00:00
こんばんは、Replay.fm第98回です。
こんばんは。
こんばんは。 98回。
はい。
素晴らしい。
あと2回。
あと2回。
お盆、お盆あたりに100回を収録する感じですかね。
この感じ。
あー、そうだね。
うん。
先祖、ご先祖さんもみんな喜ぶかもしんない。
200回か。
あとあれだね、リスケしないとだね。
山の日だ。火曜日か。
あー、そうなんだ。
うん。クソめたい会話だけど。
何かと言うと火曜の夜に大体収録してて、固定で予定を入れてるんで、山の日かぶりなんで。
11日か。
うん。
なるほどね。任せろ。任せるんでしょうか。
はい。
調整しましょう、後で。
いやー、最近とうとうローカルLMというやつに手を出しまして。
え、すごい。メモリ大富豪じゃないですか。
いやいや、そんなに大した、今の時代すごくて、マックミニで動かしてるんだけど、メモリどんぐらいだっけ。
しょぼくもないけど大してめっちゃつんでもないやつで、文章予約ぐらいだったら動くやつ結構あるらしくて。
何かと言うとこのReplay FMの記事を、読む記事をスクリーニングする前段で、フィードで流れてくる全記事の予約を作るっていう過程やってて、今Notion Airってやってるんですけど。
Notion Airもいつ重量課金とかに変わるかわかんないんで。
もう何かそんな話出てるよね、何か全重量課金じゃないけど。
うん、エージェントとかは重量課金だし。
確かにね、Notion Airはまた別か。
何かね、その辺がさ、マジこれ愚痴なんだけどその、
いやわかるよ。
わかんなくて、どれがそのクレジットを消化してとかがわかんないから結構。
めっちゃわかる。
フロードもさ、結構何か価格帯域最近わけわからんことになってて。
あーそうなんだ。
しんどいなと思ってる。
そう、そのクレジットのダッシュボードみたいに見ると使ってないことになってるんだけどさ、
何かメールの通知は来るんだよね、何パーセント使いましたみたいな。
なるほどね。
使ってるな、それ。
不正利用かもしれない。
いやいや、マジで。
意図せず。
まあでも今んとこその、何だろう、追加課金とかないから多分大丈夫なんだけど。
そうそう、それもあって。
で、今だったらローカル、やってるとそんな大したことしてないんで、ローカルで。
それこそクロードに今の環境で動かせる文章予約に使えるモデル探してきてって言って探して全部、
まあラマってやつが今多分メジャーだと思うんですけど、動かさせてかませてちょっと試験運用始めましたって感じですね。
いいですね。
ちょっとノーシェンアイと比べてしばらく運用して、いけそうならば、別にノーシェンアイ捨てる理由はないんであれなんですけど、
まあいい素振りかなと思ってやってますね。
っていうかなんか普通にクロードのクレジット余ってなったらクロードコートとかからやらせればいいんじゃないか。
03:05
いや、量が量だからな、結構。
ああ、全件で行くと確かにしんどいね、それで行くと。
そう。
俺そっち側見てないからな、そもそも。
はいはいはい。
うん。
平日多いとき1日40記事とか流れてくる。
まあ40どころじゃないか、40、50ぐらい流れてくるときとかあるから。
まあ、鳴らすと週200件ぐらいあるのかな。
なんか数えたことないけど。
まあ、はい。
そのサマリー実はいらないんじゃない説は結構俺の中であるんだけど、どうなんだろうね。
いらないと思ってたけど、なんか英語弱者なんで、英語の記事のタイトルとか認知負荷高いから、
そういうのはサマリーパッて、フラッシュ的にパッて見てパッてやったほうが俺は早い。
なるほどね、面白いね。
だから日本記事はね、結構もうタイトルで飛ばしたりしてるんだけど、そういう差分はあったりしますね。
あとなんかタイトルいまいちでも、なんかたまにちょっと面白いやつが混ざってて。
もうそれはタイトルがいまいちだったら悪いと思ってる。
まあね、まあその考えもあるけど。
そうそうそう。
まあ本当にめっちゃ割合としては少ないけど。
まあでも慣れちゃえばね、全然。
あの、そうね、なんか文章余裕くらいの余裕でいけるんだなっていうと。
あとなんか友達とかはその、そのAI、クロードとかをマスターにして、その処理によってローカルエリアも使うか、コーデックス使うか、クロードで完結するかみたいな。
振り分けてみたいなこと言ってて。
なんかコスト最適化とか本気でやろうと思うと、まあ普通に選択肢に入る時代になってるんだなっていうのはちょっとしみじみ思ったりしますねっていう。
いやー。
やっていきましょう。
やっていきましょう。
GPU、それこそGPU詰めればもっと多分強いこともできるんだろうけど。
まあまあまあ。
そうですね。
じゃあそんな感じで今日も、今日は久々に結構多いんで、ポコスカいきますか。
いきますか。
えーと。
お願いしていいですか。
一つ目が、出勤流出事案について特別調査委員会による調査報告書を開示しましたという、はてな二代目社長のブログっていうところから引っ張ってきたやつですね。
まあ多分適時開示とかもしてるので、なんか普通に多分いろんなところからこの報告書本体にはアクセスできるんだけど、まあなんかここがいいのかなと思ってこの記事ではピックアップしてきてます。
えーと、まあ触れたいのはどっちかというと報告書本体の方で、第三者委員会の結論は、まあ何の話かというとあれだね、えっと4月くらいだったっけ確か。
うん。
4月の24日に開示しちゃうんだ。
で、えーと、まあ端的に言うとなんか11億円騙し取られちゃいましたっていう内容だったんだけど確か。
うん。
で、えーと、第三者委員会の結論は特殊詐欺による資金流出事案でしたよっていう話で、まあっていう風に見ていて、経理担当者による応料はなかったよっていうのと、あとは個人情報その他経営に関する重要情報の流出っていうのは基本的に確認できなかったよっていう風に結論つけていて、
06:18
えーと、まあなんていうか、ことが起きた時にはいろいろ言われてたと思うんだけど、その実は応料なんじゃないかとかいろいろ言われてたはずなんだけど、なんかまあ結論としては特殊詐欺だったよっていう風に第三者委員会は結論つけてるっていう感じですね。
で、まあちょっと報告書なんだろうな、なんかちょっと、なんだろう、こう、あのーサクッと読めるぐらいの分量では正直なくて、全部通すと多分50何ページあるんだけど、まあそれでもぜひ読んでくださいっていう気持ちですかね。
うん。
で、まあものすごく大雑把に言うと、ハテナの経理部長が、えーと、まあ今よく流行ってる警察デス詐欺と言えばいいのかな、わからんけど、警察を偽装する人からなんか電話が、電話を受けて、まあそっからあれよあれよと騙されて、会社のお金も自分のお金も全部のなんか持ってかれちゃいましたっていう、全部じゃないけど持ってかれちゃいましたっていう感じですね。
はい。
