事件经过
10月21日，Microsoft发布了对中国关联的Storm-0940的分析，该组织使用ARTEX（一个开源多代理LLM渗透测试框架）从2026年9月起对数百家组织进行自动化攻击——在某些情况下不到3小时就获得特权云访问，并推动了ConnectWise供应链入侵。报告记录了AI加速的OAuth应用滥用和Microsoft Graph后续活动，并提供了Defender XDR检测和狩猎查询。
影响分析
这是一个有记录的现实案例，展示现成的代理AI被用于以机器速度扩展攻击行动（侦察、密码喷洒、OAuth滥用），压缩了达到特权的时间并缩短了防御反应窗口。它是AI驱动攻击的参考威胁模型，也向防御者发出信号，需保护OAuth应用凭证和M365应用访问。
适用范围
安全团队，尤其是运行M365/Entra的团队，应应用发布的狩猎查询，并审查服务主体登录以及意外的应用凭证/权限变更。