單次入侵的規劃代理吃掉大約 14 億個輸入 Token。這是 CrowdStrike 從一場已被觀察到的任務裡讀出來的量，不是整場行動的總和。公司說，整場行動的消耗「暗示遠高於這個數」。
同一份 OverWatch 報告把控制器對上 VAPOR PANDA 的基礎設施：10 月 17 日起的 11 天窗口，單一 ARTEX 控制器對至少 14 個國家、超過 200 個不同組織發任務。NBC News 把這組數字寫成「中國國家關聯駭客用 AI 在 11 天內打 200 多家」。CrowdStrike 自己的確認門檻比較窄：後滲透活動被證實的是 9 家，不是 200 家。
200、14 國、9 家確認，不是同一層數字
目標清單按地區寫。VAPOR PANDA 用 ARTEX 對兩個拉丁美洲國家的外交部做了廣泛入侵，很可能還拿下第三個，並為中美洲與亞洲的外交部準備了目標檔。中東一個內政部被入侵。歐洲有一場任務對單一國家同時打外交部、總統府、總理辦公室，以及國防、司法、財政、情報單位。另一場任務打 19 家美國組織，行業含製藥、半導體、國防、核能、金融。電信業者在美國、比利時、菲律賓被入侵。
後滲透被確認的 9 家，攻擊者取得存取、部署 BLOODALCHEMY 後門，並接著噴憑證、掃網路、做偵察。另外至少 12 個組織——含美國智庫與歐洲政府單位——被噴密碼與掃憑證，沒有被寫進那 9 家確認清單。
| 公開數字 | 公司怎麼定義 | 獨立複驗 |
|---|---|---|
| 逾 200 個組織 | 單一控制器在 11 天內對其發 ARTEX 任務 | 無。是 CrowdStrike 遙測 |
| 至少 14 國 | 同上窗口 | 無 |
| 9 家後滲透 | 取得存取、部署 BLOODALCHEMY、後續噴憑證與掃描 | 無第二家廠商公開對帳 |
| 至少 12 家噴密碼 | 含智庫與歐洲政府 | 無 |
| 約 14 億輸入 token | 單次入侵的規劃代理 | 無原始帳單 |
VAPOR PANDA 自 2021 年起的主線是歐洲、北美、大洋洲與英國的政府、智庫、能源與開採組織，目的是長期存取。CrowdStrike 把這次標成該組織第一次被觀察到使用 AI 驅動的入侵工具，目標也擴到製藥、半導體、核能、國防，以及新地區的外交部。公司判斷這是用代理工具把既有「建長期入口」任務放大，不是改行去做別種犯罪。
報告把這場行動與業界用 Storm-0940 稱呼的另一批 ARTEX 活動分開。CrowdStrike 先前記錄過 ARTEX 與類似框架被金錢動機、未歸屬的行為者用過；這次是針對性入侵對手拿同一類框架去打多個高價值目標。公司還寫，這次看到的 BLOODALCHEMY 與 C2 基礎設施，沒有出現在先前公開的 ARTEX 報導裡。
開源框架加可下載模型，人仍坐在決策點
ARTEX 是開源的智能體化 AI 框架。CrowdStrike 寫，VAPOR PANDA 主要用中國產的 DeepSeek 大型語言模型，再補一顆訂閱制商用模型，第二顆公司無法確認。主代理底下有規劃代理與工作代理，共用一張事實、發現與目標的圖，把單一任務從初始存取推到主機偵察與橫向移動。
框架不是全自動。復原的逐字稿裡，操作者用中文下指令，標記為「【人类指令】」（人類指令），時區是中國標準時間，在決策點把代理導向寫 webshell、抽出網域管理員密碼、盤點端點感測器覆蓋。Security Brief 與 Silicon Report 後續轉述同一組「人在迴路裡」的描述。對防禦者來說，這表示規模來自「一個人同時盯很多場」，不是「模型自己決定打誰」。
美國一家製藥組織裡，代理把未簽名的 SAML 斷言與 XXE 缺陷串起來，查詢雲端執行個體中繼資料服務，拿到能對數千個執行體下管理指令的角色，再升級到企業管理員帳號。第二家美國製藥組織裡，代理部署 webshell、濫用未驗證的編排服務在生產容器環境拿到 root、讀 LAPS 密碼，並濫用資源型受限委派來假冒特權帳號。希臘一個政府單位裡，操作者把 2022 年郵件伺服器目錄匯出——含很可能從未輪替的驗證金鑰——交給代理；代理用那些金鑰偽造管理員權杖讀信箱，再拿使用者已寄信件裡的 VPN 設定，加上操作者稱來自 2024 年 5 月郵件外洩的 VPN 用戶端金鑰，進到內網。
