ハンター×ハンターと漫画の読み返し
こんばんは、Replay.fm第102回です。
こんばんは。
よし。
なんかヌルッと始まったね。
うん。なんか…
始まったことに気づかなかったよ。
笑
何だっけ?
俺じゃなきゃ見逃しちゃうよね、ケイの。
お前はもう死んでいる、ケイの。
笑
いやぁ…
ハンター×ハンターなぁ…
めでたいっすね、再開して。
うん。
順調に続いてますが。
うん。
ハンター×ハンターの終了と再開に合わせて、
サブスクの解約と契約を繰り返すボットになってるわ。
ごめんと言いながら。
うん。
いやでもやっぱ単行本でまとめて読みたくなる密度だよなぁ、今のハンター×ハンター。
いやぁ…めっちゃ読み返すね、バックナンバーを。
なんか…世界中で、あんな漫画世界中であれだけだよ、なんか。
っていうかなんか、その、翻訳大変だろうなぁって思いながら。
あー、翻訳しんどそうだね。
あの、読んでる最近のなんかいろいろとかも踏まえると、なんか、あれどう翻訳したのかなぁって。
確かにね。
あー確かにね、最近のいろいろね。
気になる人はちょっと、もう軽くググったら出てきそうだけど、
まぁなんかどういうことになってるかっていうと、
あの、連載が再開したり新刊が出るたびに、
あの、だからなんたら編みたいなの今やってるわけですよ。
その、なんたら編装復習動画がめっちゃバズるみたいなのがせっかくあるから。
その、なんか思い出すのもひと苦労だし、
なんだろうなぁ、なんて言うんでしょうね。
まぁでも面白いっていうのがもう、なんか、わけわからんところなんですけど。
まぁ俺でもなんか、連載再開するたびに、あれだな、なんか、天空闘技場編から読み返してるわ。
あー。
いや、なんか、おもろいよね、そっか。
なんだかんだ読み返してんな、なんか。
なんだかんだ、天空闘技場結構序盤やな。
うん、読み返してる気がする。
いやー、その俺読み返しさ、なんか4週目ぐらいでやっぱ飽きちゃうから。
あ、そうなの? うん。
だからなんかね、直近は読み返してないな。
で、たぶんこれでうっすらわかんなくなって終えなくなって、
2年後ぐらいに、また4週するっていう、そのサイクルを生きてる気がする。
なんかね、新刊とかが出るたびに読み返してるシリーズはね、
メイドインアビスとかもね、なんか、新刊出るたびに大体たぶん1巻から読み返してるわ。
あの、ジャンプが異常なだけでさ、結構その、月刊のさ、漫画とかと、
新刊出る感覚が忘れた頃に出たりするから、結構読み直す羽目にね。
あとね、Dグレもね、なんか割と読み返してるな。
かなり読み返してるな、たぶんこれも。
Dグレもってまだ続いてるの?
続いてる。
すごいね。
期刊誌に移って続いてるんだけど、その期刊誌ですらこないだ飛ばしたから、
なんかちょっとぼやいてる人がいたわ、なんかやつ。
まあ続けてくれるだけありがてえよって言う気はするんだけど、
なんかでも、まあ確かにもうちょっと、なんか早く次は読みたいな気持ちはある、普通に。
なんか、そうもう、もう僕たちはドーパミンを求めてね、新しいコンテンツを次々と。
いやー、それ系で言うと、なんか突然の宣伝だけど、天国大麻痺っていうやつ。
ああ、はい読んでますね。
読んでる?めっちゃいいよね。
めっちゃいいですね。何がどうなるかわからんけど、ちょっとこれはまたやばいっすね。
早く続けてないかな。
僕あの作者がそもそもめっちゃ好きで、全部読んでるんだけど。
なんか、それでもマチャマチャって言うのとかで、多分有名な人なんだけど。
これも読み返したくなる系だから。
でもすげえ、次、今そろそろ出てるだろうって思って見に行ったら、まだ音沙汰なかったな。
ちょっとね、今次が楽しみな漫画はね、スターウォークっていう、まだ2巻しか出てないやつなんだけど。
えー、知らない。スターウォーク、パンブーコミックス。
えー、なんかあんま見ない絵柄やな。
いやー、なんか漫画、本当におもろい漫画多いよな。
シャーマンキングの次が楽しみですね。待ってます。
シャーマンキングも、え、再開したの?
シャーマンキングは話すと長いな。シャーマンキングは話すと長くて、
打ち切りになって完全版でちょろっと続きが出たところで。
完全版が出て、その、なんて言ったらいいんだろう、出版社がまず移籍してるんだよね。
あ、そうなんだ。
そう。
だからシリーズがなんか結構すごいことになってて、ちょっと待ってね、なんかまとめてるやつないのかな、これ。
なんかwikipediaの読んでる君もうわからんもんな、なんか。
wikipediaは、うーんと。
なんかプリキュアみたいだな、どれがどう繋がってなんなんみたいな。
うーんと、ちょっと待ってね、何がどういう順番で出てるのか分かんないんだけど、なんかとりあえず多分フラワーズが続編なんだよ、多分ね。
で、フラワーズの途中で多分移籍して、スーパースターっていうの多分切り替わって、
並行して、その、なんて言ったらいいんだろう、レッドクリムゾンとか、いくつかスピンオフ的なのが出てて、でもスピンオフのストーリーも本編に関わってくるから、
あーややこしいな。
そう、読まないといけなくって。
面白いね、なんか。
で、なんかついにその、今一段落ついたところでその、次のシリーズが多分出るはずなんだけど、まだ出てない。
なるほどね。
いやーこういうのを思うと、なんか呪術回戦とか鬼滅の刃とか、なんかスッって、なんかもう、なんだろう、ストレートで投げて変化球にならずにちゃんと終わるみたいな感じなんだけど、ああいうのもなんかいいなという気持ちになる。
まあね、スッって終わってくれんのもいいよね、なんか。
名残惜しさはすごいある。
いやー、そんな感じで、前回僕が怒ったんで、お手紙が来てるんで。
嘘でしょ。
読み上げますけど。
はい、ありがとうございます。すいません、なんか。
あの、一つ目、まあ二つともあの100回のお祝いメッセージなんですけど、まあ一つ目はラングさんから。
ありがとうございます、はい。
はい、CI、CDセンサーのラングさん、CAの最強の人のラングさんですけど。
使ってます。
はい、100回に対するお祝いがなかったとのことで、おめでとうございました。楽しみに聞いてますとのことです。
いやー、ありがとうございます。
はい。
すいません、なんか。
あのー、ラングさんが、あれですね、片杉さんともう一方、ちょっと大変失礼ながらお名前忘れちゃったんですけど、
二人でやってる、ヤバイオーソのOSSっていうポッドキャストがあって、それ地味に聞いてるんですけど、めっちゃ勉強になるんで。
それでCI、CDセンサーの会があって、ラングさんがゲストで来て聞きました。めちゃくちゃ良かったです。
皆さんも好きです。
聞いてみよう。
うん、めっちゃ良かったですよ。
はい、いやー、ありがとうございます。
そしてもう一方が特命希望さんで、101回おめでとうございました。見てる人いますよ、お前は楽しみにしてますと。
いた!
