AIが下げた「攻撃のコスト」　侵入ツールARTEXの悪用から考える、日本企業の防御を常時の業務に変える方法

2026年10月、AIエージェント型の侵入テストツール「ARTEX」が、韓国・日本・世界のクラウド環境を狙う複数の攻撃で使われていたことが、3つの調査で相次いで報告されました。 いずれも、AIが攻撃の「補助」ではなく、作業の大部分を担う道具として使われた点が共通しています。

侵入テストツールとは、本来は企業が自社のシステムの弱点を確かめるために、許可を得た範囲で疑似的な攻撃を行う道具です。ARTEXは、複数のAI（大規模言語モデル）が役割を分担して調査や試行を進める「マルチエージェント型」のオープンソースとして公開されていました。

3つの報告で確認できたこと

CrowdStrikeは、ARTEXを「中国で開発され最近公開されたツール」と説明し、攻撃者は特定の組織と結び付けていません。金銭目的の中国語話者である可能性を「中程度の確度」で評価しています（CrowdStrike（外部サイトが新しいタブで開きます））。開発者は韓国の金融機関への攻撃への関与を否定し、更新・配布・保守を停止すると表明したと報じられています（DigitalToday（外部サイトが新しいタブで開きます））。

GMOによると、調べた攻撃元インフラの標的はほぼ日本企業に限られ、日本企業を狙うAI利用の攻撃インフラを別に6台見つけたとしています。標的として確認された企業の業種は、デジタルギフト・小売、教育・印刷、保険・金融、EC・物流などにわたります（Impress Watch（外部サイトが新しいタブで開きます）、ScanNetSecurity（外部サイトが新しいタブで開きます））。

「信頼済みのアプリ」が入り口になった

Microsoftの報告で重要なのは、攻撃者がバックアップサービス「ConnectWise Cloud Backup」に関係するアプリの認証情報を使い、利用者が操作しなくても顧客のMicrosoft 365環境に入れる状態をつくった点です。同社は、自社のシステムや製品の脆弱性によるものではないとしています。複数の事例で、攻撃の開始から管理者級の権限を得るまでが3時間未満だったと報告しています（Microsoft（外部サイトが新しいタブで開きます））。

報道によると、ConnectWiseは10月17日にCloud Backupなどのサービスを停止しました。セキュリティ企業Huntressは、自社が監視する範囲で少なくとも162のテナントが侵害されたとしています（BleepingComputer（外部サイトが新しいタブで開きます））。

編集部は、今回の本質を「新しい攻撃手法の登場」ではなく「攻撃にかかる費用の構造が変わったこと」にあるとみています。 個々の手口は既知のものが多い一方、それを実行する人手と時間が大きく減っているからです。

攻撃の「限界費用」が下がる

従来、標的の調査、弱点の発見、失敗したときの別の手段の検討には、熟練した技術者の時間が必要でした。攻撃者にとって人件費と時間は最大の制約で、そのため「手間に見合う」大企業や金融機関が優先されやすかったと考えられます。

AIエージェントは、観測結果に応じて次の行動を選ぶ部分を肩代わりします。CrowdStrikeは、攻撃者がAIツールを使って短期間に複数の侵入を行ったとし、今後も作業の速度と能力を高めるためにAIの利用を試し続ける可能性が高いと評価しています。Microsoftも、ARTEXを使う攻撃者を複数の地域で観測したと報告しています。

国内でも、クラウド型WAFを提供するビットフォレストが10月、AIエージェントとみられる攻撃元が8時間弱にわたって10段階で手法を切り替え続けた事例を公表しています（ITmedia AI＋（外部サイトが新しいタブで開きます））。一つの標的に人が張り付かなくても、攻撃が止まらずに続くということです。

「狙われない規模」がなくなる

1社あたりの攻撃費用が下がれば、これまで費用に見合わないとして見送られてきた中堅・中小企業も、経済的に攻撃の対象になります。GMOの調査で、1台のインフラが約20社を、しかも同業種の複数社をまとめて狙っていたことは、この見方と整合的です。

編集部の解釈では、中小企業が安全だったのではなく、これまでは攻撃する手間に見合わないと判断されていただけという可能性があります。AIによって、その「手間」の壁が下がり始めています。