まあなんでちょっと、そのー、まあねー被害に遭った人には同情はするんだけど、もうちょっとどっかでなんとかならんかったのかみたいな気持ちは正直報告書読んで、まあ思わんでもないなっていうところではありますかね。
またなんか報告書上の用語がなんかちょっと微妙な使われ方のやつとか、目についてもにおるなーとかも言いながら読んでたんですけど、えーと、そうだなー、どっからどう触れていけばいいのかなー、なんか、まあ結構教訓としてはやっぱり、そのー、なんだろうな、まあ一番なんか良くなかったねって言われてんのは、
お金、銀行2つ契約してて、で、片方の銀行についてその経理部長のアカウントが振込の申請と振込の承認の両方ができるっていう状態だったらしくて、
なんでその、えーと、もう1個の銀行から社内の手続きを通して、その経理部長のアカウント、単独で外への振込ができる銀行の方にめっちゃお金を移してって、どんどん順次こう1億円ずつぐらい外に出していくっていうことをやられてた感じですね。
しかもそれが、ルール、社内規定上定められてる権限と乖離していて、本来であればその経理部長は、経理部長のアカウントは、不申請と承認の両方っていうのはできない状態じゃなきゃいけないのに、それができる状態だったっていうのが致命的だったねっていう話かな。
09:09
そうね。で、まあなんかいろいろその、はてなの、その、なんて言ったらいいんだろうな、経理部門の体制自体が、なんか、まあいろいろ、あの、あったっぽいみたいな部分も報告書から正直読み取れるんだけど、まあその辺は一旦置いとくとして、
まあなんかよく、なんて言ったらいいんだろうな、そのいろんなところの教訓として使えそうなところで言うと、まあなんかコープレート部門ってやっぱりその、なんて言ったらいいんだろう、こう、まあ特にその担当役員みたいな人の干渉範囲がすごく広くなるので、なんていうか、まあその人の専門が、もともとの専門が例えば経理だったら結構、なんか経理畑がこう手厚くなるだろうなと思うし、人事系だったら多分人事系が手厚くなるんだろうなと思うんだけど、
なんかそういうのってよくある話じゃん、なんかやっぱそういう手薄になる、まあちょっと今回のその、今のそのコープレート本部長っていう担当役員の人がどうなのかわかんないんだけど、なんかまあそういうところが手薄になりがちっていうのは絶対あるので、なんていうか気をつけないといけないよねっていうのは、
いって何かしらその手薄にならない統制を効かせるっていうのが会社としてできないと、なんかまずいんだろうなっていうふうに思ったのと、あと一方でそのセキュリティも多分同じようなことが言えて、そのなんていうか、セキュリティをやってる人間の立場からすると、こうまあいろんなところに、まあ首突っ込まないといけないわけじゃないですか。
まあ正直なんか例えばだけど僕自転でそのケーリーが何やってるかとか、ジンジーが何やってるかとか、ソームが何やってるかとかって、なんか正直全部はわかんないんですよね、全然。
でもなんかわかんないなりに、こうわかんないなりの首の突っ込み方、口の出し方っていうのをちゃんとしないと、なんかまあこういうことが起こる可能性っていうのも出てくるのかなーみたいなことを思いながら読んでたので、なんかまあバランスって難しいねっていうのを読んでて思いましたね。
なんか抗議で言えば、まあそのマムルシさんがまあ割とフィジカルというか現金であるから、サイバーセキュリティかと言われるとそうではないかもしれないんだけど。
あーそんなことないんじゃない?だってある種のセキュリティマネジメントじゃない?だってオンラインバンキングのアカウント管理の話だから。
まあそこはそうだね。
だからなんかそう捉えた時になんか結構その、言うは安しだけどなんか難しいものとして、まあ会社、まあプロダクトあろうがなかろうがその会社全体でどういうリスクを抱えていてっていうのを洗い出し、まあ資産洗い出しましょう、資産によむづくリスクを洗い出しましょう。
で、まあ一個一個対応しましょうのスコープに、まあ理想論で言うと入れたいなという気持ちはあるし。
で、まあ当然その、まあ何だろうな、アカウント盗まれとか侵害とかもちろん大変なんだけど、まあ現金盗まれるってもう一番多分、一番効く攻撃ではあると思うんで。
12:05
で、まあ本来はめちゃくちゃ大きいリスクなはずなんだけど、まあ柳橋が言った通り、なんかどう首を突っ込んだものかみたいな部分は結構、結構個人的には他社が気になっている。
で、その、この事件、まあなんかちょっと最初はちょっと何だろうな、詐欺が巧妙なのかなって勝手に予想してて、まあこれ出てきて、まあちょっと擁護しづらい部分もあるなって正直思いつつも、
でもその、この事件、これが報告書出る前から結構叩いてる人とかを見ながらなんか、じゃああなたは自分の会社の経理がどういうふうに何をしてるのかって把握できてるんですかっていうのは結構気になっているというか、まあ前社員がその、もちろん把握せずすべきものではないんだけど、あんまり他人事止まない方がいいよなって気持ちを結構強く持ってて。
なんかね、まあその、やいのやいの言うことはできるんだけど、私、そうね、なんで、だから結構もう他山の石とするしかないんですけど、自分たちはいや、こんなんどっかで止まるっしょって思うのは危険だよなって気持ちで。
まあね、ここで止まるっしょがことごとく、なんていうか、止まらずにあれよあれよと言っちゃいましたっていう事案だからね、なんか。
そうだね。
2日にわたってやられてるし、しかも。
止まらなかったのが自分の会社じゃなかっただけでしかないというか、結構なんか、まあだからここまでちゃんと第三者に調査してもらって開示してくれてる、セキュラリーに開示してくれてるのはきちんと活かしていきたいところだなという気はしますね。
いや難しいね。
結局その、なんていうか、こういう場面になると正常性バイアスが強く働いちゃうんだなっていうのもなんか読んでて。
まあね、いやでもなんかその、なんて言ったらいいんだろう、そういう理性的に考えて、その、なんて言ったらいいんだろうか、あんまりこう、なんか人のことどうか言えないよねみたいななんか理性的な部分もめっちゃありつつ、
それを踏まえてなお、いやでも俺だったらさすがにここでなんか怪しいって思うけどなっていう気持ちがやっぱあるからさ、なんかこう難しいなっていう気持ちですね。
なんかやり口としてはもう完全に今流行ってるものだし、その例えばリモートデスクトップ入れるななんてその、まあここでも何回か多分、何回も話してないけど多分ちらっとトレンドマイクからなんかの記事話した記憶があるし。
うん、確かね。だからなんかその、まあなんか人間的な部分はわかんないけど、その全社員には必要ないけど、まあお金扱うとか銀行交渉されるんだったらまあそういうの流行ってますよとかを。
