CrowdStrike Intelligence mengungkap kampanye siber tertarget terhadap organisasi keuangan Korea Selatan yang memanfaatkan ARTEX, alat penetration testing berbasis AI agent. Analisis yang diterbitkan pada 7 Oktober 2026 itu menyebut aktivitas berlangsung sejak akhir September hingga awal Oktober dan menyebabkan eksfiltrasi data.
Temuan tersebut menjadi perhatian karena menunjukkan penggunaan AI agent dalam rangkaian operasi serangan yang menargetkan sektor keuangan. Peneliti tidak hanya menemukan indikasi pemakaian ARTEX, tetapi juga memperoleh riwayat sesi Claude Code, berkas konfigurasi, serta file memori Claude dari direktori terbuka yang berkaitan dengan infrastruktur penyerang.
Meski demikian, CrowdStrike belum mengaitkan operasi ini dengan aktor ancaman tertentu. Penilaian mengenai kemungkinan pelaku berbahasa Mandarin juga masih berada pada tingkat keyakinan moderat. Jumlah organisasi Korea Selatan yang terdampak belum dikonfirmasi.
AI agent digunakan dalam operasi terhadap sektor keuangan
ARTEX disebut sebagai alat penetration testing open source berbasis AI agent yang dikembangkan di China. Berbeda dari perangkat otomatisasi sederhana, pendekatan berbasis agent memungkinkan model bahasa membantu menjalankan rangkaian tugas keamanan secara lebih terkoordinasi. Dalam konteks ini, kemampuan tersebut diduga digunakan sebagai bagian dari aktivitas terhadap organisasi keuangan Korea Selatan.
Infrastruktur yang dianalisis CrowdStrike menunjukkan ARTEX menggunakan beberapa model bahasa besar. DeepSeek v4.1-flash disebut menjadi backend utama untuk ARTEX. Selain itu, GLM-5.3 dan Grok 4.6 muncul dalam sesi Claude Code yang ditemukan peneliti.
Informasi tersebut tidak secara otomatis membuktikan bahwa setiap model atau pengembangnya terlibat dalam serangan. Temuan itu menunjukkan model-model tersebut digunakan melalui infrastruktur yang dianalisis, sementara pihak yang menjalankan operasi tetap belum teridentifikasi secara pasti.
Riwayat sesi membuka petunjuk teknis
Salah satu aspek penting dalam laporan ini adalah ditemukannya direktori terbuka yang berisi artefak dari lingkungan kerja penyerang. Artefak tersebut mencakup riwayat sesi Claude Code, konfigurasi ARTEX, dan file memori Claude.
Bagi penyelidik, berkas semacam itu dapat memberikan gambaran mengenai cara sebuah operasi dirancang dan dijalankan. Riwayat sesi berpotensi memperlihatkan urutan aktivitas, tugas yang diberikan kepada agent, serta interaksi antara operator dan sistem AI. Sementara itu, konfigurasi dapat membantu mengungkap komponen yang digunakan, termasuk model backend dan pengaturan operasional.
File memori juga dapat menyimpan konteks yang dipakai sistem dalam menjalankan pekerjaan. Jika terekspos, data tersebut bisa membantu peneliti menghubungkan aktivitas yang sebelumnya tampak terpisah. Dalam kasus ini, kombinasi artefak yang ditemukan memberikan visibilitas lebih besar terhadap pemanfaatan AI agent di dalam infrastruktur serangan.
Namun, keberadaan riwayat sesi atau konfigurasi tidak berarti seluruh proses operasi dapat direkonstruksi secara lengkap. Peneliti tetap perlu membedakan antara data yang secara langsung menunjukkan aktivitas serangan dan petunjuk yang hanya menggambarkan lingkungan kerja atau rencana operasional.
Eksfiltrasi data sudah terjadi
CrowdStrike menyatakan kampanye tersebut melibatkan eksfiltrasi data. Artinya, sebagian informasi dari lingkungan organisasi yang menjadi sasaran telah dipindahkan keluar dari sistem target. Penelitian yang tersedia belum mengonfirmasi jumlah organisasi yang terkena dampak maupun rincian jenis data yang diambil.
Keterbatasan informasi ini penting dicatat karena skala insiden belum dapat dinilai secara menyeluruh. Satu kampanye dapat melibatkan beberapa target, tetapi tanpa konfirmasi jumlah organisasi dan ruang lingkup data, dampaknya terhadap sektor keuangan Korea Selatan masih belum bisa dihitung secara pasti.
Fokus laporan CrowdStrike berada pada penggunaan infrastruktur dan alat berbasis AI agent, bukan pada publikasi daftar korban. Dengan demikian, temuan ini lebih banyak menjelaskan metode serta jejak teknis operasi daripada keseluruhan konsekuensi bagi setiap organisasi yang mungkin terdampak.
Atribusi masih belum pasti
CrowdStrike belum menamai aktor ancaman yang berada di balik kampanye tersebut. Peneliti menilai dugaan pelaku kemungkinan berbahasa Mandarin dan memiliki motif finansial, tetapi keyakinan terhadap penilaian itu masih moderat.
Atribusi siber tidak hanya bergantung pada bahasa yang muncul dalam berkas atau pilihan perangkat. Peneliti biasanya perlu menggabungkan berbagai indikator, seperti infrastruktur, pola operasional, teknik yang digunakan, dan hubungan dengan aktivitas sebelumnya. Karena itu, petunjuk linguistik atau teknis tertentu belum cukup untuk menetapkan identitas pelaku.
Laporan media Korea pada 8 Oktober menyebut adanya petunjuk identitas yang diduga mengarah kepada seorang warga Guangdong berusia 26 tahun. Informasi tersebut belum terverifikasi secara independen dan tidak dapat diperlakukan sebagai fakta pasti. Sampai ada konfirmasi yang lebih kuat, identitas individu maupun keterkaitannya dengan operasi ini tetap merupakan dugaan.
Makna temuan bagi pertahanan siber
Kasus ini memperlihatkan bahwa AI agent dapat menjadi bagian dari rantai serangan yang menargetkan organisasi dengan kebutuhan keamanan tinggi. Penggunaan agent berpotensi membantu pelaku mengotomatisasi sebagian pekerjaan, mengoordinasikan tugas, dan berinteraksi dengan beragam alat dalam satu alur kerja.
Di sisi lain, artefak yang tidak terlindungi justru dapat membuka informasi penting bagi penyelidik. Direktori terbuka yang menyimpan riwayat sesi, konfigurasi, dan memori menunjukkan risiko keamanan operasional pada infrastruktur yang digunakan penyerang. Bagi organisasi mana pun, perlindungan terhadap berkas log, kredensial, konfigurasi, dan data konteks tetap penting, terlepas dari apakah sistem tersebut dipakai untuk pengembangan, pengujian, atau operasi keamanan.
Organisasi keuangan juga perlu memperhatikan kemampuan deteksi terhadap aktivitas otomatis yang berlangsung lintas alat dan model. Pemantauan tidak cukup hanya berfokus pada satu aplikasi, karena rangkaian operasi dapat melibatkan agent, backend model bahasa, penyimpanan file, serta infrastruktur pendukung lainnya.
Untuk saat ini, kesimpulan paling kuat dari analisis CrowdStrike adalah adanya pemanfaatan ARTEX dan beberapa model bahasa besar dalam kampanye yang menyebabkan eksfiltrasi data dari organisasi keuangan Korea Selatan. Identitas pelaku, jumlah korban, dan keseluruhan dampak operasi masih memerlukan verifikasi lebih lanjut.
