AIハッキングツールArtex数百件がWeb露出

セキュリティ調査企業センシスは、中国発の人工知能活用型ハッキングツール「アルテクス」が、認証なしでインターネットからアクセスできる形で数百件以上公開されていたと明らかにした。調査では、パスワード不要で利用できた実装が800件以上見つかり、外部者が脆弱性探査や侵入に使える状態だった。アルテクスは7月に公開された自律型侵入テストツールで、偵察からデータ窃取までの攻撃手口を限られた人間の関与で実行できる性質を持つとされる。 このツールは、9月の韓国金融機関を狙った大規模攻撃や、10月のサポート事業者を介した複数組織への侵入にも関連した。クラウドストライクは、攻撃者が公開ディレクトリを残していたため追跡できたとして中国語話者による利用を指摘し、当該環境が数カ月間公開されていたことも分かった。マイクロソフトは、コネクトワイズを介した攻撃でアルテクスが用いられ、顧客のクラウド環境への侵入やデータ窃取が極めて短時間で進められ、防御側の検知・対応が間に合いにくい実態を示した。 調査では悪意ある攻撃だけでなく、正規の検証目的で運用されている例もあるとされる。しかし、ツール自体が外部公開を前提としていないため、数百件の公開は設定不備と見られ、攻撃用ペイロードや既存の攻撃データまで露出するリスクを高めていた。攻撃では弱いパスワードや既知のパスワード、多要素認証未設定など単純な弱点が多用され、不備が攻撃者と標的の双方を危険にさらすことが浮き彫りになった。アルテクス側は公開を閉じ、有料顧客向けに改める方針を示したが、コード共有サイトには数十の複製が残っており、攻撃への悪用はなお続き得る。