ありがとうございます。
ありがとうございます。再生数はボットじゃなかったということで。
たぶんね、前回そんな発言をしたことをね、ちょっと思い出してきたんで。
これは全く思い出せない。
思い出すかね。
今後もまだ思い出せてないわ。
これがね、全員へ挨拶を唱えて、みんなをようやくしか見てないんじゃないかみたいな感じで言ってましたけど、はい、励みになります。
こんなライトなやついっぱいくださいって感じですけど。
今回102回ですけど、粛々とやっていきますかね。
というわけで今日は4つ、まあまあぼちぼちですけども、上から順にいきますかね。
読んじゃおうかな。
AIエージェントによる予約システム悪用事件
AIエージェントによる事務予約システムの不具合利用についてまとめてみた。
ピオログの記事ですね。
最近すごいね、ピオログ。
めちゃくちゃ多いね、記事が。
AIエージェントが事務予約システムの認可制御不備を悪用して、他のユーザーの予約を勝手に取り消して、
多分エージェントに依頼した人の予約を繰り上げるみたいなことをしてましたよってニュースになってたよっていうのをまとめてくれた記事ですね。
オープンクローだったんだよね、多分ね。
オープンクローだね。
そういうことがありましたよと。
これASDっていうのは何だ?
ゴーシュ。
オーストラリアの出来事だね。
ゴーシュ信号局。
本日はおなざしした注意喚起を公表してますよと。
これなんか結論どうなったの?
結論は…
誰がどうなったの?
もう元に戻せない、システム的に元に戻せない規定で、元に戻したかどうかは、
僕がPureLogの記事を読んだ時点では不明だったって感じで。
このオープンクローを使った人はブログとかソフトを開発してるところにここバグってますよ、認可制御不備ありますよっていうのを。
お知らせしたらしいんだけど、インタビューとかに対しては個別のセキュリティ事項に対しては答えないって回答しちゃったんで、
直ったかどうかもぶっちゃけわからんっていう感じ。
ゴーシュの政府機関なんですかね、ちょっとわからないですけど、その辺は気をつけてねっていう、端的に言うとふわっとアナウンスを出してて、
自立AIによる、ゴーシュで初めて確認された自立型のサイバー攻撃っていう位置づけを、これはニュースか、ニュースがやってて、
一方で政府機関は注意喚起したんだけど、そこにアタックっていう文句は使ってないので、
ちょっとぬるっとした感じ、逃げ切れない感じで今んとこは決着してないって感じなのかな、決着してんのか。
別に罰せられることもないし、これをもって、
政府から強い注意喚起が出たっていうよりかは、ちょっと気をつけてよっていう感じの、温度感で。
日本だったら逮捕されても、神奈川県警で逮捕されても。
神奈川かね、大阪か。
これあれなんだね、利用者が順位を繰り上げられないかって、なんか依頼したんだね。
結構もうここまでいくと、若干どうなんだ感が増してくるな。
ちょっと微妙に言うのは、自社ブログ、技術、これを使ってた技術者は自社ブログでこの話をしたって話をしてるから、
ってことはそれなりにソフトウェアに明るい人物だった可能性が高いわけで、
その人がこのプロンプトを書いたと思うとちょっと、
なんかちょっとぶっ壊れてる感じがするよね。
しかもそれブログ書いちゃってって感じで。
なんかさ、何なんだろうな、その、何て言ったらいいんだろう、
倫理観とか価値観のずれの問題なのかな。
こないだのさ、なんかハギングフェイスに間違えて攻撃しちゃってました、テヘペローみたいなやつかもそうだけど、
そのトーンがさ、
いやー。
恋じゃないからしょうがないよねみたいな、なんかそういうノリなのかな。
ちなみにもときちゃんブログは削除されてるみたいで、インターネットアーカイブのリンクに載ってますね。
これ、おもろって思って予感が入っちゃったのかな。
でもタイトル見た瞬間やっぱそうだよね、トーンがさ、なんかテヘペローだよね、やっぱり。
これはすげーなー、なんか。
いやー、なんか、
まぁちょっと、このブログ読んじゃったらちょっと何も言えないな、
いやなんか、ワンチャンそのコンテキストというかさ、
ハッキングしろっていうニュアンスっていうよりかは、
ソフトウェアのハックっていうよりかは、なんか仕様のハックじゃないけど、
そういうので予約を繰り上げられるみたいな経験があって、
まぁそれがあるあるだったりしてお願いしたとかなら、まぁまぁギリわからんかもないかなと思うけど、
まぁでもそんなこともね、どうだろうねって感じだな。
はい、これ、そうね。
あとなんか、もう逃げ切らない感じで終わってるけど、
これ誰が責任を取るとしたら誰が責任を取るんだろうっていうのは結構普通に気になるんだよな。
まぁいつかは予約を取り消された人がいて、
その人たちはもう実被害を被ってて、
その人たちがこのサービスから罹患したり、
幕上するんであれば、このシステムを運営してるジムもある種の被害者になり得て、
で、ジム目線ではこの認可請求日どうにか、
こんなもん納品してくんなよってベンダーに言うみたいな話もあり得るだろうし、
またそのAIを使ってきた人に対して、
こんなことするんだよ、おかしいだろ、賠償しろって言うっていうのは別になくはないかもしれない。
じゃあこの技術者が罰せられるかというと、
今みたいな議論になっちゃうよね、このプロンプトどうなんみたいな。
でも別に決定体になるかというと微妙というか、
分かっててやったのかどうかって本人も言うか言わないか。
私はその時系列が分かんないけど、
図を見る限り、
図で言うとこの起点2の時点で本人がそういう仕様があると知ってたかどうかだよな。
でも別にこの時系列が分からんな。
起点、これ自律的な、
だからもうキャンセルは勝手にやってんだ、もうAIが。
だからこれはもうプロンプトとかじゃないんだ。
で、その後に、
AIは取り消しの原因ではなく、王国のきっかけ。
