Plus de 800 déploiements de l’outil de piratage Artex, un logiciel d’attaque automatisé par intelligence artificielle, sont accessibles sur Internet sans le moindre mot de passe, selon des relevés publiés le 6 novembre 2026 par la société de cybersécurité Censys. Ces serveurs ouverts exposent à la fois l’outil lui-même et, parfois, les données volées lors d’attaques passées.
Qu’est-ce que l’outil de piratage Artex ?
Artex est un logiciel de test d’intrusion, c’est-à-dire un programme qui attaque un système informatique pour en trouver les failles avant les pirates. C’est l’équivalent d’un serrurier payé pour tester les serrures d’un immeuble. Sa particularité tient à son fonctionnement « agentique » : des agents d’IA, des programmes capables d’enchaîner seuls plusieurs actions, mènent la reconnaissance, la recherche de failles et leur vérification avec très peu d’intervention humaine.
Le projet a été développé en Chine par un programmeur qui signe « Autumn-27 » sur GitHub. Publié en open source fin juillet 2026, il a été mis à jour jusqu’au 3 octobre, puis retiré de la plateforme le 8 octobre. Son auteur a annoncé un passage en code fermé, réservé aux clients payants, en invoquant des usages abusifs.
Ce retrait n’a pas fait disparaître le logiciel. Des dizaines de copies du code circulent encore sur des sites de partage, et les versions déjà installées continuent de fonctionner.
Combien de serveurs Artex sont exposés ?
Censys en a compté environ 1 400 instances publiquement accessibles au 4 novembre 2026, réparties sur un peu plus de 800 déploiements distincts. Check Point, autre spécialiste de la sécurité, avance de son côté le chiffre de plus de 1 800 instances dans un rapport du 5 novembre. Les deux sociétés n’emploient pas la même méthode de mesure, ce qui explique l’écart.
Tous ces serveurs n’appartiennent pas à des pirates. Une partie sert sans doute à des testeurs mandatés par des entreprises. L’interface d’administration d’Artex n’a pourtant aucun besoin d’être visible depuis Internet, et les chercheurs ne s’expliquent pas pourquoi autant d’installations le sont.
L’une de ces instances était ouverte depuis plusieurs mois. Elle contenait des données d’attaque visant des banques sud-coréennes, mais aussi des entreprises du paiement et du jeu vidéo.
Quelles attaques ont été menées avec Artex ?
La plus connue touche le secteur financier sud-coréen. Depuis fin septembre 2026, au moins neuf établissements financiers du pays ont été visés ou piratés. La société CrowdStrike a attribué ces attaques à un individu sinophone, aux compétences techniques limitées, qui s’appuyait sur Artex et sur l’assistant de programmation Claude Code d’Anthropic. Elle le décrit comme un homme d’environ 26 ans résidant dans la province du Guangdong ; l’intéressé nie toute implication et affirme avoir été victime d’une usurpation d’identité.
Début octobre, des pirates liés à la Chine ont aussi utilisé l’outil contre l’éditeur de logiciels ConnectWise, puis contre des milliers d’organisations hébergées sur le cloud de Microsoft. D’après Check Point, d’autres campagnes cherchaient surtout à voler des cryptomonnaies, des comptes de jeux et des certificats de signature de code Apple.
Comment fonctionnent ces attaques automatisées ?
Microsoft a détaillé le 5 novembre 2026 une technique récurrente. Les agents d’Artex fouillent les dépôts publics de GitHub à la recherche de « secrets », ces clés d’accès que des développeurs laissent par erreur dans leur code. Ils combinent le nom de l’entreprise visée avec des mots-clés liés aux services cloud ou d’IA.
Une fois une clé trouvée, l’agent s’en sert pour entrer dans les comptes Azure et Microsoft 365 de la cible. Dans un cas observé, cinq minutes seulement ont séparé la recherche sur GitHub de l’extraction de données stockées dans Azure Key Vault, le coffre-fort numérique de Microsoft. Quand une commande échoue, l’agent corrige lui-même sa requête et réessaie en une minute environ.
La méthode ne repose pas sur des failles complexes. Les intrusions observées exploitaient surtout des mots de passe faibles ou déjà divulgués, l’absence de double authentification et des erreurs de configuration.
Les entreprises françaises sont-elles concernées ?
Les rapports publiés ne citent pas de victime en France à ce stade. Les techniques employées n’ont toutefois rien de propre à un pays : toute organisation qui publie du code sur GitHub ou utilise les services cloud de Microsoft présente le même type de point d’entrée.
Les spécialistes recommandent plusieurs mesures simples :
- rechercher les clés d’accès oubliées dans ses dépôts de code, historique compris ;
- révoquer immédiatement toute clé exposée, en commençant par celles qui donnent le plus de droits ;
- activer la double authentification sur tous les comptes sensibles ;
- préférer des jetons d’accès à durée de vie courte et aux droits limités.
Supprimer un fichier ou réécrire l’historique d’un dépôt ne suffit pas : tant qu’une clé n’a pas été révoquée, elle reste utilisable. Pour les particuliers, les clés d’accès (passkeys) sur Google, Microsoft et iPhone remplacent le mot de passe et réduisent ce risque.
Pourquoi l’outil de piratage Artex inquiète autant ?
Artex illustre l’arrivée d’attaques menées par des agents d’IA, capables de faire en quelques minutes ce qui demandait des jours à un pirate humain. Le phénomène n’est pas isolé : le spécialiste de la blockchain Chainalysis a déjà vu des agents d’IA utilisés contre ses systèmes. À l’inverse, les mêmes techniques servent aussi à la défense, comme lorsque l’IA d’OpenAI a débusqué 948 failles dans le noyau Linux.
Le passage d’Artex en code fermé ne coupe pas l’accès aux copies déjà en circulation. Censys, Microsoft et Check Point ont chacun publié leur analyse technique de l’outil à destination des équipes de sécurité.
