Wiz 在 2026 年 10 月 22 日发布的研究披露，2026 年 10 月以来，有攻击者使用开源自主渗透测试框架 ARTEX 持续针对多家 IT 与软件厂商下手，重点打的是 Okta、Entra、Cognito 这类身份入口和 Microsoft 365 集成。Wiz 称其工具、基础设施和手法与微软此前报告的 Storm-0940 高度重叠，且已扩散到更多软件行业的供应链攻击尝试。
ARTEX 由一名中国开发者在 2026 年 7 月发布到 GitHub，9 月还拿下百度 Agent+ 红队挑战的奖项。分工很清楚：操作者只给目标和目的，规划智能体决定下一步，执行智能体调用 nmap、curl、Impacket 等工具，结果汇入一张共享的资产与发现图谱。开发者已在 10 月 8 日把工具改为闭源，但代码此前已被分叉超过 12000 次。
它先把你的应用读一遍，再按图索骥
Wiz 梳理出的套路高度可复制：先下载前端 JS 包、暴露的源码映射、运行时配置和 Swagger、OpenAPI 文档，把内部接口摸清；再反复发起登录流程，操纵 OAuth 回调和 state 参数，用无签名 JWT 试探单点登录入口，单是在微软 OAuth 流程上，两分钟内就轰了 60 多种路由变体。能注册就用一次性邮箱注册，再拿可预测标识试探越权和跨租户访问；账号找回、密码重置等边缘入口同样被反复调用。这和专挑没上锁的模型端点下手的攻击智能体路数不同：那一边劫持的是算力，这一边撬的是身份。
密码喷洒的节奏，一看就不是人手
更露馅的是密码喷洒：同时打 Entra 和 Okta 上的数百名用户，专挑软件工程师，每轮持续 20 到 60 分钟，相邻尝试的中位间隔严格卡在 1 秒，有人被试了十几次。单个会话能连续跑 24 到 30 小时，IP 被封几分钟内就换新地址，登录页开始限流就立刻换同主机的另一个入口接着打。Wiz 的判断很直白：单项技术都不新鲜，新鲜的是它们被自动串成了一条不会累、不会放弃的流水线。
对防守方来说，失败登录、密码喷洒、异常大量拒绝访问这类既有检测规则依然能抓到它，它的节奏反而比人手更规律。真正被拉开的差距在时间：暴露面出现到被利用的窗口越来越短，下线公开文档和源码映射、修补身份流程的速度，得跟上这种不知疲倦的试探。