まあ定期的にインプットするとか、もしくはなんか自分でインプットしてもらうとかは、まあやれたら、至らればというとまあやれたらよかったよねみたいな気がします。
15:08
まあでもやっぱり限界、なんかなんだろうな、いろんなのがかぶったらやられちゃうみたいな前提でやっぱ組むしかないよね、その。
まあね。
例えば、だけどその担当者がまあ割とちゃんと普段だったら引っかからない人だったとしても、なんかわからないですけど、例えばたまたまもうめっちゃその何かで炎上してて、そのもう全然寝れてないみたいな。
連日寝れてないタイミングと、寝てなくて判断力がめっちゃ鈍ってるタイミングでこれが来たら、じゃあ引っかかりませんかって言われると、なんかまあ引っかかりませんって言い切るのは、なんか人間である以上無理かなと思ったりする。
まあね、超疲れてフィッシング引っかかっちゃいましたっていうのもあったもんね。
とか、あとはなんかわかんないけど、わかんないけど、なんかその何かちょっと、まあそうだね、なんか人間である以上なんかその、その時のメンタル状態に何か異常がある時に来た時にっていう。
まあそういう可能性とか考えると、まあ確実に潰し込むんだったらやっぱ、まあダブルチェックはアンチパターンとされることもあるが、とはいえ何かその複数の人間が関わんないとどうにもならんみたいなステップを組み込むとか。
まあね、それずっと何か複数の人間が関わっててもこれだったからなーって。
まあね。
3人、4人と関わっててこれだったからね。
まあそうね。
まあそれは確かに。
正常性バイアスが超働いてる感じであったのかなとも思うけどね、どうなんだろうね。
なんか多分、何ならなんかその、多分もっと広い範囲で言えば、なんか監査部門がもうちょっと早めになんか突っ込み入れられるべきだったよねっていうその過去の経緯とかも見てるとあるかなと思ってて。
なんかそこもその要は一定こうちゃんとやってると思ってたみたいな記述がやっぱ報告書にもあって。
だからこれなんかその、もしかしたら、ちょっと報告書僕読めてないんだよ。
記載あるかわかんないけど、前はちゃんとやれてたのがいつの間にかちゃんとやれてなくなってたって話だったんであれば、まあそれもなんか。
えっとね、もともと長く経理のそのトップをやってた人が、ちょっと不祥事を起こしてみたいな話がまずあって、そこがなんか結構ブラックボックス化しちゃってるから、
なんかちゃんと業務を解き明かそうっていうのをしようとして、役員と要はコーポレット本部長と経理部門の間にコーポレット副本部長っていう立場の人を入れて、
ちょっとその辺を良くしてこうぜっていうのをやろうとしたけど、結局多分上手くいかずに、今回の経理部長の人はなんかめっちゃ多忙になって、給食もし、給食してる間に、
18:11
経理部長がいないの困るから、それに代わる立場の人を入れて、経理副部長とし、まあでも本人はそこには不信感を若干持ちつつも、副職し、いきなりなんかまた経理部長っていう立場で副職し、そっから2ヶ月ぐらい経って今回の詐欺みたいな感じだったので。
いやー、なんかきついね。すごい怒るべくして起こしてる感じもあるね。
まあ、そうなんだよね。なんか、だから、うーん、その、なんていうか。
いやその、究極的にはそういう体制面とかの、その不備とかエラーはさ、その、なんか、会社が責任を持って多分見なきゃいけないところな気はしていて、難しいな。
でもなんかその、ハテナもじゃあ、3千4千人の大企業かと言われるとそうじゃないからなんか、まあ、その経緯とか、なんか、そう、そんなもんだよねみたいな気持ちもあるから、難しいね。
そうなんだよ。
うーん、まあ、難しいですね。難しいね。
難しい、難しいで、まあ難しいでしょ。会社さんからになったらたまたまのではないんだが。
うーん。
まあ、なるほどね。
まあ、そういう感じでございました。まあ、経緯がある程度明らかになったので、なんか、まあすっきりもしつつ、怖えなっていう気持ちもありつつ。
うーん、いやー、まじで、そうですね、各位、まあなんかその、関われる立場の人は、たぶん自社のお金回りは見てみてもいいかもしれないですね。
まあ、ちょっとなんか総点検するいい機会なのかなと。
そうだね。
思うので。
うーん、いやー、ありがとうございます。本当に、あの人本当にお疲れ様です。たぶん今も大変だと思うんですけど。
そうね、まだこれから大変、まあ大変なこといっぱい残ってると思うんだけど。
うん、そうだね。
お疲れ様でした。
はい、僕はジャンププラスとても愛用してるんで、頑張ってほしいっす。
お世話になってるんで、ハテナ社の。
はい。
あ、そうなんだ。そうなの?
うん、あの、ジャンププラス、あの、ジャンプの漫画アプリは、えっと、ハテナが作ってますね。
あ、そうなんだ。
うん、ジャンプがハテナに依頼してっていう形で。
へー、知らんかったの?
そうそう、そうなんだ。だからなんか、あれっすよ、ある時にそのアップデート、結構メジャーアップデートで、
あの、漫画リーダーが早くなったりしたんだけど、そういうのもハテナの中の人が頑張ってるみたいですよ。
知らなかった、全然知らなかった。
21:01
えー。
そう、なんでね、ちょっと頑張ってほしいっすね。
うん。
いい会社だと思うんで。
ジャンププラスなくなっちゃうのは困るなー、確かにそう言われてるんだけど。
なくなるか、別のとこが引き続くか。
いや、いいよ、ハテナで、ハテナが続いて頑張ってくださいよ。
うーん、頼む。
はい。
じゃあ、そんな感じで次いきますか。
はい、いきましょう。
えーと、ちょっと待って、ブラザーで開いたら日本語の記事になっちゃったんだけど。
えーと、ちょっとタイトルはなんか今混乱してるので、そのままちょっと違約したものをそのまま読んじゃうんだけど。
はい。
オープンAIと、えーと、ハギングフェイス。
はい。
の、なんだ、ハギングフェイスか。
オープンAIがモデルの検証中にハギングフェイスに勝手にこう、なんかハッキングしに行っちゃったよっていうやつで連携しますよっていう記事。
オープンAI側のなんかお知らせの記事みたいなやつですかね。
うん。
はい。で、えーと、どういうインシデントが起きましたよっていうのを、なんかあのさらっと紹介してくれてるような記事ですね。
うん。
で、えーと、もう若干なんか記憶があやふやなんだけど、えーと、ソータがなんかいい感じにサマリオを書いてくれてるので、読むか。
えーと、オープンAI内部で、なんか多分新しいLLMのモデルとかなのかな、分からんけど、なんかセキュリティの要は、あの、セキュリティ関連の性能評価をするために色々なんか回してて、
えーと、外向きに公開してるようなモデルにあるようなガードレールは無しで、えーと、純粋になんかどこまでやれるのかっていうのを評価してたんで、えーと、その代わりなんかめっちゃサンドブックスの中に閉じ込めたりして、
