Ein autonomer KI-Agent lief in ein internes Vertriebstool von WorkOS, und das Unternehmen nannte das Framework beim Namen. Was ARTEX ist, warum es plötzlich überall auftaucht und was es noch stoppt.
Am 2. November meldete WorkOS, dass sich jemand am 30. Oktober unbefugten Zugang zu einer internen Vertriebsanwendung verschafft hat. Der CEO tat, was fast kein Betroffener tut: Er nannte das Werkzeug, offiziell und on the record. ARTEX, ein autonomes Open-Source-Framework für Penetrationstests, war die Waffe der Wahl. Produktionssysteme blieben unberührt, aber im Vertriebstool lag das unangenehme Material: Geschäftskontakte, Kundenbeziehungen, Gesprächszusammenfassungen und Slack-Auszüge aus Kundengesprächen.
Genau das sollte Sicherheitsteams nachts wachhalten. Die gestohlenen Daten sind keine bloße Compliance-Häkchenübung. Sie sind der Rohstoff für Phishing, das dein letztes echtes Gespräch mit dem Anbieter zitiert und überzeugend genug ist, die Person am Telefon zu täuschen.
Was bei WorkOS tatsächlich passiert ist
WorkOS entdeckte den Vorfall am 30. Oktober, kappte den externen Zugang zur Anwendung, holte ein externes Incident-Response-Team und begann, die Zugriffskontrollen zu prüfen. Die öffentliche Einschätzung der abgeflossenen Daten liest sich wie der Albtraum jedes Vertriebsteams: Namen, geschäftliche E-Mails, Telefonnummern, Titel, Firmenzugehörigkeiten, Kontoverläufe, Zusammenfassungen von Vertriebsgesprächen, Support-Diskussionen, Slack-Auszüge und Nutzungs-Metadaten.
Das Unternehmen sagte deutlich, warum das über den üblichen Breach-Alarm hinausgeht. Support-Threads und Gesprächszusammenfassungen geben einem Angreifer den Kontext, um WorkOS überzeugend zu imitieren, oder um sich gegenüber WorkOS als Kunde auszugeben. Wenn die Folgemail korrekt den Tag nennt, an dem deine Vertragsverlängerung hakte, sieht der Link darin aus wie das Seriöseste in deinem Postfach.
Aus der Anwendung selbst wurden keine Zugangsdaten entwendet, und keine produktiven Authentifizierungssysteme wurden kompromittiert. Das ist die gute Nachricht und zugleich das Muster: ARTEX muss nicht die Kronjuwelen knacken. Es braucht ein exponiertes internes Tool mit einem funktionierenden Login.
ARTEX ist ein Werkzeug, keine Schwachstelle
Hier ist die entscheidende Neubewertung. ARTEX ist keine neue Fehlerklasse. Es ist ein Framework, eine Go-Anwendung mit Web-Konsole, mit dem ein Operator mehrere KI-Agenten startet, die Angriffsschritte selbst planen und ausführen. Es ist modellagnostisch: Man gibt ihm ein LLM, und es koordiniert Aufklärung, Credential-Versuche, Ausnutzung und Reporting über mehrere Agentensitzungen hinweg, im Maschinentempo.
Es wurde offen auf GitHub von einem Autor unter dem Namen Autumn-27 veröffentlicht, bis das Repository im Oktober 2026 wegen weitverbreiteten Missbrauchs entfernt wurde. Die Entfernung half nicht. Forks zirkulieren weiter, und Threat-Intelligence-Teams haben mehrere Akteure beobachtet, die sie übernommen haben, einige finanziell motiviert, andere mit Verdacht auf staatliche Unterstützung.
Die unbequeme Erkenntnis: Das Schwierige am Pentesting waren nie die exotischen Exploits. Es waren Enumeration, Credential-Raten, das Verketten kleiner Fehler und das Ganze schneller als die Verteidigung schaffen. Genau darin sind Agenten gut.
Die Spur: von 2.250 Tenants zu einem Broker
ARTEX kam nicht mit WorkOS. Das Framework taucht seit Wochen in Incident-Berichten auf.
Die Storm-0940-Kampagne von Microsoft, im Oktober veröffentlicht, nutzte ARTEX für Anmeldeversuche gegen mehr als 2.250 Tenants und kompromittierte zugleich viele derselben Ziele. Analysten betonten die Geschwindigkeit: In einem beobachteten Fall lagen zwischen Erstansprache und privilegiertem Zugriff weniger als drei Stunden.
CrowdStrike brachte ARTEX mit Angriffen auf südkoreanische Finanzinstitute in Verbindung, die mit gestohlenen Daten endeten, und verknüpfte es separat mit einer Welle ab Mitte Oktober gegen mehr als 200 Organisationen, mit bestätigter Post-Exploitation bei neun von ihnen. Die Analysten bemerkten, dass die Angreifer das Framework mit Modellen wie DeepSeek v4.1-flash als Hauptsitzung betrieben und GLM-5.3 sowie Grok 4.6 für zusätzliche parallele Angriffssitzungen hochfuhren.
