L'outil d'attaque autonome ARTEX est exploité par des acteurs liés à la Chine
25 octobre 2026 · 2 min de lecture
Microsoft a annoncé le 21 octobre que des attaquants en lien avec le gouvernement chinois automatisent leurs opérations à l'aide de l'outil d'intelligence artificielle ARTEX. Cette information a été confirmée par le géant américain, qui a également signalé des cas d'abus de cet outil en Corée du Sud et au Japon. L'outil, initialement conçu pour des tests d'intrusion, est désormais utilisé pour mener des cyberattaques réelles sans intervention humaine directe.
ARTEX est un logiciel open source développé par un créateur chinois et publié sur la plateforme GitHub. Il s'agit d'un outil de pénétration autonome qui permet à plusieurs agents d'intelligence artificielle de sélectionner et d'exécuter des outils adaptés à une cible et à un objectif donnés. L'utilisateur peut choisir le modèle de langage utilisé, et l'outil prend en charge le chinois, le japonais, le coréen et l'espagnol. Selon l'analyse de l'organisation ASEC du laboratoire sud-coréen AhnLab, le système repose sur trois agents distincts : un agent de buts, un planificateur et un travailleur. Le planificateur détermine les prochaines étapes en fonction des résultats des actions du travailleur, créant ainsi une boucle d'autonomie complète.
Les tests menés par ASEC dans un environnement isolé ont démontré que de simples instructions, telles que l'intrusion dans une cible spécifique, suffisent pour que l'outil exploite les vulnérabilités des services publics. Il a réussi à exécuter des commandes à distance via des fonctions de téléchargement de fichiers sur des serveurs web, sans aucune intervention humaine. AhnLab a confirmé que l'outil permet de passer de l'accès initial à l'exécution de commandes et à l'accès aux réseaux internes, soulignant qu'il constitue désormais une menace réelle dont l'impact est susceptible de s'aggraver.
L'auteur d'ARTEX a publié une déclaration le 8 octobre affirmant que le projet avait été créé à des fins de recherche académique et pour aider aux tests de sécurité autorisés. Il a nié toute implication dans les attaques récentes et a cessé la mise à jour et la publication du projet. Cependant, après la disparition du dépôt GitHub, des versions modifiées du code ont commencé à circuler. AhnLab a identifié 600 adresses IP publiques exécutant l'outil, principalement situées aux États-Unis, en Chine, à Hong Kong et à Singapour, certaines montrant des traces d'activité malveillante. L'entreprise avertit que l'outil est réutilisé et redistribué par plusieurs opérateurs, ce qui complique la traçabilité des menaces.
Pour se protéger, AhnLab recommande d'identifier les services publics et les fonctions d'administration, de minimiser les droits des comptes et l'accès aux réseaux internes, et d'utiliser des solutions de détection et de réponse aux menaces pour surveiller les mouvements internes. L'entreprise insiste sur le fait que les principes fondamentaux de la défense restent inchangés, même face à l'utilisation de l'intelligence artificielle par les attaquants.