這些是 CrowdStrike 對已觀察入侵的摘要，不是可重現步驟。共同模式是：代理同時追多條路——網頁應用、雲端服務、容器、Active Directory、郵件與 VPN——一條失敗就換下一條。公司判斷，這種寬度讓單一操作者能對更多目標套用比手動操作更廣的手法。
防禦規避被直接寫進工作流。在一家全球製藥組織，操作者要代理「在域里寻找没有装猎鹰的windows机器，从tasklist和文件夹目录判断」（在網域裡找沒裝獵鷹的 Windows 機器，用工作管理員與資料夾目錄判斷）。「猎鹰／獵鷹」是中國紅隊口語裡的 CrowdStrike Falcon。把有沒有端點感測器寫進代理目標，後續活動就可以集中打沒裝的主機。PlainSec 後續把這點寫成：缺 Falcon 覆蓋的位置，可能決定行動往哪走、防禦者能看到什麼。
BLOODALCHEMY 不是新後門，是舊工具被代理工作流重新接上
中東一個內政部與拉丁美洲一個外交部，VAPOR PANDA 部署了 BLOODALCHEMY。這個後門 2023 年 10 月已被公開記錄。這次的載入方式是：把合法的 GameHook 二進位改名成 svchost.exe，載入惡意 DLL graphics-hook-filter64.dll，再解密 payload 檔 graphics-hook_config.bin。三個檔的複本被放在暴露的開放目錄。植入體帶內部專案路徑 D:\ProjectX\Merman_New\，CrowdStrike 認為那是惡意程式的內部開發名。
公司公布的 C2 網域含 nginxmysql.com、sqlserver-sqlite.com、www.ddduuuppp.com，並附對應位址與檔案雜湊。建議的獵捕標記含命令列參數裡的 artx 或 artex、artx- 開頭的雲端角色、art18- 管理指令註解，以及 C:\ProgramData\artx5v\ 目錄。MITRE 對應被寫成取得 AI 能力、打面向公眾的應用、有效帳號、外部遠端服務、雲端管理指令、webshell、權杖假冒、DLL 劫持、偽裝、雲端中繼資料憑證、LAPS、偽造 SAML、噴密碼、發現安全軟體、遠端收信、多跳代理、協定隧道。
建議側沒有新的魔法，全是金鑰輪替與最小權限：任何疑似暴露後輪替簽署金鑰、預驗證金鑰與服務憑證，含歷史備份與目錄匯出裡的金鑰；強制 SAML 簽章驗證、要求 IMDSv2、把雲端角色的指令權限收到最小執行體集合；修面向互聯網的設備，尤其是長壽命 Linux 伺服器。CrowdStrike 作為端點廠商，最後一條建議是在被認為「從公網碰不到」的伺服器上也裝 EDR。這是產品位置，不是獨立驗證。
歸因、規模與「開源就夠用」各停在哪
NBC News 寫中國國家關聯。CrowdStrike 用的是自己的 VAPOR PANDA 歸屬與「中國關聯對手未來 12 個月極可能繼續採用這類框架」的研判。第二顆商用模型沒被點名，DeepSeek 官方沒有對這份報告發表公開回應。14 億 token 沒有對應的帳單、沒有模型版本、沒有API 價目表——它證明的是規劃代理在單場任務裡看過極大的上下文，不是哪一顆公開價目上的 DeepSeek 被刷了多少美元。
開源框架加可下載模型這句，CrowdStrike 自己的限定是「很可能反映刻意用多家模型供應商組一條有韌性的工具鏈，而不是綁死單一服務」。它沒有說 DeepSeek 權重被改過，也沒有說商用 API 被對手用官方管道合法租到。能被防禦者直接用的，是公開目錄裡的獵捕字串、已公布的 C2，以及「人在決策點、代理在平行跑」這個操作型態。
200 這個數字容易被拿去當標題，9 才是公司願意用「確認後滲透」的集合。中間那 191 家，公開報告只證明控制器對它們發過任務，不證明都打進去了。要讓這則報告從一家資安廠商的遙測變成可對帳的事件清單，缺的是受害組織或第二家廠商把 9 家確認名單對上公開事件，以及那顆「無法確認」的第二模型被誰認領。這兩格目前都是空的。