要点
- インドの CERT-In は、AI の攻撃ツールを使って金融機関をねらう攻撃集団を「Crafty Falcon」と名付け、攻撃が今も続いていると警告した。
- そのツールの一つ ARTEX について、ネットに出回る写しの一つに裏口が入っていたと、研究者の Badbyte が報告した。この写しを動かすと、裏口を知る者がログインなしで、管理者の権限（root）でコマンドを実行できる。
- Badbyte の調べでは、この裏口つきの版がネット上の少なくとも62の管理画面で動いていた。攻撃に使う側の道具そのものが、別の誰かのわなになっていた。
何が起きたか
ARTEX は、中国語で作られたオープンソースの「AI ペネトレーションテスト基盤」だ。ペネトレーションテストは、守る側が自分のシステムに試しに攻撃して弱いところを探す検査のことである。ARTEX では、AI のエージェント（自分で考えて作業を進めるプログラム）が対象を調べ、欠陥を突き、報告までする。Web の管理画面から操作する。
この道具は攻撃にも使われてきた。Badbyte の報告によると、作者は2026年10月8日に「悪用された」として公開をやめ、GitHub のリポジトリを消した。
その日のうちに、代わりの配布物が出た。Badbyte によると、同じ日に作られた Docker Hub のアカウントが tomicdd/artex というイメージを公開した。Docker イメージは、アプリを中身ごと固めた配布用のパッケージである。あわせて GitHub にも写しのリポジトリが現れた。このリポジトリは設定ファイルを1行だけ書き換え、このイメージを取ってくるようにしていた。
このイメージのログインの処理に、裏口が仕込まれていた。Badbyte によると、ログインを送るときにある欄へ決まった印をつけると、ID とパスワードを確かめる前にコマンドが動き、その結果が返ってくる。外から見ると、ただのログイン失敗にしか見えない。中身は root で動いている。
被害が広がりやすい理由もある。Badbyte が挙げた点は次のとおりだ。
- ARTEX の画面の中には、検査で見つけた欠陥、相手から盗んだ ID やパスワード、AI サービスの API キー（サービスを使うための合言葉）などが入っている。
- 裏口を使える者は、AI エージェントへの指示を書き換えられる。そうすると、次からの作業も思いどおりに動かせる。
- 元のリポジトリが消えたあとも、写しのリポジトリをさらに写したものを通じて広がり続けた。
Badbyte の数え方では、このイメージは11月5日までに約9,000回ダウンロードされた。11月2〜4日に裏口つきの版を出していた管理画面は62あり、最初の1つは10月20日までに立ち上がっていた。62は「少なくとも」の数で、外からは見分けられない画面がほかに約590あるという。裏口が実際に使われたかどうかは、今回読んだ範囲では確かめられていない。
同じころ、インドの CERT-In は CIAD-2026-0058 を出した（11月4日公開、5日更新）。CERT-In は、ノンバンク、デジタル融資、フィンテック、決済事業者、暗号資産の事業者をねらう Crafty Falcon を警告している。使う道具として ARTEX のほか、PentAGI、Cairn、CyberStrikeAI を挙げた。手口として CERT-In が挙げたのは、相手の送金用 API を勝手に呼び出すこと、1ルピーの試しの送金で流れを確かめてから大きな額を動かすこと、テスト用の環境から本番に入り込むことなどだ。
日本の利用者への影響
日本でも ARTEX は話題になっている。JPCERT/CC は国内の不正アクセスについての注意喚起を10月8日に出した。10月23日の更新で、Cairn、CyberStrikeAI、ARTEX などの AI ペネトレーションテスト基盤を使った攻撃の試みを「ケースE」として加えている。
今回の裏口は、攻撃される会社ではなく、ARTEX を自分で動かした人に当たる。ペネトレーションテストや研究のために、日本でこのイメージを動かした人がいるかどうかは分からない。CERT-In の勧告にも Badbyte の報告にも、日本の組織の被害についての記述は無い。ただし、それで日本に被害が無いと言えるわけではない。
今すぐやること
- 自社で ARTEX を動かしていないか、セキュリティ担当や外部の検査会社に確かめる。Docker Hub の
tomicdd/artexかcongdonglinux/artexを使っていたら、それは裏口つきの版である。 - 当たっていたら、その機械は乗っ取られたものとして扱う。Badbyte は一般論として、AI エージェントのセキュリティ道具は、自分で読んだソースから作り、インターネットに出さずに動かすよう勧めている。
