Artex がクローズドソースへ：セキュリティツールが悪用されたとき、作者にできること

脆弱性を見つけるためのツールが実際の攻撃に使われていると判明し、作者は扉を閉じることを選びました。10 月上旬の出来事です。

何が起きたか

Artex は AI 駆動のセキュリティツールで、当初の目的は素朴なものでした。組織が自分のシステムにどんな脆弱性があるかを確認できるようにすることです。

韓国側の説明では、7 社以上の金融機関の情報漏えいに関与した可能性が高いとされています。韓国金融サービス委員会は影響人数を 6.8 万人超とし、新韓銀行だけで約 2.5 万人の顧客が関わるとしています。同時期に日本でも類似の手口の攻撃が報告されました。

開発者は Autumn-27 の名で GitHub に声明を出しました。プロジェクトは更新せず、クローズドソースへ移行し、新しい公開版も出さず、保守サポートも提供しないという内容です。Artex を攻撃に使うことは、作られた目的に「完全に反する」と述べています。

これは初めてではない

エクスプロイトツールの悪用は、ツール自体と同じくらい古い話です。Metasploit も Cobalt Strike も各種スキャナも、同じ循環をたどりました。

1. 防御側が検証できるようにツールが作られる。
2. 攻撃側がそちらの方が便利だと気づく。
3. 作者の責任を問う声が上がる。
4. 作者が配布を絞る（クローズドソース、審査、商用ライセンス）か、保守をやめる。

違うのは速度です。Artex は AI 駆動であり、「脆弱性を見つける」段階のコストを下げます。攻撃者は先に専門家になる必要がありません。ツールが自動化されるほど、意図と悪用の間の時間差は縮まります。

クローズドソースで解決するか

私の答えは「しない」。ただし一部は解決します。

すでにコピーを持っている相手は止められません。一度公開されたコードは戻りません。できるのは次の入手コストを上げることです。新版は気軽に手に入らず、悪用者は自分でフォークを保守する必要があります。

代償も具体的です。

得るもの	失うもの
気軽な悪用が減る	防御側も使えなくなる
作者が下流の行為に責任を負わなくて済む	監査能力が失われ、安全かどうかを誰も検証できない
配布を制御できる	コミュニティによる修正とフォークが消える

セキュリティツールがクローズドになると、それ自体が監査できないものになります。防御側は検証の手段を失い、攻撃側の手元の旧版は一円も減っていません。

私の判断

これが本当に露呈したのは、あるツールの良し悪しではなく、「オープンなセキュリティツール」という形が自動化時代に置かれる位置です。

攻撃コストが主に「人の技量」で決まるなら、公開は純益です。防御側の人数が多いからです。攻撃コストが主に「ツールの自動化度」で決まるなら、公開の純益は負に転じます。攻撃側の複製速度は防御側に劣らないからです。

答えはクローズドソースではないと考えます。より現実的なのは配布段階の摩擦です。申請制、用途の宣言、追跡可能な利用記録。どれも完全ではありませんが、「誰が使っているか」を不可視から部分的に見える状態へ変えます。

それまでは、同じ事件が同じ問いを繰り返し、そのたびに答えは「公開しない」に近づいていくはずです。