取り消しは他人の代わりでも通り、復旧は阻まれるとエージェント。
難しいなちょっと。
じゃあちょっと時系列が分かんないじゃん。
この起点2の時点で本人にそれができるというのが認識があったんだったら明らかにおかしいよねって話だと思うし。
でもこの経緯が明らかになる3ヶ月余り前の2026年4月30日、
エージェントがそういう肉不病を発見したよっていうのを公表してたんだよね。
で、これ自体が起きたのがいつなのか分かんないんだよな。
モトブログとか見たら分かんない。
モトブログ、今読んでるけど。
でもこの4月30日のモトブログだからこれが。
見つけられちゃった、ジム用ボットが見つけたよみたいな話をしてるのか基本的には。
なんかそんな詳しい時系列とか。
でも何がいいかって思う。
この人、どこの会社か知らんけど、この会社のAI部門の責任者って書いてあって。
イランバイアスが自分の中でかかっちゃったな。
お疲れ様でした。
面倒な世界観ですね。
どうだろうね、どのくらい起きるかな。
社会問題化するかと言われるとちょっと分かんないけど。
ザリガニ買う話をしたけど、中国とかあと実はこういうのがめっちゃ起きてるとかあったら面白いな。
オープンクロウ、素人の、今回はその技術者だったけど。
魔技術分からない人が技術者にお金払って自分のザリガニオープンクロウを買うみたいなのが流行ってるみたいな話があったけど。
みんなが本当にバーって今も使い続けてるんだったら、なんかもうひっちゃかめっちゃかになってるとかあったらちょっとおもろいなと思って。
おもろくはないけど、ある種のリアル社会実験味があって観測したいなっていう気がしたな。
いやー、なんか、うーん、そうね。
でもさ、なんか、まあいいや、ちょっとやめとこうこの話は。
なんか、うーん、いいのか?ちょっと待って。
なんか、万が一何かがあっても時効かどうか調べるわ。
はい。時効かどうか。
不正アクセス禁止法ではないんだよね。
ああ、でも多分大丈夫だと思うんだよな。なんか普通にだいぶ時間経ってる話だから。
いや、なんか別にさ、なんかその顔さ、ちょっとURLいじってみるとかさ、するじゃん、普通に。
うんうん。
なんか、ああ、こんなのも見えるんだみたいなの普通にあるじゃん、なんか。
何て言ったらいいんだろう。
わかります。
そのレベルのことはさ、するよね、多分。
映画ってことでね。
その、そう。
うん、すると思うよ。サンドボックス出るぐらいだからね。
するよね。なんかもうそういう仕様だと見なしてしそうだよね。
だから今回のさ、その予約システムの認可制御不備がどういうレベルのものだったかわかんないけど、
でも多分ユーザーIDがなんかパラメータに入ってるとかそういうレベルでしょ、きっと。
なんかそのガードレールとかはあるとはいえ、やっぱりその目的のためにその自己正当化するみたいななんか傾向は色々見てるとある気はしていて。
っていうのもあるしさ、その、それがさ、なんかそのやっていいことなのかどうなのかって多分わかんなくってさ、その、別に文脈によるじゃん、なんか。
そう、そうだね。
何て言ったらいいんだろう、要はこう、受けてる指示がさ、このユーザーの予約を取り消してくださいだったらさ、
なんかそのユーザーIDをパラメータに指定してこう文だけで予約を取り消すみたいなのってなんか、割と至極当然の流れのような気もするし、
なんかそのコンテキストによってはなんか全然なんか別にその、そういう自覚とかその考慮とか一切なく普通に正当化される可能性のあるようななんか動きのような気もするし。
今回のだからまさに多分プロンプト自体は俺の順位を上げろだったわけで、
なんかその過程で、あ、他の人の順位下げればいけるやんってなって、
だから多分わかんないけど、他の人順位下げてくださいだったら、
ワンチャンその確認挟みうると思うんだよね、フロンティアモデルとかだったら、
本当にいいのってあなたじゃないよっていうけど、
なんかそうじゃなくてその、なんか全然別の正当っぽい目的の過程で見つけた手段になってしまったというか、
なんかまあ、やっぱそこはなんか今のところはやっぱりモデルには期待できないというか、
人間がやっぱどっかでケツを持つというか、じゃあどの人間がケツを持つんですかみたいな部分は。
面白いね、なんかその開発においてはさ、結構その責任論みたいなのって熱心に議論されているというか、
個人のバイブコーディングだったら自分のガイデンを見ればいいけど、業務でバイブコーディングしてデプロイされたったらまったもんじゃないってなったら、
じゃあ誰が見るので、レビアなのか実装者なのかみたいな、何を持ってその保証するのかみたいな話があるけど、
なんかこのオープンな世の中での自由に動き回るこのAI君の責任論みたいなのって、
あんまり僕は何か観測者派だと見ないから、この子たちは責任を取れないし、
責任を取らなきゃいけない状況を理解してないという前提に立ったときにどうすんねんみたいなのは、
ここ1,2年の問いかけとして横たわってそうな気がするな。
しかもこんなもんさ、例えばHuman in the Loopの話をしようと思ったときに、
じゃあどこに入れんのみたいな、結構悩ましいしさ。
そうだね。モデルの作りに依存しちゃうしね、結局。
しかも順位くり上げられそうです、いいですかっていう確認が入ったところで、
下手いって何しようとしてるのか分かんないしね、それだけだとね。
そこで教えてくれなかったら終わりだし、結構その、難しいね。
結構難しいかもね、これどうやったら防げたかを考えるとかなりしんどい。
そうすると結論、やっぱシステムの作りが悪いねっていう話になっちゃうよな。
そもそも論で言えばそうなっちゃうね。
でもそこに点火しようとすると、今までのいろんな常識が崩れるというか、
少なくとも俺の中のいろんな常識が崩れるというか。
全然成り立たなくなると思うけどね、普通に不可能というか、
あまりに出す側のコストが非現実的になってしまうよね。
