FBIはFLASH-20261113-001を発表し、脅威アクターがオープンソースのLLM駆動型自律ペネトレーションテスト・フレームワーク「ARTEX」を悪用していると警告しました。
運用者は少なくとも2026年8月以降、ARTEXを使って偵察からデータ窃取までの侵入作業を自動化しています。なかには、最初の標的選定から特権アクセスの獲得まで3時間足らずで進んだ事例もありました。
ARTEXはGo言語で書かれたマルチエージェント型のプラットフォームです。自然言語で与えた目的を、専門化されたエージェントが実行するマシンコマンドに変換します。目標を設定した後は、人間の関与はほとんど必要ありません。
ARTEXは独自のモデルを持たず、Anthropic Claude、OpenAI GPT、DeepSeek、GLM、Grok、Kimiなど外部のプロバイダーに接続して動作します。攻撃者が管理するインスタンスは主に中国製モデルを使っており、なかでもDeepSeekのFlashファミリーが大半を占めています。コストが低く、確認できるガードレールがないためです。
開発者の「Autumn-27」は2026年7月にARTEXをGitHubで公開しました。しかし悪用の報告を受け、10月8日にリポジトリを削除しています。それでもフォーク、アーカイブされたコピー、商用版の「ARTEX PRO」を通じて、ARTEXは入手可能な状態が続いています。
FBIの調査では、11月上旬の時点で1,600を超えるARTEXのコンソールがインターネットに公開されていました。盗まれたLLMの認証情報も、このエコシステムを支えています。Fireworks AIがLLMJacking攻撃を確認した事例では、APIシークレットとOAuthトークンが流出しました。
初期アクセスでは、公開されているアプリケーションの悪用と、信頼関係の乱用が中心になっています。確認された手法は、署名なしSAMLアサーションの偽造、XXE、SSRF、SSTI、SQLインジェクション、IDOR、コマンドインジェクション、匿名でのファイルアップロードなどです。
エージェントは、侵害したベンダーの認証情報や、信頼されたB2Bフェデレーションを経由して横展開することもありました。偽造トークンの手口は、Golden SAMLのような従来型のID攻撃を思わせます。Golden SAMLでは、署名鍵が侵害されると、攻撃者が任意のユーザーになりすませます。
その後、永続化と権限昇格が素早く進みました。運用者はJSPやPHPのWebシェルを設置しています。MySQLのログポイズニングを使った設置もありました。さらに、KuduのAPI管理機能も悪用しました。
WISP、vshell、AdaptixC2といったオープンソースのRATも導入しました。既存のOAuthアプリケーションには認証情報を追加しています。
権限昇格の段階では、エージェントが価値の高いIAMロールを持つクラウドインスタンスを起動しました。XXE経由でクラウドのメタデータサービスにも問い合わせています。DCSyncを実行して、ドメインのkrbtgtキーも窃取しました。Kerberoastingでサービスチケットを収集した例も確認されており、これはMITRE ATT&CKのT1558.003に該当します。
エージェントは、反復的なPowerShellで11万を超えるActive Directoryオブジェクトを列挙しました。LAPSパスワードを読み取り、CrowdStrike Falconが導入されていないホストも洗い出しています。
横展開の試みには、Pass-the-Ticket、Pass-the-Hash、WinRM、Kerberosリレーが使われました。ただし、Pass-the-Hashはエンドポイント保護によって阻止されています。
コマンド＆コントロール（C2）の通信は、レジデンシャルプロキシ、Tor、Chisel、SoftEtherトンネルを経由していました。BLOODALCHEMYもC2ドメインと通信しています。ステージングしたデータは、次々に切り替わるwebhook.siteのエンドポイントから持ち出されました。
特に目立つキャンペーンは2件です。1件は韓国の金融機関を標的にし、約67,000人の個人データを窃取しました。もう1件はConnectWise Cloud Backupのサプライチェーン侵害で、下流の2,250を超えるテナントが影響を受けました。
侵害指標（IoC）には、ARTEXのホスト38.244.50[.]120、WISPのC2ノード199.19.95[.]66〜199.19.95[.]68、LLM APIの再販ドメインxcai[.]proが含まれます。防御側は、api.anthropic.com、api.deepseek.com、open.bigmodel.cn、api.x.aiへの想定外の外向き通信にも注意が必要です。
FBIは各組織に対し、インターネットに面した周辺システムの棚卸し、Kudu/SCMおよびクラウド管理エンドポイントの制限、マルチテナント型アプリケーションの同意付与への最小権限の適用を求めています。
さらに、Entraの監査記録で認証情報の追加を監視することや、パートナーポータルに対して連番による検索を抑えるレート制限を設けることも推奨しています。攻撃が極めて速いため、対応に使える時間は非常に短くなります。そのため、対処を始める前にEntra、Purview、SIEMの記録を保全すべきだとしています。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を減らしています。チームで試してみる
翻訳元: https://cyberpress.org/fbi-artex-ai-agents-breach-networks/
