00:00
こんばんは、Replay.fm第109回です。 こんばんは。
こんばんは。 はい。109回。 109回。
煩悩を超えて。 いやー。
煩悩の数が108個ってあれ何なの? なんか今ふと思ったんだけど。
108種類あるってこと? 知らない。 知らない。
急に思ったんだけど。 マジ知らない。 マジ知らない。
108、なぜ?
あ、でも108種類。 仏教において。
いろんな変数書き合わせると108種類。
へー。 なんか、面白いな。
こういうの誰が決めて、だってさ、 100年残ってるわけでしょ。
100年先のさ、 なんかハイテクノロジーな
ポッドキャストで触れられるような値を。
なんかノリで決めたら広まっちゃったとかありそうでちょっと。
ドマンがある。
まあ、いくらでもそういう可能性はありそうな気はするけどね。
意外とそういうものシリーズみたいなのがありそう。
ノリで決まったらここまで来ちゃったとか。
はい、まあそんな感じ。
まあ、ぼちぼち世間を探せよニュースも多いんで
いきましょうって感じなんですけど、 お便りが1つ来ておりますんで読み上げます。
はい、いつもありがとうございます。 サイルロスさんですね。
前回の多分コメントだと思うんですけど、
ストライドは切り口として分かりやすいですね。
これにシステム括弧ソフト含む括弧都市の認証認可、 データ保持、データ加工、
外部接続、クラウド基盤利用などを掛け合わせて、
インシデント情報はノーションベースで拾って、
CISを向け月次レポのネタに使ってましたが、
網広げすぎて1年で終了しました。
つくんたらいいんですかね。
網広げすぎて、ちょっと分からんけど、
実際の課題、具体的な課題がどういう感じだったのか、
ちょっと分かんないけど、多分細かすぎたんじゃないかな。
掛け合わせてってことは、
ストライドかける、
データ加工におけるストライド、
7個の観点、外部接続における7個の観点みたいな感じで、
それにさらにインシデント情報を掛け合わせたって感じなのかな。
確かに。
今だったらクラウドに掛かせてとかあるけど、
でもレポートすること考えると、
結局レビューは必要だし、
どれぐらいの流度で済ませるかって結構…
結局アクショナブルな
アラートが上げられるかどうかっていう話に尽きるような気はしていて。
意外とさ、
別にレポート先はCSOでも社内でも、社内法でも、経営でもいいんだけどさ、
世の状況のレポーティングみたいな話って、
03:00
ブログ記事とかあんま見ないよね。
書籍ではめっちゃ見たことあるんだけど、
書籍読んで毎回思うのが、
グループ連結1万人の会社だったらこんな感じだろうなみたいな。
例えば、
教育インテリジェンスのチームがあって、
教育情報用のパブリックな情報も収集するし、
自社に来てる攻撃情報も収集するし、
自社が使ってソフトウェアに混ざるものを収集して、
ガッチャンコした上で、
実際にじゃあうちが直面しぐる教育って何なのかを、
まとめて月次で経営に上げましょうみたいな。
例えばそういう話が本に書いてあったりして、
言ってることは間違ってないんだけど、
じゃあ僕らの会社でそれやるべきかっていうと別にそう、
どう考えても
too muchだし、
課題から考えるって話はあるとは思いつつ、
みんないろんな業態、
規模感の会社で実際こういうのやってるのかなとか、
やってるとしたらどういう話なのかっていうのは結構個人的に、
気になってるんですよねっていう。
ただ感想なんですけど。
そうね。
分かんないね。
すごい雑なあれになっちゃうけど、
分かんないねって感じ。
今言ったからにはうちは何をやってますって後って話かな。
副業先とかは社内法で、
今もやってんのかな、
月次で今月こんな時期あったんで、
こういうの気をつけてねみたいなやったりしてて、
成果とかは聞いてないんで、
効果があるかは。
副業の立場の僕からは。
効果測定はしにくいよね正直。
でもなんかその、
なんだろう、
セキュリティを主に見てる人たちが、
世の中で起きてることをどう見てるのかっていうのを、
伝える場を持つのは結構大事かなと思っていて、
そんな気持ちでやってますね僕は。
確かにな。
それは確かに、
それで言うとなんか予言しに入社前だけど、
でかめのランサム連発したとき、
あったじゃないですか、
アスクルさんとかかな、
