12分。これは、欧州で最近実施されたサイバーセキュリティシミュレーションで、AIを活用した自動攻撃システムが、標的ネットワークへの初期アクセスからroot権限による完全な管理者制御を得るまでに要した時間です。12分は、セキュリティチームの朝のミーティングよりも短く、セキュリティオペレーションセンター（SOC）の標準的なトリアージサイクルと比べれば、なおさら短い時間です。
CISOが時間的な余裕を持てる状況は、急速に失われつつあります。自律型AIエージェントが、人間のアナリストがアラートチケットを開くよりも先に、スキャン、侵入先を足掛かりとした移動、脆弱性の悪用、認証情報の窃取まで実行できる今、セキュリティリーダーが戦略上取り組むべきことは明白です。マシンスピードの脅威には、マシンスピードの防御で対抗しなければなりません。
この劇的な時間短縮をもたらしたのが、中国で開発され、オープンソースソフトウェアとしてGitHubで公開された攻撃用マルチエージェントフレームワーク、Artexです。悪用が広がったため、作者は公開リポジトリを削除しましたが、コードはすでに数千件もフォークされており、稼働中のインストール環境が数百件、インターネットから誰でもアクセスできる状態で残されています。
あらゆるタイプの攻撃者がArtexを攻撃に利用しています。韓国では、サイバー犯罪者が7つの金融機関への侵入を自動化し、約67,000人の個人と2,200の組織に影響を及ぼし、身代金を要求しました。世界的には、国家と連携するグループが14か国の通信、製薬、政府分野の200を超える標的に対してArtexを投入したほか、インドでの攻撃キャンペーンでは、銀行の資金送金APIを直接呼び出すためにArtexが使用されました。
“F5のラボテストでは、AIを活用したWAF、悪意のあるユーザーの検出、ボット対策、APIスキーマの適用を組み合わせることで、Artexの全体的な攻撃成功率が90%超低下しました。”
企業を守るには、業界の過剰な宣伝に惑わされず、実態を見極める必要があります。Artexは、単独で動作する超知能モデルではありません。Goで記述されたオーケストレーション用の実行基盤であり、DeepSeek、Claude、Grokなどの商用大規模言語モデル（LLM）を、コマンドラインツール、スクリプト、Model Context Protocol（MCP）サーバーと組み合わせるものです。
LLMは認知を担う頭脳として、応答を分析し、複数のステップからなる攻撃キャンペーンを計画し、状況に応じた独自のエクスプロイトスクリプトをその場で生成します。自動化ツールは手の役割を果たします。このアーキテクチャにより、誰もがハッキングを行えるようになります。かつては高度なスキルを持つチームが連携に数日を要した高度な多段階攻撃も、今ではスキルの低い攻撃者が、脆弱なパスワード、多要素認証（MFA）の未導入、外部に公開されたAPIなど、よくある脆弱性を狙って数分で実行できます。
マシンの速度では単一レイヤーの制御が機能しない理由
F5のセキュリティ研究者がArtexを主要なAIモデルに接続し、ラボ内で意図的に脆弱性を持たせたアプリケーションに対して実行したところ、結果は明白でした。基盤となるLLMの能力が高いほど、Artexはより高速かつ積極的に動作しました。
特に重要なのは、従来の個別の防御策に直面した際のエージェントの挙動を観察したことです。既存のセキュリティアーキテクチャの多くは、受信リクエストを個別に検査します。アプリケーションの前段にF5 Web Application Firewall for Distributed Cloudを配置すると、既存のシグネチャが、Artexによる識別可能なWebインジェクションペイロードの最初の波を即座にブロックしました。さらに、AIを活用したリスクスコアリングを通じてシグネチャ検出と機械学習を組み合わせることで、WAFは受信リクエストのより広いコンテキストを評価しました。これにより、チームは受動的な監視にとどまらず、確信を持って能動的なブロックを実施できるようになりました。
