AI のエージェントに侵入テストをさせるツール ARTEX の管理画面が、インターネットから見える状態で約1,465台見つかりました。米国のセキュリティ企業 Censys が11月5日に報告し、翌日 TechCrunch も伝えています。ARTEX は7月に無料で公開され、その後、韓国の金融機関などへの攻撃に使われていました。見つかったサーバーには、使った側の会話の記録や秘密鍵まで置かれていました。攻撃者のミスの話ですが、自分で AI ツールを立てている開発者にも同じ落とし穴があります。
背景と文脈
ARTEX は、AI に侵入テストを任せるためのオープンソースのツールです。開発者 Autumn-27 が2026年7月26日に GitHub で公開し、ライセンスは AGPL-3.0 でした。侵入テストは、許可をもらった相手のシステムに攻撃を試して弱いところを探す仕事です。ARTEX では、対象と目標を入れると、計画役の AI が攻め方を考えます。作業役の AI が nmap などの道具を動かし、結果を書き戻します。使える AI は Anthropic や OpenAI のモデルと、OpenAI と同じ形で呼べるモデルです。
公開から間もなく、このツールは許可のない攻撃に使われ始めました。CrowdStrike は10月7日に、韓国の金融機関を狙った攻撃で ARTEX が使われたと報告しています。この攻撃では、DeepSeek のモデルを API の転売業者から買って動かしていました。10月21日には Microsoft も別の攻撃グループの報告を出しました。開発者は10月8日に「攻撃には関わっていない」と表明し、公開をやめています。それでも複製や名前を変えた版が出回っていて、TechCrunch は数十のコピーが残っていると書いています。
11月2日には、開発者向けの認証サービス WorkOS が侵害を受けたと発表しました。Hacker News の WorkOS の侵害のスレッドでは、WorkOS の CEO が攻撃に ARTEX が使われたと書いています。
技術/ビジネス面
Censys のレポートによると、ARTEX の管理画面が開いていたサーバーは11月上旬の時点で1,465台ありました。このうち約650台は、2つのホスティング会社の中で同じ設定のまま並んでいました。Censys はこれを除き、別々に立てられたものは約815台と見ています。管理画面の初期のポートは8787で、次に8790、443、80 が続きます。国別では米国が726台、香港が387台、中国が177台、日本は51台でした。
| 項目 | 数 |
|---|---|
| 管理画面が見えたサーバー | 1,465台 |
| 同じ設定の塊を除いた数（Censys の見積もり） | 約815台 |
| ファイルの一覧が誰でも見られたもの | 32か所 |
| ほかの攻撃用ツールも見つかったサーバー | 155台（10.6%） |
| AI の API の中継ソフトが動いていたサーバー | CLIProxyAPI 19台、New API 18台 |
Censys が見つけた32か所の公開フォルダには、攻撃の道具がそのまま置かれていました。通信をのぞくための証明書の秘密鍵もありました。ある利用者のホームフォルダは丸ごと見えていて、SSH の鍵の置き場や、打ったコマンドの履歴も含まれていました。CrowdStrike が調べた攻撃者のサーバーでは、Claude Code の設定フォルダ、プロンプト、会話の記録が見える状態でした。Censys によると、このフォルダは8月18日から開いていました。
TechCrunch は、管理画面にパスワードなしで入れたと伝えています。Censys のレポートは、パスワードの有無には触れていません。ARTEX はネットに公開しなくても使えるので、外から見えていたのは使う側の設定の問題です。
開発者として試すなら
ARTEX を使っていなくても、同じことは自分の環境で起こります。Web の管理画面、AI の API の中継サーバー、エージェントの作業フォルダを自分で立てているなら、外から見えていないか確かめておきましょう。今回の攻撃者も、ツールと一緒に AI の会話の記録や鍵を外にさらしていました。
最初に、待ち受けているアドレスを見ます。Linux なら ss -tlnp、Windows なら netstat -ano で一覧が出ます。0.0.0.0 や [::] で待ち受けているものは、外からの接続も受け付けます。手元だけで使うなら 127.0.0.1 にします。
Docker を使うときは、ポートの書き方に注意が要ります。-p 8787:8787 と書くと、外からも届く状態になります。-p 127.0.0.1:8787:8787 と書けば、そのマシンの中からしか届きません。Docker の公式ドキュメントにも、Linux では Docker のポート公開が ufw のようなファイアウォールの設定を通らないと書かれています。ファイアウォールで閉じたつもりでも、開いている場合があります。
ファイルを一時的に渡すために python -m http.server を使うときも同じです。何も付けないと外からの接続も受け付けるので、--bind 127.0.0.1 を付けます。ホームフォルダで起動すると、.ssh や Claude Code の設定フォルダまで見えてしまいます。共有したいファイルだけを入れたフォルダで起動しましょう。
外から見えるかどうかは、Censys や Shodan で自分のサーバーの IP アドレスを調べると確かめられます。どちらも、ネット全体を定期的に調べて、開いているポートや画面のタイトルを記録しています。会社のネットワークを守る立場なら、Censys が書いている見分け方も使えます。ページのタイトルが ARTEX で始まり、Next.js の _next/static を読みこんでいるものが ARTEX の管理画面です。
これからどうなるか
ARTEX の元のリポジトリは消えましたが、Censys は世界全体の台数はもっと多いと見ています。名前を変えた版も出回っているので、ARTEX という名前だけで探しても見落としが出ます。CrowdStrike や Microsoft のように調べる会社が増えるほど、攻撃者のサーバーに残った記録から手口がわかってきます。
AI のツールを自分で動かすと、管理画面、API の中継、会話の記録、鍵が1台のマシンに集まります。1か所の設定ミスで、そのすべてが外から見えてしまいます。自分のエージェントの作業用サーバーを立てたら、待ち受けのアドレスと Docker のポートの書き方を最初に確かめてください。Claude Code などの会話の記録には、貼り付けた鍵やパスワードが残っていることがあるので、そのフォルダを外から見える場所に置かないようにします。
まとめ
AI 侵入テストツール ARTEX の管理画面が約1,465台、ネットから見える状態でした。攻撃者のサーバーには会話の記録や秘密鍵も残っていました。自分で AI ツールを立てる開発者は、127.0.0.1 で待ち受けているか、Docker のポートを127.0.0.1に限っているかを確かめると、同じ失敗を防げます。
参考リンク
- Hundreds of Artex AI hacking tools found publicly exposed to the web（TechCrunch）
- Censys のレポート（ARTEX）
- WorkOS reports security breach（Hacker News）
アイキャッチ画像: Photo by Drew Patrick Miller on Unsplash
