ARTEXとは？AIを悪用したサイバー攻撃の脅威と企業の対策を解説
2026年10月、AIを使って自動でサイバー攻撃を進めるツール「ARTEX」が、日本企業への実際の攻撃に悪用されていたことが明らかになりました。約20社が標的になったとみられ、AIによる攻撃が現実の脅威になったと受け止められています。人手では時間のかかる攻撃を、AIが自律的に素早く進める点が、従来との大きな違いです。
この記事では、ARTEXがどんなツールで、何が脅威なのか、企業は何をすべきかを解説します。結論から言えば、必要なのは既知の弱点を地道にふさぐ基本の対策です。記事を読めば、AIを使った攻撃に対して自社が今すぐ見直すべき備えがわかります。
ARTEXとは、AIが自律的に攻撃を進めるペネトレーションツールのこと
ARTEXは、AIを使って侵入テスト(ペネトレーションテスト)を自動で行うツールです。大規模言語モデル(LLM)と連携し、弱点の探索から検証までをAIが自律的に進めます。もともとは企業が自社の弱点を点検するための仕組みですが、攻撃に悪用されていたことが問題になっています。本来は守る側のための道具が、攻める側に使われた形です。
ARTEXは中国で開発され、2026年7月にオープンソースとして公開されました。誰でも入手できる形で広まったあと、攻撃への悪用が報じられ、開発者は2026年10月に公開を取りやめています。
侵入テストは本来、企業が自社の弱点を事前に見つけるための手法です。ARTEXはその作業をAIにまかせることで、人手より速く広く弱点を探せる点が特徴です。同じ仕組みが攻撃者の手に渡ると、短時間で多くのサイトをねらえる道具に変わります。セキュリティ点検の技術と攻撃の技術は表裏一体であり、ARTEXはその境目があいまいになった例です。
出典：ITmedia AI＋の報道(2026年10月21日)、マイナビニュースの報道(2026年10月22日)
ARTEXを使った攻撃が脅威とされる理由
ARTEXは、これまでのサイバー攻撃の常識を変える点で警戒されています。人の攻撃者を前提にした従来の備えだけでは、対応が追いつかない場面も出てきます。脅威とされる主な理由は、以下の3つです。
- AIが人手より速く広く弱点を探す
- CVE(脆弱性情報)に載らない弱点も見つけうる
- 防御の網をすり抜ける工夫がされている
AIが人手より速く広く弱点を探す
ARTEXの脅威は、攻撃にかかる時間と手間を大幅に減らせる点です。従来は専門家が時間をかけて行っていた弱点の調査を、AIが自律的に進めます。その結果、少ない人手でも、同時に多くの企業がねらわれる状況になりました。実際に、約20社が同じ攻撃グループの標的になったとみられています。攻撃者は、調査から侵入までの一連の流れをまかせられるため、これまでより少ない労力で成果を得られます。
CVE(脆弱性情報)に載らない弱点も見つけうる
ARTEXは、公開されている膨大な脆弱性情報(CVE)をもとに、ソフトウェアの弱点を探します。問題は、CVEに明記されていないバージョンにも、同じ弱点が潜む場合があることです。AIはソースコードを広くたどれるため、こうした「情報の盲点」まで見つけてしまう可能性があります。最新の対策情報を追うだけでは、守りに抜けが生じることを意味します。使っているソフトのバージョンを正確に把握し、こまめに更新しておくことが欠かせません。
防御の網をすり抜ける工夫がされている
ARTEXを使った攻撃では、防御をかわす工夫も確認されています。不正な通信を防ぐWAFという仕組みが検知する手前でアクセス元を切り替え、合計で数百のIPアドレスが使われていました。アクセスを分散させることで、1か所からの大量の通信として検知されにくくする狙いです。防御側は、単純な通信量の監視だけでは気づきにくくなります。アクセスの量だけでなく、短い時間に不自然な試行が繰り返されていないかにも目を向ける必要があります。
出典：ITmedia AI＋の報道(2026年10月21日)
