ABD Federal Soruşturma Bürosu (FBI), 13 Kasım 2026 tarihinde «Threat Overview of ARTEX Autonomous Penetration Testing Framework» başlıklı ve FLASH-20261113-001 numaralı TLP:CLEAR uyarısını yayımladı. Bildirimde açık kaynaklı ve yapay zekâ ajanlı sızma testi çatısı ARTEX'in, çeşitli kötü niyetli siber aktörler tarafından keşiften veri sızdırmaya kadar tüm saldırı aşamalarını makine hızında otomatikleştirmek amacıyla kullanıldığı bildirildi. FBI, araçla ilişkili taktik, teknik ve prosedürler (TTP) ile saldırı göstergelerini (IOC) kamuoyuyla paylaştı.
Üç Saatten Kısa Sürede Ayrıcalıklı Erişim
Go programlama diliyle geliştirilen çok ajanlı otonom sızma testi platformu ARTEX, doğal dille girilen üst düzey hedefleri ajanların çalıştırdığı makine komutlarına dönüştürüyor ve başlangıç hedefinden sonra çok az insan müdahalesine ihtiyaç duyuyor. Kendi yerleşik yapay zekâ modeli bulunmayan platform; Anthropic Claude ve OpenAI GPT'nin yanı sıra DeepSeek, GLM, Grok ve Kimi gibi açık kaynak veya Çin menşeli büyük dil modelleriyle çalışabiliyor. FBI verilerine göre saldırgan kontrolündeki kurulumlarda Çin menşeli modeller en yaygın seçenek konumunda bulunuyor; özellikle DeepSeek Flash ailesi, düşük maliyeti ve işlem sızma testi olarak çerçevelendiğinde gözle görülür bir koruma bariyeri barındırmaması nedeniyle baskın olarak tercih ediliyor.
En az Ağustos 2026'dan bu yana kötü niyetli aktörlerce kullanılan araç; dünya genelinde finans, kamu, teknoloji, savunma, yarı iletken, enerji, sağlık, imalat, telekomünikasyon ve hukuk sektörlerini hedef alıyor. FBI, bazı saldırılarda ilk hedeflemeden ayrıcalıklı erişime üç saatten kısa sürede ulaşıldığını ve teknik bilgisi sınırlı aktörlerin bu sayede aynı anda çok hedefli karmaşık operasyonlar yürütebildiğini aktardı.
Güney Kore Bankaları ve ConnectWise Saldırıları
FBI bildiriminde öne çıkan operasyonlar arasında mali amaçlı kampanyalar ve tedarik zinciri ihlalleri yer alıyor. Güney Kore bankalarındaki ARTEX saldırıları kapsamında finans kuruluşlarından yaklaşık 67.000 kişinin kişisel verisi sızdırıldı. Ayrıca ConnectWise Cloud Backup müşterilerini etkileyen bir tedarik zinciri saldırısında 2.250'den fazla alt kiracıya erişim sağlandı. ARTEX'in kötüye kullanımı daha önce Microsoft (6 Kasım) ve Google Threat Intelligence tarafından da raporlanmıştı; aracın kullanıldığı vakalar arasında Chainstack ARTEX saldırısı gibi olaylar da kayıtlara geçmişti.
GitHub'dan Kaldırılmasına Rağmen Yayılım Sürüyor
ARTEX ilk olarak Temmuz 2026'da GitHub üzerinde «Autumn-27» adlı hesap tarafından yayımlandı ve 10 hafta içinde tahminen 1.500 ila 2.000 yıldıza ulaştı. The Record tarafından aktarılan bilgilere göre geliştirici, Çinli siber güvenlik mühendisi Li Puhua olarak tanımlandı. Aracın yetkili testler için geliştirildiğini belirten ve kötüye kullanıma dair sorumluluğu reddeden geliştirici, 8 Ekim 2026'da ana depoyu yayından kaldırdı. Ancak yazılım; çatallanmış kopyalar, yerelleştirilmiş sürümler, arşivler ve ticari sürüm olan ARTEX PRO aracılığıyla yayılmaya devam ediyor. FBI, Kasım 2026 başı itibarıyla internete açık 1.600'den fazla ARTEX konsolu tespit edildiğini açıkladı.