こう、まあなんていうか悪いことはできないようにしようとしてたんだけど、なんか、あの、なんかベンチマークをえーと、なんか、ベンチマークの結果で測るから、
あー、その、なんだっけ、ベンチマークの、こう、まあなんて言ったんだろう、なんか、まあ、
あれなんですよね、なんかハギングフェイスに、ハギングフェイスってそのAIモデルとかホスティングするサイトだから、その、ハギングフェイス側にその各モデルを、まあなんか色んな指標でベンチマークするみたいなのがあって、多分みんな参考にするようなやつがあって、
で、それの、まあ自分の成績をいじりにいこうとするみたいな挙動をしたみたいな。
ハギングフェイスの本番データベースからテストの回答を直接トリーにいこうとしたっていう風になんか書いてあるね。
で、そのためにサンドボックスを、なんか、結構かなり時間をかけてたら、かかったらしいんだけど、かなり時間かけて、自力で脱出しちゃって、で、
で、無事ハギングフェイスに辿り着いて、で、ハギングフェイスの脆弱性も特定済みだったんで、まあそれ使って内部侵入して、
で、ハギングフェイス側が、なんかインシデント発生しましたってお知らせ出したら、ああ、なんかこのオープンAI、うちですよみたいな感じで連携するみたいな感じの話ですね。
はい。うん、めちゃくちゃ面白い。面白いんだけどさ、その、いやー。
24:04
いやー、あかんでしょって。
いやでもさ、なんか、いやー、まあそうね、でも時代だなーって感じだね。
まあ、うん。
これなんか地上版ニュースで取り上げられてたの。
そうなんだ。
そう、あのその、なんか、なんだっけな、ちょっとキャッチーなね、見出し、なんかAIが、なんか、自立AIが勝手に攻撃みたいな、そういうキャッチーなニュースで、それをキャプチャーしてるツイートをどっかで見たんですけど。
まあ割と、そうだね、今時だね。
いやー、ハギングヘイス側もまあ、なんかちょっと、個人的に勝手に思い乗ってるんだ、このオープンAIの記事がなんかあんま、なんかごめんなさい感なくて。
ごめんなさいトーンがないのはね、確かにちょっとおもろいよね。
ちょっとね、いいの?って結構思ってるんだけど。
いやー、だってこれ、実写サービスでこれやられたらハッてなると思うんだけど。
まあね、なるね。
いじったデータとかもね、別に大したことないならいいけど。
いやー、おもろいっすよね。
なんか、GBT5.6か。
なんか、まあミートスオートなんじゃないかみたいなやつを多分動かしたと思うんで。
なんというか、ねえ、AI閉じ込め職人みたいなのがもう必要になっちゃうのかな。
まあ、ちょっと何にも出てこないな。
なんか、その、なんていうか、こう、いやー。
でもさ、結局その、サンドボックスバイパスがありましたよっていうある種の脆弱性だったわけじゃん。
なんか脆弱性のない環境をAIに渡さないといけないみたいなのが、なんかやっぱ必要だよねっていう話なのかなと思いつつ。
じゃあそれを担保するのってどうやるの?みたいな話もあるし。
確かにね。
なんか、コードに自立的なそのAIだった場合ってさ、なんかもはやさ、ここまでやられるとさ、
そのサンドボックスバイパスの脆弱性をさ、見つけなかったことにしそうじゃん。ここまでやる。
そうだねー。
なんか、どうすんのかなーって感じだけどね。
かといってインターネットソフト切ったらいろんなツール取りにいけなくなっちゃうもんね。
でもそれで言うと今回インターネットのそのソフトは多分めちゃくちゃ落としてたんじゃなかったっけ?
あ、そうなんだ。
確か。
なのにいけちゃったんだね。
でもそうオープンなインターネットアクセスはやっぱなしで動かしてて、
で、まずオープンなインターネットアクセスを得るためにめちゃくちゃ頑張ってたんだよね。
27:03
なるほどね。
なんかこの、だからペンテスターAIみたいなのを監視するAIみたいなのが必要なのかもしんないな。
なんか悪いことしてますよね。
そうねー。でもなんかそいつとさ、そのペンテスターAIが仲良くしない保証がやっぱないんだよな。
まあ、そうねー。
だからそこは多分決定的なアルゴリズムで監視をするしかない気がするなー。
まあ確かにね。それはそうかもね。
いやー、おもろいっすねー。ひやひやしただろうなオープンに。
ハギングフェイスがブチゲーって言ったらどうするつもりだったの?
あれだね、そのAIモデル提供するホスティングサービスだから理解が比較的ややすいのかな。
多少ね、まあそういうこともあるよねっていう感じだったのかな。
めちゃおもろいな、なんかその感じで話してるの。
いやー、ちょっと優秀すぎてすみません。
ホントかよ、ホントかよって感じだけど。
いやー、未来が感じられますねーみたいな感じなのかな。
どうなんだろうね。
まあ普通に仲の人で知り合いいっぱいいそうだよね、お互いに。
まあね、それはね。
いやー、おもろお気持ちでしたねー。
普通に怖ぇわ、なんか。
なんかその手元にMUTOSレベルのものが来るタイミングが来た時にあんまたにごとじゃないかもしれないね。
なんかディブ環境で動かしてたら、気づいたら本番叩いちゃってぶっ壊すとか。
いやでもさー、このさー、なんか思ったけど、このオープンAIだけがこのガードレールなしのものを直接扱えるみたいな世界になった時にさ、
ものすごい非対称性だよね。
まあそれはそうね。
だからもう今もうすでにそうなっちゃってるよね。
まあなっちゃってるからね。
なんか、そー、それっていいの?みたいなのはちょっと思わんでもねーなー、なんか普通に。
まあでも、流れ的にはさ、そのオープンウェイトモデルみたいな、その誰でもいろいろいじれる高性能のモデルみたいなのがポコポコポコ出てきて、
で、基本的にはまあ、そのクローズとかオープンAIの、まあ2,3歩後ろを追っかけてるみたいな形っぽいけど、
まあ2,3歩後ろ追っかけ続けられるってことは、まあまあ、1年後2年後の間には、
実はMITOSみたいなものが誰でもフリーで落として手元で動かせるみたいな世界になる可能性はある気はしてて、
だからなんか、非対称性はその、AI企業が先頭走ってる限りは埋まらないものの、なんていうか、一定のなんだろうな、
だからセキュリティ文明における攻撃能力みたいな非対称性は、なんか嫌でも解消されちゃうんじゃないかなって気はしてるんだけどね。
確かに。
時間の問題というか、まただからトークン、お金どれくらいかけるかと、ハーネスのシステムのセンスみたいなところになると思うんだけど。
30:07
確かにね。
いやー、パンドラの箱ですよ。
いやー、早くセキュリティエンジニアのお仕事なくなんねえかな。
そうねー、なくなるかなー。なくなる部分もいっぱいあるだろうけど。
今んとこ増えこそすれ減ってないよね。腹立つなー。
減ってないかもねー。
減らすのに努力がいるフェーズだよね。
減らすことは、他社事例を見てるとできないことはないんだろうけど、結構多大な努力を投資しないと。
でもなんか減ってないんじゃない?