とはいえ、なかなかたまたま善意の人がやらかしちゃったのか、
そこに悪意があったのかは今ここでは触れないけど、
たまたまある種の善意の人がこういうことをやってしまったわけだけれども、
別に悪意の人っていうのは普通にいるわけだからさ、
出す側の責任が重いよねっていうのは常々そうではあるんだけど、
それにしてもねっていう。
そうだね。
AI過失みたいな言葉が生まれるのかなとか今一瞬考えた。
なんかその悪意のあるものを抜走と思うと多分もう、何だろうな。
過失でくくるしかなくなる気がして。
で、それが本当にそういう世界化になると、
利用者側としては安全に使えるものを探し出して、
そこにニーズが生まれてみたいな流れとかもしかしたらなくはないのかなとか思ったりしたけど。
でもなんかある種の過失については罪に問うことができるよね、少なくとも。
日本の法律だったらね。
そうだね。
なんかわからんけど今のその類型だけで言えばさ、
過失自施とか過失自傷っていうのが一応あるわけだから。
そうだね。
そういう類型の中の一つにもしかしたら収まっていくのかもしれないし。
過失のセアアクセス禁止、セアアクセス禁止に過失で引っかかったら結構たまったもんじゃないな。
そうだね。
一般の人がね。
まあでも予見できたかみたいなところがたぶん今度は論点になるんだろうけど。
それで言うと今回のケースは予見できたのかなっていうのが結構気になったところで。
だからその事件率が気になったんだけど。
まあなんともやね。
似たような事例が出たら見ておきたいところって感じやな。
結構しさがあるな、なんか話してて思ったけど。
いやあんま気を付けないと他人事でもないしな、話してて。
全然他人事じゃないよ、なんか。
自営側の観点だけど、
この前話した人間のアクセスかどうかを証明する仕様の話があったじゃん、Firefoxのブログの。
ああいうの入れてそもそもまともな、
その本気で迂回しようとしてこなければAIアジェントがアクセスできなくさせるとか、
もしかしたら防衛側というかシステム作る側としてはあり得るのかなとか。
脆弱性あるなしじゃなくて、
自分たちが意図したWebアプリからしかAPIのリクエストを受け付けさせなくするとか。
下下質が生まれる余地がなくて、防御できるかもねみたいな。
なんかでもそれはそれで結構しんどい世の中だよな。
もはや今の時代においては。
トレードオフがある。
それで言うとリードオンリーでアクセスさせるとか、
そういう場面は出てくるのかもね、もしかしたら。
それはちょっとゲット以外できないとか。
でもじゃあゲットで副作用があるような脆弱性を仕込んじゃったらWebアプリはどうなるか。
なくはないじゃん。あると思いたくないけど。
あるね。
世の中広いんで。
いやー面白いな。
気持ちは尽きない。
まあそんな感じです。
いやー、この、
いやー、なんかその、
これブログ消したってこと延長したのかな。
したんでしょうね。
書き方はちょっと、
まあ、時代っすね。
はい。
まあだからなんかその、
なんて言ったらいいんだろう。
現地の、
なんて言ったらいいんだろう。
僕らとは文化圏の違う人たちの受け止め方もそれはそれで気になりますね。
まあ消してるからきっと、
どっちかっていうと僕らに近い感覚だったのかもしれないけど。
分かりすくなかいね。
いやー、はい。
じゃあまあそんな感じで。
次行きますか。
行きましょう。
ステップセキュリティの記事で、
サプライチェーン攻撃の現状と対策
The State of Open Source Separate Chain Attacksという記事ですね。
ブログ記事ではあるんですけど、
予想としてはレポートに近い感じで、
何のレポートかというと、
まあ流行り続けてますけど、
NPMなりRubyGemなりID拡張機能なりを狙ったサプライチェーン攻撃に関して、
2025年の8月から2026年の8月20日まで、
今8月25日に収録してるんですけど、
ちょっと中途半端な集計機会になってるんだけど、
記事出すギリギリのところまで集計した、
集計してレポートにまとめた記事って感じですね。
で、なんかある種の復習なんですけど、
ちょっと結局どんぐらい増えたんだっけとか復習するにはいいかなと思って、
さらっと紹介でいけばなという感じです。
で、レポート内容としてはサプライチェーン攻撃と言っているものの、
その抗議のサプライチェーン攻撃っていうよりかは、
競技のさっき言った昨今流行ってるものを対象に集計しましたよという風になっていて、
具体で言うとパッケージレジストリとか、あとGitHub Actions、サドパティアクションとか、
IDの拡張機能に悪意のあるものを仕込むような攻撃を指していますよというのとか、
また、悪意のあるコードを仕込むって言っても、
例えばNPMとかRubyとかPHPとかだと、
タイプスカッティングを狙って、
マルウェア入りのものをどんどんどんどん新しくパブリッシュするっていう攻撃がずっと行われてるけど、
そういうものは集計対象じゃなくて、
もともと正規のパッケージで誰かが作ってるんだけど、
それが乗っ取られて、
悪意のあるコードが混ぜられたっていうものだけを集計していますよっていうものになっていますと。
なんで、ざっくり言うとシャイフラット攻撃みたいなやつが、
1年間どんぐらいありましたかっていうのをまとめましたよって話ですね。
情報のソースはステップセキュリティの脅威分析チーム的なものがあって、
そこがまとめたというか、調査してきたものをまとめたって感じになってて、
ちょこちょこベンダーのブログなんで自社の差別宣言が入るんですけど、
ステップセキュリティと契約しているか、
該当の差別を使っているかだと、
ここにまとめられているものをリアルタイムで通知受けて対応できるよみたいなことが書いてあったらしいですと。
この攻撃の件数を外観レポート内容を話していくと、
