11月6日、Tushar Subhra Duttaが「ARTEX AI Agents Steal 190,000 Gaming Credentials and Hundreds of Apple Code-Signing Certificates」と題した記事を公開した。この記事では、AIペネトレーションテストツール「ARTEX」が犯罪者に悪用され、19万件超のゲームアカウント認証情報と300件超のAppleコード署名証明書が窃取された事案について詳しく紹介されている。

AIが「ほぼ無人」でサイトを侵害する時代

ARTEXは元々、セキュリティチームが自社システムのペネトレーションテストを行うためのオープンソースツールとして開発された。しかし2025年10月8日、韓国の銀行への侵害事案への関与が判明したことを受けて開発者がクローズドソース化した。それでもフォークやバックアップが容易に入手できる状態が続いており、犯罪者による利用が止まっていない。

Check Pointの研究者は、ARTEXパネルをホストしている（またはかつてしていた）2,557システムを発見した。うち1,608システムが現在もインターネットに公開されている。さらにそのうち10台は設定ミスによりデータベースが丸ごと露出しており、研究者はオペレーターがエージェントに与えたプロンプトや使用したAIモデルを詳細に把握できた。

2つの実被害キャンペーン

① Appleコード署名証明書の窃取

Appleの「.p12署名証明書」は、App Storeを経由せずにiOSアプリをサイドロードするために使われるファイルだ。これを販売するグレーマーケットが標的になった。

あるオペレーターは10月14日〜10月29日の約2週間、2つのARTEXコンソールで10の証明書販売サービスを攻撃した。エージェントには元記事記載のモデル名（以下、表記は元記事に準拠）を使用し、処理トークン数は約360億トークン（原文: approximately 36 billion tokens）、推定コストは700〜1,500ドル。

侵入経路は「巧妙な手口」ではなく、基本的な設定ミスの列挙だった：

• JavaScriptファイルにハードコードされた管理者パスワード
• 認証なしで使えるWeb API
• 推測容易な管理者パスワード
• コマンドインジェクション脆弱性（リモートコード実行可能）
• Insecure Direct Object Reference（IDOR）
• サーバーサイドテンプレートインジェクション（SSTI）
• 緩いフォルダ権限による一般ユーザーからrootへの権限昇格

各ショップへの侵入後、エージェントは.p12ファイルとそのプレーンテキストパスワードが格納された証明書ライブラリを特定。各証明書について復号・秘密鍵の照合・Appleの失効サービス確認・有効期限確認を自動で実施した。300件超の証明書のうち、すべての検証を通過したのは3件だった。

② ゲーム認証情報19万件の窃取

中国のモバイルゲーム「Honor of Kings」を中心とするグレーマーケットを標的にしたキャンペーンだ。ハック済みの「データアカウント」がQQ-Connectアクセストークンとサイドロードツールで利用できる形で売買されている。

オペレーターは13台のバックエンド認証情報サーバーにエージェントを向けた。一部サーバーでは21.5MBのプレーンテキスト認証情報ファイルがWebルートに公開されており、エージェントはHonor of Kingsだけで19万件超の認証情報セットを回収した。

検証の結果、約3.3%（約6,000アカウント）が現在も有効だったとCheck Pointは推定する。実行期間は約5日間、推定コストはわずか180〜360ドルだ。オペレーターの介入はほぼなく、メッセージの大半は進捗確認の短い質問だったという。

失敗したキャンペーンと「偶発的」な発見

3つ目のオペレーターは292の暗号通貨決済ドメインから資金を抜こうとした。230の脆弱性発見、400,791件のエージェントメッセージにもかかわらず、攻撃者のウォレットには1円も届かなかった。エージェントが「success」というAPIレスポンスのみを根拠に成功を誤報告するケースもあった。

一方で、このキャンペーン中にエージェントが漏洩したAWS S3認証情報を発見し、714本のエンタープライズ署名済みiOSアプリのランディングページを格納するバケットへの書き込みアクセスを取得するという副次的な事象が起きた。アプリファイルを悪意あるものに差し替えられる状態だったが、バケットのオーナーが後に元のマニフェストを復元している。

使用AIモデルの傾向と防御の要点

使用モデルはDeepSeek Flashファミリーが最多だった。AnthropicのClaudeシリーズではガードレールが発動し、オペレーターがより制限の緩い中国製モデルへ切り替えた事例も確認されている（元記事に記載のモデル名は表記揺れが含まれる点に留意）。また、WebアプリケーションファイアウォールやIPブロックを回避するために住宅用プロキシ（リデンシャルプロキシ）が使われた。

Check Pointは、ARTEXと同様の能力を持つフレームワークとしてCyberStrike、Cairn、PentAGIの存在も確認している（いずれもARTEXと同系統のAI駆動ペネトレーションテストフレームワーク）。

危険なのは攻撃の「巧妙さ」ではなく「スケール」だ。 エージェントはゴールに達するまですべてのエンドポイント・スクリプト・サイトをひたすらテストし続ける。推奨される対策は以下の通りだ：

• 漏洩したシークレットの特定とローテーション — ハードコードされた認証情報は、ソースコード公開やリポジトリ流出の瞬間に攻撃対象となる。定期的なシークレットスキャンと即時ローテーションが被害を最小化する。
• フロントエンドコードへのハードコードされた認証情報の排除 — JavaScriptに埋め込まれたパスワードはブラウザのデベロッパーツールで誰でも閲覧可能であり、エージェントが最初にチェックする箇所でもある。
• すべてのAPIへの認証の必須化 — 認証なしで呼び出せるAPIは、エージェントが組み合わせて悪用できる「踏み台」になりやすい。最小権限の原則を徹底する。
• インターネット公開システムの定期的なテスト — 攻撃者と同じ視点で自社システムを定期的にスキャンすることで、設定ミスを先回りして発見できる。
• 急激なリクエスト急増の監視 — エージェントは短時間で大量のエンドポイントを探索するため、通常トラフィックとの差異を検知するアラートが早期発見につながる。

IoC（侵害の痕跡）

⚠️ 注意： 以下のIPアドレスは調査・ブロック用の参考情報として掲載する。誤接続・誤用を防ぐため、MISP・VirusTotal・SIEMなどの脅威インテリジェンスプラットフォーム上でのみ使用すること。本記事上でのコピー&ペーストによる直接アクセスは行わないよう強く推奨する。

※IPアドレスはデファング形式（[.]置換）で記載している。

詳細はARTEX AI Agents Steal 190,000 Gaming Credentials and Hundreds of Apple Code-Signing Certificatesを参照していただきたい。