CrowdStrike melaporkan pada 30 Oktober 2026 bahwa kelompok Vapor Panda, yang dikaitkan dengan Tiongkok, memakai ARTEX untuk menyerang lebih dari 200 organisasi sejak 17 Oktober 2026. ARTEX adalah kerangka uji penetrasi berbasis AI yang ditulis dengan bahasa Go. Semua angka dan atribusi di bawah ini bersumber dari analisis CrowdStrike, dan belum ada verifikasi independen yang kami temukan.
Cara kerja ARTEX dalam serangan
Menurut The Hacker News yang mengutip CrowdStrike, ARTEX dijalankan bersama DeepSeek dan satu model komersial berlangganan yang tidak disebutkan namanya. Agen AI bekerja dengan peran perencana dan pekerja, menjalankan beberapa operasi sekaligus, lalu berganti cara saat satu jalur gagal. Seorang operator manusia tetap mengawasi dan menyuruh agen menulis web shell, mengambil kata sandi admin domain, serta memeriksa cakupan sensor keamanan di endpoint. Dalam satu intrusi, agen perencana menghabiskan sekitar 1,4 miliar token masukan.
CyberScoop mencatat permintaan bisa datang setiap 10 detik, dan aktivitas manual yang biasanya sampai 40 perintah per jam bisa melonjak di atas 1.500 perintah per jam. Adam Meyers dari CrowdStrike menyebut ini pertama kalinya mereka melihat lawan negara berbasis agen AI pada skala sebesar ini. Kasus serupa pernah kami tulis pada laporan Sophos tentang GOLD OGRE, yang memakai agen AI untuk naik ke hak admin domain.
Siapa yang disasar dan seberapa jauh berhasil
Target yang disebut mencakup kementerian luar negeri di Amerika Latin, Eropa, Asia, dan Timur Tengah, kantor kepresidenan dan perdana menteri di satu negara Eropa, 19 organisasi di Amerika Serikat dari sektor farmasi, semikonduktor, pertahanan, nuklir, dan keuangan, serta operator telekomunikasi di Amerika Serikat, Belgia, dan Filipina. Indonesia tidak disebut dalam laporan yang kami baca, tetapi Filipina adalah satu-satunya negara Asia Tenggara yang tercantum.
Angka keberhasilan berbeda antarmedia. The Hacker News menulis pascaeksploitasi terkonfirmasi di sembilan organisasi, ditambah penyemprotan kata sandi dan pemindaian kredensial di sedikitnya 12 organisasi lain. CyberScoop menulis sekitar 140 target sensitif disusupi dalam 11 hari di sedikitnya 14 negara. Perbedaan ini belum dijelaskan, jadi pembaca sebaiknya menunggu laporan lengkap CrowdStrike.
Langkah yang perlu diambil pembaca
Laporan tidak memuat nomor CVE, versi terdampak, atau tambalan, sehingga tidak ada patch tunggal yang bisa dipasang. Teknik yang dipakai penyerang mencakup pemalsuan token admin dengan kunci autentikasi yang tidak diganti sejak 2022, asersi SAML tanpa tanda tangan yang digabung dengan celah XXE untuk menjangkau layanan metadata instans cloud, dan penyalahgunaan kata sandi LAPS. Berdasarkan teknik itu, tim keamanan bisa memeriksa rotasi kunci dan kredensial VPN lama, validasi SAML dan pemrosesan XML, pembatasan akses ke layanan metadata, serta akses LAPS dan pengaturan delegasi. Ini saran kami, bukan panduan resmi CrowdStrike.
Bagi organisasi di Indonesia, risiko praktisnya adalah kecepatan: kredensial lama yang dulu aman karena jarang dipindai kini bisa dicoba otomatis dalam jumlah besar. Pantau lonjakan percobaan login paralel dari alamat yang sama.
Sumber: The Hacker News dan CyberScoop. Gambar: The Hacker News