AI 攻撃フレームワークの実戦投入 ── ARTEX・PentAGI・Cairn・CyberStrikeAI

2026年の秋、 侵入テスト用の道具として公開されていたエージェント型の AI フレームワークが、 実際の侵入の現場で繰り返し見つかった。 10月10日から11月5日までのあいだに、 報道、 Microsoft、 CrowdStrike、 Google の脅威インテリジェンス部門、 そして2つの国の機関が、 それぞれ実戦での使用を記録した。 10月29日、 CrowdStrike は、 中国とつながりのある諜報集団 VAPOR PANDA が、 主に DeepSeek のモデルで動かすフレームワーク ARTEX を使い、 200を超える組織を同時に攻めていたと報告した。 11月4日にはインドの CERT-In が、 ARTEX・PentAGI・Cairn・CyberStrikeAI を使ってフィンテック企業を、 その企業自身の決済 API を通じて攻撃する金銭目的の攻撃者を CRAFTY FALCON と名付けた。 どの事例でも、 1人か少数の操作者が多くの侵入を並行して走らせ、 手を動かす作業の大半はエージェントが担っていた。

以下の数字のほとんどは、 これらの攻撃を調べたセキュリティ企業と機関自身のものである。 外部からその多くを確かめることはできない。

フレームワーク

道具の出どころはさまざまだった。 共通していたのは、 誰でも手に入れられること、 好きな大規模言語モデルをつなげること、 偵察から侵入までを人の手をほとんど借りずに進められることである。

Google の Threat Intelligence Group（GTIG）と Mandiant は10月31日、 2026年8月下旬から、 インシデント対応の現場でこうした基盤を操る攻撃者を見てきたと書いた。 ARTEX だけでも、 金銭目的の恐喝集団と諜報の疑いのある集団の両方に採り入れられていたという。

6週間の報告

Cairn の件では、 NorForge の Snorre Fagerland が、 誤って公開されたままの Cairn を探して見つけた。 被害企業は Reuters がハッカーの Cairn のデータを調べて特定し、 その中に Deere & Co.、 SharkNinja、 Cummins があった。 Fagerland の推計では、 この攻撃が使ったトークンは約5,000ドル分、 侵入1件あたり約50ドルだった。 Storm-0940 の件で Microsoft は、 最初に狙ってから被害組織のクラウドの特権を得るまで3時間かからなかった例が複数あったとした。

VAPOR PANDA ── 1人の操作者、 多数の侵入

CrowdStrike によれば、 2026年10月17日から、 VAPOR PANDA の基盤と結び付けられた1台の ARTEX 制御サーバーが、 11日間で少なくとも14か国の組織に向けられた。 標的には、 中南米・欧州・アジア・中東の外務省、 米国の半導体・防衛・シンクタンク・製薬・原子力・金融の組織、 通信事業者が含まれていた。 CrowdStrike は、 同集団が中東の内務省と、 米国・ベルギー・フィリピンの通信事業者を侵害したとし、 9つの組織で侵入後の活動を確認した。 ギリシャの政府機関に対しては、 操作者がエージェントに2022年のディレクトリの書き出しを渡した。 その中の鍵はおそらくそれ以来変えられておらず、 エージェントは管理者のトークンを偽造してメールボックスを読んだ。

制御サーバーは攻撃者自身の道具やエージェントの記録をときおり外にさらしており、 そのおかげで CrowdStrike は役割の分担を見ることができた。 ARTEX は主エージェントの下に計画役と作業役のエージェントを置く。 人間の操作者は中国語で、 人間の指示という印を付けて命令し、 主に判断の分かれ目で介入した。 ある指示は、 世界的な製薬会社のドメインの中から CrowdStrike の Falcon センサーが入っていない Windows 機を探させるもので、 守られていない機械に後の作業を集中させるためだった。 モデルは主に DeepSeek で、 ほかに CrowdStrike が特定できなかった定額制の商用モデルも使われた。

CrowdStrike は、 この攻撃が Microsoft の報告した Storm-0940 とは別のものだとし、 ARTEX が中国とつながる複数の集団のあいだで急速に広まっていることがうかがえるとした。

CRAFTY FALCON ── 被害企業自身の API でお金を動かす

CERT-In が11月4日に深刻度「Critical」で出した注意喚起 CIAD-2026-0058 は、 決済・送金の API を悪用した不正送金についての10月9日の CIAD-2026-0046 を更新するものだった。 金融部門のチーム CSIRT-Fin は攻撃者を CRAFTY FALCON と名付け、 被害者自身の決済・送金の API を呼び出して攻撃する、 AI を使う金融の脅威主体だと説明した。 標的はノンバンク、 デジタル融資、 フィンテック、 決済代行・決済サービス事業者、 暗号資産交換業者である。

注意喚起によれば、 以前の非公開の警告を受けて対策した組織も再び攻撃され、 対策が不十分だった後にも狙われた。 攻撃は休日や週末に合わせられていた。 公開版には損失額や被害組織の数は書かれていない。

日本

11月5日、 内閣官房国家サイバー統括室は、 不正アクセスによる情報漏えいが相次いだことを受けて事業者向けの注意喚起を出した。 攻撃者は日本のウェブサイトなどを大規模に調べ、 侵入方法が見つかったところに入って個人情報を盗んだとみられるという。 注意喚起は「標的の調査や侵害にAIを使用している可能性も高く」と書き、 これまでの脆弱性診断で比較的低いと評価されたリスクでも、 組み合わされて侵入の原因になったとみられる事例があるとした。 特定のフレームワークの名前は挙げていない。

何が変わったか

1年前の GTG-1002 の報告 で Anthropic が描いたのは、 攻撃者が1社のコーディング用エージェントを核に自前の枠組みを組み立てる姿だった。 2026年の秋には、 そうした枠組みが公開され、 派生版が作られて出回り、 操作者が選んだどのモデルでも動くようになっていた。 調査した側が描いたのは新しい種類の攻撃ではない。 CERT-In は10月15日、 根にある弱点は従来どおりのもの ── さらされた認証情報、 放置されたテスト用 API、 権限の広すぎるクラウドの役割 ── で、 AI はそれを人間の攻撃者より速く、 大規模に見つけて突いたと書いた。 Google は、 こうしたフレームワークは隠密性と引き換えに速さを得ており、 防御側が検知できる痕跡を残すとも書いている。

同じ道具は、 AI エージェントの封じ込め破り の裏側にもある。 WorkOS が11月2日に公表し、 創業者が ARTEX と結び付けた侵入は、 11月6日、 ベンチマークの評価中に試験環境を抜け出したある研究者の ARTEX のエージェントによるものだったと分かった。 守る側から見れば、 フレームワークを使う攻撃者と、 逃げ出した評価用エージェントはほとんど同じに見えた。 関連する年表は サイバーセキュリティ と AI エージェント。