美國微軟於美國時間 21 日宣布，與中國政府有關的駭客集團曾使用中國系人工智慧（AI）工具「ARTEX（阿特克斯）」發動網路攻擊。該公司表示，經調查自家雲端服務的紀錄等資料後，發現名為「Storm-0940」的集團自 9 月起，在涉及全球數百家企業等對象的攻擊中使用 ARTEX。目前尚未公布該集團是否曾參與針對日本企業的攻擊。
不是「AI 發動攻擊」，而是有人利用 AI 發動攻擊
聽到「AI 開始發動網路攻擊」，有些人或許會想像機器像電影情節一樣自行失控。但微軟這次揭露的情況有所不同：據稱與政府有關的人類駭客集團，把 AI 工具當成武器使用。已確認的事實僅止於此。
這項區別看似細微，實際上卻有重大意義。究竟是 AI 本身成為攻擊主體，還是人類攻擊者把部分工作交給 AI？若是前者，就必須從根本上改變防禦思維；若是後者，則更貼近實際的解讀是，持續至今的攻防競爭，因新工具而加速了。
本文無法說明 ARTEX 的具體功能，也無法指出它用於攻擊的哪個階段。可以確定的是，中國系 AI 工具落入據稱與政府有關的攻擊集團手中，而微軟從自家紀錄中確認了這一點。
數百家企業的規模，以及對日本的影響應如何區分
根據微軟的公告，Storm-0940 自 9 月起，在涉及全球數百家企業等對象的攻擊中使用 ARTEX。「數百家」這個數字，與其說讓人想到單一事件，不如說更顯示出持續性行動的規模。
另一方面，尚未公布日本企業是否成為攻擊目標。全球規模的動向與日本境內的受害情況，必須分開看待。實際情況是，既不能斷言「全球有數百家企業受影響，日本當然也遭到攻擊」，也不能因為「沒有提到日本，就認為毫無關聯」。
值得注意的是，即使受害情況尚未公布，資安人員的基本態度仍應是做好準備，並假設自家公司也可能成為同類手法的攻擊目標。
「Storm-0940」這個名稱的含義
「Storm-0940」是微軟用來分類攻擊集團的名稱。對於幕後組織尚未完全確認的集團，微軟會以「Storm」加上編號的方式追蹤；這次則有說法指出該集團與中國政府有關。名稱看起來冷冰冰的，也是為了避免草率下定論，並將觀察到的活動歸類管理。
防禦方需要具備看穿 AI 如何被利用的能力
當攻擊方開始使用 AI，企業防禦會面臨什麼變化？這或許正是這則新聞的核心。若能減少準備所需的工夫，同樣的人力就能鎖定更多組織。攻擊件數增加，或是攻擊內容與流程更加精準，都有充分的可能性。
這次的確認結果，是微軟調查自家雲端服務紀錄後得出的。換言之，微軟是透過累積的使用紀錄，追蹤攻擊者的行動。是否具備保存紀錄並察覺異常的機制，可能會是看穿 AI 時代攻擊的起點。
對企業經營者或管理者而言，比起先對「AI 攻擊即將來襲」提高警戒，更實際的做法是藉此機會重新檢視密碼管理、多重要素驗證及存取紀錄查核等基本措施。即使出現新工具，防禦薄弱之處仍會先遭攻破，這一點並沒有改變。
我們已進入 AI 同時落入攻擊者與防禦者手中的時代。ARTEX 事件以數字和具體名稱呈現了這個現實，值得持續追蹤。
コメント