ARTEXって何？ 日本のホワイトハッカーも使っているの？

「AIが企業へのサイバー攻撃に使われた」というニュースで、ARTEXという名前を見かけるようになりました。「そんな道具があるなら、守る側のホワイトハッカーも使っているの？」と思いますよね。

日本のセキュリティ専門家が、検証に使った例はあります。 ただし、日本のホワイトハッカーが広く日常業務に採用しているとまでは、今回確認した資料からはいえません。何をする道具で、どう使い分けられるのでしょうか。

※2026年10月24日に確認した情報をもとにしています。

そもそも、何を調べる道具なの？

会社のサイトには、ログインしたり、会員情報を保存したりする仕組みがあります。その作り方や設定に弱点があると、本来見られない情報を他人に見られるおそれがあります。こうした安全上の弱点を「脆弱性」と呼びます。

守る側も、攻撃者に悪用される前に弱点を見つける必要があります。持ち主の許可を得て、侵入できるかを実際に確かめる試験が「ペネトレーションテスト」です。

ARTEXは、AIを使って侵入テストの作業を自動で進めるためのツールです。Microsoftは、複数のAIが役割を分担し、対象の調査から情報の取り出しまでの作業を進める仕組みだと説明しています。出典：Microsoftの解説、2026年10月21日

文章で質問に答えるだけでなく、結果を見て次の作業を選び、別の道具を動かすところが特徴です。こうした動き方をするAIを「AIエージェント」と呼びます。

点検なら、例えば次のように進みます。

ただし、AIに任せれば、いつでも正しい結果が出るわけではありません。

具体例として、国内のセキュリティ会社S＆Jによる検証があります。2026年10月22日の読売新聞の報道（ライブドアニュース配信）では、同社が模擬サイトでARTEXを動かし、架空の利用者情報を取り出す実演をしたと紹介されています。同社の公式サイトにも、この取材の掲載案内があります。

報道では約15秒とされていますが、模擬サイトでの一例です。どんなサイトでも15秒で侵入できる、という意味ではありません。

また、検証に使ったことと、顧客向けの仕事で継続的に使っていることは別です。国内でARTEXがどの程度普及しているかは、今回の資料だけでは確認できません。

一方、守る側がAIを使う取り組み自体は既にあります。GMOサイバーセキュリティ byイエラエは2026年7月30日、独自のAI基盤とホワイトハッカーを組み合わせた侵入テストサービスの提供開始を発表しています。これはARTEXの採用を示す発表ではありません。

ホワイトハッカーは、技術を使ってシステムを守る人です。大切なのは、道具の名前よりも、誰の許可を得て、何を、どこまで調べるか です。

許可された範囲を確かめて弱点を直すために使う一方、他人のシステムへ無断で侵入し、情報を盗むために使えば被害につながります。Microsoftも、ARTEXを悪用した攻撃活動を報告しています。

「点検用の道具だから安全」「AIが動かしたから人には責任がない」とは考えられません。

新しいAIツールを入れることだけでなく、見つかった弱点を直せる体制が必要です。

基本的な備えは、IPA「中小企業の情報セキュリティ対策ガイドライン」も参考になります。点検する側にも、サービスを止めたり、本物の個人情報を持ち出したりしないための管理が求められます。

ニュースを見たからといって、ARTEXを自分の端末に入れる必要はありません。会社のサイトを守る対応を、一般の利用者だけが担うこともできません。

私たちは普段の更新を続け、利用先で問題が起きた場合は、公式のお知らせで自分への影響や必要な対応を確認しましょう。

仕組みに興味を持ったら、主催者が用意した練習環境や、許可された学習の場を選んでください。「試してみたい」だけで、他人のサイトを点検してよいわけではありません。