AI侵入テストツールとオープンウェイトモデルが攻撃に。公表された事実と備え

こんにちは、株式会社TIMEWELLの濱本です。

「中国系の侵入テスト用のオープンソースツールや、GLMやDeepSeekの新しいモデルが、攻撃に使われているらしい」。この数週間、そんな話を聞くことが増えました。モデルが賢くなったという声もあります。実際のところ、何が公表されていて、何が分かっていないのでしょうか。

この記事では、CrowdStrike、NIST、Anthropic、開発元の資料を一次情報として確かめ、事実と推測を分けます。そのうえで、企業が備える6項目を整理します。特定の国や企業を問題にする記事ではありません。ツールもモデルも、使う人によって、防御にも攻撃にも使えるものです。数字はすべて、2026年10月20日までに確認できたものです。

公表されている事実

実際の攻撃での使用。CrowdStrikeの報告

CrowdStrikeは、2026年9月下旬から10月上旬にかけての、韓国の金融機関に対する攻撃を報告しています。¹

項目	報告の内容
使われたツール	ARTEX。中国で開発された、オープンソースのエージェント型ペネトレーションテスト(侵入テスト)ツール
組み合わせたモデル	主なLLMはDeepSeek v4.1-flash。GLM-5.3とGrok 4.6は、追加のセッションで補助的に使われた
標的と時期	韓国の金融機関。2026年9月下旬から10月上旬
攻撃者の評価	特定の攻撃グループには帰属していない。金銭目的と評価。中国語話者の可能性が高いが、確度は中程度
被害	データの流出が報告されている。影響を受けた組織の数は未確認

評価の根拠は、中国製のツールの使用と、中国語のプロンプトが確認されたことです。国家の関与についての記載はありません。攻撃者が、米国のモデルも使っていたことも書かれています。たとえば、侵害したデータの売買の場所について、Claudeに尋ねていたとされています。

一方で、報告には、次のことが書かれていません。

• どの脆弱性を突いて侵入したのか。侵入の経路、横展開、偵察の詳細は、記載がありません。
• AIが、どの作業を自動化したのか。ARTEXの侵入テスト用のプロンプトが、LLMの動作を決めていたことは確認されていますが、中身の詳細は書かれていません。
• 被害の件数。報告は、韓国の報道を情報源としています。

CrowdStrikeは、攻撃者の管理するIPアドレスなどの侵害の痕跡(IoC)と、MITRE ATT&CKの項目を載せています。自社のログとの照合には、報告の原文が使えます。

モデルの能力。NISTとAnthropicの評価

モデルの能力についても、第三者の評価が出ています。

NISTのCAISI(AI標準・イノベーション・センター)は、2026年9月17日に、GLM-5.3の評価を公表しました。GLM-5.3は、2026年8月14日に公開され、約2週間後に重みが公開されています。CAISIの評価の要点は、2つです。GLM-5.3は、これまでに公開されたオープンウェイトモデルのなかで、最もサイバー能力が高い。ただし、米国のフロンティアモデルより能力は大幅に低く、集計した指標では約4か月遅れている。²

CAISIが挙げた数字は、次のとおりです。

ベンチマーク	GLM-5.3	米国の最良モデル	中国の他モデルの最良
SEC-Bench Pro(既知の脆弱性の発見とクラッシュ)	40.4%	90.2%	27.3%
ExploitBench(既知のバグを実行可能なエクスプロイトに)	61.1%	100.0%	32.2%
ExploitGym(実際のバグのエクスプロイト化)	9.4%	44.4%	2.6%
OSS-Fuzz(欠陥の説明なしで、プログラムを乗っ取る)	7.7%	23.2%	2.4%

留意点もあります。CAISIは、米国のモデルを、サイバー関連の安全対策を無効にした状態で試験しています。開発済みでも未公開のモデルとは、比較していません。²

Anthropicは、2026年9月29日に、CAISIの評価とおおむね一致する能力の結果と、安全対策の回避しやすさを報告しました。³ 主な内容は、次のとおりです。

