サイバー専門家が語る、ArtexとAntiFoxへの対抗策

クローズドソース化から1カ月が経ち、エージェント型ペネトレーションテストフレームワーク「Artex」はこれまで以上の速さで拡散し、被害も広がっています。それでも、サイバー防御の担当者はDark Readingに対し、対策に必要なのは技術力よりも実行する意志だと語っています。

これまでの経緯を振り返ります。8月、中国のオープンソース（OSS）開発者が、サイバー犯罪にも使えるレベルのエージェント型レッドチーミングツール「Artex」を公開しました。その後の数カ月で、攻撃者やセキュリティ研究者は、Artexが脆弱性の探索に極めて有効であり、初期アクセスをいわゆるマシンスピードで本格的な侵害へと発展させられることを徐々に認識するようになりました。

A Securityの共同創業者兼最高技術責任者（CTO）のYuval Itzchakov氏は、「Artexは、終わりなき紛争の時代を象徴する存在です」と語ります。「当社の研究チームがオープンソースのベンチマークに対して実行したところ、約45分で8件の脆弱性を発見しました。その中には管理者権限への重大な権限昇格も含まれており、WAF、CAPTCHA、多要素認証（MFA）を突破する完全な攻撃経路としてつなぎ合わせました。必要だったのは、ダウンロードとインストールスクリプト、そしてモデルのキーだけです」

同氏によれば、仕組み自体は決して複雑ではありません。「そこが重要な点です。AIハッキングツールからガードレールを外せば、誰でも大規模にエージェント型攻撃を実行できます。Artexでは、スコープはモデルに対する単なる提案にすぎません」

作者は10月8日にオリジナルのArtexを公開リストから削除しましたが、新たな派生版が引き続き問題を起こしています。現在の注目株は「AntiFox」で、最近、攻撃者がインターネットに公開されたWebサービスと、それに関連するAmazon Web Services（AWS）環境を悪用するために武器化しました。Arctic Wolf Labsの研究者によると、脅威アクターはこの新たなエージェント型ツールを使い、Microsoft Internet Information Services（IIS）サーバーに侵入してWebシェルを設置し、オペレーティングシステム（OS）コマンドを実行していました。さらに、AWS環境全体でサービスの列挙、本番環境のシークレットの露出、Simple Storage Service（S3）バケットの操作も行っていました。

注目すべきは、この比較的新しい脅威に対抗する組織に向けて、Arctic Wolf Labsが示した助言が極めて平凡なものだったことです。侵害指標（IoC）の探索、関連する認証情報とセッションのローテーションおよび失効、というものです。実際、ArtexやAntiFoxへの対策は、基本的なサイバーセキュリティ衛生を徹底することに尽きるといいます。ただし、思い込みを避けることも重要です。GitGuardianはAntiFoxに関するブログ記事で、「スキャナーツールをブロックしてもこれらのエージェントは止められず、漏えいしたキーは誰かが失効させるまで危険なままです」と指摘しています。

Artexのサイバー脅威から組織を守る方法

誰もがエージェント型攻撃フレームワークを手にする可能性があると聞けば、不安になるかもしれません。しかし、サイバー防御側にも明確な強みがあります。

まずItzchakov氏は、「Artexは玄関先で止まります。横展開の機能も、Active Directoryのテストも、内部の可視化もありません。防御側は環境全体を見渡せ、誰にも解除できないガードレールの下で、同じ速度と自律性で継続的にテストできます。この状況を恒久的なものと捉え、それを前提にセキュリティを構築した組織が優位に立つでしょう」と指摘します。

Eye Researchは、Artexによる攻撃に対する最近のインシデント対応（IR）をまとめた記事で、エージェント型ツール全般に共通するもう一つの深刻な弱点として、動きが騒々しいことを挙げています。「エージェントはPod名やプローブに自らの名前を残し、人間なら触れないようなエンドポイントを執拗に叩き、EDRを導入したシステムでは検知を作動させました」と説明しています。「可視性を確保できていた部分では、すぐに気づくことができました」

