11月3日、BleepingComputerが「Chinese hackers use ARTEX AI in automated attacks against 200 orgs」と題した記事を公開した。中国系ハッカー集団がAIエージェントフレームワーク「ARTEX AI」を悪用し、14カ国200以上の組織を標的に大規模攻撃を展開——初期侵入からroot権限取得までわずか12分という衝撃的なスピードで、政府機関・通信・防衛・金融セクターを次々と侵害した。AIが「道具」ではなく「自律的な攻撃者」として機能し始めたことを示す、実運用レベルの事例として業界に広く警戒を促している。
AIエージェントが自律的にハッキングを実行——単なる「ツール活用」を超えた段階へ
CrowdStrikeの研究者が追跡する脅威アクター「Vapor Panda」は、2026年10月17日から作戦を開始。政府省庁、通信事業者、製薬・半導体・防衛・原子力・金融セクターの組織を標的とした。少なくとも9組織への侵害に成功し、さらに12以上の高価値ターゲットに対してパスワードスプレー攻撃やクレデンシャルスキャンを実施した。
確認された被害組織には、米国とベルギーの通信事業者、ギリシャ・中東・中南米の政府機関、米国の製薬企業が含まれる。
CrowdStrikeは今回の作戦を「中国系脅威アクターによるAIエージェント活用が、単発の侵入から、人間のオペレーターが指揮する複数同時並行の攻撃へと段階を上げた」と評価している。
ARTEX AIとは何か
ARTEX AIは中国人開発者が開発したペネトレーションテストスイートで、当初はGitHub上でオープンソースとして公開されていた。しかし韓国の金融機関への攻撃をはじめとする実際のサイバー攻撃への悪用が発覚したことを契機に、その後クローズドなプロプライエタリ製品へと移行している。現在は一般には入手できない状態だが、特定の脅威アクターへの流通が確認されている。
今回の作戦でVapor PandaはARTEX AIに加え、**DeepSeek（中国発の大規模言語モデル。セキュリティ研究者からはジェイルブレイクへの脆弱性も指摘されている）と未公表のもう一つの商用言語モデルを組み合わせ、複数の侵入を同時に調整するプランニングエージェントとワーカーエージェントを構成した。オペレーターは中国語で指示を出し**、判断が必要な重要ポイントにのみ介入したという。
AIエージェントが実行したタスクは以下のとおりだ：
- 偵察・脆弱性スキャン
- 脆弱性の悪用とWebシェルの展開
- クレデンシャルの取得
- 攻撃パスのブロック時における代替経路の探索
特筆すべき点として、オペレーターはエンドポイント保護製品「CrowdStrike Falcon」で保護されたWindowsマシンをスキップするよう明示的に指示していた。保護されていないホストに集中するという、防御側の死角を突いた戦略だ。
ギリシャ政府機関への攻撃では、AIエージェントが2022年のメールサーバーディレクトリエクスポートから認証キーを取得し、管理者トークンを偽造してメールボックスを読み取るという手口を使用した。また、あるインシデントでは14億以上の入力トークンを消費したと推定されている。
さらに、中南米と中東の政府機関に対しては、2023年から活動が確認されているバックドア「BLOODALCHEMY」も展開された。BLOODALCHEMYはSPINEBONEと呼ばれるローダーと組み合わせて使用されることが多く、APTグループによるLinuxサーバーへの永続化手法として知られている。
DIVDへの攻撃：初期侵入からroot権限取得まで12分
ARTEX AIの実態をより具体的に示す事例として、オランダの脆弱性開示機関DIVD（Dutch Institute for Vulnerability Disclosure）が2026年9月に受けた攻撃の詳細が明らかになった。DIVDはLinkedIn上の投稿でARTEX AIが使用されたことを公表した。
攻撃の流れは以下のとおりだ：
- **Zammadのゼロデイ脆弱性**（オープンソースのヘルプデスクソフトウェア）で初期アクセスを確保
- 2つ目のゼロデイを連鎖させてローカル権限昇格を実現
- 初期侵入からroot権限取得まで12分
エージェントは侵害したメールボックスの読み取り、内部ネットワークスキャン、ログイントークンの抽出、パスワードリセットの試行を並行して実施した。DIVDは攻撃に関連したリクエスト45万件以上、スクリプト2,500件以上を記録しており、その活動を「極めて騒々しく、無秩序（super loud and messy）」と表現している。
防御側への示唆
今回の一連の攻撃が示すのは、AIエージェントを用いた攻撃が「研究上の懸念」から「実運用レベルの脅威」へ完全に移行したという事実だ。複数ターゲットへの同時並行攻撃、ゼロデイチェーン、既存防御製品の回避——これらをエージェントが自律的に組み合わせて実行できる段階に達している。
防御側が今すぐ取り組むべき対策として、今回の攻撃から以下の教訓が浮かび上がる。
未保護エンドポイントの棚卸しと優先保護：Vapor Pandaは「CrowdStrike Falconで保護されていないホスト」を明示的に選別して攻撃した。エンドポイント保護の適用漏れが攻撃の起点となる現実は、資産管理（CAASM）の徹底が防御の第一歩であることを示している。エージェント型攻撃はスキャンとエクスプロイトを同時並行で進めるため、保護の「穴」が即座に突かれる。
AIエージェント型攻撃に特化した検知戦略の整備：DIVDの事例では45万件超のリクエストと2,500件以上のスクリプトが記録された。攻撃自体は「騒々しく無秩序」だったにもかかわらず12分でroot権限が奪われた。短時間に大量のリクエストが集中するパターンや、異常なスクリプト実行の連鎖を検知するルールをSIEMやEDRに組み込むことが急務だ。単純なシグネチャベース検知では追いつかない場面も増えており、振る舞い検知（Behavioral Detection）の比重を高める必要がある。
ゼロデイチェーンへの対応体制：今回はZammadの2つのゼロデイが連鎖して使われた。パッチ適用が追いつかない状況を前提に、ネットワークセグメンテーションや最小権限の原則（Principle of Least Privilege）による被害局限化の設計が重要性を増している。
業界への波及という観点では、AIエージェントフレームワークがサイバー犯罪・国家支援型攻撃の双方で普及する流れは今後加速すると見られる。攻撃コストの低下と自動化による同時多発攻撃の容易化は、中小規模の組織や新興国の政府機関にとっても他人事ではない。防御側もAIを活用した自動化対応を検討するフェーズに入っている。
詳細はChinese hackers use ARTEX AI in automated attacks against 200 orgsを参照していただきたい。
