US — TechCrunch
数百のArtex AIハッキングツールがインターネット上に公開状態で見つかる
セキュリティ2分で読めます
中国で作られたAIハッキングツール「Artex」のコピーが数百件、パスワードなしでインターネット上に公開されていたことがわかりました。悪意のある人がこれを使って攻撃できてしまう危険があります。
何が起きたのか
セキュリティ研究者が、中国製のAIハッキングツール「Artex」のコピーが数百件、誰でもアクセスできる状態でネット上に公開されているのを見つけました。Artexは、コンピューターの弱点を自動で探すソフトです。公開後、いくつものサイバー攻撃に使われたとみられています。
主な数字と事実
- セキュリティ会社Censysは、パスワードなしでアクセスできるArtexの配備を800件以上確認
- Artexは7月に公開された無料のオープンソースソフトです
- 韓国の金融業界を狙った9月の攻撃などに関係したとみられています
- 10月にはIT支援企業ConnectWiseを狙った攻撃にも使われ、Microsoftのクラウド上のデータが盗まれたとされています
Artexとは
Artexは「自動で侵入テストを行うツール」です。侵入テストとは、会社のシステムに弱点がないかを試す作業のことです。本来は、許可を得た人が自分たちの守りを確かめるために使います。ただし、同じ仕組みを悪意のある人が使うこともできます。AnthropicやOpenAIの最新の安全性AIは使えない人でも、無料のArtexなら手に入れて動かせてしまう点が問題になっています。
なぜ大切なのか
強力なハッキングツールでも、設定をひとつ間違えるだけで誰にでも使える状態になってしまいます。今回の攻撃の多くは、弱いパスワードや、二段階認証がないといった基本的な弱点を狙ったものでした。基本的な対策を守ることが、どれだけ大事かを示す出来事です。
これから注目すべき点
- Artexは有料顧客向けに非公開(クローズドソース)になると発表しましたが、すでに出回っているコードでの攻撃が続くかどうか
- 公開されているArtexの設定がどこまで直されるか
- 数十件のコードが共有サイトに残っており、その利用状況
用語解説
- Artex
- 自動で弱点を探して攻撃を試せるAIハッキングツール。もとはオープンソースで無料だった。
- Censys
- インターネット上で公開されている機器やシステムを調べ、弱点を見つけるセキュリティ会社。
- ConnectWise
- 企業のIT管理を手伝う会社。今回の攻撃の標的になった。
- オープンソース
- ソフトの設計図(ソースコード)が公開され、誰でも使ったり改良したりできること。