Un agente de IA autónomo entró en una herramienta interna de ventas de WorkOS, y la empresa nombró el framework al salir. Esto es ARTEX, por qué está de repente en todas partes y qué lo frena todavía.
El 2 de noviembre WorkOS reveló que alguien obtuvo acceso no autorizado a una aplicación interna de ventas el 30 de octubre. El CEO hizo lo que casi ningún afectado hace: nombró la herramienta, con nombre y apellido. ARTEX, un framework de pruebas de penetración autónomo y de código abierto, fue el arma elegida. Los sistemas de producción no se tocaron, pero la herramienta de ventas guardaba lo delicado: contactos de negocio, relaciones de cuenta, resúmenes de llamadas y extractos de Slack de conversaciones con clientes.
Esto es lo que debería quitarle el sueño a los equipos de seguridad. Los datos robados no son solo una casilla de cumplimiento. Son la materia prima del phishing que cita tu última conversación real con el proveedor y lo hace con la credibilidad suficiente para engañar a quien estuvo en esa llamada.
Qué pasó realmente en WorkOS
WorkOS detectó la intrusión el 30 de octubre, cortó el acceso externo a la aplicación, trajo a una firma externa de respuesta a incidentes y empezó a revisar sus controles de acceso. Su evaluación pública de lo sustraído se lee como la peor pesadilla de un equipo comercial: nombres, correos de trabajo, teléfonos, cargos, empresas, historial de cuentas, resúmenes de llamadas de ventas, conversaciones de soporte, extractos de Slack y metadatos de uso del producto.
La compañía fue explícita sobre por qué esto importa más allá del susto habitual. Los hilos de soporte y los resúmenes de llamadas dan al atacante el contexto necesario para hacerse pasar por WorkOS de forma convincente, o para hacerse pasar por un cliente ante WorkOS. Cuando el correo de seguimiento menciona correctamente el día en que se atascó tu renovación, el enlace que lleva dentro parece lo más legítimo de tu bandeja.
No se robaron credenciales de la aplicación y no se comprometió ningún sistema de autenticación de producción. Esa es la buena noticia y también el patrón: ARTEX no necesita reventar la joya de la corona. Necesita una herramienta interna expuesta con un inicio de sesión que funcione.
ARTEX es una herramienta, no una vulnerabilidad
Aquí está el cambio de marco clave. ARTEX no es una clase nueva de fallo. Es un framework, una aplicación en Go con consola web, que permite a un operador levantar varios agentes de IA que planifican y ejecutan pasos de ataque por su cuenta. No depende de un modelo concreto: le das un LLM y coordina reconocimiento, intentos de credenciales, explotación y reporte en varias sesiones de agentes, a velocidad de máquina.
Se publicó abiertamente en GitHub por un autor con el alias Autumn-27, hasta que el repositorio se retiró en octubre de 2026 por abuso generalizado. La retirada no funcionó. Los forks siguen circulando y los equipos de inteligencia de amenazas han visto a varios actores adoptarlos, algunos con motivación económica y otros con sospecha de respaldo estatal.
La idea incómoda es que la parte difícil del pentesting nunca fueron los exploits exóticos. Era la enumeración, la adivinación de credenciales, el encadenamiento de pequeños errores y hacerlo más rápido de lo que el defensor reacciona. Eso es exactamente lo que los agentes hacen bien.
El rastro: de 2.250 inquilinos a una casa de bolsa
ARTEX no llegó con WorkOS. El framework lleva semanas apareciendo en informes de incidentes.
La campaña Storm-0940 de Microsoft, revelada en octubre, usó ARTEX para intentar inicios de sesión contra más de 2.250 inquilinos, mientras también explotaba y comprometía a muchos de esos mismos objetivos. Los analistas destacaron la velocidad: en un caso observado, el tiempo desde el objetivo inicial hasta el acceso privilegiado fue inferior a tres horas.
CrowdStrike vinculó ARTEX a intrusiones contra organizaciones financieras de Corea del Sur que terminaron con datos robados, y por separado lo relacionó con una oleada iniciada a mediados de octubre que atacó a más de 200 organizaciones, con post-explotación confirmada en nueve de ellas. Sus analistas señalaron que los operadores ejecutaron el framework con modelos como DeepSeek v4.1-flash en la sesión principal, y GLM-5.3 y Grok 4.6 para sesiones de ataque paralelas.