攻撃の件数みたいなのがまず振られていて、
56件の攻撃が観測されましたって言ってるんですけど、
これなんかその56個のパッケージが攻撃されたんじゃなくて、
多分だけど、キャンペーンの数で括ってるのかなってちょっと定義が見つけられなかったんですけど、
シャイフラット去年の9月ぐらいにありましたよっていうのとか、
ミニシャイフラットみたいなのもあったし、
またチンピーシーピーの3月ぐらいのトリビー事件とか、
多分ああいう感じで1個を起点として、
その攻撃全体を指して1つっていうカウントをしてるのかなっていう解釈で、
ざっくり読んでそうかなと思ってて、
そのリオードで見たときに12ヶ月間で56件ありましたよって話なんだけど、
記事のブログを見ると分かるんですけど、
今年の3月からその件数が露骨に増えてますよって話があって、
去年とかだと8月から1件、3件、0件、1件、1件、0件、1件みたいな感じなんだけど、
その次の今年の3月から13件、9件、9件、16、2、
2っていうのは20日分の今月オープンなんでありますけど、
明らかに増えてますよねって話で、
まずはっくり観察すると3日に1回は何かのキャンペーンが起きて騒ぎになってますよっていうような計算になります。
体感は?
体感はそんな感じだね。
多少のあれはあると思うけど、
慣らしたらそれぐらいだろうなっていう感覚はありますね。
あとは自分が被害に遭うのかっていうよりかは、
多分隣のIDの拡張機能が燃えてるとか、隣の言語のパッケージが燃えてるとか、
そういうのを合わせて3日に1回ってなると、そんなもんかなっていう感じで、
抗議記者の傾向は皆さんご存じの通り、自己増殖型のワームって呼んでますけど、記事では。
ワームの傾向がありますよと。
これ知らなかったんですけど、クラウドセックっていうベンダーが、
今月出したレポートに、
今年の3月にあったTribi、Chain PCPによるTribiの起点としたキャンペーンの被害規模みたいなのを出たとして出てたみたいで、
例えば1個それをピックしてみると、
漏えいしたシークレットは78,330ですよとか、
影響を受けた企業の数で言うと2,186社なんで、まあまあまあという感じで、
相当たる数字が並んでいて、かつ今言った数字が5日間でここまで被害が広がったっていう部分があって、
知らなかったんですけど、Chain PCPは1人なのかわかんないですけど、
1人の攻撃者が5日間でこんだけの被害を出してて、まあやばいですよ。
そんな書き方なの?
犯人は1人。
本当か?ちょっとなんか日本語訳がおかしいんじゃない?
ワンアクターって書いてあるから、まあだからChain PCP一つを指してワンアクターなんだろうね。
さすがにそうなのか。
じゃあちょっとごめん、そこは僕の雑攻撃でしたね。
はい、1人を嘘、これはちょっと修正しておきます。
1アクター、1アクター、
攻撃って、5日間で、
で、まあ1回あたりの被害もどんどん大きくなっていくっていうので、
主要な攻撃をいくつかピックして、直近僕これ知らなかったんですけど、
直近に紹介されたやつだと、
ジャニュアリー2016、
10日?間違えました。
10日だから、6月か。
6月JetBrainsのプラグインの侵害とかだったらしくて、
それとかは7万人の開発者がAIのAPI切り抜かれたって書いてあって、
へーって感じで、もう全部覚えてないですけど、
まあまあまあ、それなりにありますよと。
で、ターゲットになったエコシステムはこれですよみたいなので、
NPMとかアクションズとかがジョイン出てて、
パイパイとか。
で、まんべんなく狙われてるよって記事を書かれ方してるけど、
グラフ見るとNPMとアクションズが飛び抜けてるなっていう風に僕には見えてて、
NPMが27キャンペーン、キャンペチが27個の攻撃で、
ついでギッタブアクションズが10で、パイパイが9で、
IDとかのエコシステムで64ってなってんで、
まあまあ、NPMで騒がれがちっていう裸の動画、いつするかなっていうのと、
あとはギッタブアクションズも結構狙い目としてされてますよ、
狙い目にされてますよって話で、
ギッタブアクションズのサードパーティアクションのタグ開閉を狙うとか、
またランナーで動いてる依存経由で侵害するとか、
またギッタブアカウント自体を乗っ取って、
別リプにどんどん展開していくみたいなことを、
その辺の攻撃がいろいろありますよっていう、
紹介され方をしてるって感じですね。
この辺からちょっとステップセキュリティの、
CICDランナーのサービスの宣伝性が強くなってくるんで、
ちょっと恣意的な切り取り方をしてるかなって感じちゃう部分なんですけど、
まあまあでも、狙われがちっていうのは分かるって感じなんで、
数字にするとそれなりに多いかなっていう感じですね。
さっき言ったので言うと、
618のギッタブオーガネゼーションが、
GMCPCPにシークレット抜かれてますよみたいな話とかって、
なかなかインパクトありますねっていう感じですね。
一番最初の月ごとのグラフが分かりやすいかなって気はしていて、
直近半年でガッと舞い上がったよねっていうのは、
間違いないかなっていう気はしていて、
傾向が変わらなければ、
まあまあ当分ありますねっていう部分はあるんで、
引き続き警戒しつつ、
サプライチェーン関連でしたね。
なんかここ最近NPMあんま出なくなったよね。
ステップセキュリティのブログを見てても、
RubyGemカーゴって感じだったんだよな最近。
あとパイパイもいたか。
割合で言うとNPMの割合が、
まだちょっと傾向がとかは言えない段階のような気もするけど。
なんか言い方あれだけど、
NPMで狙えるデカいとかもうやられ尽くした感がある気がする。
なんかアクションスイッチでターンスタックいって、
いやなんかデバッグいって、
NPM知ってるからするとなんかもう、
いやいやみたいなもう、
なんだろう。
あらかた?
