インターネットに晒されたままの攻撃用コンソールが1,465台。Censysの調査は、AIエージェントの運用がそのまま侵入口になる形を示した。
Censysが数えた1,465台という数字
Censysは11月5日の報告で、AIを使った侵入テストの枠組みArtexが動くホストを1,465台確認したと書いた。うち約650台は2つのホスティング事業者で同じ設定を共有しており、複製か、1人の運用者が複数アドレスを使った可能性が高い。クラスタを除くと、実質的な配備は約815とみられる。Censys自身が、公開されていることと悪意ある利用は別物だと断っている。認可された試験で使う運用者もいる。
Artex AI hacking toolsの正体
Artex AI hacking toolsは、7月26日に公開された中国発のオープンソースだ。Goのバックエンド、Next.jsのコンソール、PostgreSQLで構成する。ScopeSentryという資産探索の基盤につなぎ、ドメイン、アドレス、ポート、エンドポイントを取り込む。運用者が対象と範囲、目的を決めると、計画役のエージェントが作業を分け、実働役がnmapなどのツールを回して結果を記録する。資産の関係図と探索の履歴も残る。AnthropicとOpenAI、互換APIを選べるので、モデルを替えても手順を作り直さずに済む。
exposed AI agent serversの中身
公開されていたのはコンソールだけではない。1,465台のうち155台、10.6%で追加の脅威検知が出た。32のディレクトリは開いたままで、ツール、インプラント、運用者のファイルが置かれていた。ある例では運用者のホームフォルダまで見え、SSHの鍵材とシェルの履歴が含まれていた。70台ではCyberStrikeAIが同居し、PentAGI、HexStrike AI、RedRamonも現れた。Vshell、Cobalt Strike、Adaptix C2、FRP、Gophishを持つホストもあった。
offensive AI frameworkが使われた攻撃
offensive AI frameworkとしての利用例も出ている。CrowdStrikeは9月、韓国の金融機関への攻撃にArtexのインスタンスを結び付けた。そのサーバーの公開ディレクトリは8月18日から見えており、報告の7週間前から開いていた。Microsoftは10月、ConnectWiseの顧客テナントへの攻撃をStorm-0940と呼ぶグループに帰属し、そこでArtexが使われたとしている。手口は弱いパスワードや既知の認証情報、多要素認証の欠落だった。新しい攻撃技術より、運用の穴が入口になっている。
AI securityの点検はTCP 8787から
AI securityの実務では、検知の手がかりが使える。CensysはTCP 8787、8790、443で待つコンソール、ARTEXで始まるページタイトル、_next/staticの資産、周辺の公開ディレクトリ、トンネルサービス、見覚えのないLLMゲートウェイを挙げた。では、自社の構成はどうなっているのか？国内でも、管理画面をインターネットへ出したままにした構成は珍しくない。IPAの注意喚起が毎年触れる類型だ。エージェント基盤を試すなら、公開範囲と認証、モデルのAPIキーの置き場所を先に決める。
Artexはクローズドソースへ向かう
Artexはクローズドソース化を予告している。今後の配布は有料顧客に限られる見込みだが、コードの複製は共有サイトに数十残る。11月3日から5日にかけて、公開ディレクトリは10件が消え、15件が別の場所に現れた。母数は動き続けている。
Censysの報告から運用者が読むこと
読むべきは台数より、初期設定のまま外に出る構造だ。認証を付けず、LLMのAPIキーを同じ箱に置く。その組み合わせが、攻撃側の道具を攻撃側の弱点に変える。自社でエージェント基盤を試すなら、外から見える場所を減らし、鍵を別に管理する。Censysの数字は、その順番を間違えた時の請求書だ。