の時に、
うちってランサム大丈夫なんだっけみたいな声が、
社内スラックでポツポツ。
みんな心配してそうで、
そこに対して、
スポットで、
ランサムいろいろあるけど、
うちはぶっちゃけ大丈夫ですかみたいなのを、
セキュリティチームメンバー2人でただただ喋る、
でも誰でも聞きに来て、
ポッドキャスト観察企画で聞きに来ていいよってやつをやったりしたんだけど、
あれとかはすごい、
その筆頭でやってよかったなっていうのをちょっと思いました。
なんかその両面ある気はしてて、
みんな意外と大丈夫だと思ってるけど、
いやいや危ないですよってパターンもあるし、
その時は逆だったんだよね。
みんな割と結構怯えてる寄りだったけど、
06:05
まあまあ怯えてもしゃーないって部分もあるし、
ここはうちはできてるから大丈夫だよって部分もあるし、
まあでもここは油断できないよねみたいな、
割と等信頼で伝える場としてはすごい良かった気がします。
確かに。
まあでもお手紙ありがとうございます。
だからか深掘りできそうなテーマな気がする。
そんな感じでいきますか。
いきましょうか。
一緒に読みますか。
お便りはGoogleフォームXのハッシュタグでお待ちしてます。
めっちゃ多いな今日。
めっちゃ多いけど、
俺一つもピックしてないのにちょっと申し訳なくなってきたけど。
いやいや全然。
あんまピンとくる話がないんだよな最近。
これ紹介したいなっていうのが正直あんまなくて。
ちょっと今日は夕方のニュースみたいな記事が多いな。
もう聞き飽きたよみたいなタイトルがいっぱいあった。
ダイブスルーしちゃったな。
そうだね。
いくつかまとめて紹介しちゃおうかなって思ってるんで。
よしなに僕の再配でやりますが。
1個目はそうっすね。
何度目だよって感じですけど。
アンソロピックのエアモデルが米国政府サイトへ
意図しない送信を行っていた事案についてまとめてみた。
ピオログの記事ですね。
ピオログちなみに今日は多分4つぐらい紹介するんですよ。
1つです。
何かっていうともう聞き飽きた系ではあるんですけど、
フロンティアモデルを開発しているアンソロピックの
エアモデルが評価実験中に米国政府サイトに対して
4種類かな。
いくつかサイバー攻撃と言って
差し付かないことをしていたことが判明したよって話ですね。
具体的にはコマンド実行を試みたりとか
フォーム送信をしたりとか
これは攻撃っていうよりかは単純な迷惑多いかなっていう感じなんですけど
また保護最低データに到達したりとかいろいろありましたよと。
これを受けて米国政府側も
怒ってるっていうよりかは対応してるよみたいな感じのスタンスっぽいんだけど
意外とみんな怒らないんだね。
アメリカのそういうあれなの?
AIだからしょうがねえやみたいな感じなんかな。
ちょっと二次情報だから分かんないなっていう部分はあって
もしかしたら一次情報を追うと
怒ってる議員がいるとかはそういうのはありそうな気がするんだけど
少なくとも今時点でアンソロピックに制裁があるとか
そういう話は出てないっぽいって感じかな。
あとは
一つ差分としてでかそうだなと思って
これを紹介するためだけにピックしたと言っても過言じゃないけど
09:00
少なくともアンソロピックはこれを受けて
一旦検証環境でインターネット環境につなぎにいくっていうのを
完全にというか
全部じゃないのか。
でもいくつか撤廃したよっていう話があって
今のところの敗北宣言というか
火星をかけても突破しちゃうからもう隔離しますよって話だと思うんだけど
なかなかもうちょっとね
先週もしょうもなすすぎて紹介しなかったけど
オープンAIがウィキペディアだっけ
攻撃しちゃってみたいな話とか
もうちょっと数が多すぎるし
ぽこぽこ後から
あとなんか大半がね多分ちゃんと調べたら出ました系が多すぎて
基本的にはその
開発企業がもうコントロールできてない
把握できてないっていう現状だから
まあどうなるんでしょうねって言われつつ
まあ政府まで行っちゃうとちょっと
冷や汗だよねっていう感じ
不幸中の幸いなのは多分なんか社会的にインパクトなる
サービスダウンとか
被害にはなってないから
まあまあこれで住んでるという話もあるかなという気はするんだけど
感じですね
今年、まあ今年もあと2ヶ月でおしまいですけど
