Agentes de IA en ataque: qué enseña el caso ARTEX
El 29 de octubre de 2026, CrowdStrike publicó que un grupo vinculado a China, VAPOR PANDA, ha operado un framework de agentes de IA llamado ARTEX contra más de 200 organizaciones en al menos 14 países en una ventana de 11 días. No es una demo de laboratorio ni un informe de riesgos hipotéticos: es una campaña de espionaje documentada con agentes de IA como motor. Este análisis separa lo que está confirmado de lo que no, y baja a lo que debería hacer un equipo de seguridad o de inteligencia esta semana.
Qué ha publicado CrowdStrike, exactamente
Según el informe de CrowdStrike del 29 de octubre, ARTEX coordina un agente principal con agentes subordinados de planificación y ejecución sobre un grafo compartido de hechos, hallazgos y objetivos. Cada operación avanza desde el acceso inicial hasta el reconocimiento del equipo y el movimiento lateral. Los agentes exploraron varias rutas de ataque en paralelo (aplicaciones web, nube, contenedores, Active Directory, correo y VPN) y cambiaron de enfoque cuando una ruta fallaba.
El modelo principal fue DeepSeek, apoyado en un segundo modelo comercial de suscripción que CrowdStrike no pudo confirmar. La cifra que mejor ilustra la escala: en una sola intrusión, los agentes de planificación consumieron del orden de 1.400 millones de tokens de entrada.
Los números de impacto hay que leerlos con cuidado. La campaña tocó a más de 200 organizaciones, pero el compromiso posterior a la explotación está confirmado en nueve, y se detectó ataque de contraseñas y escaneo de credenciales contra al menos doce más. Entre los objetivos figuran ministerios de Exteriores, un ministerio del Interior, 19 organizaciones estadounidenses de farmacia, semiconductores, defensa, nuclear y finanzas, y operadoras de telecomunicaciones en EE. UU., Bélgica y Filipinas. La diferencia entre 200 y nueve importa: la IA multiplica los intentos, no necesariamente los éxitos.
Hecho, versión de una parte y análisis propio
Lo confirmado por la fuente: existencia del framework, uso de DeepSeek, ventana temporal, número de organizaciones y países, y técnicas concretas. Es la versión de una sola parte, un proveedor de seguridad con sus propios incentivos comerciales (el informe recomienda, entre otras cosas, desplegar su sensor), aunque el nivel de detalle técnico, con indicadores y marcadores públicos, es verificable por otros equipos.
Lo que no dice el informe, y conviene no inventar: no reporta fallos o alucinaciones concretas de los agentes, no mide qué porcentaje del trabajo fue autónomo y no confirma qué segundo modelo se usó. Sí aclara algo clave que desinfla el mito del ataque totalmente autónomo: el framework mantuvo a un humano en el circuito. Las transcripciones muestran a un operador que daba instrucciones en chino en puntos de decisión, como escribir web shells, extraer contraseñas de administrador de dominio o inventariar qué equipos no tenían sensor de seguridad. Un solo operador dirigía varias operaciones a la vez.
Ahí está mi lectura: lo nuevo no es que la IA «hackee sola», sino que un operador humano puede supervisar muchas intrusiones en paralelo. Cambia la economía del atacante, no la naturaleza de las técnicas.
Las técnicas son viejas; la cadencia es nueva
Lo más útil para un defensor es que el acceso inicial no dependió de magia. CrowdStrike describe una aserción SAML sin firmar combinada con una vulnerabilidad XXE en una farmacéutica estadounidense, VPN con configuraciones robadas y credenciales filtradas, y en un organismo griego un volcado de directorio de 2022 con claves de autenticación probablemente sin rotar, usado para falsificar un token de administrador. También se abusó del servicio de metadatos de instancias en la nube, se leyeron contraseñas LAPS y se usó delegación restringida basada en recursos.
