Kinesisk gruppe kjørte KI-agent på DeepSeek mot over 200 mål i 14 land, oppgir CrowdStrike
CrowdStrike tilskriver kampanjen VAPOR PANDA, en gruppe selskapet har fulgt siden ProxyLogon-utnyttelsen i 2021. Men bare ni innbrudd er bekreftet — og det var en glipp i operasjonell sikkerhet som avslørte angriperne.
En kinesisk nettgruppe med tilknytning til staten skal ha brukt et KI-agentverktøy drevet av språkmodellen DeepSeek mot over 200 organisasjoner i minst 14 land over elleve dager fra 17. oktober, ifølge sikkerhetsselskapet CrowdStrike. CrowdStrike offentliggjorde funnene torsdag 29. oktober — en analyse selskapet selv beskriver som gruppens første observerte bruk av KI-drevet inntrengningsverktøy, og en av de mest omfattende automatiserte spionasjekampanjene som hittil er dokumentert (HNGN).
Gruppen bak angrepene spores som VAPOR PANDA. Tallet som må holdes klart fra hverandre gjennom hele saken er 200 mot ni: Over 200 organisasjoner ble angrepet eller rettet mål mot, men CrowdStrike har bare bekreftet at angriperne fikk tilgang og utførte etterfølgende aktivitet hos ni av dem. Det er ikke 200 bekreftede innbrudd.
Gruppen og kampanjen
CrowdStrike har fulgt VAPOR PANDA siden begynnelsen av 2021, da gruppen utnyttet ProxyLogon-sikkerhetshullene i Microsoft Exchange-servere. Tidligere mål har vært tenketanker, lokalforvaltning og energiselskaper. Den nye kampanjen markerer ifølge selskapet en utvidelse inn mot organisasjoner innen legemidler, halvledere, kjernekraft og forsvar.
Målretningen var bred. Blant målene var utenriksministerier, 19 amerikanske organisasjoner innen legemiddel-, halvleder-, kjernefysisk- og forsvarssektoren, og teleselskaper i USA, Belgia og Filippinene. To av de ni bekreftede ofrene var amerikanske legemiddelselskaper. I tillegg til de ni bekreftede innbruddene oppgir CrowdStrike at minst 12 andre organisasjoner ble utsatt for angrep mot påloggingsdetaljer som ikke telles som bekreftede inntrengninger.
Hvordan det fungerte
Verktøyet heter ARTEX. Det er en åpen kildekode-agent for penetrasjonstesting, publisert på GitHub i år av en kinesisk sikkerhetsingeniør. Agenten tar imot et mål fra en menneskelig operatør, og kjeder deretter sammen rekognosering, utnyttelse og lateral bevegelse på egen hånd — den gjør et språkmodellkall for å bestemme hvert neste steg.
VAPOR PANDA kjørte rammeverket primært på DeepSeek, den kinesiskutviklede modellen som ble et globalt fenomen tidlig i 2025. I tillegg ble det brukt en annen, abonnementsbasert kommersiell modell som CrowdStrike ikke klarte å identifisere.
Skalaen på automatiseringen er slående. Ifølge CrowdStrikes analyse, gjengitt av The Hacker News, konsumerte gruppens planleggingsagenter i størrelsesorden 1,4 milliarder inngangstokens i et enkelt innbrudd. «I et enkelt innbrudd konsumerte Vapor Pandas planleggingsagenter i størrelsesorden 1,4 milliarder inngangstokens, noe som indikerer skalaen av den automatiserte aktiviteten og antyder langt høyere forbruk i operasjonen som helhet», heter det i analysen. Sitatet er oversatt fra engelsk.
Etter innbruddene ble skadelig programvare bekreftet hos de ni ofre. Der ble BLOODALCHEMY — en avart av ShadowPad — installert, fulgt av spraying av påloggingsdetaljer, nettverksskanning og rekognosering.
Hva KI faktisk endret
Den analytiske kjernepoenget i CrowdStrikes funn er ikke at KI endret gruppens oppdrag — men at agentverktøy endret tempoet og bredden. «Agentbaserte verktøy som ARTEX muliggjør en slik utvidelse i denne skalaen og med denne hastigheten, og lar et lite team forfølge et bredere sett med mål enn manuelle operasjoner ville støtte — snarere enn et totalt brudd med motstanderens etablerte oppgave med å bygge tilgang», heter det i analysen fra torsdag, gjengitt av The Hacker News. Sitatet er oversatt fra engelsk.