あらかた、
これでリアクトとかやられたらもうアホあったって感じですけど。
でもなんか逆に言うとなんかその、
これ以上やられたらちょっと困るかなみたいな。
わかんないけどね。
なんかまだ残りの弾があるのかもしんないけど。
アクションスはだいぶ、
いやいやって感じだったしな。
でも確かにちょっと、
そういう意味で言うと、
そのそういうビッグネームは直近はあんま見てないかなっていう感じはするね。
確かにね。
これでもいろいろ紹介したけど、
NPM自体の防御機構もどんどんどんどん生やしてはいると思うから。
そうだね。
それが効いてるのかなって思ってはいたけど。
どうなんすかね。
どうなんでしょうね。
攻撃の難易度が上がってるのは間違いないと思うから、
無くなりはせずとも、
なんとか収束してほしいよねっていう気がするね。
そんな感じの定点観測記事でございました。
こういうCICDのサービスを使うべきかどうかなんとも言えないけど、
さっき調べてたCICDセンサーとかもあるし、
守んなきゃいけない領域っていうのは目を逸らせないといけないので、
引き続きやっていきましょうって感じですね。
やってると思いますけど、皆さん。
やってないとまずいと思いますけど。
やってないって、
何にもしてないって多分さすがに、
なんか多分踏み抜いてるよね。
なんか踏み抜いてる。
こんだけやられてるとさ、
なんか踏み抜いてる可能性が高そうだよね。
めっちゃマイナーな言語しか使ってませんとかじゃない限りはもう多分踏み抜いてるよね。
逆にGoしか使ってませんとかだったら、
今んとこ大丈夫なのかな。
Goでも結局アカウント乗っ取りとか、
CIは乗っ取りとかあるから、
ニュースでは見ないけど、やられてないってことはないんじゃないかな。
やられてないってことはないのかな。
でもほぼ話題になってないよね。
そうだね。
結局なんかあれさ、
レイテスト指定とかじゃない限り、
Go.sumで全部チェーンが繋がってるから、
バージョン指定でインストールする限りはもう、
このバージョン以上みたいな指定が存在しないはずなんだよね、多分。
タグ改変とかにも耐性あんのかな。
タグ改変はわからん。
多分パッケージレイテストリがあるのが狙われてるとか、
狙われやすいっていうのがあるっていう意味では、
多分、おそらく確実に聞いてて、
次であるのは普通にコード改変とかCI乗っ取られるの。
タグ改変にもでも何か一定あれはあるんじゃない。
だってGo.sumの中にハッシュがあるでしょ。
あれは何のハッシュなのかわかんないけど、
取ってきたものがあるタイミングからズレてたら、
多分そこで弾かれると思うから。
アクションとかあとリノベートとかで勝手に上がっちゃったりするわけじゃん。
ちなみに聞いてみよう。
バージョン指定を上げたときに、
刺さらないっていう保証はないね、それで言うと。
そのミラー、前ちらっと面白記事でそのミラー。
ミラーの汚染の話はあったね、確かね。
逆にミラーがあるからタグ改変とかが
そんな簡単にできないみたいな話かなって。
あれだね、チェックサムデータベースがあるから、
確かにGo.sumで同じタグを後から書き換えもできない、
というか検出されるようにはなってるんだね。
だからなんか仕組みに守られてるんだな、結構。
だから新しいバージョンを切ってそれをアップデートしちゃうとかじゃなければ
意外と大丈夫。
まぁちょっとジェミンに怒られましたけど、
具体的な手法を教えらんねえよっていう。
雑に聞いたから。
普段は何にもできないのにね、ジェミン君。
何にもできないのにね。
頑張ってほしいよね。
僕の無料ジェミンちゃん。
そういう時だけは小裸にそういうこと言いますね。
多分これペンテスター名乗ればいけるかもしれない。
試さないけど。
まぁそんな感じですね。
さらっとの定点記事でした。
じゃあ次行きますかね。
ほっといていきたいんですけど。
さらっと記事ですけど。
ゾンビカードアタックとクレジットカードの脆弱性
ハッカーニュースの記事で
ゾンビカードアタック can revive expired visa cards forcontactless payments
っていう記事ですね。
どういう話かというと、
期限切れになったビザのクレジットカードを
特定の手段と条件が重なることによって
復活させることができるゾンビカードっていう名前
がPOC的に実証されたよっていうニュース記事ですね。
何がどういうことって思ってちょろっと読んで
結構多分カード詳しくないと分かんない部分が多そうだなと思いながら
頑張って読んだ僕の理解を話すと
どういうことかっていうと
通常で言えば有効期限切れのカードなんで
使えるわけもないし使えてはいけないんですけど
いくつか前提条件と
前提のある知識と条件が関わっているのがあって
まず一つ前提としては
カードを使うときに
いろんなローカルの決済端末との通信とか
やり取りする情報とか
決済端末とインターネット通信とか
いろんなところがきちんと基本的に暗号化されて守られているんですけど
そのうち有効期限の情報っていうのが
特定の部分では暗号化されるスコープから外れてるらしくて
インターネットを通じてカード情報を送られた側では
その有効期限の情報が本当に正しいかどうかっていうのを
真に判別できないっていうのがまず一つあります
二つ目がこの前提の上でローカルの決済端末で
有効期限を検証する仕組みが当然あるんですけど
そこに対して改ざんする方法を見つけましたっていう話が
多分今回のミソかな
その上でローカルで有効期限切れのカードをピッてやります
そのときにちょめちょめっとして
有効期限切れた 実は切れてませんっていう改ざんをして
通信をします
その通信をしたときにカード情報が送られる先の銀行
銀行なのかってちょっと思いながら読んだんですけど
