en closed-source, ce qui limiterait les prochaines versions aux clients payants.
L'annonce ne règle pas le passé. Des dizaines de copies du code circulent sur des sites de partage, et le framework continuera de tourner sur les machines déjà installées. Rien n'indique que le changement soit déjà effectif.
Ce qu'une équipe doit vérifier sur ses propres serveurs Artex
Trois vérifications valent mieux qu'un scanner.
D'abord l'inventaire. Un prestataire français qui fait des tests d'intrusion pour une banque doit savoir quelles machines il laisse allumées entre deux missions, et chez quel hébergeur.
Ensuite les accès. Une console de test sans mot de passe sur l'internet public n'est pas un outil, c'est une porte. Le même raisonnement vaut pour les clés d'API stockées en clair sur la machine.
Enfin les journaux. Une machine qui exécute nmap à trois heures du matin doit laisser une trace attribuable à une mission, sinon elle devient indistinguable d'une attaque et son propriétaire ne peut plus expliquer ce qu'elle faisait.
Le cadre juridique ajoute une couche. En France, un test d'intrusion se fait avec un mandat écrit et un périmètre signé. Un serveur qui tourne sans ce cadre n'a rien d'un outil de sécurité.
Le framework continuera de circuler. La question, pour chaque équipe, est de savoir combien de ses propres machines en font tourner une copie.
