2026年9月末から10月初めにかけて、韓国の銀行など複数の金融機関から顧客の個人情報が盗まれる事件が相次ぎました。このとき使われたとされるのが、AIが自分で考えながら侵入を試みるツール「ARTEX（アールテックス）」です。
「ARTEXという特別なツールが危ないんだな」と思った方もいるかもしれません。でも実際には、同じようなことができるAIツールは、GitHubなどで何種類も公開されています。
この記事では、ARTEXと同じく「AIが自分で計画して侵入を試みる」代表的なツールを紹介します。あわせて、なぜ「1つのツールを防げば安心」とは言えないのかも解説します。
この記事でわかること
- ARTEXとはどんなツールで、何が起きたのか
- ARTEXと同じタイプのAI侵入ツール10種類の特徴
- 「1つ防げば安心」が通用しない5つの理由
この記事の目的は、リスクを知ってもらうことです。ここで紹介するツールを、自分が管理しているシステムや、書面で正式に許可を得たシステム以外に使うと、不正アクセス禁止法などの法律に違反するおそれがあります。そのため、具体的な使い方の手順は載せていません。
そもそも「ペネトレーションテスト」とは？
ペネトレーションテスト（侵入テスト）とは、本物の攻撃者と同じ手口でシステムへの侵入を試み、弱点を見つけるための検査のことです。本来は、企業が自分たちの守りを確かめるための正規の作業です。
これまでは専門の技術者が何日もかけて手作業で行っていました。ところが最近は、ChatGPTやClaudeのような大規模言語モデル（LLM）を組み込み、AIが自分で調査し、作戦を立て、ツールを動かす「自律型」のツールが次々に登場しています。
ここで問題になるのが、防御のための道具は、そのまま攻撃の道具にもなるということです。この「デュアルユース（二面性）」こそが、今回の話の核心です。
話題の発端「ARTEX」とは
どんなツール？
ARTEXは、中国の開発者「Autumn-27」がGitHubで公開していたオープンソースのツールです。LLMで動く複数のAIエージェントが役割を分担して、侵入テストを自動で進めます（The Hacker News）。
ARTEXの中では、主に次の3つのAIが協力して動きます（AhnLab ASEC）。
- Goals：利用者が入力した目標と、どこまで試してよいかという範囲を整理する
- Planner：集まった情報をもとに、次に何をするかを決める
- Worker：実際にツールを動かし、結果を記録する
決まった手順を繰り返すのではなく、前の結果を見て次の行動を自分で決める点が、従来の自動スキャナーとの大きな違いです。リポジトリには「百度『agent+』攻防チャレンジ優勝プロジェクト」と書かれており、技術的な完成度も高いツールでした（参考）。
韓国の金融機関で何が起きたか
米国のセキュリティ企業CrowdStrikeの分析によると、攻撃者はARTEXに中国のLLM「DeepSeek」などをつなぎ、韓国の金融機関を狙いました（CrowdStrike）。新韓銀行では約2万5,000人分の氏名、電話番号、年収、融資限度額などが流出しています（Cloud Security Alliance）。10月14日時点で、韓国の金融当局は16の金融機関で約10万件が流出したと判断しています（Chosun Biz）。
開発者は10月8日、ソースコードを非公開にし、開発をやめると発表しました（The Straits Times）。
でも、これで終わりではありません
非公開にする前にコピーされたものは今も残っており、ARTEXは実質的にいまも使える状態です。さらに言えば、ARTEXは数あるAI侵入ツールの1つにすぎません。ここからは、同じタイプのツールを見ていきます。
ARTEXと同じタイプのAI侵入ツール10選
まず全体を一覧表にまとめます。GitHubのスター数（注目度の目安）は2026年1月ごろの数値で、日々変わります（Ostorlab）。
| ツール名 | タイプ | 特徴 | 状態 |
|---|---|---|---|
| ARTEXの派生版 | 完全自律型 | ARTEXのコピーや翻訳版 | 公開中 |
| Strix | 完全自律型 | 攻撃が成功する証拠まで自動で作る | 活発に開発中 |
| PentAGI | 完全自律型 | 役割の違うAIがチームで動く | 活発に開発中 |
| RedAmon | 完全自律型 | 攻撃対象を地図のように整理する | 活発に開発中 |
| Shannon | 完全自律型 | ソースコードも読んで弱点を探す | 活発に開発中 |
| HexStrike AI | 接続型 | 既存のAIに150以上のツールをつなぐ | 悪用の実績あり |
