セキュリティ

自動ペネトレーションAI「ARTEX」の悪用が示すもの——確認できた事実と、まだ分からないこと

2026/10/25

AI連携型の侵入テストツール「ARTEX」が、韓国の金融機関、日本企業、そしてConnectWise経由のMicrosoft 365環境への攻撃に関わっていたと、複数の組織が相次いで公表しました。本記事では、2026年10月25日時点の公開情報をもとに、確認できた事実とまだ分かっていないことを分けて整理し、組織が取るべき対策を解説します。各社の調査は継続中のものを含みます。

先に結論:脅威の本質は「AI」より「信頼済みの連携」

ARTEXは新種のマルウェアではなく、もともと脆弱性の検証に使われる自動化ツールです。そのため今回の件は、正規のセキュリティツールが攻撃にも転用されるというデュアルユースの問題として捉える必要があります。

もう一つ重要なのは、報道された攻撃の流れです。パスワードの総当たりは大量に失敗した一方で、すでに許可されていたアプリ連携の資格情報を使った侵入は成立したとされています。AIの登場で攻撃が速くなったことは確かですが、守る側が最初に見直すべきなのは、AIへの対策よりも、人のログインを経由しない「非人間のID」の管理です。

なお、攻撃の個々の場面でAIがどこまで侵入を成功させたのかは、現時点で特定されていません。

要点

ARTEXは新種のマルウェアではありません。 中国のエンジニアがGitHubで公開した、AI(LLM)連携型のペネトレーションテスト自動化ツールです。正規の検証用ツールが攻撃にも使われうる、というデュアルユースの問題です。
悪用の痕跡は3か所で報じられています。 韓国の金融機関(CrowdStrike)、日本企業(GMOサイバーセキュリティ byイエラエ)、ConnectWiseのクラウドバックアップ経由のMicrosoft 365テナント(Microsoft)です。
本当の脅威はAIそのものより、「信頼済みの連携」を突かれたことです。 パスワードの総当たりが大量に失敗した一方、正規のアプリ連携(OAuth)の資格情報を使った侵入は成立したと報じられています。
「AIが攻撃を実行した」範囲は、まだ確定していません。 攻撃者のサーバーにツールが設定・稼働していたことは確認されていますが、個々の侵入をAIが成功させたとは特定されていません。

1. ARTEXとは何か

ARTEXは、中国のセキュリティエンジニアがGitHubで公開したとされる、侵入テストの自動化ツールです。外部のLLM(大規模言語モデル)と連携して脆弱性を探す仕組みで、どのLLMに接続するかは利用者が選べます。CrowdStrikeの分析によれば、攻撃者側とみられるサーバーでは、主なバックエンドとしてDeepSeek v4.1-flashが使われていました。別の作業では、開発支援ツールのClaude Codeを通じてGLM-5.3やGrok 4.6も使われていたと報じられています。

ここで注意したいのは、Claude Codeの履歴が見つかったことと、Anthropic社のClaudeモデルで攻撃が実行されたことは同じではない点です。履歴から読み取れるのは、攻撃者が開発支援ツールを、流出データの売却先を相談するといった周辺作業にも使っていたという事実までです。

2. 3つの公表内容

韓国の金融機関:CrowdStrikeの分析

CrowdStrikeは10月7日、攻撃者側とみられるサーバーの分析結果を公表しました。そこでは、ARTEXの設定ファイルや中国語の侵入テスト用プロンプト、Claude Codeのセッション履歴、AIのメモリーファイルが見つかっています。攻撃者がAIに対して、韓国の漏えい情報の売買先やTelegram上の取引グループの探し方を尋ねていた痕跡もありました。

攻撃者像について、CrowdStrikeは「中国語話者で金銭目的の可能性がある」と評価していますが、確信度は中程度です。既知の攻撃グループや特定の個人、国家機関への帰属は行っていません。また、どの金融機関への侵入がAIによって成功したのかも特定されていません。韓国金融委員会の公式発表も、AIやARTEXを攻撃手段としては認定しておらず、口座情報など金融取引に直接使える情報の漏えいは確認されていないとしています。

日本企業:GMOサイバーセキュリティ byイエラエの調査

GMOサイバーセキュリティ byイエラエは10月19日、日本企業を狙った侵害の攻撃元インフラを調べた結果、ARTEXの使用を確認したと発表しました。標的は約20社と報じられており、そのうち8社は2026年9月から10月にかけて情報漏えいを公表していました。同一の攻撃グループによる犯行の可能性があり、情報は法執行機関に共有されたとされています。

Microsoft 365:ConnectWise Cloud Backup経由の攻撃

Microsoftは10月21日の報告で、中国系とされる攻撃者グループ「Storm-0940」がARTEXを使い、Microsoft 365環境への攻撃を自動化したと説明しています。報道によれば、10月10日から14日にかけて15万件を超えるログイン失敗が観測され、対象は8組織の327アカウントでした。その後、攻撃者がConnectWiseのクラウドアプリケーションIDを奪取すると、2,250を超えるテナントに到達し、ピーク時には毎分約2,900回のサインインが試みられたとされています。複数のケースでは、標的にしてから特権アクセスを得るまでに3時間もかかっていません。