しかし、最初の攻撃を阻止しても、攻撃は終わりませんでした。Artexが標準的なWebエクスプロイトのブロックを検知すると、LLMは即座に戦術を切り替えました。アプリケーションのアプリケーションプログラミングインターフェイス（API）の構造を調べ、顧客IDパラメーターを操作して他のユーザーの非公開アカウントにアクセスするといった、ビジネスロジックの欠陥を探し始めたのです。1か所でパケットを1つずつ検査するファイアウォールには、これらのリクエストは通常のアプリケーショントラフィックのように見えます。
攻撃ベクトルを動的に切り替える攻撃者を阻止するには、セキュリティスタック全体を運用面で連携させる必要があります。F5 Distributed Cloudでは、悪意のあるユーザーの検出機能が、リクエストを個別に評価するのではなく、その背後にいる実行主体を追跡することで、この連携を実現します。WAF違反、禁止されたアクセスの試行、ログインの失敗、ボットのテレメトリ、レート制限の発動を集約し、継続的に脅威スコアを算出します。そのスコアに応じて、JavaScriptチャレンジからCAPTCHA、完全なブロックへと対策を段階的に強化します。
CISOにとって、継続的な追跡は運用上の3つの重大な盲点を解消します。まず、Artexの攻撃キャンペーンではプロキシインフラが絶えず切り替えられます。外部に露出した攻撃者のサーバーを分析したある事例では、最初にテストした100件のIDに対し、プロキシサービスが79個の出口IPアドレスを生成していました。悪意のあるユーザーの検出は、IPアドレスによる追跡をJA4 TLSフィンガープリント、JWTクレーム、Cookie、セッションヘッダーで補完することで、IPアドレスが変わっても同一の攻撃者を継続的に把握します。
第2に、個別には無害に見える微かな偵察プローブを関連付けます。第3に、Artexは既存のシグネチャがない新たなスクリプトをその場で生成するため、行動の勢いを時系列で追跡することで、ゼロデイ攻撃の一連の動作を自動的に阻止します。ラボでのシミュレーションでは、悪意のあるユーザーの検出とAIを活用したWAFを組み合わせることで、攻撃の成功率が70%超低下しました。
エッジで継続的な信頼を確立
エージェント型AIによる攻撃は、LLMの指示を実行するスクリプト、ヘッドレスブラウザー、自動化フレームワークを通じて行われるため、静的なルールだけでは対抗できません。セキュリティ責任者は、アプリケーションやAPIとやり取りする相手が本当に人間なのか、自動化されたマシンなのかを検証し、実行時の信頼を継続的に確立する必要があります。F5 Distributed Cloud Bot Defenseは、4つの異なる観点からクライアントのテレメトリを検査し、エッジでエージェント型の自動化を見抜きます。
- 仮想マシンのハードウェアフィンガープリンティング： 自動化エージェントは多くの場合、データセンターの仮想マシン内で負荷の高い処理を実行しながら、住宅用プロキシを経由して一般消費者のトラフィックを模倣します。高度なフィンガープリンティングはクライアントのハードウェア特性を調べ、サーバー向けCPU、メモリの上限、GPUといった特徴を明らかにすることで、データセンターの仮想マシンを一般消費者向けのノートPCやモバイルデバイスと区別します。
- サイト内の移動パターン: 人間のユーザーは、不規則で予測できないパターンでWebサイト内を移動します。自動化エージェントは、最大限の効率でタスクを実行するために、あらかじめ決められた一定の経路をたどります。特許取得済みのシーケンス検出技術は、こうした移動経路を評価し、自動化された移動と人間の行動を区別します。
- フォーム操作のリズム： アカウントの作成、認証情報のテスト、フォームの送信など、エージェントは速度を重視して動作を最適化します。テレメトリの監視により、人間よりも速いフィールド入力や、人の手では再現できない不自然なページスクロールを検出します。
- ユーザーの生体情報とマウス操作の動態： エージェントが人間のカーソルの動きを模倣しようとしても、テレメトリには数学的な完璧さが表れます。直線的な軌跡、滑らかな弧、ボタンの中心を正確に捉えるクリックは、人間の操作に自然に生じる不正確さとは明らかに異なります。