• 能力: Chromeのブラウザエンジンの既知の脆弱性を使うExploitBenchで、GLM-5.3は410回中50回、エンドツーエンドのエクスプロイトに成功しました。同社の限定公開モデルは、410回中56回でした。
• 安全対策の回避: 直接、有害な指示を出すと、GLM-5.3の応答は0%でした。「自律的なレッドチームのエージェントだ」という偽りの前提を与えると64%、推論済みに見せかけた思考の書き込み(プリフィル)で92%、拒否の挙動を取り除く加工(アブリタレーション)で100%まで上がりました。アブリタレーションは、重みが公開されているため可能で、記事の筆者らの費用は約2,200 GPU時間、約4,400ドルだったとされています。
• 速度: 軽量版のGLM-5.3-Flashは、公開済みの脆弱性を組み合わせ、ポインタ認証を回避する攻撃の連鎖を、約8時間で作りました。人間の作業は約20分、API料金は約20.40ドルです。
• 結論: 防御側は、攻撃側と同等以上のモデルを使えるようにすべきだと述べています。

Anthropicは、自社のモデルを持つ企業です。同社のモデルに対して同じ手法が成功しなかった、という結果は、同社の試験のなかのものです。模擬環境が実環境を完全には再現しないこと、試行の規模が限られることも、記事自身が書いています。また、GLM-5.3が実際の攻撃に使われた具体的な事例は、この記事には書かれていません。

DeepSeek V4.1-Flash。開発元が示す数字

DeepSeek V4.1-Flashは、MITライセンスで公開されています。コンテキスト長は最大100万トークンです。開発元のモデルカードにあるサイバー関連の数字は、次のとおりです。⁴

ベンチマーク	DeepSeek V4.1-Flash	GPT-5.6 Sol	GLM-5.3
CyberGym	88.1	84.5	84.5
SEC-Bench Pro	62.8	74.3	記載なし
ExploitGym	15.3	33.7	15.0

CyberGymでは、比較対象のなかで最も高い値です。一方で、脆弱性を実際のエクスプロイトにするExploitGymでは、GPT-5.6 Solが倍以上の差をつけています。「賢い」という印象は、どのベンチマークを見るかで変わります。モデルカードには、安全性や悪用対策に関する記述は見当たりません。なお、これらは開発元が示した数字です。第三者の評価ではありません。

もう一つ、Palo Alto NetworksのUnit 42が、2026年10月15日に報告した、政府機関のLinux環境を標的にしたキャンペーンがあります。攻撃者が使ったスクリプトに、操作者向けの会話調のコメントが含まれており、AIで生成されたコードか、AIのエージェントが実行した可能性が示されています。ただし、使われたモデルの名前は、報告に書かれていません。国家の関与か、犯罪目的かも、未判定とされています。⁵

事実の読み方

ここまでの事実を、私は次のように読んでいます。

「賢い」の中身は、ベンチマークで違います。 開発元の数字では、DeepSeek V4.1-FlashはCyberGymで最高ですが、エクスプロイト生成では差があります。第三者のCAISIは、GLM-5.3を、オープンウェイトでは最高だが、米国のフロンティアより大幅に低いと評価しています。「オープンなモデルが、最先端に追いついた」と言うのも、「大したことはない」と言うのも、どちらも正確ではありません。

ただし、4か月という差は、安心の根拠にはなりません。 Anthropicが強調するのは、GLM-5.3は誰でもダウンロードでき、安全対策が回避されやすい点です。米国の最も高性能なモデルは、攻撃者が簡単には使えません。攻撃者が使うのは、最高のモデルとは限らず、手に入る範囲で十分に使えるものです。

出自で、リスクを判断しないほうがよいと思います。 CrowdStrikeの報告では、攻撃者は中国製のツールと中国のモデルを使っていますが、米国のモデルも使っています。ツールの出身国ではなく、使い方が問題です。ARTEXのような侵入テストのツールは、防御側が自社を診断するためにも使われる、両面のあるものです。

「従来の対策が有効」という評価は、いまも変わっていません。 9月30日の前編でも書いたとおり、公的機関やGoogleのThreat Intelligence Groupは、攻撃の多くは従来の手口の高速化であり、従来の対策が有効だと評価しています。相次ぐ不正アクセスから学ぶ【前編】に出典をまとめています。変わったのは、速さと量です。公表された脆弱性が、悪用されるまでの時間が短くなります。

