Wiz a publié le 22 octobre 2026 une enquête selon laquelle, tout au long d'octobre 2026, un acteur a utilisé ARTEX, un cadre open source de test d'intrusion autonome, contre plusieurs entreprises informatiques et logicielles, en se concentrant sur les fournisseurs d'identité comme Okta, Entra et Cognito et sur les intégrations Microsoft 365. Selon Wiz, les outils, l'infrastructure et les schémas recoupent le rapport antérieur de Microsoft sur Storm-0940, et le même acteur étend désormais ses tentatives de compromission de la chaîne d'approvisionnement à d'autres secteurs du logiciel.
ARTEX a été publié sur GitHub en juillet 2026 par un développeur chinois et a remporté en septembre le concours red team Agent+ de Baidu. La répartition des rôles est nette : l'opérateur ne fournit qu'une cible et un objectif, un agent planificateur décide de l'étape suivante, des agents exécutants font tourner des outils comme nmap, curl et Impacket, et chaque résultat alimente un graphe partagé d'actifs et de découvertes. Le développeur a fermé le code le 8 octobre, mais il avait déjà été forké plus de 12 000 fois,
Il lit d'abord votre application, puis suit la carte
Le mode opératoire reconstruit par Wiz est très reproductible : télécharger les bundles JavaScript, les source maps exposées, les configurations d'exécution et la documentation Swagger ou OpenAPI pour cartographier les routes internes ; puis lancer les flux de connexion à répétition, manipuler les rappels OAuth et les paramètres state, et sonder les points d'entrée SSO avec des JWT non signés, avec plus de 60 variantes de routes tirées en deux minutes sur les flux OAuth de Microsoft. Là où l'inscription est ouverte, il s'enregistre avec des boîtes jetables et teste aussitôt des identifiants prévisibles pour déceler des contrôles d'accès défaillants et des accès inter-locataires, tandis que la récupération de compte et la réinitialisation de mot de passe subissent le même traitement inlassable. Le schéma diffère de l'agent d'attaque qui détourne les points d'accès de modèles sans protection : celui-là vole de la puissance de calcul, celui-ci force l'identité.
Le rythme du password spraying trahit la machine
Le password spraying est encore plus révélateur : des centaines d'utilisateurs chez Entra et Okta, surtout des ingénieurs logiciels, par rafales coordonnées de 20 à 60 minutes, avec un écart médian strictement d'une seconde entre les tentatives, certains utilisateurs visés plus d'une douzaine de fois. Des sessions uniques ont duré de 24 à 30 heures, les IP bloquées étaient remplacées en quelques minutes, et dès qu'une page de connexion commençait à limiter le débit, l'agent passait simplement à un autre point d'accès du même hôte. Wiz le dit sans détour : aucune technique prise isolément n'est nouvelle ; ce qui l'est, c'est leur enchaînement en un pipeline qui ne fatigue jamais et n'abandonne jamais.
Pour les défenseurs, la conséquence pratique est que les détections existantes, échecs de connexion nombreux, password spraying, refus d'accès massifs inhabituels, peuvent encore l'attraper, et que son rythme est même plus régulier que celui d'un humain. Le vrai écart qui se creuse est le temps : la fenêtre entre l'apparition d'une exposition et son exploitation ne cesse de se réduire, donc retirer la documentation publique et les source maps et corriger les flux d'identité doit suivre le rythme d'un sondeur qui ne dort jamais.