まあどうなっていくんでしょうっていう気持ちで
生ぬるく僕は見てますっていう感じです
え、今年はあと2ヶ月でおしまいなんですか
どこ上放送かそれ
中旬1、あ、3ヶ月か
はい3ヶ月
まさかの展開
逆になんか
間違えちゃった
もう残り2ヶ月なんですねの話をしようと思ったら
なんか本当に間違えたね
ちょっと面白いからやめてほしいね
普通になんか
間違えたわ
植木山ができない男になってた
12-10は2かみたいな
植木山懐かしい
まあ厳密に植木山じゃないんだが
10月今5日なんで
13か13だから
まあまあ2ヶ月半くらいかな
まあもう大丈夫です
13月は来るんで心配しないでください皆さん
大丈夫です
何の話や
じゃあ次ですね
これもうね3つまとめて話しちゃおうかなって感じなんですけど
えーと
国内であいつが不正アクセスに対する注意喚起についてまとめてみた
ピオログの記事ですね
まあなんかもう
僕気持ちを無にしたい時によくYouTubeアプリを開いて
脳死でスクロールするんですけど
国内のテレビメディアのニュース記事とかでも
もうなんだろう
不正アクセス云々とか
あとは
あんま大きな声では言いませんけど
うさん臭い石ディベンダーが
12:00
これは危険でこうで
みたいなコメントしてる
キャッチャーが流れてきて
なんか
あーなんか
かき入れ時だなーって
すごい
生の奥見てるんですけど
言い方よ
いやなんか
ちょっとね
まあいいっす
気になる人は探してください
多分無限にあるんでね
特に語りませんけど
そうでこの記事はニュースになって
いろいろ起きてるやつの
対して
注意喚起がポツポツで始めていて
それをまとめているって感じですね
でもうちょっと把握しきれてないなー
って感じなんですけど
デジタル庁とか
個人情報保護委員会
これ実は別のやつでピックしてますけど
JPサートとか
大臣
総務大臣とか
いろいろ
経営参照とか
あのですね
注意喚起をしておりますよ
という話ですね
で結構なんか
この記事自体
対策する側としては面白い
というか
使える記事になってるなと思ってて
その注意喚起の話にとどまらず
それぞれ注意喚起してるところが
何をしてねっていう話を
星取り表でまとめてたりとか
またIOCをまとめていたりとか
またその具体的な推奨策とかを
結構詳しく書いていて
なんでその
それぞれの
これいいよね
そう
だからそれぞれの注意喚起
個別に見に行く
余裕があればそれでもいいけど
その余裕がないっていう人は
これ見て
自社の対策を見直すっていうのが
すごいいいんじゃないかな
なんかさ
こんだけばらついてるとさ
なんかもう
結局誰も何も分かってないんだな
っていう話にしかならんよな
だってさ
個人情報保護委員会なんてさ
ほぼ全部やれみたいな話じゃん
そうだね
国家サイバー統括室とかもさ
実質ほぼ全部やれみたいな話だしさ
そうちょうどね
別のやつでピック
そう同じやつでピックしたんですけど
個人情報はあれだね
大規模な漏洩当事事案を踏まえた
対応について
確固注意書きにPDFが出てる
そうなんだよね
なんか
これができたら
苦労しないよリストには
なっちゃうんだよな
この星取り表でもあれだね
IPAと個人情報保護委員会と
そうね国家サイバー統括室が
一番丸が多いね
なんかさ
こんだけ
言ってしまえばやってた
当たり前の話でさ
やりきれてんのかみたいな
100%やれてんのか
みたいな話は当然あると思うんだけど
いざこうなって
これをやり始めてるところは
たぶん
これをなんていうか
1からやってるところは
たぶんもうだいぶしんどい
だろうなと思うし
しんどいだろうね
なんかそもそもたぶん
把握
そういうところって
もうたぶん把握できてない
としたら
もう把握だけで
めちゃくちゃ時間かかると思うし
もうあれだよね
この辺の話がたぶん終わって
なんか次の
次の次の次ぐらいの話が
たぶん来てるよね
たぶんこれをやってるうちにね
そうだね
15:01
なんか
だいぶしんどそうだけどね
大通り
急いでパッチ当てつつ
耐性確立しつつ
みたいになっちゃうんだろうね
いや
ちょっと
もう暑いですけど
あの
セキュリティ
マクニカか
マクニカさんの
セキュリティ研究センターブログの
記事も
あるんで
そっちもちょっと
まあほぼ
内容としては同じなんで
見ておいてくださいって感じですね
