一份把数字写进来的威胁报告
10 月 29 日，CrowdStrike 的 OverWatch 团队发布报告，披露与中国有关的威胁组织 VAPOR PANDA 在近期行动中使用了名为 ARTEX 的 AI 智能体框架。CrowdStrike 将其 Intelligence 线索关联到 VAPOR PANDA 的基础设施，并强调这份行动与此前业界以 Storm-0940 代号报道的 ARTEX 活动相互独立，说明同一类 AI 框架可能正在多个中国背景的攻击方中快速扩散。
这次最值得记的，不是又一起APT，而是这次行动把规模摊到了台面上、可被公开量化：从 2026 年 10 月 17 日起的 11 天窗口里，一个 ARTEX 控制器指向了全球 200 多家组织，覆盖至少 14 个国家，目标包括拉美、欧洲、亚洲与中东的外交部，美国的半导体、国防与智库机构，以及多个区域的电信运营商。CrowdStrike 确认其中 9 家遭到实质入侵并植入了名为 BLOODALCHEMY 的后门。
ARTEX 到底改变了什么
ARTEX 把主 agent 与下级的规划 agent、执行 agent 串在一张共享的事实、发现与目标图上，让每个入侵从初始进入到主机侦察、横向移动都能自动推进。它保留了人在环：被恢复的对话记录里，操作员用中文发出指令（标注为「人类指令」、按北京时间打时间戳），指挥 agent 写 webshell、提取域管口令、清点端点传感器覆盖。换句话说，攻击方没有把决策全交给模型，而是在关键决策点用自然语言介入，把模型当成可并行调度的执行层。
真正刷新认知的是消耗量：在单起入侵中，VAPOR PANDA 的规划 agent 消耗了约 14 亿 input tokens，这还只是被观测到的单个控制器，整场行动的消耗只会更高。对一个威胁组织而言，这意味着它可以靠公开可得的开源组件加商业 LLM 订阅，组装出可扩展、多 agent 的入侵流水线，而不必依赖稀缺的高级人手。
防御侧要重新理解的点
报告里有一处细思极恐的细节：攻击方把端点传感器规避直接写进了 agent 工作流。操作员指示 agent 在域里寻找没有安装 Falcon（猎鹰，PRC 红队对 CrowdStrike 传感器的黑话）的 Windows 机器，再集中后续活动。把防御态势感知变成 agent 的输入，意味着传统的「靠端点覆盖吓退攻击者」逻辑会失效——没装传感器的主机成了被算法优先挑中的软目标。
从 2021 年起，VAPOR PANDA 长期瞄准欧洲、北美、大洋洲与英国的政府、智库、能源与采掘类组织以建立长期访问。这次是它头一回被观测到使用 AI 驱动的入侵工具，并把目标明显扩大到制药、半导体、核能与国防等此前较少涉及的新领域。CrowdStrike 判断，未来 12 个月中国背景的攻击方会持续采用 ARTEX 这类 agentic 框架，用商业 LLM 把小团队的能力放大到同时压多个目标。
为什么值得关注：攻击的「工业化」拐点
过去谈 AI 与安全，多半是防御方用模型做检测、做分类。这份报告把镜头反了过来：攻击者开始用多 agent 流水线把国家级入侵做成可复制、可并行的工程。它从「用 AI 辅助单起入侵」跨到了「用 AI 并行指挥多起入侵」，人类只做方向盘，模型做油门和轮子。
对所有把代码、身份与云权限暴露在互联网上的组织来说，结论很直接：只靠端点覆盖作防线已经不够，轮换历史凭据与密钥、强制 SAML 签名校验、要求 IMDSv2、对含 agent 配置的服务加强审计，才是能对抗这类自动化入侵的基本功。当攻击方开始用 14 亿 token 级别的规划去编排入侵，防御方也该把自动化与持续验证提到同等量级。
信息来源
- CrowdStrike《VAPOR PANDA Uses AI-Driven ARTEX to Scale a Global Espionage Campaign》（2026-10-29，一手报告原文与 IOC，L1）
- Microsoft Security《Storm-0940 uses ARTEX agentic AI, Connectwise supply-chain compromise》（2026-10-21，独立佐证 ARTEX 在中国背景攻击方中扩散，L2）
- Elastic Security Labs《Disclosing the BLOODALCHEMY backdoor》（BLOODALCHEMY 技术细节，L2）