Y luego está la víctima más grande de la que se habla. GMO Internet reconoció que los atacantes brecharon Onamae.com Desktop Cloud, un servicio de servidores Windows alquilados, popular entre traders minoristas de divisas que corren bots automáticos. Hasta 26.739 servidores podrían haberse visto afectados, y credenciales robadas se usaron para colocar órdenes no autorizadas en las casas de bolsa de los clientes. El CEO de GMO señaló a ARTEX como la herramienta detrás de la intrusión, aunque el registro público sostiene más "afirmado" que "confirmado", y la admisión de que ingenieros internos habían señalado debilidades que nunca se corrigieron complica la historia del agente de IA.
Por qué esto se siente distinto
Los defensores ya han oído la historia de que los atacantes se volvieron más listos. Lo distinto aquí es que la inteligencia ahora es una descarga gratuita.
Un pentest competente solía requerir a un humano que supiera encadenar pasos bajo presión. ARTEX industrializa eso. Un operador, o un operador más una cuenta de bot alquilada, puede lanzar campañas contra cientos de organizaciones en paralelo, adaptarse cuando el objetivo se defiende y cambiar de modelo a mitad del ataque. La economía se invirtió: el arsenal es gratis, el coste marginal de otro objetivo es casi cero y la ventaja de velocidad ahora es del atacante.
El otro cambio es la superficie de ataque. ARTEX no necesita zero-days para ser peligroso. Necesita lo que tiene toda empresa en crecimiento: un CRM o una herramienta de soporte interno expuesta a internet, cuentas de servicio con credenciales permanentes, un hueco de MFA en un inicio de sesión heredado, un portal de proveedor que confiaba en un número de teléfono. El framework existe para encontrar y encadenar exactamente esas debilidades corrientes, y hacerlo en horas.
Qué haríamos esta semana
- Sacar las herramientas internas de internet. CRM, mesas de soporte, consolas de administración y paneles de monitorización deberían estar detrás de SSO y una VPN o una pasarela de confianza cero. Si una herramienta de ventas es accesible desde cualquier lugar, un agente puede alcanzarla desde cualquier lugar.
- Inventariar quién y qué puede iniciar sesión. Cuentas de servicio, tokens de API y credenciales de empleados sin usar son los favoritos de los atacantes agénticos. Encuéntralos, rótalos y revoca los que nadie reclama.
- Tratar la MFA como algo dado, no como un proyecto. Las campañas de ARTEX se apoyan en relleno de credenciales y reutilización de sesiones. La MFA resistente al phishing en cada inicio de sesión expuesto eleva rápido el coste por objetivo.
- Vigilar la réplica. Asume que los datos robados del CRM se usarán como phishing convincente en días, no meses. Avisa a clientes y personal de que las solicitudes que suenan legítimas y citan conversaciones reales siguen necesitando verificación por un segundo canal.
- Hablar con tus proveedores sobre sus herramientas. Tu cadena de suministro ahora incluye el software que tus proveedores ejecutan internamente. Pregunta a los críticos si los frameworks de pentesting agéntico han formado parte de sus evaluaciones de seguridad y qué hacen cuando aparece uno.
La conclusión
ARTEX no será el último framework así; es el primero adoptado de forma masiva. Los agentes ofensivos autónomos de código abierto ya son parte permanente del panorama de amenazas, y apuntan a las debilidades aburridas que viven dentro de la mayoría de las empresas.
La defensa, por suerte, también es aburrida. Reducir exposición, limpiar credenciales, imponer MFA y verificar las solicitudes que llegan a tu bandeja incluso cuando citan tu propia última conversación. El agente es más rápido que cualquier atacante humano que hayamos visto. Sigue necesitando la misma puerta abierta.
En aratech construimos y endurecemos la infraestructura de IA sobre la que operan nuestros clientes, lo que nos pone a ambos lados de esta historia: construyendo con agentes de día y buscando de noche las puertas por las que podrían entrar. Si quieres un segundo par de ojos sobre lo que un atacante autónomo podría alcanzar dentro de tu stack, esa es exactamente la conversación que nos gusta tener.