Artex : plus de 800 outils de piratage à agents IA exposés en ligne
Censys a trouvé plus de 800 consoles d'Artex, outil de piratage fondé sur des agents IA, ouvertes sans mot de passe. Ce que les entreprises doivent en retenir.
Max Martinel
Plus de 800 installations d'Artex, un outil de piratage open source fondé sur des agents IA, étaient accessibles sur Internet sans mot de passe, selon la société de cybersécurité Censys, dont les travaux ont été rapportés le 6 novembre 2026. L'outil, lié à des attaques contre des banques sud-coréennes et contre le prestataire ConnectWise, montre que les agents autonomes servent déjà aux attaquants comme aux défenseurs.
Les agents IA ne sont pas seulement des assistants qui rédigent des courriels ou traitent des factures. Les mêmes principes, un modèle de langage relié à des outils et capable d'enchaîner des actions, servent aussi à automatiser des tests d'intrusion. Artex en est l'exemple le plus médiatisé de l'automne 2026. Conçu comme un outil de test de sécurité, il a été utilisé dans des campagnes d'attaques réelles. Et l'enquête de Censys révèle un paradoxe : nombre de ses utilisateurs, y compris des attaquants, ont laissé leurs consoles ouvertes à tous. Pour les entreprises françaises, et en particulier les PME qui externalisent leur informatique, l'affaire rappelle que la vitesse des attaques augmente, mais que leurs portes d'entrée restent souvent les mêmes : mots de passe faibles et absence de double authentification.
Ce qu'a découvert Censys
Selon TechCrunch, Censys, une entreprise qui cartographie les systèmes exposés sur Internet, a recensé plus de 800 déploiements distincts d'Artex accessibles depuis le web sans identification. Le chercheur Silas Cutler, auteur de l'étude, précise que toutes ces installations ne sont pas malveillantes : beaucoup appartiennent à des testeurs autorisés.
Des chiffres plus détaillés
Startup Fortune détaille les données de Censys arrêtées au 4 novembre :
- 1 465 hôtes exposaient une console Artex sans connexion requise ;
- environ 650 d'entre eux appartenaient à deux blocs d'hébergement configurés à l'identique, probablement des déploiements en masse ;
- il restait donc environ 815 installations d'apparence distincte ;
- 155 hôtes faisaient aussi tourner au moins un autre outil malveillant ;
- 32 hôtes laissaient des répertoires ouverts contenant des outils de déplacement latéral sous Windows, des implants Linux, des scripts de prise de contrôle à distance et des exploits publics.
Une console exposée peut ainsi révéler les outils d'un attaquant, voire ses données volées, mais aussi permettre à n'importe qui de s'en servir.
Qu'est-ce qu'Artex ?
Artex est un outil open source de test d'intrusion autonome, publié en juillet 2026. Toujours selon Startup Fortune, il combine un modèle de langage, une invite de commande, un fichier de notes partagé et un planificateur qui répartit le travail entre plusieurs agents IA travaillant en parallèle. Son créateur, un ingénieur chinois en cybersécurité connu sous le pseudonyme « Autumn », l'a rendu privé cet automne après que des enquêteurs sud-coréens l'ont relié à des intrusions bancaires.
Son intérêt pour les attaquants tient à son accessibilité : gratuit et installable sur ses propres serveurs, il permet de chercher des failles sans avoir accès aux modèles de cybersécurité les plus avancés d'Anthropic ou d'OpenAI. Microsoft l'a décrit comme un système d'agents capable de mener une attaque de la reconnaissance jusqu'à l'exfiltration des données avec très peu d'intervention humaine.
Des attaques bien réelles
Plusieurs campagnes ont été reliées à l'outil :
- Corée du Sud : selon Startup Fortune, un attaquant a utilisé Artex contre sept institutions financières sud-coréennes entre fin septembre et début octobre, dérobant les données personnelles d'environ 68 000 personnes. CrowdStrike a attribué l'attaque à un pirate sinophone qui avait laissé un répertoire ouvert en ligne. Censys estime que cette instance, exposée pendant des mois, contenait des données visant aussi des sociétés de paiement et de jeux.
- ConnectWise : début octobre, des pirates liés à la Chine ont utilisé Artex pour espionner des milliers d'organisations hébergées dans le cloud de Microsoft, via ce prestataire de logiciels de gestion informatique. Microsoft a souligné que l'attaque avait été si rapide que les défenseurs avaient eu peu de temps pour réagir, d'après TechCrunch.
- Au-delà : CrowdStrike évoque, selon Startup Fortune, l'utilisation d'Artex contre plus de 200 organisations dans 14 pays.
Le développeur a annoncé que l'outil deviendrait propriétaire et réservé à des clients payants. Mais des dizaines de copies du code circulent encore sur des plateformes de partage, relève AI News Weekly.
Ce que ça change pour les entreprises françaises
Le cas Artex n'est pas un problème lointain réservé aux banques asiatiques. Il touche directement les entreprises françaises de deux façons : comme cibles potentielles d'attaques plus rapides, et comme utilisatrices éventuelles d'outils d'agents mal configurés.