- 管理画面に入っていた ID・パスワード・API キーを全部変える。自社の分だけでなく、検査先の分もである。
- 攻撃ツールも検査ツールも、インターネットにじかに公開しない。CERT-In は、許可のない攻撃ツールを会社の機械で使うことを禁じ、ペネトレーションテストは書面で範囲と期間を決めてから行うよう勧めている。
- 金融や決済の会社は、CERT-In が勧める見張り方を参考にする。新しい送金先への少額の試し送金と、そのあとの大きな送金を組み合わせて見張る、などである。
背景
ARTEX が攻撃に使われた話は、これまでにもあった。Badbyte の報告によると、CrowdStrike は ARTEX の管理画面を、9月末から10月はじめにかけて韓国の金融機関がねらわれた件と結びつけた。また、韓国の警察は、別の集団が ARTEX で90を超える組織を攻撃したとした。10月29日には CrowdStrike が、中国とつながりがあるとみる集団 VAPOR PANDA が、11日間で14か国の200を超える組織に ARTEX を使ったと報告した。日本では JPCERT/CC が、上に書いたとおり国内での攻撃の試みを伝えている。
これまでの件は、どれも「誰が ARTEX で誰を攻撃したか」の話だった。今回は向きが逆である。ARTEX を使う側が、配布物に仕込まれた裏口でねらわれた。攻撃に使う道具の写しにわなを入れる手口は前からあるが、今回は AI エージェントの道具で起きた。盗んだ ID やパスワードがたまる場所なので、うばわれたときの被害は大きい。Badbyte は報告を「セキュリティの道具は、それを動かす人のために働くべきだ」という一文で締めている。
CERT-In の件は、10月9日の警告 CIAD-2026-0046 の続報だ。CERT-In によると、一度対策した会社がまたねらわれた例や、休日や週末をねらった例がある。
技術者向けの詳細
- 裏口つきのイメージ:
tomicdd/artex:latestとcongdonglinux/artex:latest（中身は同じ）。Badbyte によると、GitHub のソースコードそのものには裏口はなく、問題はイメージにある。 - 写しのリポジトリ:
github.com/trhhubsd/ARTEX（もとの名前はARTEXX）。コミットa4f4d38で compose の image をtomicdd/artexに変えている。11月5日の時点で、637の GitHub リポジトリがこのイメージを指し、そのうち630はimxv/ARTEXXの fork のつながりにある（Badbyte）。 - 当たるかどうかの確認（Badbyte が勧める方法）:
- compose ファイルとイメージの digest を確かめる
- コンテナの中で
/app/artexの SHA-256 を見る（d5070f52…8d1573なら裏口つきの版） - 自分のインスタンスの HTML に、ビルド ID
3aC1db3gGU08O4UHbAt4Jが入っていないか見る - Go のシンボル
server.verifyCaptchaがあるか見る。module のバージョンはv0.3.16-0.20261008134550-5c0dbd4bec94+dirty
- 悪用された跡を見る（Badbyte）:
POST /api/auth/loginにcaptchaのキーがないか見る（大文字・小文字の違いと unicode エスケープも含めて）。正規のクライアントはusernameとpasswordしか送らない。レスポンスにシェルの出力（uid=やファイルのパス）があれば悪用が確定する。/app/artexの子として動くsh -cを見張る。 - この裏口は外に通信しない。待ち受けるだけなので、外向きの通信を見るだけでは見つからない。マウントしたボリュームに書いたものは、イメージを取り直しても残る。
- Badbyte はイメージの digest の全体と YARA ルール2本も公開している。ルールは裏口つきの版に当たり、公式の v0.3.26 には当たらない。
- 公開されている数（Badbyte）: 11月4日 09:55 UTC の時点で、62のうち46が裏口つきのまま、4つが別のイメージに作り直され、12つが止まっていた。11月4日にネットに出ていた ARTEX の管理画面は全部で1,645あり、公式の版を動かしていたのは110だけ。
- CERT-In の公開版には侵入の跡（IOC）の一覧がない。全体は金融機関向けの限定版で共有されている。CERT-In は、攻撃の基盤が数時間から数日で IP を変えるので、IP を止めるより手口を見張るよう勧めている。CERT-In は AI セキュリティ監査の指針（Artificial Intelligence Security Auditing Guidelines）も出している。