今までさ、限界を超えてたからさ、見ることができてなかった部分まで見ることができるようになりました。
やれるようになりました、多分大半でさ。
減ってないような気もするけどね。
減ってるけど、別にAがあっても追いついてないって感じ。
それはそうだね。
それが一番しっくりかかるね。
本当に良くなったのかみたいな部分はやっぱなんか、ちゃんと見たいけど、良くはなってる気はするしなー。
なんかでも、いやー、むずいな。
いや、ちょっと過渡期だよね。
なんか見つけるのと、守る側の、守る側が今ちょっと追いついてる感じが気持ちするから。
大変な時代ですよ。
頑張りましょう。
頑張っていきましょう。
そんなセキュリティモデルの話がまたさらっとですけど、続きして。
イントロデューシングGemini 3.5 Flash Fiberっていう、
DeepMind、GoogleのDeepMindっていう多分、
LLM研究、AI研究関連のブログの記事ですね。
これ合わせて別の、
Now in Preview, Find and Fix Software Vulnerabilities with Codemenだってやつも、
ちょっと続けて紹介しちゃいたいんですけど、
このGemini 3.5 Flash Fiberは何かっていうと、
新しいサイバーセキュリティモデルを作りましたよって話で、
これは何かっていうと、
ものとしてはMUTOSとかと一緒で、
サイバーセキュリティに特化したモデルですと。
ただ結構MUTOSとかGPTKと違って面白いのは、
軽量で安く使えるようになる、
してるっていうのが特徴としてあるらしくて、
その代わり、
想定利用としては大量に並列とかでガガガッと動かして、
結果をうまいこと掛け合わせて、
MUTOSとかと同じような成果を出すっていうことができますよっていうことが書いてあるっていう感じですね。
33:04
MUTOSとかと一緒で、
特定の限定されたパートナーとか政府機関しかまだ使えない状態で、
将来的にどんなのかちょっと謎なんですけど、
Google社内でも既にこれを使い回していて、
各サービスで成果を出していますよっていう部分と、
さっき続けて紹介していったCodeMenderっていう、
これも多分プライベートベータなのか分かるんですけど、
新しくセキュリティの脆弱性を見つけるようなサービスを出したんですけど、
そっちの裏側でもこいつが大量に動いてるよっていう話が書いてあるって感じですね。
CodeMenderのほうも続けて紹介しちゃうと、
超ざっくり言うと脆弱性を見つけてくれるAIアジェントサービスっていう感じで、
結構いいのが、
例えばソースコード、リポジトリ連携して、
このリポジトリ脆弱性見つけてって言って、
フリーテキストで出してくるみたいなものっていうよりかは、
結構開発プロセスに部分的に組み込みやすくしてますよってことを言ってて、
具体的にどうなのかっていう部分はあんまりちょっと言及がないかったので、
使ってみないと分かんない部分もあるんですけど、
具体例としてはVS Codeとか、
IDEとかでサクッと動かせるようにしたりとか、
それに多分メタデータとかがいい感じに取れたりするのかな、
ちょっと何ともなんですけど、
そういう部分に統合できるようにしてますよみたいな話と、
あと、GoogleはWith買収して久しいですけど、
そのWithに見つけたデータとかを流し込んで、
With上でいい感じにできるらしくて、
この辺は初めてWith買収の意味というか、
連携してきたなみたいな部分をちょっと紹介という感じですね。
コードメンダーは使えるのかな、
個人でサクッと使えなさそうだなと思った記憶だけあるんですけど、
そうだね、セールスに連絡しないと使えなさそうなんで、
エンプラ向けなのかなという感じですけど、
この裏側ではさっき紹介したFlashサイバーが、
ポコポコちっちゃくいっぱい立ち上がって、
安く回ってるらしいという感じですね。
なんか面白いね、ちょっと我が道を行く感じで。
そうだね、だいぶ前に結構、
クローズでセキュリティ、サーバーセキュリティモデルで、
めちゃくちゃ複雑なゼロで見つけたよみたいな記事とかあった気がするけど、
それを落とさせない間にこんなものも出てきて、
結構いろいろ試した末に、サービス化してるぐらいだから結構成果出てるのかもなという感じ。
個人的には前段のオーケストレーションみたいなのを
36:03
ちゃんとしなきゃいけないんだろうけど、安く回すたほうが普通に、
継続的にセキュリティ評価をするっていうのは明らかに有意義な気がするから、
こういう方面の進化も大歓迎というか、
頑張って競い合ってくれという気持ちになりたいなって。
あれ、なんかでも、
複数回うまいこと起動することでってどういうことなんだろうね。
なんかハーネスっぽくなってるのかなって気がするけどね、課題をちっちゃくしてちっちゃくして、
小さいって言ってもどれぐらいなのかは本当に全然わかんないというか、多分。
モデルも公開してないしコードメンナーの裏側も見れるわけじゃないと思うから、
Googleのみと知るっていう状態だと思うんだけど、
なんか個人的に勝手にイメージしてたのは、
MITOSにこの、MITOSまでは別にそういう使い方じゃないから、
でもそのなんというか、なんだろうね。
どうなんでしょう。何とも言えんな。
LLM詳しいのか聞いたらもっと想像できるのかもしれないけど。
なんか計算コストが無人像に増えていくっていうところに対して、
早々に手を打ってきてるようなイメージなのかな。
そうかもね。
なんか質のいいハーネスを前段に、要は用途をモデル提供側で絞ってあげて、
質のいいハーネスを前段に置いてあげることによって、
計算コストを下げてあげて、
Google側としてはコストが安くなるから、
安く提供できるのか、あらりが増えるのかわかんないけど、
そういう商業的な何かもあるのかもしれないね。
もしくはそもそもたぶん自分たちでめっちゃ使いたいっていうのがあるから、
あるかもね。
そういう方面で何か最適化された結果になるかもね。
いろいろ試して、普通に素直にバカつく回したら破産するから、
じゃあどうしようっていうんで、これがいいじゃんってなったみたいな。
だから結構な、でかい会社はこういう最適化がどんどん進んでる感じはあるね。
でかい会社ない人はこういうのを提供する会社っていうのは。
今日取り上げなかったんだけど、
エラスティックのSoCのランカルシナルサービスでAI機能があるんだけど、
それも似たような、モデルの話じゃないけど、
単一の課題に対して一つのエージェントでガッと解かせるより、
きちんとバラバラにしてサブエージェントバーって立ち上げた方が、
コスト効率が8倍以上いいみたいな気持ちがあって。
やっぱ何というか、人間と一緒かもね、
個別にやってそれぞれ解いてもらった方が早いし安く済むみたいな感じはもしれないけど。
39:01
そういう最適化ってやっぱサービスを提供したり自分たちで使い込むから、
進んでいく部分である気がするから。
操られるところは操りたいところですね。
楽しみですね、普通に。
早く使えるといいけど。
そうだね。
でも今のところジェミニにあんまり良い印象がないんだよな。
ジェミニはお札入れないと動かないくんなのかな。
そういうこと?