Dann ist da das größte behauptete Opfer. GMO Internet bestätigte, dass Angreifer in Onamae.com Desktop Cloud eingedrungen sind, einen Miet-Windows-Server-Dienst, der bei privaten Devisenhändlern mit automatisierten Handelsbots beliebt ist. Bis zu 26.739 Server könnten betroffen sein, und mit gestohlenen Zugangsdaten wurden unbefugte Orders bei Kundenbrokern platziert. Der GMO-CEO verwies auf ARTEX als Werkzeug hinter dem Angriff, wobei die öffentliche Aktenlage eher "behauptet" als "bestätigt" stützt, und das Eingeständnis, interne Ingenieure hätten Schwachstellen gemeldet, die nie behoben wurden, macht die KI-Werkzeug-Story komplizierter.
Warum sich das anders anfühlt
Verteidiger kennen die Geschichte vom schlauer gewordenen Angreifer. Der Unterschied: Intelligenz ist jetzt ein kostenloser Download.
Ein guter Pentest brauchte früher einen Menschen, der unter Druck Schritte verketten konnte. ARTEX industrialisiert das. Ein Operator, oder ein Operator plus ein gemietetes Bot-Konto, kann Kampagnen gegen Hunderte Organisationen parallel fahren, sich anpassen, wenn ein Ziel sich wehrt, und mitten im Angriff das Modell wechseln. Die Ökonomie hat sich gedreht: Das Werkzeug ist gratis, die Grenzkosten eines weiteren Ziels gehen gegen null, und der Geschwindigkeitsvorteil liegt beim Angreifer.
Die zweite Verschiebung ist die Angriffsfläche. ARTEX braucht keine Zero-Days, um gefährlich zu sein. Es braucht, was jedes wachsende Unternehmen hat: ein internes CRM oder Support-Tool im offenen Internet, Service-Konten mit Dauer-Credentials, eine MFA-Lücke an einem Alt-Login, ein Lieferantenportal, das einer Telefonnummer vertraute. Das Framework existiert, um genau diese gewöhnlichen Schwächen zu finden und zu verketten, in Stunden.
Was wir diese Woche tun würden
- Interne Tools aus dem offenen Internet nehmen. CRM, Support-Desks, Admin-Konsolen und Monitoring-UIs gehören hinter SSO und ein VPN oder Zero-Trust-Gateway. Wenn ein Vertriebstool von überall erreichbar ist, erreicht es auch ein Agent von überall.
- Inventarisieren, wer und was sich anmelden kann. Service-Konten, API-Tokens und ungenutzte Mitarbeiter-Credentials sind die Favoriten agentischer Angreifer. Finden, rotieren und diejenigen widerrufen, die niemand besitzt.
- MFA als Selbstverständlichkeit behandeln, nicht als Projekt. ARTEX-Kampagnen setzen auf Credential Stuffing und Session-Reuse. Phishing-resistente MFA an jedem externen Login hebt die Kosten pro Ziel schnell.
- Auf den Nachbeben achten. Geh davon aus, dass gestohlene CRM-Daten innerhalb von Tagen als überzeugendes Phishing eingesetzt werden, nicht Monaten. Warne Kunden und Mitarbeiter: Auch legitim klingende Anfragen mit echten Gesprächsbezügen brauchen eine Zweitprüfung über einen zweiten Kanal.
- Mit Lieferanten über deren Werkzeuge sprechen. Deine Lieferkette umfasst jetzt auch die Software, die deine Anbieter intern betreiben. Frage kritische Lieferanten, ob agentische Pentest-Frameworks Teil ihrer Sicherheitsbewertungen waren und was sie tun, wenn eines auftaucht.
Das Fazit
ARTEX ist nicht das letzte Framework dieser Art, sondern das erste breit übernommene. Autonome offensive Open-Source-Agenten sind jetzt fester Teil der Bedrohungslandschaft, und sie zielen auf die langweiligen Schwächen, die in den meisten Unternehmen stecken.
Die Verteidigung ist zum Glück auch langweilig. Exposition reduzieren, Credentials aufräumen, MFA erzwingen und die Anfragen prüfen, die in deinem Postfach landen, selbst wenn sie dein eigenes letztes Gespräch zitieren. Der Agent ist schneller als jeder menschliche Angreifer, den wir gesehen haben. Er braucht noch immer dieselbe offene Tür.
Bei aratech bauen und härten wir die KI-Infrastruktur, auf der unsere Kunden arbeiten, was uns auf beide Seiten dieser Geschichte stellt: tagsüber mit Agenten bauen, nachts nach den Türen suchen, durch die sie gehen könnten. Wenn du ein zweites Paar Augen darauf willst, was ein autonomer Angreifer in deinem Stack erreichen könnte, ist das genau das Gespräch, das wir gerne führen.