Autonome KI-Agenten sollen Pentesterinnen und Pentestern eigentlich Routinearbeit abnehmen. Die quelloffene chinesische Plattform ARTEX tut genau das – nur zunehmend für die falsche Seite. Am 5. November 2026 veröffentlichte Check Point Research eine Analyse, nach der Kriminelle ARTEX als vollautomatischen Angriffsbaukasten einsetzen. Am selben Tag beschrieb Microsoft parallel, wie dieselbe Software in Azure-Umgebungen nach exponierten Geheimnissen sucht. Beide Berichte zeichnen das Bild einer Pentest-KI, die mangels Absicherung selbst zum größten Risiko geworden ist.

ARTEX steht seit Juli 2026 auf chinesischen Code-Portalen zum freien Download. Die Plattform orchestriert mehrere Sprachmodelle, die abwechselnd Aufklärung planen, Werkzeuge aufrufen und Ergebnisse auswerten. Standardmäßig greift sie auf Nmap, curl, wget, Python-HTTP-Clients und einen headless-Chromium zurück. Als Antriebsmodell ist laut Check Point häufig Deepseek Flash eingetragen, lokale Alternativen lassen sich anbinden. Das Besondere: Sobald ein Ziel definiert ist, läuft der Rest ohne Eingriff. Check Point hält im Bericht fest, die beobachteten Angriffe seien bis auf das initiale Zielsetup „fully autonomous“ gewesen.

Was Check Point und Microsoft beobachtet haben

Check Point identifizierte 2.557 bekannte ARTEX-Installationen weltweit, davon 1.608 live und öffentlich erreichbar. Zehn dieser Instanzen gaben ihre Datenbank vollständig preis – und damit die Historie jedes bisher ausgeführten Auftrags. Aus diesem Datenmaterial rekonstruierten die Forschenden mehrere konkrete Kampagnen: Angriffe auf rund zehn Shops für Apple-Signing-Zertifikate mit mehr als 300 erbeuteten .p12-Dateien, 292 Attacken gegen Krypto-Infrastruktur mit dem Ziel, Remote-Code-Execution-Lücken für Wallet-Diebstahl zu missbrauchen, sowie ein Zugriff auf ein Datenleak mit rund 190.000 Zugangsdaten eines chinesischen Mobile-Games, aus dem laut Check Point rund 6.000 Konten tatsächlich übernommen wurden. Diese Zahlen stammen aus getrennten Kampagnen und dürfen nicht zu einer gemeinsamen Opferzahl addiert werden – Check Point weist ausdrücklich darauf hin, dass jede Welle ein eigenes Ziel verfolgte.

Auffällig ist, dass die Forschenden in den exponierten Datenbanken auch die Protokolle einzelner Agenten-Durchläufe fanden. Die KI arbeitet dort wie ein unerfahrener, aber zäher Praktikant: Sie probiert in Schleifen bekannte Angriffsmuster aus, schraubt Payload-Varianten durch und meldet bei jedem Treffer zurück. Zu den ausgenutzten Schwachstellenklassen zählen laut Check Point Remote Code Execution, Insecure Direct Object References, Server-Side Template Injection, hartcodierte Anmeldedaten, fehlende Authentifizierung und Rechteausweitung auf Linux-Systemen. Das sind alles bekannte Problemklassen – neu ist nur das Tempo, in dem sie abgegrast werden.

Microsofts Threat-Intelligence-Team dokumentiert eine andere Facette. Dort tauchte ARTEX seit August 2026 in Angriffen auf, bei denen die KI gezielt GitHub nach Organisationsnamen, Secret-Schlüsselwörtern und Begriffen rund um Cloud-Dienste absucht. Fündig wurde sie unter anderem bei vergessenen OAuth-Client-Secrets, Azure-Connection-Strings und API-Schlüsseln für Managed-Identity-Dienste. In einem dokumentierten Fall lagen laut Microsoft nur rund fünf Minuten zwischen der GitHub-Suche und einer Datenexfiltration aus einem Azure Key Vault. Angegriffen wurden außerdem Azure Storage Accounts, Azure AI Services, SharePoint, OneDrive, Azure Virtual Machines über Run Command, Azure SQL Server, Application Insights und Azure DevOps. Harte Opferzahlen nennt Microsoft nicht, sondern spricht von „multiple customers“ und „multiple organizations“ seit Spätsommer. Der Beobachtungszeitraum reicht laut Blog-Eintrag bis mindestens 28. Oktober 2026.

Was GitHub-Suchen besonders gefährlich macht

Der Trick in diesen Fällen ist denkbar einfach: Die KI setzt eine Reihe von Suchanfragen auf GitHub ab, die Zielorganisation plus typische Secret-Namen wie AZURE_CLIENT_SECRET, SAS_TOKEN oder CONNECTION_STRING kombinieren. Wird sie fündig, prüft ein zweiter Agent, ob die gefundenen Zugangsdaten tatsächlich noch gültig sind. Ist das der Fall, löst ein dritter Agent die passenden Cloud-Operationen aus. Microsoft rät in der Konsequenz, Secret-Scanning nicht nur für neue Commits einzuschalten, sondern den gesamten Repository-Verlauf regelmäßig gegen Treffer-Datenbanken zu prüfen. Werkzeuge wie GitHub Advanced Security, trufflehog oder gitleaks sind inzwischen kostenlos für private Repos verfügbar.