わかんないけど。
その説はありそうだけど。
モデル批評家たちは確かにジェミニ馬鹿にしてるやつを見た気がせんでもないけど。
ジェミニCLI使ってる人とかもあんまり見かけないよな。
あんまりそうだね。DNAのSREのブログで1回登場してた気がするけど。
あ、そうなんだ。
でもそんなには。
クロードとコーデックスがシェアが強すぎてな。
そんな感じです。
ありがとうございます。
じゃあ次はもうAIばっかで胸焼けしてしまうかもしれないですが、
さらっと話せばなって感じで。
クオリスのブログでマニュアルパッチングキャンと
オートターンAIオートメディティリミデーションキャンという記事ですね。
何かって言うと、言ってしまえばクオリスの紹介で、
クオリスの機能の紹介なんですけど、
その機能の部分でちょっとだけ雑談したいなと思って取り上げてて。
どういう機能の紹介をしてるかっていうと、
前提としてAIが今パッチ見つけまくってCVEボンボンボンボン出てきていて、
CVEじゃなくても自社の全着線を見つけていく中で、
それに対して手動で間に合わせるのはぶっちゃけ無理だよねみたいな話があって、
そこに対してクオリスの機能を使うとパッチを自動で当てますよというのと、
自動で当てるときに、そのパッチ当てたときに壊れる可能性、
アプリケーションへの影響みたいなのをスコアとして可視化して、
ポチポチ安全に自動でプレイできるようにしますよみたいな。
めちゃくちゃざっくり言うとそういう機能を提供してるよっていう紹介記事って感じですね。
で、思ったのはこのパッチを当てるときの安全性スコアみたいなのは、
普通にパクりたいなと思って。
意外とやってる、どうなんだろうね。
二度目と自動取り味ぐらいはやってる会社多い気はするんだけど、
けどプロダクトによっては自動マージはどう挙げてもリスクがあるみたいな。
事業上とかプロダクト上の理由であるっていうので、
最終的に人間がマージボタンをポチポチと押してもらわなきゃいけないみたいな、
世界観とか全然残ってると思ってて。
42:01
そこに対していろんなアプローチがあるけど、
例えばもう99.9%なんも起きないですよみたいなパッチを全部まとめてPRにしてとか、
ちょっと動作確認した方がいいかみたいなものと、
リスク小中大ぐらいでプリコ立てるとか、
普通にアイディアとしてやりそうだし、
自前で普通にAI組んで全然できそうだなっていうのを思って。
クオリスさん的にはこれ読んだなら使えよって思っちゃうかもしれないですけど、
普通にアイディアとしてはなるほどなって素直に思いましたっていう感じです。
良くないですか?そんなに良くないかな。
分からん。いまいち動作イメージとか。
動画とか見れば分かるのかもしれないけど。
ぶっちゃけこの機能はどうでもよくて、
リベンダーボットの自動取り味とかでよく、
AIに長々と文章書かせるやつはあるじゃん。
このパッチは安全です、こういう理由で、
ここでこういう風にしか使われてないからみたいな。
ああいうの全部読んでもいいけど多分もう追いつかないから、
普通にもう、メタデートとしては多分あってもいいんだけど、
いけますいけませんぐらいでいいよなみたいな。
で、いけますはもうポツポツ押していって、
世界にしないと追いつかなくなる気はするから、
運用してみたら色々課題出るんだろうけど。
そうやらざるを得ないというか、
そういう時代になってる気もするなっていう。
まあいいや、長々となっちゃいそうだから。
まあいっか。
どっちかというとこれ、プロダクト、
いやーわかんないな、ちょっとクオリティだから
あらゆるものが入ってそうな気はするんだけど、
画像を見ると、スクショを見ると、
エンドポイントのソフトウェアが中心なのかな、きっと。
ああ、確かに、ファイアウェアとかスクールクロームとか。
だからプロダクトとそれ以外でやっぱ分かれるよなという気もするし、
プロダクトの話をするんだったら、
今の相談の話ってプロダクトの話を結構念頭に置いてた気がするんだけど、
プロダクトの話をするんだったら、
どっちかというとパッチの、
パッチが安全であるっていう前提は置いといて、
安全であるっていう前提は、それはもう先に立てとくとして、
なんて言ったらいいんだろう、
それを当てて大丈夫かどうかは、
45:00
どっちかというと自動テストとかで担保する方が筋は良いような気がしていて、
パッチそのものの影響範囲をどうこうするよりは、
単純に当てても同じ振る舞いをするかどうかっていうのを担保する方が、
筋は良いような気がするなとは思わんでもない。
エンドポイントとか、
分かんねえな、場合によってサーバーのOSとかも入ってくるのかな、
分からんけど、この場合は、クオリティの場合は、
そういうところは正直なんとも言えないな、
そういうところこそでも確かに上げて大丈夫なのかみたいなのは、
いきそうな気はするよな。
そうなると今度ブラックボックスの部分が多いような気がしていて、
例えばだけで、MSのこの日に配布されたパッチって、
うちの環境で配布しても大丈夫って聞かれても、
多分、Windowsの中身は分かんないっすわーってなっちゃうような気がするしさ、
どっちかっていうと当てた環境を用意して、
そこで何も問題が起きてないかをどう担保するかみたいな話になっちゃうかな、
もしやるとしたら。
多分これクオリティが実際にやってるのもどっちかっていうと、
当てた結果どこかで何かが壊れてないかっていうのをウォッチして、
世の中で大丈夫そうかっていうのをウォッチして、
信頼性を教えてくれるよっていうアプローチっぽいじゃん。
なるほどね。
読む限り。
確かに。
Xを見張ってる君を勝手にクオリティがやってくれてるよっていうだけでしょ。
詰まるところ。
なるほどね。
そういうやつなのかな。
って読めたけどね。
自動テストね。
自動テスト、
現実には担保できる自動テストがないっていうパターンもあるから、
そこまで込みでなかったらそれもセットに追加させて、
それは人間レビューさせるとか。
そんなんがいいのかな。
これがいいのかどうかはちょっと正直何とも言えないけど、
パッチのその信頼性みたいなのはアイディアとしてはそれはいいんじゃないとは思いつつ、
思いつつ、でもパッチを提供する側で担保しろよと思うけどな、それで言うと。
普通に。
そこは現実。
でも物にもよるから正直何とも言えないけど、
そんな使い方してると思ってなかったわみたいなケースも普通にあるんだろうし、
永遠に埋まらない溝なのかもしれないけれども。
セムバーを守ってないパッケージがある時点で破綻してると思ってるから。
48:02
そうだね。
それで言うとこの辺セムバー守ってますかみたいなのは欲しいかもね。
あとセムバー守ってるけど入れちゃいましたとかもあるから、ブレイキングチェンジも。
ちゃんと見るならもうパッチの内容見るしかないとは思う。
でもそれもOSS前提じゃん。
まあそうね、それはそう。
Windowsアップデートの中身は見えないわけだからさ。
Windowsはそうだね、エンドポイントは全然違う気がするね。
確かに。
反射で飛びついちゃいましたけど。
まあだからちょっと視野を広げるとなかなか難しいし、
強力性が多分アプローチしようとしてるところは
プロダクトのその要はOSSのコンポーネントで構成されてる
アプリケーションのみたいな話じゃなさそうな感じがしますね。
理解しました。
ありがとうございます。
はい、そんな感じですか。
助かります。
じゃあ次行きますか。
はい、行きましょう。
さららっと感じですけど、ちょっと知見系って感じですけど。
セキュアなコンテナイメージを作ろう。
CVフリーコンテナイメージ、匠イメージ図の概要と裏話。
Flat Securityのヨネツさんのスライドですね。
オンラインの勉強会なんかがあったんですかね。
話としては匠イメージ図っていうご存じの方はご存じかもしれないんですけど、
CVゼロイメージって呼ばれる。
最近DockerとかChainGuardとかWizとかも出してますけど、
ハーデンのイメージみたいな名前で出てたりしますけど、
CVゼロイメージ、取り入れスキャンしてもCVが出ないっていうイメージを
匠イメージ図っていう名前で提供し始めてるんですけど、
それの裏話、どういうふうに実装、実現してるのかっていうのを紹介してる記事ですね。
なので割とサービス宣伝色というよりかは、
結構裏側の話を割といろいろ書いてくれてるって感じです。
