The Pulse
Lo sviluppatore di ARTEX interrompe i rilasci pubblici dopo gli attacchi alle banche sudcoreane
L’8 ottobre Autumn-27, sviluppatore di ARTEX, ha annunciato che l’agente di IA per i test di penetrazione sarebbe diventato a codice chiuso, senza nuove versioni pubbliche né manutenzione. CrowdStrike aveva collegato ARTEX a una campagna co
AI.info Team · Scritto con l’IA ·
L’8 ottobre lo sviluppatore di ARTEX ha annunciato che il progetto di IA per i test di penetrazione non avrebbe più ricevuto aggiornamenti e sarebbe diventato a codice chiuso. L’account GitHub, che usa il nome Autumn-27, ha dichiarato che non sarebbero state rilasciate pubblicamente nuove versioni né fornito supporto per la manutenzione, citando l’uso improprio dello strumento. La decisione è arrivata dopo un rapporto di CrowdStrike che collegava ARTEX a una campagna in cui erano stati sottratti dati a organizzazioni finanziarie sudcoreane.
Autumn-27 interrompe i rilasci pubblici
«Dato l’uso improprio dello strumento, il progetto ARTEX non sarà più aggiornato e diventerà a codice chiuso. Non saranno rilasciate al pubblico altre versioni né sarà fornito supporto per la manutenzione», ha dichiarato lo sviluppatore, nella traduzione inglese pubblicata da Reuters. La dichiarazione su GitHub descrive lo scopo previsto di ARTEX: aiutare le organizzazioni a verificare i rischi per la sicurezza delle risorse per le quali dispongono di un’autorizzazione e a migliorare le proprie difese. Condanna l’uso non autorizzato e afferma che l’autore del progetto non si assume alcuna responsabilità per attività illegali.
Reuters ha riferito che la pagina GitHub di ARTEX era stata rimossa. L’avviso dell’autore, datato 8 ottobre, resta sul profilo GitHub Autumn-27. L’annuncio non affronta esplicitamente gli incidenti sudcoreani, pur indicando l’uso improprio come motivo dell’interruzione dello sviluppo pubblico.
CrowdStrike collega ARTEX al furto di dati
Il rapporto di CrowdStrike del 7 ottobre descrive una campagna contro organizzazioni finanziarie sudcoreane, attiva dalla fine di settembre all’inizio di ottobre 2026. L’azienda di cybersicurezza ha dichiarato di aver trovato file di configurazione di ARTEX, cronologie delle sessioni di Claude Code e documenti correlati in directory aperte collegate a un’infrastruttura che associava all’autore della minaccia. Questi materiali hanno permesso agli investigatori di comprendere meglio gli strumenti e le attività dell’operatore.
Secondo il rapporto, l’operatore ha usato ARTEX insieme a modelli linguistici di grandi dimensioni, tra cui DeepSeek v4.1-flash come backend principale di un’istanza di ARTEX. CrowdStrike ha trovato anche prove dell’uso di GLM-5.3 e Grok 4.6 in ulteriori sessioni di Claude Code. Ha valutato, con un grado moderato di fiducia, che l’autore degli attacchi fosse probabilmente di lingua cinese e mosso da motivazioni economiche, ma ha precisato che l’attività non era stata attribuita a un soggetto ostile identificato per nome.
Il rapporto di CrowdStrike descrive esfiltrazioni di dati e intrusioni che hanno coinvolto sistemi di organizzazioni finanziarie, tra cui un servizio usato dai broker per consultare lo stato di avanzamento dei prestiti e un sistema mobile di supporto al lavoro dei dipendenti. Ha avvertito che il numero delle organizzazioni colpite non era stato confermato. Le conclusioni dell’azienda collegano lo strumento all’attività osservata, ma non dimostrano che ARTEX abbia condotto da solo le intrusioni.
Un agente per i test basato su modelli esterni
ARTEX non è un modello linguistico autonomo. Reuters lo descrive come un agente open source progettato per automatizzare i test di penetrazione collegandosi a modelli esterni come ChatGPT, Claude e DeepSeek. Questa configurazione consentiva allo strumento di coordinare le attività di verifica della sicurezza, affidandosi a servizi separati per le funzionalità dei modelli linguistici.
La distinzione è importante per la decisione dello sviluppatore: Autumn-27 può smettere di pubblicare e mantenere il proprio progetto, ma l’annuncio non modifica i modelli più ampi ai quali ARTEX era progettato per collegarsi. Anche la ricostruzione di CrowdStrike descrive la campagna come una combinazione di strumenti di IA agentica e capacità offensive tradizionali, anziché presentare il software come un attaccante indipendente e autosufficiente.
La portata della campagna resta incerta
Nello stesso periodo le organizzazioni finanziarie sudcoreane hanno subito una serie di incidenti informatici, ma l’analisi pubblica di CrowdStrike afferma che al 7 ottobre il numero delle organizzazioni colpite non era stato confermato. Reuters ha riferito che dalla fine di settembre almeno nove banche avevano dichiarato di essere state prese di mira oppure erano state indicate come obiettivi dai media locali; questa cifra riguarda gli obiettivi segnalati, non un numero confermato di violazioni collegate ad ARTEX.
L’avviso di Autumn-27 pone fine ai rilasci pubblici di versioni e alla manutenzione da parte dello sviluppatore. Il rapporto di CrowdStrike, nel frattempo, lascia irrisolta la portata della campagna sudcoreana: conferma l’esfiltrazione di dati nell’ambito di attività dirette contro organizzazioni finanziarie, ma non fornisce un totale definitivo degli istituti colpiti.