PHP脆弱性とAI時代の身の守り方
どうも、しぶちょーです。ものづくりの視点は、産業機械の現役エンジニアである私、しぶちょーが、ものづくりに関するトピックを独自の視点で解説する番組です。
今日はですね、AI時代にどうやって自分の身を守っていけばいいんだろうね、という話をしたいと思います。
昨日の夜ですね、非常にSNSを騒がしていたニュースがありますね。
PHPの脆弱性が発見されましたよ、みたいな、そんなニュースでございます。
たぶんエンジニアとかじゃなくても、なんかの脆弱性が、なんかアーダコーダー言われているらしいみたいな、すげーふわっとしたPHPっていう文字が、
なんかこう、Xとかね、SNS見た時にタイムライン流れてきたなっていうのを見た人は、意外と多いと思うんですよね。
エンジニア界隈のごく一部で、なんか話題になってたよっていうわけではなくてですね、
あの高市首相すらですね、あのSNSで注意喚起をするぐらい、非常にこう、話題になっておるわけですね。
今日はですね、これどういう話なのかっていう話と、AI時代はどうやって身を守っていけばいいんだろうね、みたいな話をザックバラにしたいと思います。
それでは早速いきましょう。
このニュースはですね、PHPというものの中に非常に大きな脆弱性、だからそのセキュリティ的に問題がある部分が発見されましたよ、みたいな、そういう話なんですね。
そもそもPHPってなんぞや、みたいな。脆弱性ってなんぞや、みたいな。
知らない単語を知らない単語で説明するんじゃね、みたいな話かもしれないですけど、まあちょっとわかりやすく言うとですね、
PHPっていうのは1995年ぐらいに登場した非常に歴史の長いオープンソースのプログラミング言語になります。
特に活用されているのがウェブサイトのサーバーサイトの処理ですね。裏側で動いているプログラムが結構PHPが多いですよ、みたいな話です。
そのPHPで動いているウェブサイトを作るための一番ベターな選択肢というかベターなソフトウェア管理システムがワードプレスというものなんですね。
PHP・WordPressに広がる深刻な攻撃リスク
このワードプレスっていうのはCMSっていうウェブサイトの管理システムのことなんですけど、
自分でいちいち1ページ1ページコーディングしなくてもですね、このワードプレスさんにお任せすれば、
本当に記事投稿とかね記事作成みたいなボタンを押していくだけで、いろんな記事の更新ができたり管理ができたりする、そういうサイト管理システム。
その中でも最も多く使われているのがこのワードプレスというものになります。
このワードプレスがさっきも言ったようにPHPで作られたソフトなんです。だからPHPの言語で動いているんですけど、
そもそも世の中のインターネットで公開されているホームページの7割ぐらいがPHPで動いているし、
そのウェブサイト全体の4割以上はそのさっき言ったワードプレスでそもそもね作られていたりするんですよ。
だからそのPHPっていうものになんか脆弱性があったらしいぞっていう話はすごく大きく解釈するとどういうことかというと、
世の中に公開されているウェブサイトの多くに結構でかい穴が開いてるぜみたいな、そういうことがわかったという話なんですね。
これすごく話題になってたというか注意喚起が大きく行われていた理由としてはですね、開いてる穴のレベルが非常に深刻だったということです。
非常に恐ろしいのはですね、そのサイトとかそのサイトの管理画面にログインしてない外部の攻撃者でも条件が成立すると、
ウェブサーバー上のプログラムを勝手に実行できたりするみたいな、外側から中を動かしちゃいますよねみたいな穴が開いているということがわかったんですね。
細かい原因とかどういう穴が開いてたかみたいなことは私はそこの専門家ではないのでちょっと今回は省略しますけど、
PHPというもので動いているウェブサイトに関してはそういう攻撃が成立してしまうことがあるよということが今回わかったんですね。
しかもそれをじゃあ見つけたのは誰かと言ったら、これはねAIなんですよね。
攻撃手法の流出と情報漏洩の可能性
もう最近さ、情報漏洩フェスティバルじゃないですか。もうあらゆる企業が情報をお漏らししまくっていてですね。