GitGuardianのリードサイバーセキュリティ研究者であるGuillaume Valadon氏は、「前向きに考えるなら、ネットワークや組織を守るために組み合わせられる小さな対策がたくさんあります」と語ります。たとえば、ArtexやAntiFoxの騒々しさを捉えるには、「ブルーチームがセキュリティ情報イベント管理（SIEM）プラットフォームと優れた検知システムを整備し、ノイズの中からこれらのツールを確実に検知できるようにしておく必要があります」といいます。

能動的な検知に加えて、組織はシークレット管理にも注力すべきです。ArtexとAntiFoxはシークレットの発見に長けていることが分かっています。その理由の一つは、見つけやすくブロックもしやすい専用のシークレットスキャナーを持ち込まず、「git」や「grep」といったごく普通のコマンドで目的のものを探し出すことにあります。

Arctic Wolfの敵対的オペレーション担当ディレクターであるJustin Moore氏は、「防御側は、露出しているキーや使われていない休眠キーを探し、Gitリポジトリにシークレットが露出していないかを確認し、多層防御の体制を徹底して整える必要があります」と付け加えます。「これらのフレームワークが非常に効果的なのは、新しい攻撃を仕掛けているからではありません。すでに知られていることを、これまで見たことのない速さで実行しているだけです。適切なサイバー衛生こそが、エージェント型であるかどうかにかかわらず、この種の攻撃を成功させないための対策になります」

組織が取れる前向きな対策は数多くあるものの、Valadon氏は「悲観的に言えば、もう手遅れだと思います」と考えています。

「長年、シークレットを出力してはいけないと呼びかけてきました。それでも、ハードコードされた重要なシークレットが、DockerやGitHubなど公開された場所のあちこちで見つかっています。今では、何もない状態から発見、そして武器化まで一気に進められるツールが存在します。それがブルーチームの対応をいっそう難しくしています」と同氏は語ります。

「攻撃者がエージェントの能力を使える状況はすでに整っており、攻撃のスピードはどんどん上がっています」と同氏は指摘します。「以前に適切な対策をしてこなかった場合、追いつくのは難しいでしょう」

エージェント型サイバー攻撃は現実になったのか

サイバーセキュリティ業界は、人工知能（AI）によるサイバー攻撃の到来を何年も待ち続けてきました。製品のマーケティングキャンペーンは、エージェント型攻撃がすぐそこまで迫っているという前提に立ってきました。AIの影響が軽微な戦術・技術・手順（TTP）やマルウェアの話題は、サイバー分野の記者にとって記事のネタになってきました。議論の大半は、よく言っても理論上の話にとどまり、悪く言えば誤解を招くものでした。

今年の中ごろに、完全とは言えないものの意味のある転換点が訪れたようです。最も高度な攻撃者の間ではないにせよ、少なくとも並程度のサイバー犯罪者の世界では、そうした変化が起きています。

「私たちが皆ChatGPTを使い始めたころは、簡単な質問をするだけでした。楽しくはありましたが、コーディングはできませんでした」とValadon氏は説明します。「その後、コーディングや連携がより得意なエージェントが登場しました。今年は、最初から最後まですべてをこなせます。大まかなアイデアを[エージェントに]与えるだけで、計画や連携を行い、コードを作成し、デプロイまでしてくれます。一連のサイクル全体を、どんどん上手にこなせるようになっています」

同氏はまた、今秋の初めにAnthropicとOpenAIが出したオープンソース（OSS）AIに関する警告にも言及しています。「こうした[攻撃]フレームワークが登場しているのは、中国のオープンウェイトモデルのせいだと言う人もいます。大きなGPUがあれば、Artexを使って自前の攻撃用モデルを動かせるからです」

「危険性はますます高まっています」と同氏は述べます。「すべては、攻撃者が本物の攻撃ツールを手にしていると[警告する]、HuggingFaceやOpenAI、Anthropicの主張と符合しています」