Bu veriler, failin büyük dil modelleri ile sistem zafiyetlerini ortaya çıkarmak amacıyla simüle edilmiş siber saldırılar gerçekleştiren açık kaynaklı Çin menşeli otonom sızma testi (penetration testing) aracı ARTEX'i birlikte kullandığını ortaya koydu.
Güvenliği ihlal edilen kuruluşların aracı kurum kredi sorgulama hizmetlerinde ve çalışanların mobil iş destek sistemlerinde sızıntılar yaşandığı bildirilirken, etkilenen toplam kurum sayısı resmi olarak doğrulanmadı.
Bu olay, siber saldırganların operasyonel hızlarını artırmak amacıyla geleneksel ofansif bilgisayar korsanlığı tekniklerini otomatik yapay zekâ yazılımlarıyla nasıl birleştirdiğini gözler önüne seriyor.
CrowdStrike, karmaşık görevleri bağımsız olarak yerine getirebilen otonom yapay zekâ (agentic AI) sistemlerinin sürece dahil edilmesinin, saldırganın kısa bir zaman diliminde birden fazla kurumsal ağ ihlali gerçekleştirmesine olanak tanıdığını belirtti.
Açığa çıkan kayıtlar doğrudan finansal bir motivasyonun varlığını kanıtladı; zira operatörün Claude'a çalınan Güney Kore veri ihlali bilgilerini nerede satabileceğini sorduğu ve Telegram üzerinde özel satış kanalları aradığı görüldü.
Teknik açıdan operasyon, Hong Kong merkezli bir internet adresinde barındırılan ana merkez ile ARTEX kurulumunu ve çoklu vekil sunucu bağlantılarını barındıran ikincil bir sunucudan oluşan dağıtık bir altyapıya dayanıyordu.
Saldırgan, ARTEX örneğini öncelikli olarak DeepSeek v4.1-flash modeli üzerinde çalışacak şekilde yapılandırdı ve farklı Claude Code oturumları için bu yapıyı GLM-5.3 ile Grok 4.6 gibi modellerle destekledi.
Oturum komutlarında bulunan ve doğrulanmamış kişisel ayrıntılar Çin'in Guangdong bölgesinde bulunan bir profile işaret etse de CrowdStrike, failin Çince konuşan biri olduğunu orta düzeyde bir güvenle değerlendirdi ve siber suçluların teknik kabiliyetlerini artırmak için otomatik yapay zekâ araçlarını benimsemeye devam edeceği uyarısında bulundu.