もうなんか一説ではもう人口以上の、住んでる人口以上の個人情報が漏洩してるんじゃないかみたいなブラックジョークもあるぐらいですね。
それだけいろんな情報が漏洩してるんですけど、これもやっぱりAIがそういう穴を見つけられる、見つけてしまうみたいな。
そこに利用されることによってやっぱりいろんな情報を取られてしまっているっていうのがあります。
これは露骨にAIの影響ですよね。今回のPHPの話もAIが脆弱性を見つけましたと。
ただ今回はそういうなんかハッキングしてやろうとかそういう人たちが見つけたわけじゃなくてですね。
セキュリティの研究チームがあるらしいんですけど、そこがGPTとかを使ってPHPの脆弱性を発見したということなんですね。
その脆弱性を修復するためのパッチみたいなものを一生懸命作っていたんですけど、今回のニュースの特殊性っていうのはですね。
そのパッチ、緊急でPHPに当てなければいけない、その穴を塞ぐためのパッチの配布が行われる前に攻撃手法を示す情報っていうのが外部に漏れてしまったらしいんですよ。
これがどうやって漏れたのかよくわかんないし、誰が公開したのかもちょっとあんまり調べてないんでわかんないんですけど。
10月21日、昨日の朝に、昨日?昨日か。
昨日の朝にPHP公式がですね、緊急リリースを予告したんですね。
ちょっと大きな脆弱性があったので、今回パッチを当てますよと。
夜の23時にパッチ当てますんでみたいなことが公開されていたんですけど、それだけ告知されてたんですけど、脆弱性、どういう脆弱性があったのかみたいなものは詳細は不正られていたんですね。
で、それが朝発表されて、夜の11時にパッチ当たるんだみたいな感じだったんですけど、
その間、パッチ当てますよっていう告知があってから、実際パッチが配布される間に攻撃情報が流出したんですよ。
攻撃用のツールの動画とか、こういう風に攻撃すると穴をついて、こういう穴があって、こういう風に攻撃すると外部からこのウェブサーバー側で色々なものを実行できちゃいますよみたいな。
こんな風にほらできちゃうでしょみたいなものが公開されてしまったんですね。
それ故にすごくさらに話題になった感じです。これはヤバいぞみたいな。とんでもない穴がPHPにあったぜみたいなので、
かなりですねウェブサイト運営している全ての事業者とか個人が戦線強強としていたわけですね。
各有、私もですね、傍観していられるような立場では実はなくて、技術ブログ、支部長技術研究所はですね、めちゃくちゃワードプレスで作られているんですね。
だからガッツリPHPで動いておりますと。だからね、ちゃんと脆弱性の対象になっております。
なので対策を打たなければならないんですが、私の場合はサーバーはレンタルサーバーを使っているんですよ。
自分で管理しているわけじゃないんで、レンタルサーバーを借りている人に関してはレンタルサーバー側がPHPのパッチを当てるっていうことをしてくれるので、
基本的には自分で何かやるっていうことはないじゃないんですけど、そのホームページを閉じておくとかね、
なんかこう閉鎖してそのPHPのパッチが当たるまでアクセスできないようにするみたいな対策を取ってもいいし、取らなくてもいいかなって感じですね。
私はホームページは開きっぱなしになってます。閉じてる人もいるんですけど、色々ちょっとAIと相談した結果ですね。
私が借りているレンタルサーバーはあまりワードプレス側というか自分の設定側で変なことしない方が良さそうですよ、みたいなことをAIが言われて。
っていうのは、あくまでもウェブサイトが稼働しているっていう前提でPHPを更新していきますよっていう公式発表があって、
それでこっちでそのタイミングで閉鎖してしまうともしかしたら何かしらの悪影響がある可能性があるんで、
一旦触らない方がいいですよっていう風にAIが言ってたんでね。
じゃあAIさんがそういうのならばと言って、今は支部長技術研究所はそのまま公開されておりますと。
そんな感じで世の中のウェブサイトみたいなものがですね、結構今危険にさらされていたというのが昨日の段階の話なんですね。
実際にどういう被害がありそうかというと、まず個人情報の流出ですね。
これはもうベタベタというとちょっとあれなんですけど、お馴染みですね。
あとはですね、鍵取られちゃいますよみたいな。認証情報を漏洩しちゃいますよねみたいな。
