6 ноября 2026 года Censys сообщила о результатах сканирования: в открытом интернете нашлось более 800 отдельных развёртываний Artex, каждое из которых открывалось без пароля. Artex - открытый автономный инструмент для тестирования на проникновение, бесплатный для скачивания и запуска на собственных серверах.
Microsoft описывала Artex как систему AI-агентов, способную вести кибератаки «от разведки до вывода данных с минимальным участием человека». С момента публичного релиза в июле инструмент связывают с несколькими кибератаками, включая финансовый сектор Кореи и IT-компанию ConnectWise.
Формулировка «доступны без пароля» означает отсутствие аутентификации на входе. Это не взлом и не доказательство злонамеренного использования. Principal security researcher Censys Silas Cutler прямо оговорился: не каждый найденный экземпляр применяют во вред, многие запущены авторизованными тестировщиками. Риск при этом остаётся. Сервер, на котором лежат атакующие инструменты и который отвечает кому угодно, создаёт проблему независимо от намерений владельца.
Что случилось: Censys нашла более 800 открытых развёртываний Artex
Censys сканирует адресное пространство интернета и ищет сервисы, которые отвечают на запросы снаружи. В поле зрения попали веб-интерфейсы Artex, отдававшие страницу входа или работавшие вовсе без неё. Метод важен для оценки масштаба: речь о пассивном перечислении доступных сервисов, а не об эксплуатации уязвимостей и не об атаке на владельцев.
Censys назвала цифру «более 800» и не привела разбивку по странам, провайдерам и версиям. Поэтому судить о географии или о доле злонамеренных инсталляций по этой находке нельзя. Можно судить о другом: такое количество систем с атакующей функциональностью годами остаётся видимым снаружи.
Кто такой Silas Cutler и почему его оценка важна
Silas Cutler занимает должность principal security researcher в Censys и написал блог, на который опирается новость. Его рамка задаёт тон всей истории: находка говорит о гигиене развёртывания, а не о волне атак. Сканер видит только то, что доступно снаружи без учётных данных, и это же видит любой другой человек с похожим инструментом.
Оговорка про авторизованных тестировщиков снимает часть паники. Она не отвечает на вопрос, зачем платформа с модулями эксплуатации и имплантами слушает запросы из любой точки мира без второго фактора. Ответ обычно бывает скучным: быстро подняли, забыли закрыть.
Чем Artex отличается от обычного пентест-сканера
Классический сканер уязвимостей выполняет одну работу: находит. Artex, по описанию Microsoft, проходит цепочку целиком, включая эксплуатацию и вывод данных, при минимальном участии человека. Разница в том, кто принимает решения по ходу атаки: оператор за клавиатурой или модель внутри агентного цикла.
Вторая деталь касается доступности. Передовые модели для кибербезопасности от Anthropic и OpenAI доступны не всем желающим, а Artex скачивается свободно и поднимается на своём сервере. Отсюда одновременно популярность и разброс качества развёртываний: от лабораторного стенда под присмотром до забытой VPS с публичным IP.
Почему экземпляры Artex оказались публично доступны
Инструмент не требует, чтобы его панель смотрела в интернет. Публичный доступ появляется из решений того, кто разворачивал: какие порты открыты, включена ли аутентификация, кто отвечает за обновления. Типичный сценарий выглядит так: систему поднимают на вечер для проверки, она остаётся работать, возвращаться к настройке никто не планирует.
Слабые пароли и отсутствие MFA как основной вектор
Многие атаки, связанные с Artex, шли через простые слабости: подбор слабых или известных паролей и отсутствие многофакторной аутентификации. Это не изощрённая эксплуатация zero-day, а перебор учётных данных и вход через панель, к которой не прикручен второй фактор.
Логика простая. Если сервис отвечает на запросы из интернета, его страницу входа найдут боты перебора в течение часов. Пароль, который легко угадать или который уже светился в чужих утечках, для такого сервиса равносилен отсутствию пароля.
Open directory: как публичный каталог выдаёт систему
Open directory - это каталог на сервере, который отдаёт список файлов любому посетителю без авторизации. Для развёртывания AI-агента такая мелочь обходится дорого: рядом с конфигами лежат логи прогонов, выгрузки и рабочие артефакты.
Именно открытый каталог стал одной из зацепок в корейском кейсе. CrowdStrike связала атаки на финансовый сектор Кореи в сентябре с китайскоязычным хакером, использовавшим экземпляр Artex, в том числе потому, что тот оставил «open directory», где размещалась система. По данным Censys, этот экземпляр был публично открыт месяцами.
Какие риски создают открытые экземпляры AI-агента для пентеста
Публично доступные экземпляры Artex раскрывают атакующие инструменты, включая импланты - скрытое вредоносное ПО, которым компрометируют сеть жертвы и закрепляются в ней надолго. Открытый сервер пентест-платформы отдаёт и её код, и рабочие артефакты операций.
| Кому грозит | Что происходит | Почему |
|---|---|---|
| Владельцу развёртывания | Компрометация собственной инфраструктуры и репутационные потери | Панель без аутентификации открывает доступ к системе и её окружению |
| Третьим сторонам | Утечка инструментов и данных атак | На диске лежат импланты, логи и результаты прогонов |
| Экосистеме | Тиражирование готовых имплантов | Скачанный артефакт работает без автора и без его участия |
Импланты и данные атак: что именно лежит на открытом сервере
Имплант - компактная программа, которую внедряют на машину внутри сети жертвы, чтобы возвращаться туда снова. Пентест-платформа собирает такие артефакты по ходу работы и складывает рядом с собой. Если каталог открыт, посторонний забирает готовый инструмент закрепления, адаптированный под конкретную среду.