Med andre ord: Mennesket forble i loopen hele veien. Operatøren satte målet, og agentene kjørte stegene. Det er KI som akselererer menneskelige operatører, ikke autonome angrep — og ni bekreftede innbrudd er et annet tall enn 200 angrepne organisasjoner, en presisering som gjør hele forskjellen i hvordan funnene bør leses. Også uavhengig kommentar har understreket dette forbeholdet: Rapportene beskriver KI som et akselererende verktøy for menneskelige operatører, ikke autonome angrep, og det bekreftede innbruddstallet er ni, ikke 200 (Tehrani on Tech).
Det er denne økonomien som er den konkrete endringen: Et lite team kan nå dekke et målvolum og et tempo som tidligere krevde langt flere mennesker, slik NBC News rammer inn dekningen av kampanjen.
Glippet som avslørte alt
CrowdStrike fikk innsyn i operasjonen fordi angripernes kontroller av og til eksponerte egne verktøy, målfiler og agenttransskripsjoner — en feil i operasjonell sikkerhet som ifølge selskapet har blitt et gjentatt trekk ved KI-assisterte inntrengninger. Det samme mønsteret viste seg i en separat ARTEX-sak 7. oktober, der angrep mot sørkoreanske finansinstitusjoner eksponerte data om rundt 25 000 bankkunder.
At avanserte agentdrevne operasjoner kan spores fordi angriperne lekker egne agentlogger, er en av de få tvetydig positive takeawayene for forsvarere — men den er også en påminnelse om at dette angrepsmønsteret fortsatt er ungt og operasjonelt skjørt.
Konteksten og de åpne spørsmålene
Funnene lander midt i en rekke relaterte avsløringer: ARTEX-baserte innbrudd mot sørkoreanske finansinstitusjoner rapportert 7. oktober, og CrowdStrikes tidligere vurderinger av KI-bruk blant kinesiske og russiske grupper. KI-agentverktøy i spionasje er altså ikke lenger et hypotetisk scenario, men et verktøy i aktiv bruk av statlige aktører.
Flere spørsmål står åpne. DeepSeek har ikke offentlig kommentert funnene, ifølge tilgjengelig dekning, og det foreligger ingen kommentar fra kinesiske myndigheter i de kildene som er tilgjengelige for denne saken. Den andre språkmodellen i angripernes verktøykasse er fortsatt uidentifisert. Det er heller ikke kjent i hvilken grad de resterende målene i kampanjen vil vise seg å være faktiske innbrudd — CrowdStrikes ni bekreftede tilfeller er basert på det selskapet kunne verifisere, og tallet kan utvikle seg.
Et viktig forbehold om bevisgrunnlaget: Alle detaljene i denne saken stammer fra sekundær dekning av CrowdStrikes analyse — HNGN, NBC News og The Hacker News. AIMag har ikke gjennomgått den primære rapporten fra CrowdStrike. Det betyr ikke at funnene er svekket, men at presisjonen står og faller med CrowdStrikes egen dokumentasjon, som ikke er blitt uavhengig etterkontrollert i denne dekningen.
Chinese Group Ran an AI Agent on DeepSeek Against 200+ Targets in 14 Countries, CrowdStrike Says
CrowdStrike attributes the campaign to VAPOR PANDA, a group the company has tracked since the ProxyLogon exploitation in 2021. But only nine breaches are confirmed — and it was an operational security slip that exposed the attackers.
A Chinese state-linked cyber espionage group used an AI agent tool powered by the DeepSeek language model against more than 200 organizations in at least 14 countries over eleven days beginning October 17, according to the security firm CrowdStrike. CrowdStrike published its findings on Thursday, October 29 — an analysis the company itself describes as the group's first observed use of AI-driven intrusion tooling, and one of the broadest automated espionage campaigns documented to date (HNGN).
The group behind the attacks is tracked as VAPOR PANDA. The number that must be kept distinct throughout this story is 200 versus nine: more than 200 organizations were attacked or targeted, but CrowdStrike has only confirmed that the attackers gained access and carried out follow-on activity at nine of them. That is not 200 confirmed breaches.