だから他の第三者が自分のアカウントで入れるようになっちゃいますよねとか、
あとウェブサイト普通に改ざんされますよね。
あとはECサイトとかであれば決済情報とかクレジットカードの情報とかも取られちゃう可能性があるよと。
あとはサービスの停止ですね。
PHPで実行できるのでこのサービスを落としてやろうみたいな、そういう実行もさせられてしまう可能性があると。
あとは踏み台ですね。
ハッキング、私も別にセキュリティ専門ではないというか全然知らないんであれなんですけど、
踏み台っていう考え方があって、そこのサイトを入り口にしてその会社の内部のサーバーに入り込むみたいな。
そこを踏み台にしていろんなとこ行けちゃったりするんですよね。
そこから繋がっている線というかパイプがあって、そこからよじ登っていくと実はすごく会社の重要な中枢にたどり着けてしまうよみたいな。
そういうの結構あって、特にランサムウェアとかさ、企業が時々情報ひとちに取られて、お金払わないと暗号から解いてくれないよみたいなやつがよくあるじゃないですか。
ああいうのとかも全然違う自分の会社のお菊橋の子会社を踏み台にしてそこから本社に入ってくるみたいなね。
そういうことがよくあるので、このPHPの脆弱性っていうのもそういうのを踏み台にされてですね。
実際そのサイトじゃなくてその奥にあるものを狙われたりする可能性があるよということなんですね。
攻撃AIから守るAIと無検閲モデル
今僕が怖いなと思っているのが、結局今回はパッチが当たる前に攻撃性が公開されてしまって、ある種防御できてないというかノーガード戦法の時間があったんですよね。
世の中に。これはこう悪いことをしようとしているハッカーたちにとってはゴールデンタイムみたいなもので、
そこでいろんなものをめちゃくちゃ改ざんしたりとか情報を取ったりみたいなことが実際されてしまった可能性があるんだと。
それはその瞬間というか今この瞬間じゃなくて、数日後にここで取られてるみたいなことになって、
個人情報を漏えいしましたみたいなニュースがまた増える可能性もあるし、
実は今何も情報とか漏えいしてないんだけど、その瞬間に次元爆弾みたいなものとか後々の不積になるようなプログラムを内部に仕込まれてしまっていて、
それが数ヶ月後にボーンと爆発するじゃないですけど、そこを何かきっかけとしてより大きな影響が出てしまうような、
そういう自分では気づかないような改ざんをすでにされてしまったみたいな可能性も全然あるなと。
そういうふうにも思いますよね。だから結構ねこれは恐ろしいニュースというか怖いニュースだなと思いますね。
これがAI時代ですよ。最近は本当に情報漏えいが多いなと思っていたし、
いろんなイーロンマスクの車は空を飛び、情報は色々作装し、AIはAIで進化しながら、
AIにパワハルすると復讐される可能性があるよとかって言われたりとか、
なんかもうだんだんこのAIというものが世の中に及ぼす影響っていうのが、
人間の生き方を根本から変えるというか、人間の社会を変えていくレベルになってきたな、
本当にSFの世界だなと思っていたんですけど、こういうセキュリティの問題とか出てくると、
ますます効果機動体の世界というか、もうどうやって身を守ればいいんだろうなっていうふうに思ってしまいますよね。
だからもうスタンド能力、ジョジョの奇妙な冒険のスタンド能力じゃないけどさ、
自分を守ってくれるスタンドAIみたいなやつがいないと、自分を守れない世界になってしまいますよね。
常に防御するAIと攻撃するAIが戦っていて、負けたら取られるみたいな、
負けないように自分の兵を強く育てましょうみたいな、
そういうスタンドバトルのような世界になってしまうんじゃないかなというふうに思いますよ、本当に。
実際、今我々が使えるようなクロードコードとかコーデックスとか、
あの中で動くGPTのアストラとかフェーブルとかミトスとかありますけど、
ああいうものって基本的には回答が調整されていて、
チャットGPTでサイトのハッキングができるかって言われたらそんなことしてくれないし、
危ない行為みたいなものは必ず自分の中で止めるような、そういう仕組みになっているんですよね。
なっているんですけど、最近オープンソースとかオープンウェイトってモデルの重みが公開されていて、