| PentestGPT | 支援型→自律型 | この分野の先駆け | 開発中 |
| CAI | 完全自律型 | 15以上の専門AIを持つ | 開発終了（コードは残存） |
| VulnBot／xOffense | 研究用 | 手元のパソコンで動くAIで高い成績 | 研究段階 |
| Villager | 攻撃寄り | 証拠を自動で消す機能を持つ | 配布中 |
1. ARTEXの派生版（RuoJi6/ARTEX・ScopeWeaver）
元のARTEXは非公開になりましたが、ライセンスが「AGPL-3.0」というオープンソースのライセンスだったため、すでに公開されていたコピーは合法的に再配布できます。
さらに、中国のセキュリティ企業ThreatBookが、商用版の「ARTEX Pro」を含むクラウドサービス「RedAgents.ai」を発表しました（Chosun Biz）。非公開になった後も、ARTEXは形を変えて残り続けているわけです。
2. Strix（ストリックス）
現在、最も注目されているツールの1つで、GitHubのスター数は6万を超えます。「本物のハッカーのように振る舞う」ことをうたい、見つけた弱点が本当に攻撃に使えるかを、実際に動く証拠（PoC）で確かめるのが特徴です（GitHub）。
通信の中身の書き換え、ブラウザの自動操作、コマンドの実行、ソースコードの解析まで、一通りの道具を備えています。偵察、侵入、侵入後の作業をそれぞれ専門のAIが担当し、見つけた情報を共有しながら弱点を組み合わせていきます。脆弱なアプリを相手にした比較テストでは、9種類のツールの中で実際に使える結果を出した2つのうちの1つでした（Ostorlab）。
3. PentAGI（ペンタジ）
「複雑な侵入テストを実行できる、完全自律型のAIエージェントシステム」と名乗るツールです。調査役、実行役、環境管理役など、役割の違うAIがチームを組んで動きます。nmapやMetasploit、sqlmapといった定番の侵入ツールを20種類以上組み込んでいます（hardenedlinux）。
4. RedAmon（レッドアモン）
ARTEXと考え方が最も近いツールです。見つけたサーバーや弱点を「グラフデータベース」に地図のように整理し、AIはその地図を確認してから次の手を決めます。70種類以上の侵入ツールを使え、偵察、侵入、侵入後の作業までを一続きの流れで自動化します（GitHub）。
比較テストでは「最も深い結果を出し、複数の弱点を組み合わせて1つの攻撃にした」と評価されています（Ostorlab）。
5. Shannon（シャノン）
外から攻撃するだけでなく、サイトのソースコードまで読み込んで弱点を探す「ホワイトボックス型」です。「実証できない弱点は報告しない」という方針で、確実に攻撃できるものだけを洗い出します（GitHub）。性能を測る評価テストでは96.15%という高い成績が報告されています（Strobes）。
6. HexStrike AI（ヘックスストライク）
ほかのツールとは仕組みが少し違い、ClaudeやGPTといった既存のAIに、150種類以上の侵入ツールをつなぐ「中継役」です。12種類以上の自律AIエージェントも含んでいます（GitHub）。
ARTEXより1年以上前に、実際の攻撃に使われていました。
2025年8月、Citrix社の製品に深刻な弱点が見つかったと公表されました。そのわずか12時間後には、闇のフォーラムで攻撃者たちがHexStrike AIを使った攻撃を話し合っていたと、セキュリティ企業Check Pointが報告しています。攻撃者は、数日かかっていた攻撃が10分未満でできるようになったと主張していました（Check Point）。
7. PentestGPT（ペンテストGPT）
AIによる侵入テストの先駆けです。2024年に、セキュリティ分野で権威のある国際会議「USENIX Security」で論文が発表されました（GitHub）。最初は人間に助言する「アシスタント型」でしたが、最新版では自分で段階を進める自律型に進化しています。
8. CAI（Cybersecurity AI）
欧州で広く知られたフレームワークで、防御、攻撃、APT（高度な持続的攻撃）、フォレンジック（痕跡の調査）など、15種類以上の専門AIを備えていました。現在は開発が終わってアーカイブされていますが、コードは今も誰でも取得できます（GitHub）。
開発元は「保守されていない攻撃ツールは、弱点が直されないまま残る」と自ら警告しています。開発が終わっても、ツールが消えるわけではない典型的な例です。
9. VulnBot／xOffense（研究用）