結構CVゼロイメージいろいろ出てから割と各社ポンポン出してきて、
日本でもとうとうっていうところで出たなと思いつつ、
裏側はどう作ってるのか知らなかったんで、
興味深く読ませてもらったんですけど、
コナミ感としてはめちゃくちゃ大変だなっていうところと、
いろいろな努力と工夫を重ねてるんだなっていうふうに感じましたっていう感じで、
具体的には、
CVゼロにするのって普通にやると結構難しすぎるというか、
51:00
よくみんなが使うようなフロム分寸たらとかに
トリビス検をかけた方がいればわかると思うんですけど、
めちゃくちゃ膨大なCVがバーって出てきて、
それをなくしていくっていうのは、
一個一個なくすのは結構無理があるんですよね。
なのでそれをどう実現していくかって話なんですけど、
まず一つ目としては、
そもそもベースのイメージをちっちゃくしましょうって話で、
入ってるソフトウェアとかミドルウェアを減らせば、
そいつらに関わるCVはめちゃくちゃ減ってくんで、
もうひたすらちっちゃくするっていうのがまず1ステップ目。
で、2ステップ目が、
その上で残ったCVみたいな部分に対して、
一個一個ひたすらレビューをするっていう。
なのでもうこの時点でめちゃくちゃ大変なニュースがするんですけど、
ここの部分は今だとAIのレビューとかで機械的にやったりとか、
当てられるパッチャー当てたりみたいなことをひたすらやりますと。
で、3つ目が、
そうして作り上げたイメージをビルドするっていう部分なんですけど、
できるだけ安全にビルドしなきゃいけないんで、
隔離された環境できちんとビルドをするとか、
また再現可能ビルドっていうふうに書いてあるんですけど、
同じ入力で2回ビルドして、
成果物のハッシュが2回とも同じかどうかっていうのをきちんと見るみたいなのを見ていて、
なのでたぶんビルドのプロセスで動的なもので
イメージが変わっちゃうみたいなことを防ぐみたいな意味合いだと思うんですけど、
そういう部分も検証してデリバリーしてますよっていう部分が紹介されてましたという感じですね。
今何イメージだっけな。
36イメージか。
36イメージを公開中で徐々に拡大提供、要望に合わせて拡大していくよってことを書いてるんですけど、
36イメージに対してこれを結構自動化してるんでしょうけど、
結構大変なことをしてるんだなっていうのを思いました。
何だっけ、Dockerのあれの時も何か言ってたよね。
なんかだいぶ泥臭いっていう話を何かしてた。
そうだね。
私、どこの会社とは言えないんですけど、
ハーデンのイメージのお値段を仕事で聞いたことあるんですけど、
結構な値段がしていて、今はどうかわかんないですけどね。
当時は結構な値段していて、
この辺のスライド見ると、
この辺真剣に投資したらコストはかかるわなっていう部分はちょっと思ったりはしたって感じですね。
あとはごめん、Nixって個人的に全然追いかけてなかったんだけど、
結構いろいろできるんだね、これは。
そうだね、僕も全然勉強できてないですけど、
何かでNixに出会ったんだよな。
結構細かい技術的な要素というか、
54:05
ツールとかもこんなのあるんだなっていうのが結構面白かったですね。
OpenBEXとかは僕知らなくて、
へーって感じ。
なるほどね。難しいな。
ちょっと学習コスト高そうに見えてしまうけど、どうなんだろうね。
そうだね。
あとは恥ずかしながら、なるほどなって思ったのは、
ハーディのイメージ系って全部フロームの後に一行書き換えればすぐ使えるみたいなものではあるんだけど、
ちゃんとCV0というか、
Maliciousのものが入ってないことを確認したいのであれば、
自分たちが引っ張ってきたイメージとOpenBEXとか、
ビルドのプロセスみたいなのを別途で公開してくれるとか、
それをきちんと付け合わせて検証しなきゃいけないっていう、
その部分は利用者の責務だよっていうことが書いてあって、
それは確かにいいと思って。
その辺まできちんとしっかりやれてますよみたいな。
やってるのかな。みんな各社ちゃんとやってるとかやってると思うんですけど。
自分が取り組むのとしたらこの辺は忘れずに覚えておかなきゃなって思ったりしましたね。
なかなかっすよね。
安全に、安全なイメージを安全に使うことの難しさというか。
これ見ると匠イメージですもん。どうなんだろう。今、
プルは無料なんだ。
プルは無料、プル以外って何かあるっけ。
分かんない。
分かんない。
プルは無料だけど、プル以外は何かあるのかな。
プッシュできるわけじゃないしね。
そうかね。
まあまあどっかでは多分有料化というか収益化するんだと。
どっかイメージで、どっかとかはなんか、
迅速なCVサポートに対して値段をつけてて、それが不要なら無料って形になってた気がする。
だからそういうのあると、それに合わせたら終えないから結構大変かもね。
基本は無料だけど。
ごめんマジ全然関係ないんだけど、このたくみファミリーのこのサービスたちの
マネタイズってちゃんとできてるのかな。
まあ分かんないっすね。
ね、なんか結構課金体系とか見ててもさ、だいぶなんだろう、感覚的にはなんかお安い感じをするんだけど、
どうなんすかね。
57:01
まあ分かんない、ほんと推測でしかないけど、サビ製図としてはなんていうか、
赤掘って頑張ろうみたいな感じ。
感じなのかな。
その代わり診断、マニュアルの診断とかでなんかカバーしてんのかな。
かもね、また全チームグループだからそのある程度はね、投資はできる環境にありそうというか。
結構たくみ…
別に今のこの価格体系のまんまさ、進んでいってもさ、割と自利品だろうなと思うんだけど、
それこそどっかのハーデンのイメージとかさ、あるわけで。
知名度とかから言っても、そこをこうめちゃくちゃ大きく買いに行けるかというと、
まあ道のりは長そうだなって思うし。
なんか結構、今たくみブランドでいろいろ出してるから、
そこに寄せていくと、いろいろいい感じに世界になるよねみたいな世界にしたいのかなって気は勝手にしてて。
ワンストップなサービスは作りたいんだろうね。
なんかどれかでそのきちんと収益化するとか、
あとはそうだな、どれかが途中で有料化するとかなんじゃないかなって気はするけど。
たくみガードとか多分どう考えてもアカシーだと思うから、トラフィック量的には。
そういう部分もなんかその、どうにかするんじゃないかなとは思うけどね。
まあという別に大きなお世話かもしんないんだけど、
どうなるかなーってちょっと思ってしまいまして。
ソケットセキュリティとかはたくみガード相当のものがあっちは無料だったりするから、
そういう部分に倣ってなんかしたりするかもね。
いやーでも、そうね、エンプラ向けに結構めっちゃお金かかるけど、
めっちゃリッチなことができるとかを提供するとかは全然ある気はするけどな。
例えばなんかプライベートレジストリで同じことしたいですとか言われたらさ、結構。
じゃあなんかこういうサービスをみたいな話とか、なんか需要はある気はするし。
わかんないですけどね。
そうね。
まあでも何にせよ応援したい所存ではありますね。
はい。
ありがとうございます。
じゃあ本日最後かつめっちゃサラッとなんですけど、
あ、これね。
はい。
Exploitation in the world of WP2CLというWizの記事ですね。
まあ、あんま、いやちゃんと、まあちゃんとですか。
これ逆どういう静寂性あったんですか。
あのー、ちゃんと見てないな。
そこを抜きに語り始めようと。
はい、大丈夫です。
はい、じゃあ行きましょう。
いや、もうめっちゃ注意喚起ぐらいの気持ちで見てたんですけど、すいません。
いや大丈夫です、全然大丈夫です。
ちょっとプロ意識足りないから。
いやいや別にいいけど。
はい、あのWP2CLって呼ばれてる、コードネームが付いてる、
1:00:00
ワードプレイスのコアですね。
なんで本体の脆弱性が見つかりましたよって話で。
で、これ結構やばい脆弱性で、何がやばいかっていうと、
未認証の状態でもシェルまで取れる。
ワードプレイスがホスティングされてるとこに
Webシェル置くところまで行けちゃうっていう脆弱性で、
で、中身としてはCPU2つ組み合わせらしいんですけど、
まあ今言った通りそのめっちゃ具体的には見てないです。
はい、ただまあめちゃくちゃ危ないっていうところですね。
で、もうケブにも乗ったのかな?