Symbolbild: Person mit Kapuze vor einem Bildschirm mit Binärcode

Bild: Symbolbild zur anonymen Angreiferrolle – ARTEX macht genau diese Figur zur Software. Foto: David Whelan, Lizenz CC0, via Wikimedia Commons.

Warum offene ARTEX-Instanzen so gefährlich sind

Die öffentlich zugänglichen ARTEX-Installationen stammen überwiegend von Nutzern, die den Container für eigene Tests ins Netz gestellt und die Zugangskontrolle vergessen haben. TechCrunch beziffert die Zahl der exponierten Deployments in einem Bericht vom 6. November 2026 auf über 800 – die Zahlen der Quellen unterscheiden sich, weil Check Point offenbar eine umfassendere Erhebung mit zusätzlichen Scanner-Treffern vorgenommen hat. Für Kriminelle ist die Hemmschwelle gering: Sie können fremde Instanzen übernehmen, dort eigene Aufträge starten oder die laufenden Kampagnen anderer abgreifen, inklusive bereits erbeuteter Zugangsdaten. Nach Angaben der ARTEX-Entwickler soll das Projekt künftig als Closed Source weiterlaufen, zahlreiche geklonte Repositories bleiben jedoch öffentlich.

Microsoft weist zudem darauf hin, dass die KI keine neuen Schwachstellen finden muss. Sie macht etablierte Angriffe nur sehr viel schneller. Wer Secrets in öffentlichen Repositories vergisst oder OAuth-Anwendungen mit kurzen Client-Secrets betreibt, ist mit ARTEX innerhalb von Minuten durchgespielt. Die klassische Faustregel – „bis das jemand ausnutzt, habe ich das längst rotiert“ – schrumpft damit von Wochen auf einen Lidschlag. Interessant ist dabei die Auswahl der Werkzeuge, die ARTEX von sich aus mitbringt: klassische Portscanner, HTTP-Clients und Headless-Browser. Nichts davon ist exotisch – genau deshalb fällt der Datenverkehr in vielen Umgebungen kaum auf, solange niemand gezielt nach den typischen User-Agent-Strings sucht.

Was du jetzt tun solltest

  • Eigene ARTEX-Instanzen prüfen: Container nie ohne Reverse Proxy, Basic Auth oder IP-Beschränkung ins Netz hängen. Ein kurzer Blick auf ss -tnlp oder in die Firewall-Regeln verrät, ob der Dienst wirklich nur intern erreichbar ist.
  • Repositories scannen: GitHub Advanced Security, trufflehog oder gitleaks gegen den gesamten Historienbaum laufen lassen. Ein geleakter Schlüssel bleibt ein Risiko, bis er rotiert ist – löschen aus dem aktuellen Stand reicht nicht.
  • OAuth-Clients härten: Microsoft empfiehlt, von klassischen Client-Secrets auf Managed Identities oder zertifikatsbasierte Authentifizierung zu wechseln und Least Privilege für Service Principals konsequent durchzusetzen.
  • Audit-Logs auswerten: In Azure helfen die Signale von Defender for Cloud, in AWS entsprechend CloudTrail-Events mit ungewöhnlichen User-Agent-Strings. Besonders verdächtig sind viele Lesezugriffe aus wechselnden Regionen innerhalb weniger Minuten.
  • Angriffsannahme trainieren: Für Blue-Team-Übungen eignet sich ARTEX im abgeschotteten Labornetz hervorragend als Red-Team-Simulator. So lassen sich Erkennungsregeln an realen KI-Verhaltensmustern schärfen, statt nur an synthetischen Szenarien.
  • Secret-Rotation automatisieren: Statt Schlüssel manuell zu erneuern, hilft eine Pipeline, die Secrets regelmäßig tauscht und Alarm schlägt, wenn ein Rotationsintervall überschritten wird. Bei ARTEX-Tempo zählt jede Minute.

Einordnung

ARTEX ist nicht die erste frei verfügbare Pentest-KI, aber die erste, die sich in großem Stil in laufenden Kampagnen beobachten lässt. Dass die Plattform vor allem von weniger erfahrenen Täterinnen und Tätern genutzt wird, zeigt sich an schwachen OpSec-Fehlern – offene Dashboards, voreingestellte Zielskripte, unverschleierte IP-Adressen. Für Verteidiger heißt das zweierlei: Erstens lassen sich Angriffe aktuell noch gut an Standard-Toolchains und typischen Request-Mustern erkennen. Zweitens wird diese Phase nicht lange anhalten – spätestens, wenn Closed-Source-Varianten mit eigener Infrastruktur kommerziell angeboten werden, dürfte sich das Bild deutlich verschieben.

Bemerkenswert ist auch, dass die chinesischen Modelle in den Logs dominieren, obwohl westliche Alternativen technisch verfügbar wären. Check Point führt das darauf zurück, dass Deepseek Flash deutlich günstiger zu betreiben ist und ohne westliche Content-Filter auskommt. Wer sich auf steigende Automatisierung in der Angreiferlandschaft einstellt, sollte daher nicht nur die bekannten Red-Team-Frameworks wie Sliver oder Mythic im Blick behalten, sondern auch neue KI-basierte Werkzeuge in die eigene Bedrohungsmodellierung aufnehmen. Der Zeitvorsprung, den ein ungepatchter Fehler in einem Repository früher bedeutete, ist mit solchen Werkzeugen praktisch verschwunden.

Quellen

Bildnachweis