Çevre Sistemlerin İstismarı ve Gözlenen Teknikler
FBI tablosuna göre saldırganlar ARTEX ile SAS token, Service Principal ve Storage Account anahtarları gibi Azure kimlik bilgilerinin yetkilerini saniyeler içinde haritalayabiliyor. Operasyonlarda imzasız SAML iddiaları, XXE, SSRF, SQL enjeksiyonu, komut enjeksiyonu ve kimlik doğrulama atlatma yöntemlerinin yanı sıra çalınmış VPN yapılandırmaları, sızmış kimlik bilgileri ve tedarikçi hesaplarıyla B2B federasyon üzerinden geçiş teknikleri kullanılıyor. Sistemlere kalıcılık ve uzaktan erişim için JSP ve PHP tabanlı web shell'ler ile WISP, vshell ve AdaptixC2 gibi açık kaynak uzaktan erişim truva atları (RAT) yerleştiriliyor. İç ağda ise Kerberoasting, DCSync, 110.000'den fazla Active Directory nesnesinin taranması, LAPS parolalarının okunması ve verilerin webhook.site uç noktalarına gönderilmesi gözlemlendi.
Büroya göre platform, ana uygulamalardan daha az ilgi gören iş ortağı ve tedarikçi portalları, mobil arka uçlar, çalışan uygulamaları, satış destek sistemleri, eski servisler ve üçüncü taraf entegrasyonları gibi çevre sistemleri istismar etmede yüksek başarı gösteriyor. Araç yüksek hacimli ve gürültülü bir ağ trafiği üretmesine karşın operasyon hızı savunma ekiplerine tepki süresi bırakmıyor. FBI; internete açık uygulama, self-servis portal, bulut altyapısı ve iş ortağı veya tedarikçi sistemi işleten kurumlara internete açıklığı azaltma, en az yetki ilkesini işletme, API hız sınırlama ve yüksek frekanslı otomatik etkinliği izleme gibi uyarıda yer alan önlemleri uygulamayı öneriyor.
Kaynaklar
Kapak görseli: ABD Hava Kuvvetleri / Master Sgt. Renae Pittman, Wikimedia Commons, kamu malı (TACET VENARI savunma siber tatbikatında eğitim hedeflerine saldırı başlatan siber savunma uzmanı, Ramstein, 8 Mart 2019; ARTEX olayına ait değildir; 16:9 kırpıldı, 1200x675).
Sık sorulan sorular
ARTEX nedir ve nasıl çalışır?
ARTEX, Go diliyle yazılmış, açık kaynaklı ve büyük dil modeli (LLM) güdümlü çok ajanlı otonom bir sızma testi platformudur. Kendi modeli yoktur; Claude, GPT, DeepSeek, GLM, Grok ve Kimi gibi dış modelleri kullanarak doğal dille verilen hedefleri makine komutlarına çevirir ve çok az insan müdahalesiyle saldırı aşamalarını yürütür.
FBI ARTEX saldırılarının hızı ve etkisi hakkında ne açıkladı?
FBI, 13 Kasım 2026 tarihli FLASH-20261113-001 uyarısında bazı saldırıların ilk hedeflemeden ayrıcalıklı erişime üç saatten kısa sürede ilerlediğini bildirdi. Güney Kore finans kuruluşlarından yaklaşık 67.000 kişinin verisi sızdırılırken ConnectWise Cloud Backup tedarik zinciri saldırısında 2.250'den fazla alt kiracıya erişim sağlandı.
ARTEX GitHub üzerinden kaldırıldığı halde neden hala aktif?
Geliştirici Autumn-27 (The Record'a göre Li Puhua) depoyu 8 Ekim 2026'da GitHub'dan kaldırdı ancak yazılım çatallar, yerelleştirilmiş sürümler, arşiv kopyaları ve ticari ARTEX PRO sürümü üzerinden yayılmayı sürdürüyor. Kasım 2026 başı itibarıyla internete açık 1.600'den fazla ARTEX konsolu tespit edildi.
ARTEX en çok hangi sistemleri hedef alıyor?
FBI'a göre araç; iş ortağı ve tedarikçi portalları, mobil arka uçlar, çalışan uygulamaları, satış destek sistemleri, eski servisler ve üçüncü taraf entegrasyonları gibi ana uygulamalardan daha az ilgi gören çevre sistemleri istismar etmede öne çıkıyor.
.jpg){kind=link}