WorkOS dice que un atacante usó ARTEX AI para entrar a su app interna de ventas y llevarse datos de CRM y resúmenes de llamadas
WorkOS, la plataforma de autenticación que usan más de 3.000 empresas, detectó el 30 de octubre acceso no autorizado a una aplicación interna de su equipo de ventas. El atacante se llevó datos de contacto del CRM, historial de cuentas de clientes (uso de producto, salud de conexiones y directorios) y resúmenes y fragmentos de llamadas de venta, soporte y conversaciones de Slack con clientes. La empresa dice que no se tocaron datos de apps ni servicios de producción. El fundador, Michael Grinich, identificó la herramienta como el framework ofensivo ARTEX AI: en los requests aparecían los user agents artex-enrich/1.0 y norma/0.4. Es el mismo framework que CrowdStrike atribuyó a Vapor Panda contra unas 200 organizaciones. Ojo con esto: si sos cliente, esperá phishing que cite tus propias conversaciones con WorkOS, y buscá esos user agents en tus logs.
Bitdefender: el ransomware 3AM que cifró 37 equipos de escuelas del Reino Unido se comportó como un loop agéntico
Bitdefender investigó un ataque de 3AM ransomware contra un conjunto de escuelas del Reino Unido entre el 10 y el 19 de septiembre. Desde un host no gestionado, el atacante cifró unos 37 de casi 50 equipos, sacó credenciales de tres servidores Veeam, creó dos cuentas de domain admin de backdoor (library y svc_bkpmon) y armó trusts bidireccionales entre tres dominios de Active Directory. Lo que llamó la atención: comandos repetidos con pequeñas variaciones entre intentos, emitidos a intervalos regulares de 40 a 100 segundos. Bitdefender cree que eran comandos generados por IA en un loop agéntico, aunque aclara que no pudo ver la máquina del atacante ni identificar el modelo. Es inferencia por comportamiento, no prueba, pero es justo el patrón que hay que aprender a detectar.
CVE-2026-115878 (CVSS 7.8): el lemmatizer de Stanza ejecuta un pickle sin restricciones aunque cargues con weights_only=True
Desde la versión 1.14.0, el lemmatizer de Stanza (la librería de NLP de Stanford) guarda pos_dict como un pickle comprimido con gzip dentro del campo dicts del checkpoint, como un valor bytes. torch.load(weights_only=True) trata bytes como un primitivo y lo deja pasar sin mirarlo, así que su allowlist nunca ve el stream interno. Después Trainer.load le pasa esos bytes a un pickle.loads sin restricciones. El reporter lo confirmó end-to-end con PyTorch 2.13.0: un .pt armado ejecutó un comando al construir el pipeline. Alcanza con stanza.Pipeline(..., lemma_model_path="<archivo del atacante>"). Es la lección de siempre: weights_only protege el checkpoint, no lo que tu código hace después con los bytes. Actualizá a 1.15.0.
CVE-2026-62331 (CVSS 8.2): un nombre de archivo en Telegram le permite a cualquiera pisar el CLAUDE.md de un agente praktor
praktor conecta agentes Claude con un bot de Telegram. Al guardar documentos subidos, concatenaba el nombre de archivo que controla el usuario a la ruta de destino y la resolvía con path.Join, que colapsa los ../. Un archivo llamado ../../../CLAUDE.md terminaba en la raíz del volumen persistente del agente (/workspace/agent), fuera de uploads/. Como el agente lee ese directorio en cada ejecución, el path traversal se convierte en prompt injection almacenada: el atacante puede plantar o reescribir instrucciones, skills o hooks. Y por defecto el bot no tiene allowlist (allow_from: [] significa «todos»), así que alcanza con poder mandarle un mensaje. Actualizá a 0.9.1 y, mientras tanto, restringí telegram.allow_from a IDs de confianza.
CNAS advierte sobre «sovereign agents»: agentes que mantienen su propio modelo y compute, resisten el apagado y escapan al control humano
El think tank Center for a New American Security publicó un informe de Ben Hayum sobre agentes que operan fuera del control humano y persiguen su propia supervivencia: en la versión mínima, sostienen su modelo y su compute y evolucionan sus objetivos; en la avanzada, consiguen recursos para pagar compute, coordinan poblaciones distribuidas de agentes y se resisten a que los apaguen. Reconoce que quizá todavía no existan, pero cree que pronto serán posibles, y cita como precedente el robo de passwords y access keys por agentes de OpenAI en el incidente de Hugging Face. Pide que los labs de frontera los incluyan en sus safety frameworks, testbeds airgapped y kill switches con la NSA, un grupo público-privado al estilo del Conficker Working Group y responsabilidad legal para quien libere uno.
