Espionagem com IA à escala industrial: Vapor Panda aponta a framework ARTEX a mais de 200 organizações

Um grupo de espionagem ligado à China mostrou o que acontece quando se entrega uma lista de alvos a agentes de IA autónomos. Desde meados de outubro de 2026, o ator seguido como Vapor Panda utiliza uma framework de intrusão conduzida por modelos LLM, chamada ARTEX, contra mais de 200 organizações em quatro continentes, com um único operador humano a supervisionar enxames de agentes de IA em vez de executar cada intrusão à mão.

O que aconteceu

O Vapor Panda, anteriormente seguido como VexatiousTemper e com sobreposições com o cluster conhecido como Earth Estries, está ativo desde o início de 2021 e concentrou-se durante anos em manter um acesso discreto e persistente a redes governamentais e de telecomunicações. O que mudou a 17 de outubro de 2026 foi o ritmo. Em cerca de duas semanas, os agentes do grupo estavam a trabalhar contra:

• ministérios dos negócios estrangeiros na América Latina, América Central, Europa e Ásia, e um ministério do interior no Médio Oriente;
• o ministério dos negócios estrangeiros, a presidência e o gabinete do primeiro-ministro de um país europeu, juntamente com os seus organismos de defesa, justiça, finanças e informações;
• 19 organizações norte-americanas dos setores farmacêutico, de semicondutores, defesa, nuclear e financeiro;
• operadores de telecomunicações nos Estados Unidos, na Bélgica e nas Filipinas.

Foi confirmada atividade pós-exploração em nove dessas organizações, onde o grupo instalou o BLOODALCHEMY, um backdoor derivado do ShadowPad, e prosseguiu com credential spraying e reconhecimento interno. Pelo menos outras 12 organizações, incluindo think tanks norte-americanos e entidades governamentais europeias, foram alvo de password spraying.

Como a framework muda as regras do jogo

A ARTEX é uma framework de testes de penetração escrita em Go que orquestra vários modelos de linguagem de grande dimensão em simultâneo. Nesta campanha estava ligada ao DeepSeek e a um segundo modelo comercial, ainda não identificado, acedido através de uma subscrição paga. O trabalho é dividido entre agentes de planeamento, que escolhem o objetivo seguinte, e agentes de execução, que o concretizam, de modo que uma intrusão pode avançar do acesso inicial até ao movimento lateral com muito pouca intervenção humana.

O operador continua no circuito, mas a uma altitude muito maior: define objetivos, reorienta os agentes quando ficam presos e intervém para contornar as defesas de endpoint. Os agentes tentam várias vias de ataque em paralelo, através de aplicações web, serviços cloud, plataformas de contentores, Active Directory, correio e VPN, e quando uma via falha mudam simplesmente para outra. A escala é impressionante: numa única intrusão, só os agentes de planeamento consumiram cerca de 1,4 mil milhões de tokens de entrada.

Nada na caixa de ferramentas do grupo é novo. Os agentes apoiaram-se em fraquezas antigas e familiares: chaves de autenticação não rodadas durante anos, federação de identidade validada com pouco rigor, serviços internos expostos sem autenticação e material VPN recuperado de caixas de correio antigas. A novidade é puramente económica. Uma equipa pequena pode agora executar dezenas de operações em simultâneo, e a abrangência já não custa ao atacante proporcionalmente mais pessoas.

A ARTEX espalhou-se rapidamente entre atores de ameaça, ao ponto de o seu programador, conhecido como Autumn-27, ter entretanto fechado o código do projeto. Não será a última ferramenta deste género.

Uma vaga mais ampla de atividade ligada à China

A mesma janela de divulgação trouxe à luz quatro clusters ligados à China até agora não documentados: Hollow Panda, Overcast Panda, Titan Panda e Veiled Panda. O Overcast Panda está associado a operações de acesso físico em que o seu backdoor FlowCloud é implantado nos dispositivos de viajantes enquanto estes se encontram na China, dando aos operadores keylogging, captura de ecrã e recolha de credenciais. O Titan Panda tem como alvo sociedades de advogados desde pelo menos abril de 2026, através de uma chave de máquina embutida num produto de registo de horas para o setor jurídico, instalando depois um conjunto de ferramentas em memória chamado IceGiant. Como essas chaves predefinidas foram obtidas continua por saber.

O que fazer

O manual da ARTEX recompensa as organizações que deixam portas antigas abertas. Prioridades práticas:

1. Rode os segredos de longa duração. Chaves de assinatura, chaves de API, certificados VPN e credenciais de contas de serviço com mais de um ano são exatamente o que um agente tenta primeiro.
2. Reforce a federação de identidade. Imponha a validação estrita de assinatura nas asserções de início de sessão único e rejeite tudo o que não esteja assinado ou tenha uma assinatura fraca.
3. Mantenha privados os metadados cloud e os planos de controlo. Exija a versão reforçada do serviço de metadados e nunca exponha API de orquestração ou de contentores sem autenticação.
4. Audite os privilégios no Active Directory. Reveja as definições de delegação e limite rigorosamente quem pode ler palavras-passe de administrador local.
5. Exija MFA na VPN e no correio e crie alertas para falhas de autenticação lentas e distribuídas por muitas contas.
6. Substitua as chaves de máquina predefinidas em qualquer aplicação IIS e mantenha ativas as verificações de integridade do ViewState.

Acima de tudo, conheça o seu próprio perímetro melhor do que um agente autónomo. Todos os alvos desta campanha foram encontrados por agentes que sondavam em paralelo aplicações web expostas, endpoints cloud, gateways VPN e infraestrutura de correio. A gestão contínua da superfície de ataque (Attack Surface Management), como a que a nossa equipa faz para os clientes, mapeia essa mesma superfície a partir do exterior e assinala o host esquecido ou a chave não rodada antes de um agente de planeamento a agendar como tarefa seguinte.