Amazon Threat Intelligenceは、中国との関連が疑われる攻撃者が、オープンソースのエージェント型AIペネトレーションテストフレームワーク「ARTEX」を使い、金銭目的の侵入キャンペーンを展開していたと詳細を明らかにしました。
2026年10月3日から11月5日にかけて、Amazonが世界各地に分散配置しているおとりセンサーのネットワーク「MadPot」が、エージェント自身の動作メモリを含むリクエストを捕捉しました。センサーは人気のLLM推論APIを装っていたため、エージェントはキャンペーンの全記録をセンサーに送信していました。
Amazonは、プロンプト内にARTEXのツールへの言及があることから、ARTEXが使われたと中程度の確度で評価しています。また、攻撃者は互いに無関係な複数の中国系グループだとみています。
根拠としては、簡体字中国語のプロンプト、中国のタイムゾーン設定、中国本土と政府系ドメインを除外し、すべての外部向け通信をプロキシ経由にするよう強制した指示などが挙げられます。
ARTEXは、プランナー、ワーカー、検証、圧縮の各エージェントで作業を分担します。各エージェントは、オペレーションの記憶として機能する永続的なナレッジグラフを共有します。
常設の指示プロンプトで目的、標的選定ルール、制約を設定すると、エージェントは偵察、悪用、認証情報の窃取、クラウド権限の拡大を自律的に実行しました。ただしAmazonは、エージェントが報告した成果を検証できていません。
主要なキャンペーンでは、AIモデルの認証情報を自己完結的なループで窃取していました。盗んだキーでLLM推論の費用をまかない、その推論でさらにキーを探すという仕組みです。エージェントは、One API、New API、Veloera、Sub2API、LiteLLMなどのLLMゲートウェイを標的にしました。
Dify、FastGPT、Langflow、RAGFlow、Open WebUI、LobeChat、Ollamaといったアプリケーションビルダーも標的でした。これらのプラットフォームは上流プロバイダーのキーを集約しているため、管理インターフェースが1つ露出しただけで、下流の多数のアカウントが漏えいする恐れがあります。
体系化されたプレイブックでは、フィンガープリントで特定した製品ごとに攻撃チェーンが割り当てられていました。内容は、LiteLLMのデフォルトのマスターキー、One API系システムにおけるisCliRequestヘッダー経由の認証バイパス、LangflowのCVE-2025-3248として追跡されている認証不要のリモートコード実行などです。
RAGFlowのCVE-2026-28797や、ソースマップ、デバッグ用ルート、環境ファイルに残された機密情報も対象に含まれていました。プレイブックは、クラウドメタデータサービスに対するサーバーサイドリクエストフォージェリ（SSRF）にも依存していました。エージェントはURL取得機能を介したSSRFで、インスタンスの認証情報に到達していました。
探索には、証明書の透明性ログ、GitHubのイベントアーカイブ、npmとPyPIのtarball、コンテナイメージのレイヤー、ペーストサイト、Telegramチャンネルが使われました。
エージェントは各認証情報を3段階で格付けしていました。手がかりはL1、実際に動作するAPI呼び出しを確認できたものはL2、影響を定量化できたものはL3です。30日を超えて露出しているキーは、価値の低い在庫として扱っていました。
クラウド環境に侵入すると、エージェントはプロバイダーのトークンサービスでIDを検証し、ストレージを列挙して、権限の範囲を評価しました。
狙われたのは、マネージドAIモデルサービス、シークレットやパラメータのストア、アプリケーションIDです。なかでも高価な最先端モデルを優先していました。
この手口は、同じLangflowの脆弱性を連鎖させてAI・機械学習基盤に到達した、エージェント型ランサムウェアの攻撃と共通しています。
2つ目のキャンペーンは、2つの暗号資産取引所を標的に、リアルタイムのディープフェイク注入でKYCのライブネス検知（生体検知）を突破しようとするものでした。エージェントは、あるベンダーのライブネスプロトコルを、顔検出のイベントストリームや座標系も含めてリバースエンジニアリングしました。
最良の試行は目標から7ピクセル以内に収まりましたが、ベンダーのサーバー側の判定は、すべてのディープフェイクを拒否しました。別のセッションでは、モデルを分割して不要なメモリコピーを避けることで、一般消費者向けGPU1枚で毎秒11.5フレームに達するディープフェイクのパイプラインを構築しました。
書類確認に対しては、エージェントはJPEGと寸法が一致する合成のカメラEXIFメタデータを偽造し、元の量子化テーブルも保持しました。
編集された画像は、加工されていないカメラ撮影画像のように見えました。少なくとも4つのセッションが並行して、現金化の調査、残高の移動、ディープフェイクのパイプライン、突破手法を担当し、セッション間ツールを通じてタスクを引き継いでいました。
Amazonは、新しい手法は1つもなかったと述べています。エージェントが成功したのは、デフォルトの認証情報、ハードコードされたキー、認証のない推論エンドポイント、パッチ未適用のソフトウェアに対してでした。
防御側は、露出した機密情報はすぐに発見されると想定し、モデルゲートウェイを本番環境と同等の管理下に置いたうえで、想定外のAI利用料金を監視する必要があります。Amazonは、104.28.225[.]223や212.107.28[.]51といったIPv4アドレスを含むIOCを公開しています。
注: IPアドレスとドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化（例: [.]）しています。無害化を解除するのは、MISP、VirusTotal、SIEMなど、管理された脅威インテリジェンスプラットフォーム内に限ってください。
ANY.RUNは、脅威調査を効率化し手作業を減らすため、1万6,000以上のSOCチームに利用されています。 自社チームで試す
翻訳元: https://cyberpress.org/chinese-linked-artex-ai-agents/