防御側の費用は下がっていない

一方、防御側の多くは、年1回の診断と人手による確認に頼っています。攻撃側の1回あたりの費用が下がり、試行の回数と速度が上がるのに対し、防御側の費用構造が変わらなければ、差は広がります。ここに、攻撃者と防御者の費用の非対称性があります。

影響は「時間」「取引先」「人手」の3点に表れると編集部はみています。

1. 修正までの猶予が縮む：攻撃の開始から管理者権限の取得まで3時間未満という事例は、「月例の点検で気づけばよい」という前提が通用しにくいことを示しています。使われなくなった管理画面や古い公開サイトなど、社内で忘れられた資産も、自動調査では見落とされません。
2. 自社の外にある入り口が増える：ConnectWiseの事例では、利用企業が自ら許可したバックアップ用アプリの権限が入り口になりました。社員が注意していても、委託先やクラウドサービスの側が侵害されれば影響を受けます。国内でも委託先やクラウド事業者を起点とする被害の公表が続いています。
3. 人手だけの防御は追いつかない：攻撃側が複数のAIを同時に動かせるのに対し、防御側が担当者の手作業だけで警告を確認していると、対応の速さに差が出ます。セキュリティ人材の不足を抱える企業ほど、この差は大きくなります。

ただし、AIは攻撃側だけの道具ではありません。ログの分析、弱点の洗い出し、修正案やテストの作成など、防御側の作業も効率化できます。ビットフォレストも、攻撃者がAIを使っても有効な対策そのものは大きく変わらず、脆弱性の解消が基本だとしています。

編集部は、高価な製品を一度に増やすよりも、防御を「継続的な業務」に組み替えることが先だと考えます。 以下はBSAC5編集部による提案で、特定の製品や事業者を推奨するものではありません。

BSAC5編集部の提案：AI時代の継続的サイバー防御モデル（4段階）

この4段階を1回で終わらせず、短い間隔で回し続けることが要点です。攻撃的なテストは、自社が管理し、許可を得たシステムに限ります。

先に手を付けたいこと

• 連携アプリの権限の棚卸し：クラウドサービスに接続している外部アプリと、その権限を一覧にし、不要なものを外します。Microsoftも、複数の企業で共有されるアプリの権限を必要最小限にするよう勧めています。
• 委託先との取り決め：侵害時の連絡の速さ、認証情報の更新、ログの提供を契約で確認します。
• 更新と多要素認証の徹底：既知の弱点の修正と多要素認証は、AIを使う攻撃に対しても基本の対策です。
• 異常の検知と復旧の準備：管理者権限の付与や認証情報の追加といった変化を監視し、バックアップからの復旧手順を試しておきます。

中小企業は、IPAが2026年3月に第4.0版を公開した「中小企業の情報セキュリティ対策ガイドライン」（バックアップを加えた「情報セキュリティ6か条」を含む）を出発点にできます（IPA（外部サイトが新しいタブで開きます））。

AIに任せる範囲を決める

AIに本番環境の変更を無制限に任せると、新たな危険が生まれます。修正案の作成やテストは自動化しても、重要な設定変更やデータの削除には人の承認を残すべきだと編集部は考えます。

以下は事実ではなく、公表情報を踏まえた編集部の見通しです。定量的な根拠がないため確率は示さず、条件付きのシナリオとして示します。

• 基本シナリオ：AIを使う攻撃が広がる一方、防御側のAI活用も普及します。中堅企業では、常時の監視と短い周期での修正が標準的な運用になっていきます。
• 悪化シナリオ：攻撃の量と速さが防御の普及を上回り、中小企業や委託先・クラウド連携を起点とする侵害が増えます。取引先のセキュリティが取引条件として厳しく問われるようになります。
• 改善シナリオ：防御用AIの低価格化と、診断・監視サービスの標準化が進み、中小企業でも高度な運用を外部サービスとして利用できるようになります。

いずれのシナリオでも、「攻撃を受けないこと」だけを目標にするのは難しくなるとみられます。侵入を早く見つけ、被害の拡大を止め、業務を戻すまでの能力を含めて、防御力を評価する考え方への移行が進むと編集部は考えます。