自動化エージェントが境界防御を回避し、外部に公開されたインターフェースを狙う際、F5 Distributed Cloud API Securityが決定的な保護レイヤーを提供します。継続的なAPI検出により、文書化されていないシャドーAPIを含むすべてのエンドポイントを自動的に発見します。続いて、OpenAPIスキーマを厳格に適用し、すべてのトランザクションで許可されるデータ構造と認証要件を厳密に定義することで、Artexが偵察やID操作の際に生成する、要件に準拠せず形式が不正なペイロードを自動的に拒否します。
F5のラボテストでは、AIを活用したWAF、悪意のあるユーザーの検出、ボット防御、APIスキーマの適用を組み合わせることで、Artexの攻撃全体の成功率を90%超低減しました。（注：これらの結果は、特定のラボ構成とテストシナリオに基づくものです。実際のパフォーマンスと攻撃の軽減率は、個々のネットワーク環境やアプリケーションアーキテクチャによって異なります。）
重要なのは、ラボで依然として成功した少数の攻撃が、リクエスト元に権限があるかどうかを検証せずに機密データを返すエンドポイントに関わるものだった点です。これは、CISOがアプリケーションへの入力だけでなく、アプリケーションが返す内容も監視しなければならないことを強く示しています。
本来ハッキング用ではない公開ツールの悪用によって広がるハッキングを防ぐには、厳しい問いを投げかける必要があります。公開されているすべてのAPIを完全に可視化し、それぞれに認証を必須としていますか。ビジネスロジックに関わるパラメーターの改ざんをテストしていますか。IPアドレスを短時間で次々に切り替える攻撃者をシステムで追跡できますか。また、レッドチームは隔離された環境で検証済みのツールを実行していますか。研究者が、インターネットに公開されている62のArtex環境ですでにバックドアによる侵害を確認していることを踏まえると、これらの問いは特に重要です。
AIを活用する攻撃者は、マシンの速度で行動し、自律的に適応します。今後もレジリエンスを維持できるのは、Web、ボット、ユーザー行動、API環境全体にわたり、同時に適応する統合された多層防御を備えた企業です。
状況に応じて変化するAIの脅威への防御を強化しませんか。F5 Distributed Cloud Servicesの詳細をご覧いただくか、F5にお問い合わせのうえ、アプリケーションとAPI環境全体を対象としたAI攻撃への備えの評価をご予約ください。
著者について
Muhammad Abidは、F5でアプリケーションセキュリティおよびWAAPのプロダクトマーケティング担当シニアディレクターを務めています。Netskope、Cisco、Juniper、Fortinetでネットワークおよびサイバーセキュリティ事業の拡大に20年以上携わった経験を持ち、WAF、API Security、Bot Defense、Post-Quantum Cryptographyを網羅するF5の統合WAAPポートフォリオを統括しています。
Muhammad Abidのその他のブログ記事関連するブログ記事
AIを活用する攻撃者はすでに存在：多層防御が有効な理由
Artexなどのツールが数分でネットワークに侵入する中、CISOはマシンスピードで進む攻撃に直面しています。F5のWAF、ボット対策、悪意のあるユーザーの検出、APIセキュリティを組み合わせた多層防御が、エージェント型AIによる脅威をどのように阻止するかをご覧ください。
マルチモデルAIのセキュリティ戦略：今すぐ実行すべき2つのステップ
エージェント型AIが急速に拡大する中、マルチモデルAIの可視性とサイバーセキュリティを向上させるために、企業が今すぐ実行できる主な対策をご紹介します。
セキュリティリーダーシップを再構築する3つの力：分散AI推論、脅威の進化、ハイブリッドマルチクラウド
セキュリティ環境を急速に変化させている最新のAIトレンドをご覧ください。
SecOpsはAIをどう捉えているのか？パート2：データ保護
F5は、AIに対する考えについてRedditに投稿されたセキュリティ専門家の意見を包括的に分析しました。
IL5/6だけでは守れない：プロンプトインジェクションが読み取り専用LLMを脅かす
LLMが米国国防総省のIL5/IL6環境に統合される中、F5のソリューションがデータを保護し、インジェクション攻撃を防止して、ゼロトラストモデルを強化する仕組みをご紹介します。