微软11月6日表示，一个以牟利为目的、位于柬埔寨的黑客组织自10月起使用名为ARTEX的人工智能工具，攻击东南亚的金融机构，另有少数其他地区的大型金融机构也被列入目标。微软以Storm-3358为代号追踪该组织，但报告未说明受害者人数、损失金额或具体涉及哪些国家。

据微软描述，ARTEX是一套免费软件，由多个AI“代理”组成，可自动完成从探测弱点到窃取数据的整场渗透测试，几乎无需人工介入，并能配合多种AI模型使用。该工具由中国一名工程师为合法的安全测试开发，7月26日发布在GitHub上；被滥用后，作者转为闭源，但副本仍在流传。微软称，该组织用ARTEX配合常规自动化工具扫描联网系统，利用无需登录即可上传文件等漏洞，再植入开源远程控制软件以驻留并在网络内横向移动。

微软指出，这类技术本身并不新鲜，区别在于速度：AI会连续尝试多种变体，并在数秒内进入下一步。ARTEX并非首次出现。10月初，CrowdStrike将其与9月底以来针对韩国金融机构的一次行动联系起来，攻击者当时使用ARTEX和Anthropic的Claude模型；CrowdStrike以中等置信度判断攻击者讲中文、动机为金钱。10月21日，微软还披露了规模更大的案例：被其评估与中国政府有关联的Storm-0940自9月起用ARTEX自动化攻击数百家跨行业机构，个别案例从选定目标到取得云基础设施高权限不足3小时，但多数攻击未成功。

在ConnectWise备份应用遭入侵一事中，该组织用ARTEX尝试登录超过2250家使用Microsoft 365的机构。其中10月10日至14日的一轮密码探测针对8家机构的327个账户，产生超过15.1万次登录失败，峰值达每分钟2900次，微软称该轮未记录到任何成功登录，并强调事件并非源于微软系统漏洞。11月5日，微软补充说，ARTEX还被用于在GitHub上搜索被误公开的应用密钥和机密信息。

互联网扫描公司Censys本周表示，截至11月4日，共发现1465台服务器将ARTEX控制面板暴露在互联网上，约相当于815个不同部署，其中726台在美国、387台在香港、177台在中国，另有32台仍开放存放攻击工具的目录。Censys提醒，部分机器可能由合法测试人员运行，并非全部属于恶意方。微软建议用诱饵系统、限速机制和制造“假胜利”来拖住AI，并指出按特征拦截不足以阻止攻击，因为AI改变手法很快。