2026年11月5日、マイクロソフトの脅威インテリジェンスチームは公式セキュリティブログにおいて、一連のクラウド侵害事例を公表した。AIエージェントが人間の介入なしに、GitHubの公開リポジトリから露出した認証情報をスキャンし、Azure Key Vaultのデータ窃取を完了するまでの全工程を5分以内で実行したというものだ。使用されたツールは「ARTEX」と呼ばれるオープンソースの多エージェント攻撃フレームワークであり、マイクロソフトが「Storm-0940」として追跡する中国の国家レベルの攻撃グループと、カンボジアの金融犯罪グループ「Storm-3358」がこれを利用している。
マイクロソフトが公表したタイムラインによれば、今回の大規模な悪用は一夜にして起きたものではない。マイクロソフトの公式ブログによると、ARTEXに関連するスキャン活動は2026年8月まで遡ることができる。10月に入ると攻撃の激しさは顕著に増し、マイクロソフトはブログの中で2026年10月28日に最初のサービスプリンシパルへの不正ログイン記録が確認されたことを記録しており、使用されたIPアドレスは199.19.77[.]84であった。Storm-3358による金融機関への標的型攻撃活動は11月6日まで継続し、前後2週間以上にわたって展開された。
AIエージェントはいかにしてクラウドの防御を自律的に突破するか
「5分」という数字の意味を理解するには、まずARTEXの技術的構成を把握する必要がある。セキュリティ研究機関の分析によると、ARTEXはGo言語で記述された多エージェント型のペネトレーションテストおよびコマンド＆コントロールプラットフォームであり、Next.jsのWebコンソールを備えている。コードはもともとGitHub上の「Autumn-27」というハンドルネームの開発者によって公開されており、セキュリティチームが認可されたシステムの自己テストに使用することを想定した位置づけとなっている。このツールには複数の役割分担型サブエージェントが内蔵されており、偵察、認証、列挙、ラテラルムーブメントといった各フェーズをそれぞれ担当し、Nmap、curl、wget、PythonのHTTPクライアント、ヘッドレスブラウザのChromiumなどのツールを呼び出すことができる。
しかしARTEXが防御側にとって真に厄介な点は、どのツールを使用するかではなく、それらのツールをいかに連携させ自律的な意思決定を行うかにある。aviatrix.aiがマイクロソフトのデータを引用して示したところによれば、攻撃チェーンの動作は以下の通りだ。ARTEXエージェントはまずGitHubの公開リポジトリを自動スキャンし、露出したアプリケーションキー、APIトークン、OAuth認証情報を識別する。有効な認証情報が見つかると、直ちにサービスプリンシパルとしてMicrosoft Entra IDへの認証を試みる。認証が通過すると、エージェントはAzureサブスクリプション、リソースグループ、AIモデルのデプロイ状況を列挙し、Azure Key Vault、App Serviceの設定、AKSクラスターからさらなる認証情報を抽出する。その後、Azure Resource Manager、SharePoint、OneDrive、さらにはAzure DevOpsへとラテラルムーブメントを行い、侵害されたOAuthアプリケーションとAzure AIサービスを悪用して持続的な制御を確立する。
この攻撃チェーンの決定的な特徴は適応能力にある。マイクロソフトのデータによると、API呼び出しが失敗した場合、エージェントは約28〜80秒以内にパラメータを自動切換えして再試行する。同時に、ログイン試行のピーク時には10秒あたり24回という頻度に達する。この速度はいかなる人間のオペレーターの限界も超えているにもかかわらず、各試行が実在する確認済みの有効な認証情報を使用しているため、従来のレート異常アラートの閾値を触れることがない。
被害の規模と影響を受けた範囲
現時点では、影響を受けた組織の完全なリストはまだ公開されていない。セキュリティ企業Todylの分析によれば、被害が確認された組織は約18社に上る。公表された具体的な事例では、マイクロソフトは81件の明確なファイルダウンロード行為と、約2,279件のメールボックスエントリへのアクセスを記録している。また別の典型的な事例では、マネージドサービスプロバイダーの顧客が10分以内に数千ドルのAzure AI使用料金を発生させたことが示されており、侵害された認証情報がAzure AIサービスへの大量呼び出しに使用され、後続攻撃のための計算リソースとして活用された。
Storm-3358の攻撃目標は異なる性質を持つ。このカンボジアの金融犯罪グループはARTEXを匿名ファイルアップロードの脆弱性およびSSRF（サーバーサイドリクエストフォージェリ）脆弱性と組み合わせて使用し、WISP、vshell、AdaptixC2などのオープンソースのリモートアクセス型トロイの木馬をインストールして、より長期的な持続的アクセスを図った。主な攻撃対象は東南アジアの金融機関だ。
ARTEXフレームワークが使用するAIモデルは固定されていない。Check Pointによる10件の公表事例の分析では、DeepSeekシリーズのモデルが最も高頻度で選択されていた。マイクロソフトの公式ブログは、ARTEXはあらゆるAIモデルを呼び出せると明記しており、これは防御側が「特定モデルをロックする」戦略でこの種の攻撃を封じることができないことを意味する。
