CrowdStrike afirma que el grupo VAPOR PANDA, vinculado a China, utilizó agentes de IA para atacar a más de 200 organizaciones en al menos 14 países durante 11 días, y que se confirmaron intrusiones en nueve.
La actividad comenzó el 17 de octubre de 2026. El grupo utilizó ARTEX, un marco para agentes de IA que funcionaba principalmente con DeepSeek, un modelo desarrollado en China, y con un segundo modelo comercial de IA cuya identidad no se reveló. Entre los objetivos había ministerios de Asuntos Exteriores de varias regiones, organizaciones estadounidenses de sectores como la defensa y los semiconductores, y proveedores de telecomunicaciones.
CrowdStrike afirmó que los nueve casos confirmados implicaron el acceso a sistemas. También incluyeron la instalación de la puerta trasera BLOODALCHEMY. A continuación, la actividad incluyó una recopilación adicional de información y ataques contra credenciales de inicio de sesión.
El hecho de que una organización fuera objetivo no significaba por sí solo que hubiera sido vulnerada. CrowdStrike también informó de intentos de adivinar contraseñas y buscar datos de inicio de sesión en al menos otras 12 organizaciones. Según el relato de CrowdStrike, los agentes llevaron a cabo tareas en paralelo.
Un operador humano los dirigía e intervenía en momentos clave de toma de decisiones. La operación no funcionaba de forma totalmente autónoma. CrowdStrike afirmó que el sistema de control de la campaña dejó expuestos sus herramientas, los archivos de objetivos y las transcripciones de los agentes.
Eso ayudó a los investigadores a vincular la actividad con VAPOR PANDA. Estas conclusiones corresponden a la evaluación de CrowdStrike. CrowdStrike afirmó que esta campaña era independiente de otras actividades de ARTEX atribuidas en otros informes a Storm-0940.