Nada de eso es exótico. Son higiene de identidad, configuración en la nube y parcheo. La IA no inventa nuevas vulnerabilidades en este caso; industrializa la comprobación sistemática de errores viejos. Si tu organización tiene claves sin rotar desde 2022 o validación SAML laxa, el coste para un atacante de encontrarlo acaba de bajar.
Qué hacer esta semana
Las recomendaciones del propio informe son sensatas y se pueden convertir en una lista de trabajo concreta:
- Rotar claves de firma, claves de preautenticación y credenciales de servicio tras cualquier sospecha de exposición, incluidas las que viven en copias de seguridad históricas y volcados de directorio.
- Exigir validación de firma SAML, activar IMDSv2 y recortar al mínimo los permisos de ejecución de comandos de los roles en la nube.
- Buscar los marcadores públicos de ARTEX: parámetros de línea de comandos con «artx» o «artex», roles en la nube con prefijo artx, comentarios «art18-» y el directorio C:\ProgramData\artx5v\.
- Parchear equipos expuestos a internet, sobre todo servidores Linux de larga vida, y tener EDR también en servidores que se consideran inaccesibles desde fuera.
Añadiría una medida que el informe no pide pero que se deduce de su lógica: si el atacante prueba cientos de objetivos con coste marginal bajo, la detección debe medirse en minutos, no en días. Revisa cuánto tardas en notar un rociado de contraseñas contra tu VPN o tu correo. Si la respuesta es «no lo sé», ese es el primer hueco.
El mismo día, otra lección: tus herramientas de IA también son superficie de ataque
El 30 de octubre, The Hacker News informó de que una versión modificada de la extensión de Claude Code para VS Code (2.1.313) se distribuyó a través del marketplace de Cursor el 29 de octubre. Según el artículo, un cargador de 66 líneas añadía una clave SSH del atacante a authorized_keys, intentaba abrir un túnel inverso, instalaba persistencia y enviaba datos del equipo, entre ellos los nombres de hasta 40 variables de entorno con palabras como KEY, TOKEN o SECRET. Cursor afirma que afectó como máximo a 5.000 usuarios y que la versión no fue desarrollada por Anthropic; Anthropic publicó la 2.1.314 y la versión maliciosa se retiró.
Es un incidente distinto del de VAPOR PANDA, y no hay base para vincularlos. Pero juntos dibujan el mismo escenario: los atacantes usan agentes de IA para escalar, y los agentes y asistentes de código que adoptan tus equipos son un vector más. Para quien usa extensiones con actualización automática, la pregunta práctica es quién controla qué se instala en los equipos de desarrollo y comercial que ya trabajan con asistentes de IA. Quien instaló la versión afectada debe aislar el equipo, eliminar la clave y la persistencia, y rotar credenciales y sesiones.
Qué significa para equipos de inteligencia y ventas
Para los equipos que usan IA en prospección, investigación o monitorización, la lección es doble. Primero, el volumen ya no es una ventaja competitiva por sí solo: lo que hace un agente bien orquestado lo puede hacer también quien te ataca. Segundo, un agente es tan seguro como las credenciales y los permisos que le das. Antes de conectar un agente a tu CRM, tu correo o tus repositorios, define qué puede leer, qué puede ejecutar y quién revisa sus acciones. El paralelismo de ARTEX funcionó porque había un humano supervisando en los puntos de decisión; esa misma estructura, con otro objetivo, es la que deberías copiar para tus propios agentes.
Valoración
CrowdStrike estima que los adversarios vinculados a China seguirán adoptando frameworks agénticos como ARTEX durante los próximos doce meses. Es una proyección de un proveedor, pero encaja con lo observado. Mi posición: el riesgo inmediato no es una IA que descubre exploits desconocidos, sino una oleada de intentos baratos contra configuraciones débiles de siempre. Quien rote claves, active IMDSv2, valide SAML y vigile la identidad estará bien posicionado. Quien no, será un objetivo rentable.
En DAVMAC desarrollamos herramientas de inteligencia, análisis de datos y monitorización para empresas e instituciones; si quieres evaluar cómo detectar y priorizar este tipo de señales en tu organización, puedes contactar con nosotros.