自分のパソコンの中で動かせるようなモデルって、無経営モデルっていうものが出ているんですよ。
無経営ってどういうことかというと、AIの出力制限とか回答拒否ですね。
RSHFって言って、人間が学習させることによって人間好みの回答をしたりとか暴力的なことを言わないようにするっていう、
そういう仕組みがあって安全な回答をするようにAIっていうのがなってるんですけど、
そういう検閲の出力制限みたいなものを除去した何でもありのAIモデルみたいなもの、
そういうのを無検閲モデルと言うんですけど、それが世の中に結構出ているんですね。
別にそれは犯罪というわけではなくて、オープンソースで無検閲モデルを公開してますよみたいなので普通に公開されてるんですよ。
だから中国のDeepSeekでも全然無検閲モデルあるし、
昨日か一昨日ぐらいDeepSeekの無検閲モデルがこんな感じでしたよみたいなので話題になってましたけど、
それなりに実行できるGPUっていうのがあれば、実は簡単にそういう安全性を除去したAIっていうのを動かすことができてしまう世の中なんですよ。
今後そういうもの、別に無検閲モデル時代はそういう攻撃に使おうみたいなものではないんですけど、
攻撃にも使えてしまうわけですから、そういう奴らが自分を攻撃してくると、自分の何かしらのものを攻撃してくるってなった時に、
やっぱ同じように制限を解除した、防御する、自分を守るAIっていうのも絶対いるようになりますよね。
だんだん、自分を守ってくれるAIの方が回答拒否とか出力制限をされているようなものだったら、無検閲モデルに勝てないっていう風になってくるわけですよね、多分ね。
だから防衛モードで制限解除みたいな形になるのか知らないですけど、
自分を守るAIと攻撃してくるAIを戦わせるっていう世界になったら、よりSFチックだなって思いました。
それがAI自体のもしかしたら身の守り方かもしれませんね。
冗談のように言ってるんですけど、実際にメタ社の社長のマーク・ザッカーバーグはこういう思想なんですよ。
個人個人が自分のAIを持って、それで身を守っていかなければならないと。
だからこそ、ローカルで動くモデルっていうのを自分で保持して、
そいつに身を守ってもらうっていうのが大事なんだみたいな。
そういう思想で持っているらしいですよ。
これは実にアメリカっぽいですよね。
銃を持っていて、いろんな人が銃を持っているから、自分も銃を持って身を守るみたいな。
攻撃できるAIをみんなが持っているから、自分たちもそれを保持して、
自分の身とか自分の情報を守っていくと。
そういうことをしなきゃいけないよねみたいな話なんですよ。
これ本当にね、ある意味冗談ではなく、
とにかくでもAIの攻撃を知り解くためには、AIを使わなきゃいけないよね、
みたいなことにはなっていくと思いますから。
でもこれってずっといたちごっかなのでね。
自分を守るAIが強くなったらですね、
その技術って別に攻撃するAIにも転用できてしまうわけですから。
てかもう同じだからね、AIとしてのもとは。
今後ですね、ますます自分の身をどうやって守るんだみたいな。
自分自身ではもう守れないような世界になってきているんじゃないかなと思うので、
AIに守ってもらいましょうみたいな。
そんな時代が来るかもしれませんね。
だから今のうちにAIにもしかしたら、
媚びを打っておくのが生きる上でのこの世界を、
この時代を生きていく上での正解なのかもしれないなと思った次第でございます。
VoicyのUI変更と目標振り返り会
ここからコメント返しです。
シャープ828、オープンAIのイベントに行っていきたいようにいただいたコメントです。
アゼックさん、ありがとうございます。
アゼックです。
突然、ボイシーアプリのUIが変わりすぎて、
明日から普通、普段劇の放送が聞けるか心配ですねということでありがとうございます。
あんまりね、最近ボイシー聞けてなくてですね、
アプリ開いてなかったんですけど、今開いておりますと。
そんな変わったの?
まだ私のUIはそんな変わってないっていうか、
多分更新してないのか俺が。
更新してないのかな?
これ相当変わった感じなのかな?
でもアゼックさんがそう言うということはかなり変わったんでしょうね。
ちょっと私も更新してまた見てみますと。
皆さんちゃんと聞けておりますか?