実際に確認されたARTEXによる攻撃
ARTEXの悪用は、調査によって具体的に確認されています。確認されている主な内容は、以下のとおりです。
- 日本企業約20社が標的になったとみられる
- 標的のうち8社が情報漏えいを公表していた
- 韓国の金融機関をねらった攻撃にも使われた
2026年10月19日に公表された調査で、攻撃元のインフラから日本企業約20社への攻撃が確認されました。この攻撃はフォレンジック(デジタル鑑識)の記録から見つかり、10月15日の時点で攻撃にAIが使われたことはほぼ間違いないと指摘されていました。標的のうち9社は同じ業種のサイトで、デジタルギフト、小売・流通、教育、印刷、金融、保険、EC、メディア、物流など幅広い業種が含まれます。さらに、日本企業をねらう別の攻撃インフラも6台見つかり、調査結果は法執行機関にも共有されています。
ただし、この約20社は最初に調べた攻撃インフラの標的数であり、すべての企業で侵害が成功したわけではありません。追加で見つかった6台も、すべてがARTEXによるものと確認されたわけではない点に注意が必要です。被害の全体像には、現時点で確定していない部分も残ります。
標的のうち8社は、2026年9月から10月にかけて情報漏えいを公表していました。これらは同一の攻撃グループによる一連の被害とみられる点も、今回の特徴です。海外でも、2026年9月下旬から韓国の金融機関をねらった攻撃にARTEXが使われたと報告されています。AIを使った攻撃は、すでに国境をまたいで現実に起きています。
ARTEXのようなAIを悪用した攻撃が増える背景
ARTEXは特別な例ではなく、AIを悪用した攻撃が広がる流れの中にあります。背景には、AIの普及で攻撃の手間と専門知識のハードルが下がったことがあります。これまで熟練した攻撃者が時間をかけて行っていた作業を、AIが肩代わりするようになりました。攻撃の計画から実行までを一つの仕組みで進められるため、分業していた作業を少人数でこなせるようになります。
その結果、少人数でも多くの標的を同時にねらえるようになっています。ARTEXのようなツールがオープンソースとして出回ると、高い技術を持たない攻撃者にも同じ手口が広がりました。公開が停止されても、いったん広まったツールや手法は完全には消えません。
防御する側も、AIを前提とした備えへ発想を切り替える必要があります。攻撃が速く広くなった分、弱点を放置する時間がそのままリスクになります。日ごろの更新と監視を後回しにしないことが、これまで以上に欠かせません。
ARTEX対策の基本は既知の弱点を素早くふさぐこと
AIを使った攻撃と聞くと身構えますが、やるべき対策はこれまでの基本の延長にあります。ARTEXがねらうのは、多くの場合すでに知られている弱点だからです。逆に言えば、基本を徹底している企業ほど、AIを使った攻撃にも強くなります。取るべき対策は、以下のとおりです。
- 既知の弱点を素早くふさぐ
- 外部に公開しているシステムの監視を強める
- 顧客情報への不審なアクセスを検知する仕組みを整える
既知の弱点を素早くふさぐ
もっとも効果的な対策は、知られている弱点を早くふさぐことです。ARTEXは公開された脆弱性情報をもとに攻撃するため、修正プログラムの適用が遅れたシステムほどねらわれやすくなります。使っているソフトやサーバーの更新をためこまず、公開された修正を早めに適用しましょう。社内で管理しきれない場合は、サーバー会社や保守の委託先に更新状況を確認してください。とくにインターネットに公開しているソフトやサーバーは、更新の優先度を高く保つと安心です。更新の作業を定期的な予定に組み込んでおくと、対応の遅れを防げます。
外部に公開しているシステムの監視を強める