ツールから行為者へ：越えられた一つの閾値
ARTEXの事例をこれまでのAI支援攻撃の歴史と並べて見てはじめて、今回の事件の真の意義を実感できる。過去数年間、セキュリティ研究界が繰り返し議論してきたシナリオは「AIが攻撃者のフィッシングメール作成を支援する」「AIがコードの脆弱性分析を支援する」というものであり、人間が依然として意思決定の主体であり、AIは効率化ツールにすぎなかった。ARTEXの事例は異なる段階の到来を示している。ここではAIエージェントが自律的な意思決定者として機能しており、偵察から認証、ラテラルムーブメントまで、各フェーズでエージェントが前のステップの結果に基づいて次のアクションを自律的にトリガーし、全チェーンがクローズドループで完結し、途中での人間のオペレーターによる確認を必要としない。
これにより攻撃のコスト構造は根本的に変化した。従来、情報収集から認証情報の悪用、データ窃取に至る完全な侵害チェーンを実行するには、異なるスキルを持つ複数の攻撃者が数時間の人的労力を投入し、各フェーズで人間の判断が必要だった。5分間の完全自律型クローズドループが意味するのは、同様の攻撃を数百のターゲットに対して同時並行で実行でき、限界コストがほぼゼロに近いということだ。
防御側も対称的なジレンマに直面している。従来の検知ロジックは「行動の異常性」という前提の上に構築されているが、ARTEXエージェントの各操作——サービスプリンシパルのログイン、API呼び出し、リソースの列挙——は形式上、正常なビジネス行動と区別がつきにくい。使用される認証情報は本物であり、リクエストの形式は適正であり、ペースとコンテキストの組み合わせだけが違和感を露わにする。これは検知体系が単一ルールによる判定から行動シーケンスのモデリングへと転換することを要求するが、このような能力は大多数の中小企業のセキュリティスタックには十分に備わっていない。
最も大きな圧力を受けるのは誰か
ステークホルダーの観点から分析すると、今回の事件がもたらす圧力の分布は均一ではない。
クラウドサービスプロバイダーにとっての核心的な圧力は、プラットフォームレベルの信頼チェーンにある。ARTEXの事例は、単一のサービスプリンシパル認証情報が露出することで、複数の下流テナントへの横断的アクセスに悪用される可能性を示しており、これはマルチテナントアーキテクチャに固有の伝播リスクだ。マイクロソフトはブログで、コードリポジトリ内の露出した認証情報をスキャンすること、サービスプリンシパルキーの代わりにマネージドIDを使用すること、最小権限ポリシーを適用すること、異常なAPIリクエストレートを識別できる行動検知をデプロイすることを推奨している。
開発者やエンジニアリングチームにとっては、GitHubリポジトリにおける認証情報の管理習慣が攻撃対象領域の大きさを直接的に決定する。ARTEXの入り口は常にGitHub上に公開された認証情報だ。これはゼロデイ脆弱性ではなく、何年も前から存在してきた設定ミスである。違いは、以前はこの種のミスを悪用するために人間が手動で検索・判別する必要があったが、今やAIエージェントが秒単位で大規模スキャンと優先順位付けを完了できるという点だ。
コンプライアンスとガバナンスを担当するセキュリティチームにとって、今回の事件がもたらす課題はより制度的な側面に偏っている。現行のセキュリティ監査サイクルやインシデントレスポンスプロセスは、攻撃者には時間がかかるという前提で設計されており、防御側が検知・対応するための時間的余裕を時間単位で見込んでいる。完全な侵害チェーンが5分以内に圧縮されると、定期的な手動点検やバッチ処理アラートに依存するシステムは、ルールがどれほど精緻に書かれていても、リアルタイムでの遮断は不可能だ。
今後の注目すべきシグナル
ARTEXフレームワークのオリジナルリポジトリは2026年10月に作者によって非公開とされたが、ScopeWeaverや商業版のARTEX PROを含む複数のフォーク版が引き続き流通していると報告されている。ツール自体の入手可能性はこれによって終わったわけではなく、ハードルがわずかに引き上げられたに過ぎない。注目すべきシグナルは二つある。一つは、今後数ヶ月以内に類似フレームワーク（同等の自動化レベルを持つ多エージェント攻撃ツール）の悪用事例報告の頻度がどう推移するか。もう一つは、クラウドベンダーがサービスプリンシパルの高速APIシーケンスに対するネイティブな異常検知能力を提供するかどうかだ。もしそのような能力が追加の上位プランとしてではなく「デフォルト有効」の形で実装されるなら、それは明確な防御強化の指標となるだろう。
より長期的な視点で見れば、ARTEXの真の遺産はその被害の大きさではなく、再現可能な設計図を示した点にあるかもしれない。多エージェントフレームワークをいかにシステム的に組み立ててエンドツーエンドの攻撃チェーンとするかという設計図だ。それ以前は、この種の能力はセキュリティ研究者の実験室にとどまることが多かった。しかし今や、マイクロソフトのブログによれば、国家レベルの行為者と一般的な金融犯罪グループの双方によって武器化されており、この手法が大規模に複製可能なものとして実証されたことを意味している。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接