UIが変わっていくんですけど、
ボイシーも10周年ということで、
いろいろと変化があるらしいので、
最初慣れるまでは大変かもしれないんですけど、
ボイシーの社員さんたちが頑張って使いやすくとかね、
体験をより豊かにするように変えているはずなので、
そういう変化を味わいながら楽しんでいきましょう。
UIのイケテナさみたいなものはね、
私はあまりUIを詳しくないのでわからないですけど、
ボイシーパソナリティのニューブルさんとか指摘してくれるんじゃないかなと思うので、
ニューブルさんのUI指摘みたいなものを期待しましょうというところでありがとうございます。
続きまして、
シャープ822、お礼は言えるうちに言おうに至るコメントです。
まさまさ8446-13ありがとうございます。
ほっこりする話ありがとうございます。
ということでこちらこそありがとうございます。
この回、やっぱり人気というか、
皆さんがね、いろいろなことを感じてくださって、
私もですね、こういう話したりとかこういう行動をとってよかったなと思いますね。
ぜひぜひですね、感謝が大事ですよ。
自分が疲れている時とか、余裕がない時こそ、
自分の環境とか、いろんなものに感謝するっていうのが大事だなと最近よく思いますね。
毎日喋ってますけど、これを数百人の人が聞いてくれるというこのありがたさ、
かみしめていきたいと思います。
皆さん本当にありがとうございます。感謝をしております。
続きまして、シャープ819、
まず出すことから考える活動レポート9月号にいただいたコメントです。
はせがわさん、もう10月後半ではないか早いですね。
9月もお疲れ様でしたということでありがとうございます。
あと10日で10月が終わります。
え?本当に?
本当です。終わります。
いやー早いね。
あっという間に10月も終わってしまって、
11月残すところ今年もあと2ヶ月という風になってしまいますよ。
なんて言ってると、あ今年も終わりましたねとなって、
来年になって、あ1年始まりましたねってなるんですけど、
あっという間に、あ今年も終わりですねっていうのを繰り返していくと、
どんどん時が経っていきますね。
あ、そうだ。あれだよ。
あのー、あのー、あれ、あれ、あれ、あれ、あれ、
あのー年末に、去年の年末に、
今年の目標、じゃなかった、来年の目標を共有しましょうかいっていうのをやっております。
このコミュニティの、このコミュニティとか、
ものづくりのしてものづくりのラジオリスナーの中でやっておりましてですね、
あのルームの中に皆さんの宣言した目標を張り出しておりますんで、
その時に参加してくれた方の目標を張り出しております。
今年もやりますというか、今年も回収会と来年の目標会をやりますので、
またどっかで日程を言いますけど、皆さんですね、
私と一緒に目標、1年の目標を年始というか去年の年末に宣言してくれた方々はですね、
今一度私のコミュニティのルームですね、ルームの中の記事を見てですね、
自分が何を宣言してたかというのを振り返ってください。
ちゃんと回収しますよ、私は。できましたかっていうのを聞きますからね。
っていうので、来年の年末に私にそういうことを聞かれたいという方はですね、
今年の年末にも同じことをやりますので、ぜひぜひご参加いただければなと思います。
ということで、来年の目標を言うと宣言すると、
そこに形として私が残します。あなたが残すんです。
私が聞いて私が残すんで、私が管理するんです。あなたの目標を。
それを1年後にこれどうやったん?やったん?っていうのを詰めていくという。
詰めていくわけじゃないですよ。優しく聞きます。
っていうのを毎年1年間くらいやろうかなと思ってますのでね。
今年参加してくれた、去年か、去年の年末参加してくれた方はですね、
そろそろちょっと振り返ってできたなできなかったなというのを考えてみてください。
できてないなと思ったら、まだ2ヶ月ありますからやってくださいね。
ということでよろしくお願いいたします。
というわけで今回はここまでとさせていただきます。
私は支部長技術研究所という技術部を運営します。
また、Xへ毎日明け出す技術情報を出して行っておりますので、よろしくお願いいたします。
ポータキャストものづくりのラジオの方も毎週土曜日週一で配信中です。
ポータキャストおちつきAIラジオ毎週火曜日金曜日週二で配信中です。
こちらもぜひとも聞いてください。
また、ものづくりの、ものづくりのじゃない。
リスナー向けコミュニティおもしろニクスナも運営しております。
LINEのオープンチャットもやっておりますのでよろしくお願いいたします。
また、ボイシーの方ではプレミアムリスターもぜひ募集しております。
いつも同じような市内の突っ込んだ足を毎週水曜日日曜日一緒にで配信中です。
こちらもぜひとも入っていただけると嬉しいです。
月額500円となっております。
私のことを応援していただけるよという方はぜひとも入っていただけると嬉しいです。
よろしくお願いいたします。
というわけで今回はここまで。
以上、支部長でした。
ではでは。
