Espionaje con IA a escala industrial: Vapor Panda apunta el framework ARTEX contra más de 200 organizaciones

Un grupo de espionaje vinculado a China ha mostrado qué ocurre cuando a agentes de IA autónomos se les entrega una lista de objetivos. Desde mediados de octubre de 2026, el actor rastreado como Vapor Panda utiliza un framework de intrusión impulsado por modelos LLM, llamado ARTEX, contra más de 200 organizaciones en cuatro continentes, con un único operador humano supervisando enjambres de agentes de IA en lugar de ejecutar cada intrusión a mano.

Qué ocurrió

Vapor Panda, antes rastreado como VexatiousTemper y con solapamientos con el clúster conocido como Earth Estries, está activo desde comienzos de 2021 y durante años se ha centrado en mantener un acceso discreto y persistente a redes gubernamentales y de telecomunicaciones. Lo que cambió el 17 de octubre de 2026 fue el ritmo. En unas dos semanas, los agentes del grupo estaban trabajando contra:

• ministerios de exteriores de América Latina, Centroamérica, Europa y Asia, y un ministerio del interior en Oriente Medio;
• el ministerio de exteriores, la presidencia y la oficina del primer ministro de un país europeo, junto con sus organismos de defensa, justicia, finanzas e inteligencia;
• 19 organizaciones estadounidenses de los sectores farmacéutico, de semiconductores, defensa, nuclear y financiero;
• operadores de telecomunicaciones de Estados Unidos, Bélgica y Filipinas.

Se ha confirmado actividad posterior a la explotación en nueve de esas organizaciones, donde el grupo desplegó BLOODALCHEMY, una puerta trasera derivada de ShadowPad, y continuó con credential spraying y reconocimiento interno. Al menos otras 12 organizaciones, entre ellas think tanks estadounidenses y entidades gubernamentales europeas, sufrieron password spraying.

Cómo cambia el juego este framework

ARTEX es un framework de pruebas de penetración escrito en Go que orquesta varios modelos de lenguaje de gran tamaño a la vez. En esta campaña estaba conectado a DeepSeek y a un segundo modelo comercial, todavía sin identificar, accesible mediante una suscripción de pago. El trabajo se reparte entre agentes planificadores, que eligen el siguiente objetivo, y agentes ejecutores, que lo llevan a cabo, de modo que una intrusión puede avanzar desde el acceso inicial hasta el movimiento lateral con muy poca intervención humana.

El operador sigue en el circuito, pero a mucha más altura: fija objetivos, redirige a los agentes cuando se atascan e interviene para evadir las defensas de endpoint. Los agentes prueban varias rutas de ataque en paralelo, a través de aplicaciones web, servicios en la nube, plataformas de contenedores, Active Directory, correo y VPN, y cuando una ruta falla simplemente cambian a otra. La escala es asombrosa: en una sola intrusión, solo los agentes planificadores consumieron del orden de 1.400 millones de tokens de entrada.

Nada en la caja de herramientas del grupo es novedoso. Los agentes se apoyaron en debilidades viejas y conocidas: claves de autenticación sin rotar durante años, federación de identidad validada con poca rigurosidad, servicios internos expuestos sin autenticación y material VPN recuperado de buzones antiguos. La novedad es puramente económica. Un equipo pequeño puede ejecutar ahora decenas de operaciones a la vez, y la amplitud ya no le cuesta al atacante proporcionalmente más personas.

ARTEX se ha extendido con rapidez entre los actores de amenazas, hasta el punto de que su desarrollador, conocido como Autumn-27, ha cerrado desde entonces el código del proyecto. No será la última herramienta de este tipo.

Una ola más amplia de actividad vinculada a China

La misma ventana de divulgación sacó a la luz cuatro clústeres vinculados a China no documentados hasta ahora: Hollow Panda, Overcast Panda, Titan Panda y Veiled Panda. Overcast Panda se asocia con operaciones de acceso físico en las que su puerta trasera FlowCloud se implanta en los dispositivos de viajeros mientras se encuentran en China, lo que da a los operadores keylogging, captura de pantalla y recolección de credenciales. Titan Panda ataca bufetes de abogados desde al menos abril de 2026 a través de una clave de máquina codificada en un producto de registro de horas para el sector legal, y después despliega un conjunto de herramientas en memoria llamado IceGiant. Cómo se obtuvieron esas claves por defecto sigue sin conocerse.

Qué hacer

El manual de ARTEX premia a las organizaciones que dejan puertas viejas abiertas. Prioridades prácticas:

1. Rote los secretos de larga duración. Claves de firma, claves de API, certificados VPN y credenciales de cuentas de servicio con más de un año son justo lo primero que prueba un agente.
2. Refuerce la federación de identidad. Exija una validación estricta de firma en las aserciones de inicio de sesión único y rechace todo lo que no esté firmado o tenga una firma débil.
3. Mantenga privados los metadatos de la nube y los planos de control. Exija la versión reforzada del servicio de metadatos y nunca exponga API de orquestación o de contenedores sin autenticación.
4. Audite los privilegios en Active Directory. Revise la configuración de delegación y limite estrictamente quién puede leer contraseñas de administrador local.
5. Exija MFA en VPN y correo y genere alertas ante fallos de autenticación lentos y distribuidos en muchas cuentas.
6. Sustituya las claves de máquina por defecto en cualquier aplicación IIS y mantenga activadas las comprobaciones de integridad de ViewState.

Sobre todo, conozca su propio perímetro mejor que un agente autónomo. Cada objetivo de esta campaña fue encontrado por agentes que sondeaban en paralelo aplicaciones web expuestas, endpoints en la nube, pasarelas VPN e infraestructura de correo. La gestión continua de la superficie de ataque (Attack Surface Management), como la que nuestro equipo realiza para sus clientes, mapea esa misma superficie desde fuera y señala el host olvidado o la clave sin rotar antes de que un agente planificador la programe como su siguiente tarea.