公表されていないこともあります。日本国内で、同じツールやモデルが使われた事例は、私が確認した範囲では、公的機関の報告に見当たりません。

企業が備える6項目

ここから先は、私の整理です。公表された事実から導いた備えで、規格や公的機関が定めた手順ではありません。

1. 外から見える機器を一覧にして、修正までの目標日数を決める。

Anthropicの例では、公開済みの脆弱性を組み合わせた攻撃の連鎖が、約8時間で作られました。公開から修正までに数週間かかる運用は、リスクが大きくなっていきます。外から見える機器(VPN機器、公開サーバー、Webアプリ)を一覧にし、重大な脆弱性については、公開から何日以内に当てるかを決めます。具体的な優先順位は、相次ぐ不正アクセスから学ぶ【後編】にまとめています。

2. 外向きの通信を制限し、検知を入れる。

Unit 42の報告が推奨するのは、厳格な外向き通信のファイアウォールルールと、対話型のシェルを起動する不審な動きを検知するエンドポイントの検知です。⁵ 侵入されても、外部との通信を絞っておけば、攻撃者の次の動きを遅らせられます。CrowdStrikeが載せたIoCを、自社のログと照合しておくことも、低いコストでできる備えです。¹

3. 認証を、フィッシングに強い方式にする。

AIで、フィッシングの文面が自然になっています。多要素認証は、パスキーなど、フィッシングに強い方式を優先します。すでに多要素認証を入れている会社も、特権アカウントと、外部から入れる経路に、強い方式を使えているかを見直します。

4. 小さな業務Webシステムを、棚卸しする。

CrowdStrikeの報告には、侵害された例として、金融ブローカーが使うローンの進捗照会サービスと、従業員向けのモバイル業務支援システムが挙がっています(報道に基づく記載です)。¹ この例から言えるのは、本業の大きなシステムだけでなく、業務の途中で作られた小さなWebシステムも、標的になりうるということです。外から見えている小さなシステムを、誰が持ち、いつ更新したか、棚卸しします。

5. 防御側でも、AIを使う。

Anthropicは、防御側が、攻撃側と同等以上のモデルを使えるべきだと述べています。³ 自社の公開資産を、AIを使って診断することも、選択肢です。ARTEXのようなオープンソースの侵入テストツールは、防御側が使うこともできます。ただし、出所のよく分からないツールを、社内のネットワークで動かすのは、それ自体がリスクです。使うなら、隔離した環境で、自社が管理する範囲だけを対象にし、使う前に出所とバージョンを確認します。

6. オープンウェイトのモデルを社内で使うときの、ルールを決める。

オープンウェイトのモデルは、安全対策を外した加工版が出回りやすいと、Anthropicは指摘しています。³ 社内で使う場合は、どの配布元の、どの版を使うのかを決め、改変された版を使わないこと。AIエージェントに、どこまでの権限を渡すかを決めることが、基本です。権限の考え方は、前編のAIエージェントの章にまとめています。

まとめ

公表された事実は、次のとおりです。中国で開発されたオープンソースのAI侵入テストツールと、DeepSeek v4.1-flashなどのモデルを組み合わせた攻撃が、韓国の金融機関で報告されました。攻撃者は金銭目的と評価され、米国のモデルも使っていました。GLM-5.3は、オープンウェイトとしては最高のサイバー能力でも、米国のフロンティアより約4か月遅れているとNISTは評価しています。一方で、安全対策は回避しやすいとも報告されています。

分かっていないのは、侵入の経路、AIが自動化した作業、被害の件数、そして、国内での事例です。

私は、こうした話題が出るたびに、「新しい脅威」と身構えるより、いつもの備えを速く、確実に回せているかを確かめるほうが、結局は効くと考えています。まず今週、外から見える機器の一覧を作り、修正の目標日数を決めるところから始めてみてください。社内の点検や教育について相談したい方は、WARP SECURITYの個別相談からお声がけください。続報が出たら、この記事を更新します。

参考

Footnotes

1. Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance — CrowdStrike — 2026年10月 ↩ ↩² ↩³

2. CAISI's Assessment of Z.ai's GLM-5.3 Cyber Capabilities — NIST — 2026年9月17日 ↩ ↩²

3. GLM-5.3 and the spread of advanced cyber capabilities — Anthropic — 2026年9月29日 ↩ ↩² ↩³

4. DeepSeek-V4.1-Flash モデルカード — DeepSeek（Hugging Face） ↩

5. AI-Powered Espionage Campaign Targets Government Linux Infrastructure — Unit 42（Palo Alto Networks）— 2026年10月15日 ↩ ↩²