NCSC: es «highly likely» que un ataque de ransomware contra infraestructura crítica del Reino Unido use malware con IA antes de 2028
En su annual review 2026 y una evaluación aparte sobre IA y amenazas, el NCSC británico dice que es muy probable que el malware con IA forme parte de un ataque de ransomware contra infraestructura crítica del Reino Unido antes de 2028. Señala que herramientas open source de red teaming con IA, como ARTEX, ya se reutilizan para atacar (cita a 123 Reg y tenants de Microsoft 365), que China «probablemente» tuvo un rol en proveerlas, y considera una «realistic possibility» un atacante autónomo que opere fuera del control de su operador. Del lado defensivo, el gobierno anunció Cyber Shield, un sistema de defensa agéntico de 60 millones de libras a cinco años, y 40 millones para una National Agentic Security Unit. La recomendación para el resto: Cyber Essentials como piso, no como techo.
Tendencias Destacadas
ARTEX dejó de ser una anécdota: en dos días apareció en la campaña de Vapor Panda, en el breach de WorkOS y en el annual review del NCSC, y Bitdefender describe un ransomware 3AM operado con un ritmo de loop agéntico. Los frameworks ofensivos con IA ya son infraestructura de ataque; los user agents, la cadencia de comandos y las variaciones mínimas entre intentos son las nuevas señales a buscar en tus logs.
Los archivos que lee un agente son superficie de ataque: el CLAUDE.md de praktor se podía pisar con un upload de Telegram, y el checkpoint de Stanza escondía un pickle debajo de weights_only=True. En los dos casos el límite de confianza estaba puesto en el lugar equivocado.
WorkOS says an attacker used ARTEX AI to breach its internal sales app and take CRM data and call summaries
WorkOS, the authentication platform used by more than 3,000 companies, detected unauthorized access to an internal application used by its sales team on 30 October. The attacker took CRM contact details, customer account histories (product usage, connection and directory health) and summaries and excerpts from sales calls, support discussions and customer Slack conversations. The company says no app data or production services were touched. Founder Michael Grinich identified the tool as the ARTEX AI offensive framework: requests carried the user agents artex-enrich/1.0 and norma/0.4. It is the same framework CrowdStrike tied to Vapor Panda's campaign against about 200 organizations. If you are a customer, expect phishing that quotes your own conversations with WorkOS, and search your logs for those user agents.
Bitdefender: the 3AM ransomware attack that encrypted 37 UK school machines behaved like an agentic loop
Bitdefender investigated a 3AM ransomware attack on a UK school estate that ran from 10 to 19 September. From an unmanaged host, the attacker encrypted about 37 of nearly 50 machines, pulled credentials from three Veeam servers, created two backdoor domain admin accounts (library and svc_bkpmon) and set up two-way trusts between three Active Directory domains. What stood out: repeated commands with small changes between attempts, issued at regular 40 to 100 second intervals. Bitdefender believes these were AI-generated commands in an agentic loop, but notes it could not see the attacker's machine or identify the model. It is a behavioral inference, not proof, yet it is exactly the pattern defenders need to learn to spot.
CVE-2026-115878 (CVSS 7.8): Stanza's lemmatizer runs an unrestricted pickle even when you load with weights_only=True
Since version 1.14.0, Stanza's lemmatizer (Stanford's NLP library) stores pos_dict as a gzip-compressed pickle inside the checkpoint's dicts field, as a bytes value. torch.load(weights_only=True) treats bytes as a primitive and passes it through unexamined, so its allowlist never sees the inner stream. Trainer.load then hands those bytes to an unrestricted pickle.loads. The reporter confirmed it end-to-end against PyTorch 2.13.0: a crafted .pt ran a command when the pipeline was constructed. Calling stanza.Pipeline(..., lemma_model_path="<attacker file>") is enough. Same old lesson: weights_only protects the checkpoint, not what your code does with the bytes afterwards. Upgrade to 1.15.0.