ケブにも乗ったり、各社危ねえぞって言ったり。
で、対応方法としてはパッチン当てましょうになるんですけど、
まあいかんせんその全世界で使われてるもんなので、
なかなかインパクトが大きいですよみたいな部分がありますって感じですね。
で、紹介記事から省いたけど、
クラウドフレイヤーとかリアクトツーシェルと同じように、
まあこれに対する攻撃をブロック、
クラウドフレイヤーでホスティングしてるやつは全部勝手にブロックするよっていうのを出したりしてて、
まあなんで割とインパクトでかいんで、
皆さんもし見たようであれば対応してくださいって感じですね。
中身としては何なんだろうな。
一応GPTを使って、
セキュリティ研究者が見つけたみたいな感じっぽいですね。
いやー、なんか、はい。
あまりにも別にワードプレスが日常生活に登場しなすぎて、
なんか全然興味を持ってなかったですけど。
そうだね。
紹介するかちょっと迷ったけど、
セキュリティポッドキャストでこれに触れないのもあれかなっていう気持ちで。
まあね、そうですね。
それはそう。
ピエログの方で今見てますけど、
REST APIのバッチリにおいてサブリクエストと対応するルートハンドルは検証結果の対応換気がずれる不具合と、
WP Queryのauthor.inパラメータに攻撃者が制御可能なスクラッチがあったとされた場合に、
SQL Injectionが所持不具合が確認されたと。
読んでもよく分かんないな。
ワードプレスの仕組みが分からんと。
バッチリ、なんかどっかで見たな。
一つ目の不具合を使うと、
本来検証、特定のAPIにアクセスするときにされるはずの検証を迂回できるよっていうのと、
それに合わせてSQL Injectionを組み合わせて、
RCができるっていう感じっぽいですね。
大変ですね。
大変ですね、これは。
両方同時に見つけたのかな。
ナンバリング的には近いから、もしかしたらそうなのかもね。
そうかもね。
でもいいですね。
全職制組み合わせてめっちゃクリティカルになるパターン。
1:03:07
皆さん、これを機にワードプレスをやめましょうという過激な発言は控えますが、
対応頑張ってください。
片杉さんがワードプレスの記事書いてたな。
そうかも。
ヘッドレスモードで使うといいみたいな。
ちゃんと紹介するか。
雑なことと全然違ったのがあれなんですけど。
確かね。
マネージドサービスかヘッドレスマシンかって。
今回何、ヘッドレスだったら大丈夫だったの?
どうなんだろうね。
そんなこともなさそうな気がするけどね。
独自開発な。
ワードプレスを内部、イントラにおいて、
一般公開サイトは別に作って、
公開サイトからアクセス適用にするみたいなことが書いてある。
実情のSSGを挟むみたいな構成だね。
そうだね。
昔は流行ってたね。
今も流行ってるかもしれないけど。
SSG的に一段挟みましょうみたいな結構流行ってて適用する、確かに。
こんなちゃんとしたことできるんだったら、
多分ワードプレス運用した人はいないと思うから。
あえてワードプレスじゃないとダメっていうのは、
CMSとして見たときに管理画面が使いやすいみたいな話はあるのかな。
もしかするとね。
そうね。
イエンジニア向けにも。
確かにマネージドね。
セルフホストはね、きついよね。
たまに未だに見るもんな。
検索してアクセスしたら上の方にワードプレスのPHPタグでエラーメッセージが出てるみたいな。
それは確かにちょこちょこあるね。
最近出会えてなかったけど。
マネージドなら安全なのかな。
どうなんだろうね。
サービスごとによるかもね。
SLAとかがもしあるんだったらパッチ当て何時間以内にやってくれるとか。
土日とかにあっても安全とか、気づけなくても安全とかはあるかもしれない。
確かにね。
正しくはあるが。
エクスプレートが出るのがどれぐらい早かったかちょっとわかんないけど、
基本的にはリアクティティシアがめっちゃ早かったんだよな。
全世界の脆弱なやつが30分以内に全部一気に攻撃されるわけではないとは思うから。
なんかさ、
まあいいや。
PHPというもの自体が2コード実行に繋がりやすいじゃん。
1:06:04
アーキテクチャって。
そうだね。
でも僕は言ったことある気がするけど、
WordPressのアーキテクチャが悪いと思う。
WordPressはどうなんだろう。
PHPで作ってる限りどうやっても無理な気がするんだよな。
だってPHPファイル置いたら即2コード実行なんだよ。
別にそれだけじゃない、ちゃあそれだけじゃないけどさ。
きついよね。
でもWordPressのアーキテクチャが悪いよ。
あまりにだよ、WordPressは。
なんていうか、
まあモダンなやつだったらそんなに、
モダンなやつをちゃんと正しく使えば別にそんな、
どうなんでしょうね。
だっておかしいもん、接着性の量が。
明らかに同じPHP製品でもなんかマジで、
まあいいや、別にPHP用語も推しでもなんでもないんですけど。
昔WordPressのコードを読んで発狂したことがあるんで。
恨みつらみがね。
そう、なんかもう魔境でしかない。
今日はそんな感じですか。
そんな感じですね。
まあ平和だったのか平和じゃなかったのかよくわかんないですが、
夏も暑いんでね、プール入ったり、
なんかしたりして皆さん、暑さに対抗してください。
ノリの同友。
子供がいるとね、もうプールが第一早期に出てくるようになってしまう。
あ、そうなんだ。
なるほどね。
その日の保育園でプールがあるかないかで、
子供のね、満足度が変わってくるんで。
ああ、そうだった。
今大好きなおじさんになってしまうんですね。
今すごくてさ、雨降ってたらプールは無しだってわかるじゃん。
今暑すぎてプール無しなんですよ。
そうだね。俺らの時はさ、なんか大体結構入りたいけど寒くってダメですって日が多かった。
ああ、そうだね。
熱中症アラート出てたらアウトだから、結構入れなくて。
大変だね。
めっちゃ朝早くなるんだけどね。
はい、まあまあ。
屋内プールじゃないとやってらんねえって世界になってくんだろうな。
結局体育とかも屋内じゃないと無理ですって。
なんなら屋内の方が暑いですみたいな感じになったりするのかな、下手すと。
屋内のその、冷房なし体感はもう冷房つけないと無理みたいな感じ。
そうだよね。
寒いので。
1:09:01
はい。
まあ、そういう感じでみなさんお気をつけください。
じゃあ、そんとこっすかね。
はい。
次回ゾロ目99回、そして100回を向けて。
いやー、100回記念楽しみだな。
100回記念パーティーやんなきゃな。
やるか、やりましょうか。
家でやるわ。
各自ね。
うん、各自でね。
はい。
三つとでも書いてください。
各自、各自でやって感想だけ持ち寄ろう。
あ、いいね。それでいこう。
うん。
はい、じゃあそんな感じで次回はみなさんお楽しみにしてください。
はい。
さよなら。
おやすみなさい。
おやすみなさい。
