FBIが警告したAIハッキングツールARTEX…オリジナルが削除されても複製版は攻撃を続ける
FBIはAIハッキングツールARTEXの実際の攻撃への悪用について公式警報を出した。米連邦捜査局(FBI)は11月13日(現地時間)、インターネット犯罪苦情センター(IC3)を通じて「FLASH」警報を発令し、このツールが少なくとも8月からさまざまなハッカー集団の攻撃に使用されていたと明らかにした。ARTEXと呼ばれるこのツールは、自然言語で目標を入力するとAIがシステム侵入から情報窃取まで自動で実行するもので、一部の事例では侵入開始から管理者権限の取得まで3時間もかからなかった。
FBIの説明によると、ARTEXはGo言語で作られたマルチエージェントプラットフォームで、自然言語の目標を機械命令に変換し、役割分担された専門エージェントが実行するため、目標設定後の人間の介入は最小限に抑えられる。独自モデルを持たず、ClaudeやGPT、DeepSeek・GLM・Grok・Kimiなどの外部大規模言語モデル(LLM)と接続され、攻撃者が管理するインスタンスの分析結果では中国系モデルが最も多く、特にDeepSeek Flash系が目立ったという。FBIは性能とコストのバランス、ペネトレーションテスト名目のリクエストに対する明確な安全装置がないことを理由として挙げた。FBIはARTEXの標的となった分野として、金融、政府、テクノロジー、国防、半導体、エネルギー、医療、製造、通信、法律を列挙した。
攻撃の速さを示す事例もある。クラウドストライクは、「VAPOR PANDA」と追跡する中国関連の攻撃者が10月17日から11日間で14カ国200以上の組織を標的にしたと明らかにした。マイクロソフトが確認したある事例では、AIエージェントがGitHub上に露出した秘密情報の発見からAzure Key Vaultのデータ流出までをわずか5分で完了した。
韓国も標的となった。FBIは、韓国の金融機関を標的とした金銭目的の攻撃で約6万7千人の個人情報が流出したと明らかにした。サプライチェーン攻撃もあった。FBIはマイクロソフトの報告を引用し、ConnectWiseのクラウドバックアップ侵害により2,250以上の下位テナントへのアクセスが可能だったと記述し、マイクロソフトはこれを「Storm-0940」グループと関連付けた。ただし、サイバーセキュリティニュースは、この数値は確認済みの侵害ではなく標的の規模であり、ログイン成功だけではデータ窃取が証明されていないと但し書きを付けた。
開発者「Autumn-27」は7月にハッキングツールARTEXをGitHubに公開したが、韓国銀行攻撃の報告後の10月8日にリポジトリを削除した。この開発者はリポジトリ削除に際し、「ツールが悪用されたことを考慮し、今後は更新せず非公開ソースに移行する」と記した。しかし、フォークやローカライズ版、アーカイブ、商用版ARTEX PROが引き続き流通しており、研究者らは11月初旬に公開露出されたARTEXコンソールを1,600以上確認した。
FBIが指摘した脆弱ポイントは周辺システムだ。パートナーやサプライヤーポータル、モバイルバックエンド、従業員向けアプリ、レガシーサービス、クラウド管理エンドポイントが代表的で、未署名のSAMLアサーション、XXE、SSRF、SQLインジェクションなどの既知の脆弱性が連なり、侵入経路となった。侵入後は、ウェブシェルの設置や既存OAuthアプリへの資格情報追加、Kerberoastingが試みられ、11万以上のActive Directoryオブジェクトが列挙された。
これを受け、FBIはインターネットに公開されているアプリケーションのリストを作成して外部攻撃面を縮小し、クラウド管理およびネットワーク機器管理エンドポイントを信頼されたネットワークに制限するよう勧告した。高影響APIへの呼び出し制限の設定や、設定・リポジトリ・パイプラインに埋め込まれた秘密情報の検出と置換も対応策に含まれる。LLM APIエンドポイントへの接続やトークン消費の異常も監視対象だ。不審な活動は地域のFBI支局やIC3に報告でき、ARTEXの設定ファイルとコンソール画面のキャプチャ、サービスプリンシパルのログインログが有用な資料とされた。