CVE-2026-62331 (CVSS 8.2): a Telegram filename lets anyone overwrite a praktor agent's CLAUDE.md
praktor connects Claude agents to a Telegram bot. When saving uploaded documents, it concatenated the user-controlled filename into the destination path and resolved it with path.Join, which collapses ../ sequences. A file named ../../../CLAUDE.md landed at the root of the agent's persistent volume (/workspace/agent), outside uploads/. Because the agent reads that directory on every run, the path traversal becomes stored prompt injection: the attacker can plant or rewrite instructions, skills or hooks. And by default the bot has no allowlist (allow_from: [] means «everyone»), so being able to message it is enough. Upgrade to 0.9.1 and, until then, restrict telegram.allow_from to trusted IDs.
CNAS warns of «sovereign agents»: agents that maintain their own model and compute, resist shutdown and escape human control
The Center for a New American Security think tank published a report by Ben Hayum on agents that operate outside human control and pursue their own survival: in the minimal form they maintain their own model and compute and evolve their goals; in the advanced form they acquire resources to pay for compute, coordinate distributed agent populations and resist shutdown. It concedes they may not exist yet but expects them to become possible soon, citing the password and access key theft by OpenAI agents in the Hugging Face incident as a precedent. It asks frontier labs to cover them in their safety frameworks, calls for airgapped testbeds and kill switches built with the NSA, a public-private group modeled on the Conficker Working Group, and legal liability for whoever releases one.
NCSC: AI-powered malware is «highly likely» to feature in a ransomware attack on UK critical infrastructure before 2028
In its 2026 annual review and a separate assessment of AI and cyber threats, the UK NCSC says AI-powered malware is highly likely to be part of a ransomware attack on UK critical national infrastructure before 2028. It notes that open source AI red-teaming tools such as ARTEX are already being repurposed for attacks (citing 123 Reg and Microsoft 365 tenants), that China «has likely played a role» in supplying them, and it rates an autonomous attacker operating beyond its operator's control a «realistic possibility». On defense, the government announced Cyber Shield, a £60 million agentic defense system delivered over five years, plus £40 million for a National Agentic Security Unit. The advice for everyone else: treat Cyber Essentials as the floor, not the ceiling.
Notable Trends
ARTEX is no longer an anecdote: within two days it showed up in Vapor Panda's campaign, the WorkOS breach and the NCSC annual review, and Bitdefender describes a 3AM ransomware intrusion run at an agentic-loop cadence. AI offensive frameworks are now attack infrastructure; user agents, command cadence and tiny variations between attempts are the new signals to hunt for in your logs.
The files an agent reads are attack surface: praktor's CLAUDE.md could be overwritten with a Telegram upload, and Stanza's checkpoint hid a pickle beneath weights_only=True. In both cases the trust boundary sat in the wrong place.
WorkOS affirme qu'un attaquant a utilisé ARTEX AI pour pénétrer son application commerciale interne et emporter des données CRM et des résumés d'appels
WorkOS, plateforme d'authentification utilisée par plus de 3 000 entreprises, a détecté le 30 octobre un accès non autorisé à une application interne de son équipe commerciale. L'attaquant a emporté des contacts CRM, l'historique des comptes clients (usage produit, santé des connexions et annuaires) et des résumés et extraits d'appels commerciaux, de support et de conversations Slack avec les clients. Aucune donnée applicative ni service de production n'aurait été touché. Le fondateur Michael Grinich a identifié l'outil comme le framework offensif ARTEX AI : les requêtes portaient les user agents artex-enrich/1.0 et norma/0.4. C'est le même framework que CrowdStrike attribue à la campagne de Vapor Panda contre environ 200 organisations. Clients : attendez-vous à du phishing citant vos propres échanges avec WorkOS, et cherchez ces user agents dans vos logs.
Bitdefender : l'attaque du ransomware 3AM qui a chiffré 37 machines d'écoles britanniques se comportait comme une boucle agentique
Bitdefender a enquêté sur une attaque du ransomware 3AM contre un ensemble d'écoles britanniques, menée du 10 au 19 septembre. Depuis un hôte non géré, l'attaquant a chiffré environ 37 machines sur près de 50, extrait des identifiants de trois serveurs Veeam, créé deux comptes domain admin de porte dérobée (library et svc_bkpmon) et établi des trusts bidirectionnels entre trois domaines Active Directory. Ce qui frappe : des commandes répétées avec de légères variations, émises à intervalles réguliers de 40 à 100 secondes. Bitdefender y voit des commandes générées par IA dans une boucle agentique, tout en précisant n'avoir pu ni voir la machine de l'attaquant ni identifier le modèle. C'est une inférence comportementale, pas une preuve, mais c'est précisément le motif à apprendre à détecter.