The Group and the Campaign
CrowdStrike has tracked VAPOR PANDA since early 2021, when the group exploited the ProxyLogon security flaws in Microsoft Exchange servers. Previous targets have included think tanks, local governments, and energy companies. The new campaign, according to the company, marks an expansion into pharmaceutical, semiconductor, nuclear power, and defense organizations.
The targeting was broad. Among the targets were foreign ministries, 19 U.S. organizations in the pharmaceutical, semiconductor, nuclear, and defense sectors, and telecommunications providers in the United States, Belgium, and the Philippines. Two of the nine confirmed victims were American pharmaceutical companies. In addition to the nine confirmed breaches, CrowdStrike states that at least 12 other organizations were subjected to attacks against login credentials that are not counted as confirmed intrusions.
How It Worked
The tool is called ARTEX. It is an open-source agent for penetration testing, published on GitHub this year by a Chinese security engineer. The agent takes a goal from a human operator, and then chains reconnaissance, exploitation, and lateral movement on its own — making a language model call to determine each next step.
VAPOR PANDA ran the framework primarily on DeepSeek, the Chinese-developed model that became a global phenomenon in early 2025. In addition, a second, subscription-based commercial model was used that CrowdStrike was unable to identify.
The scale of the automation is striking. According to CrowdStrike's analysis, as reported by The Hacker News, the group's planning agents consumed on the order of 1.4 billion input tokens in a single intrusion. "In a single intrusion, Vapor Panda's planning agents consumed on the order of 1.4 billion input tokens, indicating the scale of the automated activity and implying far higher consumption across the operation as a whole," the analysis states.
After the breaches, malware was confirmed at the nine victims. There, BLOODALCHEMY — a derivative of ShadowPad — was installed, followed by credential spraying, network scanning, and reconnaissance.
What AI Actually Changed
The core analytical point in CrowdStrike's findings is not that AI changed the group's mission — but that agentic tooling changed its pace and breadth. "Agentic tooling like ARTEX enables this scale of expansion at speed, allowing a small team to pursue a wider target set than manual operations would support, rather than a wholesale shift away from the adversary's established access-development mission," the analysis published Thursday states, as reported by The Hacker News.
In other words: the human remained in the loop throughout. The operator set the goal, and the agents executed the steps. This is AI accelerating human operators, not autonomous attacks — and nine confirmed breaches is a different figure from 200 attacked organizations, a clarification that makes all the difference in how the findings should be read. Independent commentary has likewise underscored this caveat: the reports describe AI as an accelerating tool for human operators, not autonomous attacks, and the confirmed breach count is nine, not 200 (Tehrani on Tech).
It is this economics that constitutes the concrete change: a small team can now cover a target volume and pace that previously required far more people, as NBC News frames its coverage of the campaign.
The Slip That Exposed Everything
CrowdStrike gained insight into the operation because the attackers' controller intermittently exposed their own tools, target files, and agent transcripts — an operational security failure that, according to the company, has become a recurring feature of AI-assisted intrusions. The same pattern appeared in a separate ARTEX case on October 7, in which attacks against South Korean financial institutions exposed data on roughly 25,000 bank customers.
That sophisticated agent-driven operations can be traced because the attackers leak their own agent logs is one of the few unambiguously positive takeaways for defenders — but it is also a reminder that this attack pattern is still young and operationally fragile.
The Context and the Open Questions
The findings land amid a series of related disclosures: ARTEX-based intrusions against South Korean financial institutions reported on October 7, and CrowdStrike's earlier assessments of AI use among Chinese and Russian groups. AI agent tooling in espionage is thus no longer a hypothetical scenario, but a tool in active use by state actors.
Several questions remain open. DeepSeek has not publicly commented on the findings, according to available coverage, and there is no comment from Chinese authorities in the sources available for this story. The second language model in the attackers' toolbox remains unidentified. It is also not known to what extent the remaining targets in the campaign will turn out to be actual breaches — CrowdStrike's nine confirmed cases are based on what the company could verify, and the figure may evolve.
An important caveat about the evidence base: all the details in this story come from secondary coverage of CrowdStrike's analysis — HNGN, NBC News, and The Hacker News. AIMag has not reviewed the primary report from CrowdStrike. This does not mean the findings are weakened, but that their precision stands or falls with CrowdStrike's own documentation, which has not been independently verified in this coverage.