Pesquisadores mapearam cerca de 45 frameworks de código aberto que conectam um modelo de linguagem de grande porte (LLM, em inglês large language model) a um ciclo que executa ferramentas ofensivas e age com base nos resultados obtidos.
O levantamento segue a retirada do ARTEX, uma plataforma agêntica de teste de invasão (pentest, ou teste de penetração). Ele mostra que o risco se espalha bem além desse projeto único.
A retirada não interrompeu a propagação. Repositórios e forks com o nome ARTEX somaram 102 apenas na semana da retirada.
Google Threat Intelligence Group, Microsoft, Wiz, CrowdStrike, Zscaler, Check Point, Censys e RST Cloud já cobriram o próprio ARTEX.
Os pesquisadores analisaram o código do restante do grupo e classificaram 32 dos cerca de 45 frameworks em cinco famílias. Os outros 13 são forks e variantes que reaproveitam o padrão de uma família.
Ferramentas de cadeia de ataque em rede, que vão do reconhecimento à pós-exploração, geralmente rodam a partir de um contêiner Kali. O PentAGI executa equipes de agentes com Nmap, Metasploit e sqlmap.
O RedAmon constrói um grafo da superfície de ataque no Neo4j e ataca a partir de um sandbox Kali, com etapas de aprovação humana. O DarkMoon traz 50 agentes especialistas.
Pesquisadores da GitGuardian afirmaram que o criador do ARTEX retirou o projeto em 8 de outubro de 2026, 74 dias após sua primeira submissão de código (commit). Relatos indicavam que invasores estavam usando a ferramenta para buscar segredos e se mover lateralmente com eles.
Os 45 frameworks de invasão com IA
Ferramentas para web e API (interface de programação de aplicações) incluem Strix e Shannon, sendo que este último se aproxima de um revisor de SAST (análise estática de segurança de código). Projetos integrados a C2 (comando e controle), como Sage e echidna, atuam como operadores de LLM dentro do Mythic. Pojun e FORANG são derivados do ARTEX que acrescentam um console C2.
Arcabouços como RAPTOR e Cybermes envolvem um agente de programação de uso geral, como Claude Code, Codex ou Hermes, com habilidades ofensivas. Protótipos de pesquisa, como Incalmo e hackingBuddyGPT, vêm de trabalhos acadêmicos.
Cairn, HexStrike e Agent Zero aparecem em relatórios sobre ameaças, e os três são distribuídos sem autenticação por padrão.
Os pesquisadores avaliaram uma lista restrita de ferramentas pelo que oferecem para encontrar segredos em repositórios públicos do GitHub.
Quatro trazem um scanner real conectado ao agente: Pojun, Cybermes, Xalgorix e AIRecon. O Pojun cita o gitleaks no prompt de seu worker.
O Cybermes traz um binário próprio, secret_scan, com 48 padrões de regex e nove validadores somente leitura de credenciais. Nenhum deles contém um coletor do GitHub.
Essa lacuna oferece pouco conforto. Quase todo framework entrega ao agente um shell e acesso à web, então uma busca no GitHub ou o download de um scanner ficam a apenas uma chamada de ferramenta improvisada de distância.
O modelo e o prompt fornecem a capacidade; o repositório não precisa fazê-lo.
Dos 41 frameworks identificados no Shodan, 11 servem uma interface web (UI, do inglês user interface) em uma porta de rede por padrão. Outros 18 expõem uma UI apenas em algumas configurações, e 12 não têm nenhum serviço de escuta.
Os pesquisadores escreveram 56 registros de impressão digital. Em 7 de novembro de 2026, apenas os acessos da família ARTEX corresponderam a 1.428 serviços no Shodan.
O PentAGI liderou entre as demais ferramentas, com 419 serviços, dos quais 233 usavam seu certificado padrão, principalmente nas portas 8443, 8666 e 8765.
O Agent Zero veio em seguida, com 173, dos quais 134 estavam protegidos por login e 39 estavam abertos. O ScopeWeaver registrou 43, o Cairn 41 e o RedAmon 27. Xalgorix e Pojun expuseram 6 e 11, nas portas 9137 e 8787.
O risco se concentra em um punhado de bases muito bifurcadas, e não nos repositórios com mais estrelas.
O Strix, com 74,2 mil estrelas, não mostrou código de busca de segredos, enquanto o Pojun, com 84 estrelas, traz um worker conectado ao gitleaks. Portanto, a popularidade é um indicador ruim do potencial de abuso.
Os pesquisadores publicaram descrições de impressões digitais, e não listas de alvos. Defensores podem usá-las para encontrar primeiro suas próprias instâncias expostas.
As equipes devem verificar consoles de agentes nas portas citadas acima, exigir autenticação em qualquer interface de operador e restringir o acesso de saída ao GitHub a partir de hosts de agentes.