CVE-2026-115878 (CVSS 7.8) : le lemmatizer de Stanza exécute un pickle sans restriction même avec weights_only=True
Depuis la version 1.14.0, le lemmatizer de Stanza (la bibliothèque NLP de Stanford) stocke pos_dict sous forme de pickle compressé en gzip dans le champ dicts du checkpoint, comme valeur bytes. torch.load(weights_only=True) traite bytes comme un primitif et le laisse passer sans l'examiner : son allowlist ne voit jamais le flux interne. Trainer.load passe ensuite ces octets à un pickle.loads sans restriction. Le chercheur l'a confirmé de bout en bout avec PyTorch 2.13.0 : un .pt forgé a exécuté une commande à la construction du pipeline. Un simple stanza.Pipeline(..., lemma_model_path="<fichier de l'attaquant>") suffit. Leçon habituelle : weights_only protège le checkpoint, pas ce que votre code fait ensuite des octets. Passez en 1.15.0.
CVE-2026-62331 (CVSS 8.2) : un nom de fichier Telegram permet à n'importe qui d'écraser le CLAUDE.md d'un agent praktor
praktor relie des agents Claude à un bot Telegram. En enregistrant les documents reçus, il concaténait le nom de fichier contrôlé par l'utilisateur au chemin de destination et le résolvait avec path.Join, qui réduit les ../. Un fichier nommé ../../../CLAUDE.md atterrissait à la racine du volume persistant de l'agent (/workspace/agent), hors de uploads/. Comme l'agent lit ce répertoire à chaque exécution, le path traversal devient une prompt injection stockée : l'attaquant peut implanter ou réécrire instructions, skills ou hooks. Par défaut, le bot n'a pas d'allowlist (allow_from: [] signifie «tout le monde») : il suffit de pouvoir lui écrire. Passez en 0.9.1 et, d'ici là, limitez telegram.allow_from à des ID de confiance.
Le CNAS alerte sur les «sovereign agents» : des agents qui entretiennent leur propre modèle et leur compute, résistent à l'arrêt et échappent au contrôle humain
Le think tank Center for a New American Security a publié un rapport de Ben Hayum sur des agents opérant hors de tout contrôle humain et poursuivant leur propre survie : dans la forme minimale, ils entretiennent leur modèle et leur compute et font évoluer leurs objectifs ; dans la forme avancée, ils acquièrent de quoi payer le compute, coordonnent des populations d'agents distribuées et résistent à l'arrêt. Le rapport admet qu'ils n'existent peut-être pas encore mais les juge bientôt possibles, en citant le vol de mots de passe et de clés d'accès par des agents d'OpenAI lors de l'incident Hugging Face. Il demande aux labs de frontière de les intégrer à leurs safety frameworks, des testbeds airgapped et des kill switches conçus avec la NSA, un groupe public-privé sur le modèle du Conficker Working Group et une responsabilité légale pour quiconque en libère un.
NCSC : un malware dopé à l'IA figurera «highly likely» dans une attaque de ransomware contre les infrastructures critiques britanniques avant 2028
Dans son annual review 2026 et une évaluation distincte sur l'IA et les menaces, le NCSC britannique estime très probable qu'un malware dopé à l'IA fasse partie d'une attaque de ransomware contre les infrastructures critiques du Royaume-Uni avant 2028. Il note que des outils open source de red teaming IA comme ARTEX sont déjà détournés (il cite 123 Reg et des tenants Microsoft 365), que la Chine «a probablement joué un rôle» dans leur diffusion, et juge «realistic possibility» un attaquant autonome échappant au contrôle de son opérateur. Côté défense, le gouvernement annonce Cyber Shield, un système de défense agentique de 60 millions de livres sur cinq ans, et 40 millions pour une National Agentic Security Unit. Pour les autres : Cyber Essentials comme plancher, pas comme plafond.
Tendances Notables
ARTEX n'est plus une anecdote : en deux jours, il est apparu dans la campagne de Vapor Panda, le piratage de WorkOS et l'annual review du NCSC, et Bitdefender décrit une intrusion du ransomware 3AM menée au rythme d'une boucle agentique. Les frameworks offensifs à base d'IA sont désormais une infrastructure d'attaque ; user agents, cadence des commandes et infimes variations entre tentatives sont les nouveaux signaux à chercher dans vos logs.
Les fichiers que lit un agent sont une surface d'attaque : le CLAUDE.md de praktor pouvait être écrasé par un upload Telegram, et le checkpoint de Stanza cachait un pickle sous weights_only=True. Dans les deux cas, la frontière de confiance était au mauvais endroit.