大学などの研究から生まれたツールです。中でもxOffenseは、手元のパソコンでも動かせる中くらいの規模のAI（Qwen3-32B）を追加で学習させ、GPT-4oなどの大きな商用AIを上回る成績を出しました（arXiv）。
これは軽く見られない結果です。ARTEXの攻撃者は外部のAIサービスを経由していたため、その通信が手がかりになりました。手元で動くAIで同じことができるなら、外部サービスの利用記録という手がかりすら残らなくなります。
10. Villager（ヴィレッジャー）
中国のグループ「Cyberspike」が公開したツールで、Pythonの公式パッケージ配布サイト（PyPI）で配られ、公開から2か月で約1万1,000回ダウンロードされました（Infosecurity Magazine）。
特に問題なのは、作業に使った環境が24時間で自動的に消え、活動の記録や証拠も消去される仕組みを持っていることです（Straiker）。正規の検査ツールであれば、記録を消す必要はありません。
「1つ防げば安心」ではない5つの理由
ここまで読んで、「じゃあARTEXさえ止めればいいのでは？」と思った方もいるかもしれません。残念ながら、それでは不十分です。理由は5つあります。
理由1：ツールの数が多く、次々に新しいものが出てくる
この記事で紹介したのは代表的なものだけです。比較記事では9種類、10種類と取り上げられ、GitHubにはさらに多くの関連プロジェクトがあります（Ostorlab、Strobes）。1つに対応している間に、別の新しいツールが登場します。
理由2：公開を止めても、ツールは消えない
ARTEXは非公開になりましたが、コピー版が公開され、商用版まで登場しました。CAIは開発が終わってもコードが残っています。Villagerは公式の配布サイトで配られました。一度インターネットに出たツールを回収することは、事実上できません。
理由3：中で使っている「道具」は同じ
ARTEX、Strix、RedAmon、HexStrikeは、名前は違っても、中で呼び出すのはnmapなどのよく知られた侵入ツールです。韓国のセキュリティ企業AhnLabも、特定のツール名で見分けるのではなく、一連の行動の流れで判断する必要があると指摘しています（AhnLab ASEC）。ツールの名前を1つ禁止しても、意味がないのです。
理由4：組み合わせる「AIの頭脳」を自由に取り替えられる
ARTEXの攻撃者は、DeepSeekをメインに、Zhipu AIのGLMやGrokまで使い分けていました。さらに、別のAIツール「Claude Code」も併用していました（CrowdStrike）。あるAIサービスが利用を止めても、別のAIに切り替えれば済みます。前に紹介したxOffenseのように、手元のパソコンで動くAIも実用的なレベルになってきています。
理由5：攻撃者はツールを組み合わせ、スピードも速い
韓国の調査では、ARTEXが動いているとみられるサーバーが世界で約600か所見つかりました。一部のサーバーでは、別のAI攻撃ツール「CyberStrikeAI」も一緒に動いていたことがわかっています（聯合ニュース）。
そのうえ、HexStrikeの例のように、弱点が公表されてから攻撃が始まるまでの時間は数時間単位に縮まっています。AIによって高度な専門知識がなくても、複数の相手を同時に攻撃できるようになったとも指摘されています（JBpress）。
ポイント
相手は「ARTEXという1つのツール」ではありません。「AIを使えば誰でも自動で侵入を試せる」という状況そのものが脅威です。
特定のツールを狙い撃ちで防ぐ考え方では、もう追いつきません。
まとめ
- ARTEXは、AIが自分で考えて侵入を試みるツールで、韓国の金融機関への攻撃に使われた
- Strix、PentAGI、RedAmon、Shannon、HexStrike AIなど、同じタイプのツールが多数公開されている
- HexStrike AIはARTEXより前に悪用されており、Villagerは証拠を消す機能まで持っている
- 公開を止めても、コピー、商用版、開発終了後のコードが残り続ける
- 1つのツールを防いでも、別のツールや別のAIで同じ攻撃ができてしまう
AIによる自動攻撃は、もはや一部の専門家だけの話ではありません。規模の小さい企業や個人のサイトも、自動で次々に調べられる対象になっています。
次回予告
では、こうしたAIによる自動攻撃に、具体的にどう備えればよいのでしょうか。次回の記事では、初心者でも今日からできる対策を、順を追って解説します。
免責事項：この記事は、2026年10月時点で公開されている情報をもとに、リスクを知ってもらう目的で書いています。紹介したツールを許可なく他人のシステムに使うことは、法律で禁じられています。各ツールの状態やスター数は変わる可能性があります。