CrowdStriken mukaan Kiinaan kytköksissä oleva ryhmä VAPOR PANDA käytti tekoälyagentteja kohdistaakseen toimintansa yli 200 organisaatioon vähintään 14 maassa 11 päivän aikana, ja tunkeutuminen vahvistettiin yhdeksässä tapauksessa.
Toiminta alkoi 17. lokakuuta 2026. Ryhmä käytti ARTEXia, tekoälyagenttien viitekehystä, joka toimi pääasiassa DeepSeekillä eli Kiinassa kehitetyllä mallilla sekä toisella, nimeämättömällä kaupallisella tekoälymallilla. Kohteisiin kuului ulkoministeriöitä eri alueilla, yhdysvaltalaisia organisaatioita esimerkiksi puolustus- ja puolijohdealalla sekä teleoperaattoreita.
CrowdStriken mukaan yhdeksässä vahvistetussa tapauksessa päästiin järjestelmiin. Tapauksiin kuului myös BLOODALCHEMY-takaoven asentaminen. Tämän jälkeen toimintaan sisältyi lisätiedon keräämistä ja hyökkäyksiä kirjautumistunnuksia vastaan.
Pelkkä organisaation ottaminen kohteeksi ei tarkoittanut, että siihen olisi murtauduttu. CrowdStrike kertoi myös yrityksistä arvata salasanoja ja etsiä kirjautumistietoja vähintään 12 muusta organisaatiosta. CrowdStriken mukaan agentit työskentelivät rinnakkain.
Ihmisoperaattori ohjasi niitä ja puuttui toimintaan keskeisissä päätöksentekovaiheissa. Operaatio ei toiminut täysin itsenäisesti. CrowdStrike kertoi, että kampanjan ohjausjärjestelmä jätti sen työkalut, kohdetiedostot ja agenttien keskustelulokit alttiiksi.
Tämä auttoi tutkijoita yhdistämään toiminnan VAPOR PANDAan. Nämä havainnot ovat CrowdStriken arvio. CrowdStriken mukaan tämä kampanja oli erillinen muusta ARTEX-toiminnasta, joka on muualla yhdistetty Storm-0940:ään.