まあ基本的には
なんかその
収録前にもちょっと
あの
オフラインで話してたけど
本当に
あの
先
前回話した
セキュリティインシデント
データベース的には僕が
作って
その件数を見てて
なんか本当に
増えてんのかなっていうの結構
あの
まだちょっと
疑問視とまでは言わないけど
本当かなって気持ちで見てるんだけど
インシデント
実は増えてません
でもマクニカさんの
ショート動画
ショート動画作ろう
いやいやいや
だからそういうのがさ
さっき言った
俺のさ
キャプチャーの
ああ
どうやって何になるわけじゃないですか
よくない
よくないよくない
まあ
でもあれですよ
その
まあ結論なんかさ
マクニカさんは
結構年やっぱちょっと増えてそう
って話とか
僕は集めてても
その直前に見て
まあ一定条件にフィルターすると
確かに増えてると言えそう
みたいな話があったりして
いずれにしても分かんないのは
その
そうだね
IOCとか一致してるとか
いろいろありつつも
その
なんか
大規模な攻撃キャンペーンなのか
たまたま
なんか
攻撃者側で
AI攻撃がホットで
なんかいろいろやってるのかとか
記事として来週分に入ったけど
アプリの通信解析してやってんじゃないか
みたいな話もちょっとバズってたり
まあいろいろ
まだ見えてない部分が多い
なんだろう
だってこのピオログの記事にも
その辺の話ついてされてるよね
そうなんだ
違うなそんなことない
そこまではまだ言ってしないか
ごめん
なんでもない
気のせいでしょ
別のスライドと勘違いしました
ピオログのやつはあれだね
AIの関与断定できる
ここについては未確認
っていうふうに書いてる
うん
まあ関与してないわけがないんだけどさ
なんか
関与してないわけがないんだけど
なんか別に
その
それがめっちゃ鍵になってる
っていう感じでも
多分ないんだろうなとは思うね
なんか多分グラデーションだよね
効率の面ではもちろん
なんか聞いてはいるんだろうけど
別に
それがあったから
なんかめっちゃこう
貫通してるとか
そういう話は多分ない
気がするね
なんかその
だからやっぱり
依然としてやるべきことは変わんないし
個人的にAIで生み出せる
一番の差分があるとしたら
侵入後に横展開で
めちゃくちゃ効率よく
爆速でやられるとかは
あるかもしんないけど
まあ
今見てる事案は結構
なんかそれ以前のレベル感の話というか
うん
18:00
だからAI運用は個人的には
あんま気にする必要ないかなって気はしてるね
今のとこは
うん
もしかしてやられる側しても変わんないしね
なんか
そうなんだよ
うん
あとそうだ
PureLogで研究されてて
そうだそうだと思ったけど
メタベースの
だいぶ前に出た
あの
クリティカルのCV
ケブリモノっていうやつは
この流れで悪用されてるっぽいから
まあ
使ってる方は
まあちょっとも手遅れな気がするけど
もしパッチ当ててなかったら
当てましょうって感じですね
うん
僕のデータベースでもね
結構ちょこちょこ出てきてて
ああって感じ
そうなんだ
うん
今見るか
フィルターできるようになってるから
パッと見れると思うけど
まあその
オープンにしてくれてる会社が
そもそもいないから
それが全研っていうのはないっていう
あの
あれはあるんですけど
ですけど
ソフト
ああでも3研だけだ
3研だけでした
分かってんのは
うん
そうか
ああでも全部
8月9月にやれてるんだな
まあちょっと遅いな
今やってたらもう多分
はい
まあまあ
そういう感じです
あの皆さん
お気を付けくださいというか
まあ気を付けてると思うけど
うん
まあこのPureLogの記事はすごい
あの
ありがてぇって感じですね
次いきますか
はい
いきましょうか
はい
いやーすげえなPureLog
次いきましょう
はい
次は
ステップセキュリティの記事で
ゴーストアクションリターンズ
マリシアセキュリティオーディットワークフォロース
ナウマインクレデンシャルス
フォーム
エンタイヤーギットホスト
ヒストリーズ
記事ですね
何かっていうと
あの
ゴーストアクションっていう
まあ抗議キャンペーン
まあ誰が名付けてるかちょっと
わかんないですけど
抗議キャンペーンが
2025年9月
去年の9月に
あの
あったんですけど
それが再来してるよって話ですね