これらの数字はいずれもMicrosoftの主張であり、第三者による検証は確認できていません。

項目	内容	確度
性質	外部のLLMと連携して脆弱性探索や侵入テストを自動化するツール。接続するLLMは利用者が選べる	CrowdStrike、報道で一致
公開元	中国のセキュリティエンジニアがGitHubで公開	報道
稼働の様子	攻撃者側とみられるサーバーでARTEXが稼働。中国語の侵入テスト用プロンプトが外部から閲覧できる状態で残っていた	CrowdStrike(報道経由)
使用LLM	ARTEXの主なバックエンドはDeepSeek v4.1-flash。別途、Claude Codeのセッションで GLM-5.3 と Grok 4.6 が使われていた	CrowdStrike(報道経由)

3. 何が突破されたのか

報道を総合すると、攻撃は次のように進んだと考えられます。まず攻撃者はパスワードを大量に試しましたが、防御側の仕組みによって大半は阻まれました。そこで経路を切り替え、ConnectWiseのバックアップ連携のように、すでに許可されていたアプリの資格情報を悪用しました。この方法では、アプリが信頼された存在として認証されるため、ユーザーの対話的なサインインが発生しません。人間のログイン画面に向けた防御は、この経路には届きにくくなります。

ただし、「MFAが突破された」とMicrosoftが明言した事実は確認できていません。確認できているのは、ユーザーの対話的サインインを伴わない認証だった、という点までです。それでも、サービスプリンシパルやOAuthトークンといった非人間のIDが、人のMFAを通らない経路になりうることは、今回の事例が示す大きな教訓といえます。

パスワード総当たり(スプレー)は大量に失敗した。 15万件超の試行でも、防御側のロック等により大半が阻まれたと報じられています。
別の経路として、アプリ連携の資格情報が悪用された。 ConnectWiseのクラウドバックアップ連携のように、すでに許可された信頼関係が足がかりになりました。報道によれば、攻撃者は対話的なユーザーサインインを伴わず、信頼されたアプリとして認証しています。
結果として、正面突破より速く広範に到達した。

4. AIによって何が変わったのか

確認できる範囲で言えることは三つあります。一つ目は速度とスケールです。標的化から特権取得まで3時間未満、毎分約2,900回という数字は、自動化の効果を物語っています。二つ目は参入障壁の低下です。攻撃者がAIに侵入コードの調整や換金ルートの相談をしていた痕跡があり、専門知識が乏しくても攻撃を進められる可能性が示されました。三つ目は、防御側の検証ツールと攻撃ツールの境界があいまいになったことです。

速度とスケール。 標的化から特権取得まで3時間未満、毎分約2,900回の試行という数字は、自動化の効果を示します(Microsoftの主張)。
参入障壁の低下。 攻撃者がAIに侵入コードの調整や換金ルートを相談していた痕跡があり、専門性が低くても進められる可能性が示されています(CrowdStrikeの評価に基づく解釈)。
正規ツールと攻撃ツールの境界の曖昧化。 防御側が使うべき自動検証ツールが、そのまま攻撃に転用されます。

一方で、「AIが攻撃を完全に自律して成功させた」と断定できる材料は、現時点で公表されていません。過度に恐れず、確認された事実に即して備えることが大切です。

5. 組織が今すぐ取れる対策

最優先は、影響を受けるConnectWise連携を、公式の復旧案内が出るまで無効のままにすることです。このとき、調査に使えるよう、アプリを削除する前に証拠を保全してください。

次に、アプリ連携の棚卸しを行います。サービスプリンシパルのサインイン、アプリ資格情報の追加、同意(consent)の付与、ロールの変更を確認し、過去に許可した連携も調査の対象に含めます。確認の際は、公開されたIPアドレスだけで判断せず、Microsoft Graphの不審な利用、メールボックスへのアクセス、ファイルの大量ダウンロード、転送ルール、想定外の所有者といった兆候にも注目してください。

平時の備えとしては、一般ユーザーによるサードパーティアプリへの同意を制限し、管理者の承認制にすることが有効です。グローバル管理者の数も絞りましょう。外部に公開している業務システムの点検も欠かせません。AIツールを業務に連携させる場合は、参照専用の権限を基本とし、変更や削除、送信は承認制にするのが安全です。

影響を受けるConnectWise連携は、公式の復旧案内が出るまで無効のままにする。 削除する前に、調査用の証拠を保全します。
アプリ連携を棚卸しする。 サービスプリンシパルのサインイン、アプリ資格情報の追加、同意(consent)の付与、ロール変更を確認します。過去に許可した連携も調査対象に含めます。
公開IPだけで判断しない。 Microsoft Graph の不審な利用、メールボックスへのアクセス、ファイルの大量ダウンロード、転送ルール、想定外の所有者に注目します。
一般ユーザーによるサードパーティアプリの同意を制限する。 管理者承認制にして、グローバル管理者の数を絞ります。
外部公開している業務システムを点検する。 韓国の当局も各社に求めている対応です。
AIツールの権限は最小限にする。 参照専用を基本とし、変更・削除・送信は承認制にします。