AI 資安工具 Artex 成駭客武器 偵測企業弱點能力成雙面刃 - OwlNews

商傳媒｜葉安庭／綜合外電報導一套原用於協助企業找出資安漏洞的開放原始碼人工智慧滲透測試框架Artex，在今年夏季問世後，迅速遭到駭客組織濫用，成為發動複雜網路攻擊的新利器。資安專家警告，這突顯了AI技術的雙面刃效應，能降低駭客攻擊的技術門檻。Artex是一套以Go語言編寫的多代理（multiagent）AI工具，由獨立開發者Autumn-27於今年7月發布至GitHub平台。滲透測試（Pen-Test）是一種模擬真實駭客攻擊，以找出系統潛在弱點的資安檢測方式。然而，至夏末秋初，惡意行為者便開始將Artex用於非法用途。微軟觀察到，一個AI代理僅需五分鐘，就能從掃描GitHub上的密碼，進一步完成從AzureKeyVault中竊取資料的攻擊。阿卡邁科技（Akamai）諮詢長SteveWinterfeld指出，Artex攻擊活動的顯著特徵是其速度、協調性和自主性的大幅提升。他表示，過去需要刻意整合的活動，現在透過Artex能夠被串聯起來，即使技術有限的駭客也能執行複雜攻擊。Artex具備暴力破解密碼、傾倒資料庫，以及列舉和濫用應用程式介面（API）等能力。資安公司GitGuardian詳細列出了45種類似Artex的代理攻擊框架，這些框架能夠利用AI模型自主執行攻擊。根據《DarkReading》報導，中國的駭客組織Storm-0940便將Artex原始碼整合到其攻擊基礎設施中。大約在10月10日，Storm-0940利用Artex對八個關鍵組織的逾300個使用者帳戶發動了憑證填充攻擊（credential-stuffingcampaign），發出超過15.1萬次身分驗證請求。該組織隨後轉而鎖定ConnectWise的內部基礎設施，竊取了其CloudBackup應用程式的OAuth憑證，並在三小時內成功入侵超過2,250個下游的Microsoft365和Azure環境。此外，柬埔寨的駭客集團Storm-3358也利用Artex針對東南亞地區的金融機構進行攻擊，並與傳統自動化工具結合，用於掃描系統、利用漏洞及安裝遠端存取木馬（RATs）。美國資安公司CrowdStrike則將與Artex相關的間諜活動歸因於駭客組織VaporPanda。印度政府電腦緊急應變小組（IndianComputerEmergencyResponseTeam,CERT-In）也追蹤到一個以Artex攻擊金融機構以牟利的駭客組織。今年10月底，Artex的開發者因其工具被大規模濫用而刪除了原始的GitHub儲存庫，但網路上仍存在許多Artex的分支版本。資安服務公司Censys的首席資安研究員SilasCutler表示，截至11月4日，Censys監測到超過1,400個暴露於網際網路的Artex主控台部署，估計全球實際使用量更高。GitGuardian網路安全研究主管GuillaumeValadon證實，在實驗室測試中，Artex在九個秘密中找到了八個，包括從Git歷史中恢復的AWS金鑰，顯示其在未預載掃描器的情況下，仍能靈活應變以達成目標。阿維亞崔克斯（Aviatrix,Inc.）安全營運與威脅研究負責人MattSnyder指出，儘管Artex框架複雜，但許多部署此工具的駭客操作成熟度低，反而暴露了自身基礎設施。他呼籲防禦者應持續測試並強化暴露於網際網路的系統，實施多因素驗證（MFA），監控攻擊面並實踐良好的憑證衛生習慣。