Censys repère des centaines de consoles ARTEX accessibles depuis Internet

Censys a recensé 1 465 hôtes dont la console ARTEX apparaissait dans ses observations d’Internet au début de novembre. ARTEX est un outil de test d’intrusion qui fait intervenir des agents appuyés sur des modèles de langage. Le rapport de Censys du 5 novembre 2026 examine les signes d’exposition et les répétitions de configuration. Son comptage aide à comprendre ce qui est visible depuis l’extérieur. L’usage de chaque installation reste une question séparée.

Comment Censys a repéré les consoles

Censys identifie les consoles à partir de caractéristiques des pages qu’il observe. Il rapproche notamment leur titre et des fichiers associés à l’interface. Cette méthode donne un instantané des hôtes qui présentent ces indices. Elle ne couvre pas les installations internes ou celles dont la console n’est pas accessible à sa collecte. Elle ne retrace pas non plus ce que chaque personne fait avec l’outil.

Une partie du total se concentre dans deux blocs d’hébergement aux configurations similaires. En écartant environ 650 hôtes de ces blocs, Censys obtient un ordre de grandeur de 815 déploiements qui paraissent distincts. L’écart montre pourquoi une adresse observée et un exploitant identifié correspondent à des unités différentes. Plusieurs adresses peuvent refléter un même modèle de déploiement. Les chercheurs n’ont pas établi le nombre exact de personnes derrière toutes les installations.

Certains hôtes présentent aussi d’autres traces

Censys dit avoir relevé d’autres détections sur 155 des hôtes recensés. Le rapport décrit également des répertoires ouverts sur certaines installations. Leur contenu peut renseigner les chercheurs sur les outils qui se trouvaient au même endroit et sur la durée d’exposition. La présence d’un fichier ou d’un outil ne suffit pas à établir qu’il a servi contre une cible. TechCrunch est revenu sur ces observations le 6 novembre.

Le rôle des agents et le contexte des incidents

Dans la description de Censys, ARTEX transforme un objectif de test en tâches que des agents peuvent se répartir. Il combine des modèles de langage avec des outils de sécurité existants et rassemble les résultats dans une console. Ce fonctionnement explique l’intérêt de regarder comment l’accès à cette interface est limité. Une console exposée peut rendre visibles des éléments de travail qui étaient destinés à un environnement de test.

Le rapport revient sur deux campagnes documentées auparavant par des sociétés de sécurité. Dans le cas des institutions financières sud-coréennes étudiées par CrowdStrike, les chercheurs avaient examiné des traces liées à une infrastructure précise. Censys ajoute une observation sur la durée pendant laquelle un répertoire de cette infrastructure est resté visible. Son étude de novembre élargit ensuite la mesure à un ensemble d’hôtes. Les installations de cet ensemble peuvent inclure des environnements de test autorisés.

Ce que le comptage permet de suivre

Le rapport permet de distinguer le nombre de consoles détectées et les regroupements de configurations. Il décrit aussi des ouvertures de répertoires qui changent en quelques jours. Ces mesures donnent une photographie datée de l’exposition. Pour établir un incident, il faut des traces d’utilisation ou des effets observés sur une organisation. Ce niveau de preuve vient des enquêtes consacrées à chaque campagne.

Pour une équipe qui utilise des agents de test, je commencerais par faire l’inventaire des interfaces visibles depuis l’extérieur et des données qu’elles exposent. Ça permet de vérifier ce qui doit rester dans le périmètre du test. La question se pose aussi pour les outils qui entourent l’agent et qui stockent les traces de son travail.