いくつかの銀行ではいくつかの銀行っていうか
カード情報が送られたときに有効期限周りの処理っていうのが
銀行ごとにばらつきがあるらしくて
使用化されてないのか独自にやっちゃってるのかちょっと分かんないですけど
そのばらつきがあってそのばらつきゆえに
特定の銀行 特定の処理の仕方だと
有効期限の処理が通ってしまうみたいなのがあって
今言ったのが全部噛み合うと
有効期限切れのカードなのに使えてしまうっていうのが
成立してしまうらしい感じです
何も分からんまま喋ってるのがバレバレな喋り方をしたんですけど
なんかだいぶ
どんぐらいの難易度か分かんない
ローカルでいろいろやるから
いろいろそんな素人がすぐにできるようなものではないと思うんですけど
結構普通に簡単にできたら嫌だよねっていう部分と
よく今まで見つからんかったなというか
結構何でしょうね
今まで見つからなかった以上は結構複雑なことをしてんのかなっていうのは
思いつつ読みましたっていう感じですね
ちょっとダメですね 全然分からん
なんか頑張って読んだけど本当に難しいんですよ
多分いろんな前提知識がないとちゃんとは理解できない気がするんですけど
だいぶ物理寄りな話もあるよね
チップがどうこうの話も普通に出てくるし
ソータが言うように結構複雑なことをやらないと通らないっていう話なのかな
前提上下としては物理的に有効期限が
もともとバリッドだったけど有効期限が切れてるカードが必要にはなるから
そういう意味では攻撃のハードルは決して低くないっていう話はあるのかな
カード番号だけあればいいとかではないから
だから自分の生活の話で言うと
有効期限切れたカードをそのまま捨てずに必ず指示ありますけど
チップ切ってバラバラにして捨ててねとかあるけど
そういうのを守ってれば自分が被害に遭うことっていうのはなさそうな気はしますね
僕さ切れって簡単に言うけどさ
ハサミ痛むしさ
硬いよね
勘弁してくれよ
なんかあれ何年かに1回のあの儀式専用の何かを買うわけにはいかないし
そうなんだよな
それ言うとめっちゃ悪用されるとかはないんだろうけど
こんなの起きうるんだなっていう記事が気になって読んでみて
よくわかんないけど起きるんだと思いました
面白いね
今まで本当に悪用されてなかったのかな
そんなことは別に誰も言ってないから
悪用されてれば気づかれそうな気はするからさ
多分してないんだろうなされてなかったんだろうなって思うんだけど
明らかにおかしいもんね有効期限切れたはずのカードが
無くしてないのになんか知らん決済されてるっていう状態になるわけだから
まあでもこの有効期限の取り扱いがなんか別のやつと違うっていうところは
なんか目をつけてた人はいそうだよね
いそうな気がするねそれはねそうだね
情報の受け取りって側の処理の云々とかも
ばらつきがあるとか結構意外というか
指揮者がいたらまさかりお手紙待ってます
もうちょっと深読みしても面白いかもなと思いつつ
あんまり深読みはせずにきました
あんまりなんか仕事との絡みがさすがにない
そうだね
物理世界になると途端になんか
一行に3個ずつぐらい知らんワード出てくる
すごいないろんな仕事がありますなって感じですけど
じゃあ次最後順番的には
こっちを先に話してもよかったなと思った気がしますが
Vizioのブログで
GitHub Actionsのスクリプトインジェクションと過去の事件
記事ですね
記事の内容は何かというと
Vizioのレッドエージェントっていう製品であり
多分製品かな製品があって何かというと
自律的にコードの脆弱性を見つけたり修正指定する
修正しないのかな見つけるくんなんですけど
著作流と
それがSnowflakeのGitHubリポジトリにある
GitHub Actionsのスクリプトインジクションを見つけて
報告して修正されたよっていう記事ですね
なんでわざわざピックしようと思ったかというと
記事の内容はぶっちゃけ言葉を呼ばずに
誤解を恐れずに言うとどうでもよくて
実際のスクリプトインジクションが仕込まれた部分の
コードがブログ内にあるんですけど
見てみると
見る人が見たら一発で分かる怪しさなんですよね
それはそうなるだろうっていう部分で
どこだっけなどこのコードだっけな
この辺かもう知る人と知るって感じですけど
GitHub Actionsって
シェルにGitHub Actionsで使える変数を
だらーかっこかっこで埋め込むことができる
これはすごいね
ですけどそれをシェルに埋め込むと何ができるかというと
シェルを評価する前にその変数を評価して
シェルの文字列を作って
その上でシェルの評価をするんですよね
なんでよくあるのはアクションリントとか使って
引っかかりますけど
そういうGitHubの変数を埋め込んじゃって
適切な囲い込みとかはしてないと
普通にシェルインジェクション容易にできるっていう話が
街またでは有名なんですけど
その有名なパターンを字で言ってるコードが出てきて
ちょっと感想として思ったのは
さっきのステップ責任でも記事であった通り
さっきのサプライチェーン攻撃とかの
入り口としてこのシェルインジェクションとか
全然珍しくない事象って何個かあったし
今時だったらワークローンに対する静的解析
アクションリントでもいいし
GHリントは多分これ検出できないかな
Gizmoは検出できるんだね
そういうの入れれば検出できるんで
スノーフレークレベルで
しかもパブリックリポジションなんで
それやっといて欲しかったなというか
別にレッドエージェントが見つけて
見つけたのは別にいいことなんですけど
AIが見つける以前のレベル感なんじゃないかな
静的解析で普通に見つけられるしね
一応僕が考えてるのは
一個これをやるときの言い訳としてあり得るのは
埋め込んでるGitHubの変数が
第3者から触り得ないパターンとかは一応あって
