11月3日、Help Net Securityが「AI agents scale and speed up Chinese-linked attacks」と題した記事を公開した。この記事では、中国系ハッカーグループがAIエージェントフレームワーク「ARTEX」および「CyberStrikeAI」を用いて攻撃を自動化・高速化している実態について詳しく紹介されている。以下に、その内容を紹介する。

AIが「攻撃の準備」から「攻撃そのもの」へ

これまでサイバー攻撃におけるAI利用といえば、フィッシングメールの文面作成や脆弱性リサーチなど、攻撃の「準備段階」が中心だった。しかし今回CrowdStrikeとKasperskyが相次いで報告した2つのキャンペーンでは、LLM（大規模言語モデル）が侵入プロセスそのものに組み込まれている。

共通の構図はシンプルだ。人間がターゲットと目標を設定し、LLMが次に実行するコマンドを決定して、被害者ネットワーク上のインプラントに送り込む。判断するのがAIである点が、従来の攻撃ツールと根本的に異なる。

ARTEX：11日間で200組織超を攻撃

CrowdStrikeが追跡する中国系グループ「Vapor Panda」は、10月17日からARTEXと呼ばれるエージェントフレームワークを使用し始めた。単一のARTEXコントローラーが11日間で少なくとも14カ国の200以上の組織を標的にしたと同社は判定した。

標的はラテンアメリカ・欧州・アジア・中東の外務省、米国の防衛・半導体企業、通信プロバイダーなど幅広い。9組織でバックドア「BloodAlchemy」のインストールが確認され、米国のシンクタンクや欧州政府機関を含む12組織以上へのパスワードスプレー攻撃も観測された。

ARTEXは主にDeepSeekと、CrowdStrikeが特定できなかった別の商用LLMで動作する。メインエージェントがプランナーエージェントとワーカーエージェントに作業を振り分け、共有グラフで学習内容を管理する構造だ。

ある1件の侵入だけで、プランニングエージェントが処理した入力トークンは約14億に達した。回収されたトランスクリプトには、オペレーターが中国語で指示を書き込む場面も残っていた。

攻撃手法はよく知られたものだ。ある製薬会社への侵入では、エージェントが署名なしのSAMLアサーションとXXE脆弱性を組み合わせてクラウドのインスタンスメタデータサービス（IMDS）に到達し、エンタープライズ管理者アカウントまで権限昇格した。

ギリシャ政府機関への攻撃では、オペレーターが2022年に流出したメールサーバーのディレクトリエクスポート（認証キー含む）をエージェントに渡した。エージェントはそのキーで管理者トークンを偽造してメールボックスを読み出し、さらにユーザーの送信済みメールから取得したVPN設定と、2024年5月のメール流出から得たとされるVPNクライアントキーを使って内部ネットワークに侵入した。

CrowdStrikeにとってVapor PandaがAIツールを使用した初の確認事例だ。同社は、Microsoftが別途報告したStorm-0940グループによるARTEX利用と合わせ、ARTEXが中国系グループ間で広まりつつあると指摘している。

CyberStrikeAI：エージェント展開からドメイン管理者奪取まで3〜4日

Kasperskyが報告したキャンペーンは規模は小さいが、速度が際立っている。攻撃者はGoで書かれたオープンソースのペネトレーションテストフレームワーク「CyberStrikeAI」を使用し、アフリカとラテンアメリカの複数国の教育機関を標的にした。

LLMは攻撃者側のC2（コマンド＆コントロール）サーバーで動作し、次のステップを計画してコマンドを生成する。被害者マシン上のインプラントにAI機能は一切なく、受け取った命令を実行するだけだ。

時系列はこうだ。攻撃者は侵害されたSQL Serverから「手動で」侵入し、約1日かけて偵察を実施した後、2週間ほど活動を休止した。しかしエージェントを展開すると状況は一変する。

• 展開後2分以内に永続化設定とローカル偵察を完了
• その後約5時間でドメインのマッピングを実施
• 数日後、ラテラルムーブメント・複数ホストでの認証情報ダンプ・データベースエクスポートを1時間未満で実行
• エージェント展開からドメイン管理者アカウントの奪取まで3〜4日

Kasperskyは既知グループとの紐付けはしていないが、スクリプト内の中国語コメント、中国のサービス「dnslog[.]cn」の使用、C2サーバーの再起動タイミングがUTC+8のビジネスアワーに集中している点など、複数の状況証拠が中国語話者オペレーターを示唆する。「CyberStrikeAI自体が中国のサイバーセキュリティコミュニティ内で開発・普及したツールである」とKasperskyの研究者は付け加えている。

検出の観点：新しい脅威か、それとも既存手法の延長か

Kasperskyの見解は明確だ。

「AIを攻撃チェーンに導入しても、検出の観点では根本的に新しい課題はまだ生じていない。『知的な』作業はすべて攻撃者側に残っており、侵害されたホストで行われるのはKerberoasting、AS-REP Roasting、LSASSダンプ、DCSync、ゴールデンチケット攻撃といった、いずれも既知の手法だ」

新しいのは、それらが実行されるスピードと容易さだと同研究者は強調する。

防御側がとるべき対策

CrowdStrikeは以下を推奨している。

• 侵害が疑われた場合は鍵と認証情報を直ちにローテーション
• SAMLシグネチャ検証とIMDSv2を強制適用
• ARTEXのマーカーをハンティング
• インターネット接続機器へのパッチ適用
• EDRを全環境に展開（攻撃者はカバレッジの空白を狙う）

CrowdStrikeは「今後12カ月で中国系アクターがARTEXのようなエージェントフレームワークを採用し続け、少人数チームが多数のターゲットに対して迅速にスケールする侵入を可能にする」と予測する。Kasperskyも、モデルの性能向上に伴いオペレーターの役割が「タスク設定からモデルの監視」へシフトしていくと見ている。

詳細はAI agents scale and speed up Chinese-linked attacksを参照していただきたい。