11月13日、Security Boulevardが「Attackers are Using Agentic AI Offensive Tools to Automate Intrusions」と題した記事を公開した。攻撃者がAIエージェント型の攻撃フレームワークを用いてWebアプリケーションやクラウド環境への侵入を自動化している実態を詳述したもので、GitHubのスキャン開始からAzure Key Vaultのデータ窃取完了までわずか5分という記録的な速度での侵害事例が報告されている。自然言語で目標を与えるだけで偵察・侵入・横展開を自律実行するツールが実際の攻撃に使われ始めており、防御側にとって看過できない状況が進行中だ。

GitHubをスキャンしてKey Vaultへ——わずか5分

Microsoftの脅威インテリジェンス研究者が記録した事例が、この脅威の深刻さを端的に示している。攻撃者が使ったAIエージェントは、公開GitHubリポジトリをスキャンして認証情報などのシークレットを探し始めてから、Azure Key Vault（Azureが提供する鍵・シークレット管理サービス）のデータを窃取するまでわずか5分で完了した。

以前であれば、同様の攻撃には大量の手作業が伴い、実行速度は人間のオペレーターのスキルに依存していた。Agentic AI（特定の目標に向けて自律的に計画・実行・修正を繰り返すAIシステム）型の攻撃ツールの登場により、複数リポジトリの横断的なスキャン、出力の自動解析、後続攻撃の実行がほぼ自律的に処理される。Microsoftの研究者は「攻撃者がキーボードを操作し続ける必要が大幅に減った」と指摘している。

AntiFox——ARTEXから派生した亜種が今度はAlibabaクラウドに

Google Threat Intelligence Group（GTIG）がARTEX（LLMを中核に据えたオフェンシブ用途のAIエージェントフレームワーク）による攻撃の増加を警告してから数週間後、Arctic Wolfの研究者が新たな亜種の存在を報告した。

AntiFoxは、ARTEXから派生したオープンソースの自律型ペネトレーションテストプラットフォームで、中国語インターフェースを持ち、Alibabaクラウド上にホストされている。攻撃の手口は多岐にわたる。

• Webアプリケーションの脆弱性を悪用し、Webシェルを設置
• 設定ファイルや認証情報の探索・検証
• クラウドサービス（AWS）への侵入とシークレットへのアクセス

具体的には、侵害されたIISサーバー上にASPXWebシェル（IIS上で動作するASP.NET製の遠隔操作用バックドアスクリプト）を作成し、設定ファイル・バックアップ・データベース接続文字列を読み取ったうえで、ログファイルをWeb経由でアクセス可能なディレクトリへコピーするという一連の操作が確認されている。別の事例では、有効な認証情報を使ってS3に接続し、GetObject・CopyObject・DeleteObjectなどの操作を実行していた。

AntiFoxが使用するIAMユーザー（AWSのIdentity and Access Managementで管理される、API操作権限を持つアカウント単位）は有効なものであり、一部ではEC2ロールを引き受けた形で数十のサービスを高速に列挙。多くのリクエストはAccessDeniedで返ってきたものの、GetSecretValueによる本番シークレットの取得にも成功している。

AWSはメディアのコメント要求に対し、「AWSのサービス自体は侵害されておらず、設計通りに動作している。研究が示しているのは、攻撃者が顧客の侵害されたアプリケーションから取得した認証情報でAWSアカウントにアクセスしたケースだ」と声明を出した。最小権限の付与、IMDSv2（EC2インスタンスのメタデータサービス第2世代。認証トークンを要求する仕組みでSSRF経由のクレデンシャル窃取を防ぐ）の強制、長期アクセスキーをアプリ設定に含めないこと、Amazon GuardDutyの有効化などのベストプラクティスを推奨している。

ARTEXはすでに大規模稼働中

Check Point Researchは、ARTEXがすでにスケールして運用されている実態を数字で示した。

• 2,557システムがARTEXをホスト（うち1,608が稼働中かつ公開アクセス可能）
• あるキャンペーンでは、292の目標に対して400,791件のエージェントメッセージが生成され、オペレーターの追加操作なしに実行された

攻撃の多くは初期目標を設定すれば、脆弱性の発見から悪用まで自律的に処理される。サプライチェーン攻撃をエージェント単独で実行した事例も確認されている。

ただし自律性に限界もある。暗号通貨を標的にしたキャンペーンでは、エージェントがAPIの成功レスポンスを暗号通貨の窃取成功と誤認し、実際の攻撃者の収益はゼロだった。

「これは氷山の一角」

GitGuardianの研究者は「AntiFoxは同一AIフレームワークの新たな亜種に過ぎない。クラウドプロバイダーが異なるだけだ。サイバー攻撃の手口がより広く変化していく証拠が、今後さらに出てくるだろう」と指摘する。

ARTEXやAntiFoxのようなツールが問題なのは、かつては深い技術知識が必要だった攻撃を、自然言語で指示するだけで実行できる点にある。NetcatやMetasploitのようなツールには、プロトコル・接続・ターゲット環境・エクスプロイトの理解が必要だった。今やエージェントに目標を平文で与えれば、環境の調査、ツールの選択、コマンド実行、結果の解釈、次のアクションの決定まで自動でこなす。攻撃の「参入障壁」が技術力から目標設定能力へとシフトしつつある。

ディフェンダー側もこれらの能力を活用できるが、研究者が懸念するのは「これらの能力が実際の標的に対して、いかに安価かつ容易に適用できるようになったか」という点だ。GitHubへの認証情報の誤コミットや、過剰な権限を持つIAMキーの放置といった従来からの設定ミスが、AIエージェントによって従来とは比較にならない速度で発見・悪用されるようになっている現実は、開発・運用の双方に姿勢の見直しを迫るものだ。

詳細はAttackers are Using Agentic AI Offensive Tools to Automate Intrusionsを参照していただきたい。