Les attaques vont plus vite, pas plus loin
Le point le plus important est sans doute celui-ci : selon TechCrunch, beaucoup des attaques liées à Artex ont exploité des faiblesses élémentaires, comme des mots de passe faibles ou connus et l'absence d'authentification multifacteur. L'IA accélère l'exploitation, mais elle passe encore par les mêmes portes. Pour une PME, les priorités restent donc :
- Activer la double authentification sur toutes les messageries, accès à distance et outils d'administration.
- Changer les mots de passe par défaut et interdire les mots de passe réutilisés.
- Surveiller ses prestataires : l'attaque via ConnectWise montre qu'un outil de gestion à distance compromis ouvre l'accès à de nombreux clients.
- Réduire le délai de réaction : avec des attaques automatisées, une alerte traitée le lendemain arrive trop tard. Un contrat de surveillance ou une procédure d'astreinte devient nécessaire.
Les agents internes aussi doivent être verrouillés
Le second enseignement concerne les entreprises qui déploient elles-mêmes des agents. Une console d'agent laissée ouverte sur Internet donne la main à n'importe qui. Les incidents récents suivis par le blog, comme l'intrusion chez Botpress, le montrent : les interfaces d'administration des agents et les clés d'accès qu'elles contiennent sont des cibles de choix. Côté défense, les grands acteurs investissent massivement, comme l'a illustré le rachat de Fiddler AI et Dreadnode par CrowdStrike.
Utiliser ces outils pour se tester soi-même ?
Startup Fortune suggère une piste défensive : sonder ses propres systèmes avec des outils de test d'intrusion avant que des attaquants ne le fassent. L'idée est séduisante, mais elle demande des précautions. Un outil d'origine inconnue, dont des copies circulent librement, peut contenir lui-même des portes dérobées. Mieux vaut passer par un prestataire reconnu, avec un périmètre écrit, une autorisation formelle de la direction et des créneaux définis, plutôt que d'installer soi-même un cadre offensif téléchargé sur une plateforme de partage de code.
Pour une PME, l'approche la plus réaliste reste souvent un audit régulier mené par un spécialiste, complété par une vérification simple : quels services de l'entreprise sont visibles depuis Internet, et lesquels n'ont aucune raison de l'être ? C'est exactement la question que Censys a posée aux utilisateurs d'Artex, et la réponse, des centaines de consoles ouvertes sans nécessité, vaut avertissement pour tous.
Les chiffres clés
| Indicateur | Valeur | Source |
|---|---|---|
| Consoles Artex exposées sans connexion (4 novembre) | 1 465 | Censys, via Startup Fortune |
| Installations d'apparence distincte | Environ 815 (« plus de 800 ») | Censys, via TechCrunch et Startup Fortune |
| Hôtes avec répertoires ouverts | 32 | Startup Fortune |
| Hôtes exécutant un autre outil malveillant | 155 | Startup Fortune |
| Institutions financières sud-coréennes visées | 7 | Startup Fortune |
| Personnes dont les données ont été volées en Corée du Sud | Environ 68 000 | Startup Fortune |
| Organisations visées selon CrowdStrike | Plus de 200 dans 14 pays | Startup Fortune |
| Date de publication de l'outil | Juillet 2026 | TechCrunch |
Limites et questions ouvertes
Plusieurs incertitudes demeurent. Les chiffres varient selon les sources, de « plus de 800 » à 1 465 consoles, selon que l'on compte ou non les déploiements en masse. Le nombre d'institutions sud-coréennes touchées diffère aussi d'un article à l'autre. Personne n'explique pourquoi tant de consoles sont accessibles alors que l'outil n'a pas besoin d'être exposé sur Internet.
Les attributions des attaques reposent sur les analyses de CrowdStrike et de Microsoft, rapportées par la presse : elles doivent être lues avec la prudence d'usage. Enfin, le passage d'Artex en logiciel propriétaire ne règle pas la question des copies déjà en circulation : limiter les nouveaux téléchargements et sécuriser les installations existantes sont deux chantiers différents.
Ce qu'il faut surveiller
- Les nouvelles campagnes utilisant des cadres d'agents offensifs, Artex ou ses dérivés.
- Les recommandations des autorités de cybersécurité sur les outils d'IA offensive en libre accès.
- Les offres de défense automatisée, qui promettent de répondre à la même vitesse que les attaquants.
- La sécurisation des consoles d'agents dans les entreprises, sujet encore peu traité dans les politiques internes.
En bref
- Censys a trouvé plus de 800 installations d'Artex, outil de piratage fondé sur des agents IA, ouvertes sur Internet sans mot de passe.
- L'outil a été relié à des attaques contre des banques sud-coréennes et contre le prestataire ConnectWise.
- Il automatise une attaque de la reconnaissance à l'exfiltration, avec peu d'intervention humaine.
- Les attaques exploitent encore surtout des mots de passe faibles et l'absence de double authentification.
- Pour les PME, la priorité reste l'hygiène de base, la vigilance sur les prestataires et la rapidité de réaction.
Sources
Connectez-vous pour aimer ou commenter.