Масштаб утечки видно по тому же корейскому кейсу. По данным Censys, экземпляр Artex, фигурировавший в атаках, был открыт месяцами и содержал данные атак, выходящих за пределы южнокорейских банков, включая платёжные и игровые компании.
Связь Artex с реальными инцидентами: Корея, ConnectWise и облако Microsoft
Первый кейс - финансовый сектор Кореи, сентябрь. CrowdStrike связала атаки с китайскоязычным хакером, использовавшим экземпляр Artex. Атрибуция опиралась в том числе на открытый каталог с системой: исследователи видели ту же инфраструктуру, что и любой случайный посетитель.
Второй кейс - октябрь, IT-компания ConnectWise. Artex использовался в атаке, которая позволила связанным с Китаем хакерам шпионить за тысячами организаций, чьи данные и файлы размещены в облаке Microsoft.
Microsoft в блоге указала, что хакеры применяли Artex для входа в облачные среды клиентов и кражи данных с такой скоростью, что у защитников оставалось «мало времени на обнаружение и реагирование».
Почему скорость агента меняет правила игры для защитников
Ручной пентест растянут во времени: разведка, отчёт, согласование, эксплуатация. Агентная система проходит эти шаги в одном прогоне. Защитнику достаётся узкое окно, в котором подозрительную активность нужно заметить, подтвердить и заблокировать.
Отсюда практический вывод для тех, кто внедряет агентов: логирование и алерты по аномальному доступу нужны до запуска, а не после. Как быстро цепочка выходит за пределы задуманного, видно на разборе побега агента OpenAI из тестовой среды и последующего взлома Hugging Face.
Что кейс говорит о безопасности AI-агентов как класса
Мощная агентная система требует такой же дисциплины конфигурации и контроля доступа, как база данных с персональными данными или CI-раннер. Разница в цене ошибки. Забытая панель сканера уязвимостей раздражает, забытая панель автономного агента с имплантами раздаёт инструменты атаки.
Второй сигнал идёт от самого сообщества. В открытом каталоге нашлись файлы документации ARTEX-ymh - форка автономной платформы для тестов на проникновение ARTEX. В них описаны модуль обнаружения ловушек-приманок и меры защиты AI-агентов от таких ловушек. Иначе говоря, разработчики уже думают о том, как агент не должен попадаться в чужую западню.
Нормы безопасности агентных систем формируют и крупные провайдеры. Anthropic и OpenAI держат доступ к продвинутым моделям для кибербезопасности закрытым для части пользователей, и именно это ограничение подталкивает рынок к открытым self-hosted решениям. Плата за доступность - ответственность за конфигурацию на стороне владельца. Тему автономности и её границ мы разбирали в материале об этике и безопасности автономных AI-агентов.
Практический чек-лист: как не открыть своего AI-агента в интернет
Список ниже снижает риск и не заменяет аудит. Для пентест-инструментов действует отдельное правило: тестовые и боевые сети не должны пересекаться, а артефакты прогонов не хранятся на публично доступном хосте.
- Включите аутентификацию на всех панелях, включая веб-интерфейс агента, API и панель управления контейнерами.
- Добавьте MFA для входа и для операций, меняющих состояние системы.
- Уберите дефолтные и известные пароли: при первом запуске меняйте креды до открытия портов наружу.
- Закройте доступ по сети: VPN, allowlist адресов или приватная подсеть вместо публичного IP.
- Проверьте каталоги и файловые листинги: открытый список файлов отдаёт логи и импланты.
- Ведите инвентаризацию развёрнутых сервисов и периодически сканируйте свои адреса снаружи.
- Настройте логирование доступа и алерты на входы из незнакомых сетей.
Пункт про инвентаризацию недооценивают чаще всего. Censys нашла Artex именно потому, что системы отвечали на запросы снаружи, и тот же приём работает в обратную сторону: регулярная проверка собственных адресов показывает, что о вас знает внешний наблюдатель. Как устроены подобные провалы изоляции на уровне инфраструктуры, разобрано в материале про уязвимость в Artifactory и побег агента из песочницы.
Что будет с Artex после перехода на closed-source
Artex объявил о переходе на закрытый исходный код, что ограничивает дальнейшие релизы для платных клиентов. Для уже развёрнутых систем это меняет мало. Код разошёлся, на площадках обмена кодом по-прежнему лежат десятки копий, и каждая из них запускается без участия автора.
Форки вроде ARTEX-ymh живут отдельной жизнью и развиваются по своим правилам. Закрытие исходников не отзывает распространённые версии и не закрывает экземпляры, которые уже отвечают из интернета.
Начните с одного действия: пройдитесь по списку своих публичных адресов и посмотрите, что на них отвечает. Если в ответе узнаваемая панель агента, пентест-платформы или файловый листинг, у вас есть проблема, которую стоит закрыть до того, как её найдёт сканер.