O framework de pentest com agentes virou rotina entre pesquisadores de segurança. O problema é que muita gente deixou o painel de controle aberto para o mundo inteiro.
O que a Censys encontrou em 1.465 hosts
O relatório saiu em 5 de novembro e a conta é grande. A Censys identificou 1.465 hosts com o ARTEX acessíveis pela internet aberta, rodando um framework de teste de intrusão com agentes de IA, de código aberto e feito na China.
A ressalva vem no mesmo parágrafo do número. Exposição não prova uso criminoso. Teste autorizado usa a mesma ferramenta, na mesma porta, com o mesmo painel.
Quantos desses servidores pertencem a criminosos? A Censys não responde, e nenhum relatório público responde, o que obriga a tratar o dado como medida de descuido operacional antes de tratá-lo como mapa de atacantes.
O que transforma a medição em notícia é a proporção de servidores que traziam algo além do console.
O que é o Artex, o offensive AI framework
Para entender o risco, vale saber o que o software faz. O ARTEX foi lançado em 26 de julho de 2026 e junta um backend em Go, um console em Next.js e um banco PostgreSQL. Ele se conecta à plataforma ScopeSentry para importar domínios, endereços, portas e endpoints.
O uso é o de uma equipe de pentest inteira em um painel. O operador define alvo, escopo e objetivo. Um agente planejador quebra o objetivo em tarefas. Agentes executores rodam ferramentas como nmap e registram o resultado, enquanto o sistema mantém um grafo de ativos e outro de exploração.
O framework aceita endpoints da Anthropic, da OpenAI e de provedores compatíveis, o que permite trocar de modelo sem remontar o fluxo. É essa combinação que fez o termo offensive AI framework pegar: não é um script, é uma orquestração.
Pense nele como um conjunto de Artex AI hacking tools com interface: console, agentes e ferramentas de rede no mesmo lugar, operados por uma pessoa que só precisa escrever o objetivo em linguagem comum.
De 1.465 para 815: por que o número muda
O número bruto engana. Cerca de 650 hosts compartilhavam configurações repetidas em dois provedores de hospedagem, o que sugere sistemas clonados ou um único operador usando muitos endereços.
Tirados esses agrupamentos, sobram aproximadamente 815 implantações com cara de distintas. O TechCrunch arredonda para mais de 800. É a leitura mais honesta do dado: menos operadores do que o total sugere, muito mais do que um incidente isolado.
A população também se mexe rápido. Entre 3 e 5 de novembro, dez diretórios expostos desapareceram e quinze apareceram em outro lugar. Quem monitora precisa medir de novo a cada semana.
Os 155 hosts com detecção extra
A parte que tira o achado do campo da configuração descuidada é esta. Em 155 hosts, o equivalente a 10,6% do total, a Censys viu detecções adicionais de ameaça. Em 32, havia diretórios abertos com ferramentas, implantes e arquivos de operador.
Um desses diretórios expunha a pasta pessoal do operador, com material de SSH e histórico de shell. Não é vazamento de metadado: é o kit de trabalho de alguém que faz intrusão.
O ecossistema ao redor confirma o quadro. A Censys achou o CyberStrikeAI co-hospedado em 70 hosts, além de PentAGI, HexStrike AI e RedRamon. Outros servidores carregavam Vshell, Cobalt Strike, Adaptix C2, FRP e Gophish.
Os ataques ligados ao Artex na Coreia do Sul
A ferramenta saiu do laboratório em setembro. A CrowdStrike ligou uma instância do ARTEX a ataques contra instituições financeiras da Coreia do Sul, e o diretório aberto daquele servidor estava visível desde 18 de agosto, sete semanas antes do relatório.
Em outubro, a Microsoft atribuiu ao grupo que chama de Storm-0940 uma atividade com apoio do ARTEX contra clientes da ConnectWise. Os atacantes usaram o framework para chegar aos ambientes de nuvem Microsoft dessas empresas.
A Microsoft descreve o ARTEX como um sistema de agentes capaz de conduzir ataque cibernético do reconhecimento à exfiltração com pouca intervenção humana. É a definição que dá arrepio em qualquer equipe de AI security.
O detalhe que fecha a história é banal. Boa parte dos ataques ligados ao framework dependeu de senha fraca ou conhecida e de MFA ausente. A automação sofisticada entrou por uma porta que ninguém trancou.
O erro repetido nos exposed AI agent servers
Console aberto, sem autenticação, com chave de API de modelo no próprio servidor. Esse é o padrão que aparece nos exposed AI agent servers, e ele não é exclusivo do ARTEX.
A lógica é sempre a mesma. Alguém sobe o painel em uma VPS barata para testar rápido, promete fechar depois e esquece. O firewall fica no padrão do provedor, a porta 8787 fica aberta e o console passa a responder para qualquer IP.
No Brasil, esse tipo de descuido aparece com frequência em pentest de pequena e média empresa: painel administrativo exposto, versão antiga sem patch, credencial padrão. Com agente de IA no meio, o estrago cresce, porque a chave vazada dá acesso pago a modelo de fronteira na conta de outra pessoa e permite que o invasor use a sua cota para rodar as próprias tarefas.
Se a sua empresa roda qualquer orquestrador de agentes, o item não é opcional. Coloque o console atrás de VPN, exija autenticação, rotacione chave e trate o servidor como ambiente de produção, não como bancada de teste.
Como detectar um console Artex na sua rede
A Censys publicou sinais de detecção, não prova de comprometimento. O primeiro sinal é a porta. Consoles costumam responder em TCP 8787, 8790 e 443.
O segundo é assinatura de página. Títulos que começam com ARTEX e ativos em _next/static entregam o console. Vale olhar também diretórios abertos por perto, serviços de tunelamento e gateways de LLM que ninguém reconhece.
Para quem administra rede corporativa, o exercício útil é o inverso do relatório: descobrir se existe um ARTEX rodando dentro de casa, sem inventário e sem dono.
O Artex vai fechar o código, e isso muda pouco
O projeto anunciou que vai virar código fechado, com versões futuras restritas a clientes pagos. A medida ainda não está em vigor, e dezenas de cópias do código continuam disponíveis em sites de compartilhamento.
Fechar o repositório reduz a atualização, não apaga o que já saiu. Para quem defende, o inimigo continua sendo a instância esquecida em uma VPS, não o código-fonte na internet.
A lição do relatório cabe em uma linha: a ferramenta de segurança mais perigosa é a que ninguém sabe que está ligada.
