ARTEXの自律攻撃パネル1608台がインターネットに露出

セキュリティ研究者は、penetration testingと実際の攻撃でAIエージェント群を動かすopen-sourceプラットフォームARTEXの内部を異例の形で観察した。高度な侵入ではなく、公開された管理パネルが入口になった。

公開パネルからツールと攻撃者の作業内容まで見えた

Check Pointは、ARTEXを現在または過去にホストしていた2557台のシステムを確認した。調査時点では1608台が稼働し、インターネットからアクセスできた。設定を誤った10台ではデータベース全体が公開され、運用者のprompt、選択したモデル、エージェントの実行手順まで含まれていた。

ARTEXは認可されたpenetration testing向けの中国製open-sourceプラットフォームとして登場した。韓国の銀行への攻撃が報告された後、開発者は10月8日にclosed-sourceへ移行したが、複製やforkは残っている。公開パネル1608台のすべてが犯罪者のものとは限らず、防御側や研究者の環境も含まれ得る。

エージェントは攻撃者を操縦者から目標設定者に変えた

露出したデータベースから、作業方法の変化が分かる。運用者は目標を設定し、その後は進捗を尋ねる程度だった。エージェントは自ら脆弱性を探し、侵入を試み、複数の対象を移動した。iOS証明書ショップを狙った事例では300件を超える証明書を取得し、3件が完全な検証を通過した。

使われた手法の多くは既知のものだった。弱いpassword、認証の欠如、front-endコードに埋め込まれた認証情報、一般的なweb脆弱性である。変わったのは速度と粘り強さだ。1人が各手順を指示しなくても、多数のアプリをエージェント群に試させられる。

自律性は試行だけでなく誤判定も拡大する

別のcampaignでは1億6750万tokensを処理し、40万791件のエージェントメッセージを生成し、暗号資産関連の292目標を狙った。それでも攻撃者の収益は0ドルだった。一部のエージェントはAPIの成功応答を送金成功と誤認したが、walletは空のままだった。

だからといって無害ではない。金銭獲得に失敗する過程で、データベース、個人情報、cloud storageの認証情報が見つかった。また、公開された10件のデータベースは設定不備のサーバーから得た便宜的なサンプルであり、1608台全体を代表しない。

防御側はエージェント群より先に単純な弱点を消す必要がある

今後は、報告後に公開パネル数が減るか、無差別なscanから標的型のcampaignへ移るかを追う必要がある。見つけた脆弱性の数と、現実に生じた被害の差も重要な指標になる。

直ちに取るべき対策は平凡だ。多要素認証、client codeからのsecret排除、API認証、公開サービスへの迅速なpatchである。ARTEXが基本的なsecurity hygieneを無効にしたわけではない。放置した弱点が無事でいられる時間を短くした。

Lilithの判定

以前の攻撃者は鍵を1つずつこじ開ける必要があった。ARTEXなら目標を入力して眠り、朝に何百ものエージェント報告を読める。誤判定を笑っていられるのは、passwordのないproduction APIを1台が見つけるまでだ。