インターネットに公開しているシステムは、攻撃の入り口になりやすいため監視が重要です。弱点を放置した入り口は、AIによる自動の調査で真っ先に見つかってしまうためです。自社サイト、問い合わせフォーム、会員向けのログイン画面などは、外部から常にねらわれています。不審なアクセスや見慣れない通信が増えていないか、記録を定期的に確認する体制を整えましょう。記録はあとから確認できるよう、一定期間はためておくことも重要になります。
顧客情報への不審なアクセスを検知する仕組みを整える
顧客情報を扱う企業は、データの持ち出しを検知する仕組みが欠かせません。ARTEXのような攻撃の目的は、多くの場合、顧客情報などのデータの窃取にあるためです。短時間に大量のデータが取り出される、通常とは違う時間帯にアクセスがあるといった兆候を早くつかめれば、被害が広がる前に対応できます。検知の仕組みづくりが難しい場合は、セキュリティの専門会社に相談するのが近道です。検知の仕組みは入れて終わりではなく、通知の内容を定期的に見直すことで精度が上がります。通知が多すぎて見きれない状態も見落としにつながるため、運用の調整が必要になります。
ARTEXに関するよくある質問
ARTEXについて、非エンジニアの方から寄せられやすい疑問をまとめます。よくある質問は、以下の4つです。
- ARTEXは今でも誰でも使えるのですか
- 自社のような中小企業もねらわれますか
- ウイルス対策ソフトを入れていれば防げますか
- AIを使った攻撃は今後も増えますか
ARTEXは今でも誰でも使えるのですか
現在は公開が取りやめられていますが、すでに広まった点に注意が必要です。ARTEXは2026年7月にオープンソースとして公開され、2026年10月に公開が停止されました。ただし、いったん出回ったツールは完全には回収できず、攻撃に使われ続けるおそれがあります。公開が止まっても、同じ手口の攻撃は続く前提で備えておくほうが安全です。攻撃の情報は共有されやすく、別のツールに形を変えて使われることもあります。
自社のような中小企業もねらわれますか
企業の規模にかかわらず、弱点があればねらわれます。ARTEXは多くのサイトを自動で調べるため、知名度の低い企業や中小企業も標的になりえます。標的になった業種も幅広く、特定の業界だけの問題ではありません。むしろ、対策が手薄になりがちな中小企業ほど、ねらわれやすい面があります。
ウイルス対策ソフトを入れていれば防げますか
端末のウイルス対策ソフトだけでは、十分とは言えません。ARTEXがねらうのは、インターネットに公開しているシステムの弱点だからです。端末の対策とは別に、サーバーやWebサイトの弱点をふさぐ対策が必要になります。具体的には、ソフトの更新、公開システムの監視、不審なアクセスの検知を組み合わせることが欠かせません。
AIを使った攻撃は今後も増えますか
今後も増えると見込まれます。AIによって攻撃の手間が下がり、少ない人手でも多くの標的をねらえるようになったためです。今回のARTEXを、AIを使った攻撃への備えを見直すきっかけにしましょう。一度に完璧を目指さず、更新と監視といった基本から着実に固めることが現実的です。
AIを悪用したARTEXの脅威は基本の対策で備えられる
ARTEXは、AIが自律的に攻撃を進める新しいタイプの脅威です。日本企業約20社が標的になるなど、被害はすでに現実のものになっています。ただし、過度に恐れる必要はありません。新しいのは攻撃の速さや規模であり、ふさぐべき弱点はこれまでと同じです。
ARTEXがねらうのは、その多くが既知の弱点です。基本の対策を徹底すれば、被害の多くは防げます。特別な製品を新たに導入するより、今ある弱点を着実にふさぐほうが効果的です。今日から取り組めることは、次の3つです。
- 使っているソフトやサーバーの修正を早めに適用する
- 外部に公開しているシステムの監視を強める
- 顧客情報への不審なアクセスを検知できるようにする
AIを使った攻撃は、今後さらに増えると見込まれます。守りの基本は変わらないため、できることから着実に進めることが何よりの近道です。まずは自社の弱点をふさぎ、監視と検知の体制を今日から見直しましょう。