例えばGitHubのPRのナンバーとかは
厳密にはインクリメントしてるんで制御できる
数字以外を入れることはできないんで
変な文字は入れられないとか
またワークフローのランIDとかですかね
そういうシステムで発行されるようなやつとかは
コメント走ったね
そうだね
そういうのは埋め込まれても
よほど条件が変わらなければ
悪さできないんで
そういうのはいいじゃんっていうので
考え方もあるんですけど
そんなん正確に判断できないじゃないですか
正確に判断できる人なんて超一人気だと思うんで
僕はもうシェル内の埋め込みは一律全部禁止で
整理解析で
全部支援落とすでいいんじゃないかなって
思ってる過激派なんですけど
それでよかったじゃんって思った記事っていう感じなんですね
なので皆さんそれでいきましょうっていうことが
言いたかっただけかもしんない
そんな感じです
アクションリントがガバガバなんだよね
この辺
アクションリントガバガバかな
なんか結構スルーしてるのがある気がする
たまに
アクションリントね実装見るとわかるけど
今言った基準でスルーしてるはず
いじれない点続いて
まあ続きは再来月お話しましょう
再来月わかりました
それなんか普通に公式に一周経っててもいいかもな
実例があるんだったら
わかんないなんかちゃんと精査できてない
僕なんか引っかかって一回調べたことあって
実装見たらその
一周とかも見たけど
そういう基準で分けてるはず
なんでもかんでも
アクションリントは過激派じゃない
そうっていうつもりだったんだけどっていうのが
あったような気がしたんだけど
具体的に何だったか思い出せないから
再来月やな
再来月
Gizmoは一律で指摘してくれるんだけど
Gizmoは音楽性が合わなかったので僕は無理
そうなんだ
個人リポにはもう今過激派なんで
GHリントアクションリントGizmoを全部入れて
これ一個でも落ちたら絶対マジすんなよって
クロードにしかりつけてる感じ
僕はGHリントとアクションリントと
回した上でシェル展開してるやつがないかを
見てます見させてますね
本当はCIにしてもいいんだけど
ローカルでスキルで必ずフックしてチェックするように
してますね
トークン枯渇しないうちはそれでも
どうせ自分で書かないしね
これはもう皆さん過激派でいこうぜって気持ちですね
あと一つブログのタイトルにも書いてあるけど
GitHubコパイロットがこの原因となるやつを出してきたよ
っていうことを書いてあって
そこはちょっと頑張ってほしいね
コパイロット頑張ってほしいなっていうのと
言い訳にはならんやろって思った感じかな
今言ったようなものを整える前に
どんどんコード生成スピードが上がって
人間の目も緩くなって
コパイロット便利に使っててみたいな話
なのかもなとかは思うけど
はい皆さんお気を付けください
Vizのブログってだいたいこれ系って
おもろい脆弱性が多いんで
おおおおって思って読んで
ずっこけた
その気持ちを共有したか
埋め込んどるやないかいって
一周タイトル埋め込んどるやないかいって
それでしかない
意外とこういう単純なとこからやっぱ
ことは起こるんすよね
こんな重厚に解説しなくていい
変数埋め込むな衣装でしかない
取り上げてないけど
あれとかも気になるよね
さくらのあれとかも
多分レポート上がってくるから
そうだねレポート待ちやね
何がどうなってこうなりましたっていうのは
普通に気になるけど
そうだね
頑張ってほしいっすね
立場的にはかなり
シビアに頑張らないといけないとは思う
そうですね
なんだかんだ日本企業のでかめの事件が
こんなもんか
体感多いような気がせんでもないけど
レポートはしっかり
冷凍食品しっかり
日水
日水か
日水だっけ
日水だよね多分ね
パッと思いつかないっす
日霊ですね
日霊
僕の近くのスーパーでも
アイスバーってなくなってて
おーってなったな当時
それでいうとなんかここにも
今週分に入ってたか分かんないけど
なんだっけ朝日だっけ
朝日が朝日じゃないか
アスクルだっけ
アスクルが
ランスメイヤーだいぶ前にあったじゃないですか
去年の
アスクルだったかな
どこか忘れたんですけど
去年か一昨年ぐらいに
大きく地上波とかにニュースになった
ランスメイヤー被害にあった企業が
追加で調査してたら
個人情報の漏洩が
発覚したので
ご報告しますみたいなニュースをチラッと見て
結構傷跡の深さを
めっちゃ実感したっていう
僕の感覚的には
全部終わって綺麗に
と思ったら多分未だに調査しなきゃいけなくて
出てきちゃってみたいな感じで
いやー
なんかよう見つけたね
スキャンレット
セキュリティとかだな
なんかね
持ってくればよかったな
今週分かどうか忘れたんですけど
チラッと見ましたね
厳しい
あーと思いましたけど
ランスメイヤーとか調べてくれたかな
あーやっぱアスクルですね
アスクルの
ちょっと書いておきます
7月30日
あーちょっと有料記事なんで
あれですね一時
一時調査を張ろう
なんか1年前とか思ってたけど
全然そんなことないな
去年10月だからまあぼちぼち
そして60万件か
60万件追加で
いやー大変
各社頑張ってください
大会の果実は思ってないです
とだけ言っておきます
そんな感じですか
体調管理と今後の展望
はいそんな感じでございます
喉の調子がやばいので
来週は治してください
頑張ってください
なんかかゆいんだよな
昨日大津市は日本で一番暑かったらしいんで
そうなんだ
ちょっと体調崩さずにやっていきましょう
明日も暑そうだけど
ちょっと勘弁してほしいですね
勘弁してほしいよ
一言一言同じ台詞を言おうとして
明日だって
36度とかっすよ
住んでるとこは
もうやばいよ
死んじゃうね
皆さんもそんな感じで
気をつけてください
はい
じゃあそんな感じで来週も楽しみに
皆さんお休みなさい
おやすみなさーい