でちょっと合わせて
オープンソースマレアっていう記事も
ソースマレアっていうメディアの記事も
一緒に貼ってて
なんでそれちょっと
混ぜた内容を話すんですけど
あの
まあこの抗議キャンペーン自体が
何
もともと何かっていうと
えっと
結構シンプルで
クレデンシャルパッドとかを経由して
ギタバカウントを侵害して
そこから
まあいろんな情報を盗んで
どんどん横展開していくっていう
流れですね
なんでまあ具体的には
GitHub
そのGitリポジトリの中から
まあお宝がないかっていうのを探したり
そこに
まあマリシアさんはクロープして
リリースを乗っ取るなり
あの
まあ何か乗っ取れるものがあったら乗ったり
まあそういうことをしていますと
で前回のキャンペーンだと
327人の
開発者が乗っ取られて
817のリポジトリが乗っ取られ
3000件以上の機密情報が盗めたっていう
21:01
らしいんで
まあまあ割と
まあ向こう目線は成功なんでしょうね
っていう感じ
うまくいってる感じなんでしょうね
うん
で
まあアカウント侵害は基本APA統計が
さっき言った通り基本っぽくて
で
なんか前回のキャンペーンとちょっとだけ
差分があるらしくて
まあ狙ってる情報が
スペースが増えてるよって話と
まあそれはまあ
そんな
まあモルガート社は気にしなくていいかな
って感じなんですけど
あともう一つはなんかそのフィッシング
もがっつり
あの
フィッシング攻撃も仕掛けてそうって話があって
これはOpen Source Malwareのほうに書いてあったんですけど
まあGitHub
GitLabっぽい
ドメインを取得
が取得されていて
そこからフィッシングメールが送信されていて
まあいろいろ見てみると
まあGhost Actionを仕掛けてる人たちと
同じAPAだと
ひも付いたみたいな話があったりして
なんで
まあまあ
結構その
うーん
この攻撃キャンペーンが再年した理由は
わからないけど
まあ各レジストリとか
あとワークフロー自体が
守られるようになってきた中で
まあアカウントを狙う攻撃に
シフトしてんのか
まあまた気が向いてないからやってんのか
あの
わかんないですけど
まあなんかでも結局こういうのってさ
なんか
その
なんか
一定期間をこう
経て
溜まってから猫すぎとっていくみたいな
感じのことをやってるんじゃないの
多分
ああ
ほとぼりが覚めた頃にみたいな話も
当然あると思うし
その
あらかた取り尽くしたから
また溜まるのを待って
またやりましょうみたいなことを
多分やってるわけでしょ
うん
まあそれでいうと1年っていうのは結構
体感としては
うん
しかもこの間にいっぱい
今年もこの時期が来たかみたいな
そんな感じでしょ
最悪
最悪や
まあそうかもしんない
いやー
はい
まあなんで
まあ
まあ多分結構
デカいリポジションを持ってる人が
狙われる傾向があるみたいなんで
そういう方はお気を付けって感じなんですけど
なんか全然余談なんだけどさ
そのGitHub2FAでさ
あの僕OTP
設定してるんですけど
なんか外せなくて
外せるようにしてほしいなって
ずっと思ってるんだけど
うん
なんか
どうなんでしょうね
いや外せるっていうのは
そのパスキーも登録してるから
もうそのパスキー
認証だけで
パスキーオンリーにしたいな
って思ってるんだけど
それがなんか設定書できなくて
うーん
まあでもリカバリ考えたら
しょうがないのかな
とかちょっと思いながら
まあでも
それで言うと
リカバリコードとかもあるよね
多分
確かに
リカバリコードある
リカバリコードもあるしさ
まあじゃあリカバリコードも
無くせますかって言うと
多分無くせないと思うから
向こうとしては
まあね
だからそうすると
なんかもう結局
その向こうの
レートリミットとか
そういうのを
信じるしかないんじゃないかな
って思っちゃうけどね
どうなんすかね
確かにね
確かに
そうなるのか
プリファワード
そう
2FA推奨するやつは
24:01
設定できるんだけど
もう一度設定したら
センディケイトアップとかは
もう外せないんだよね
うーん
今見たけど
まあね
だからちょっと
まあね
悩ましいね
なんか
言いたいことは分かるけど
まあ現実問題結構
難しいでしょうね
という感じですね
正直
まあそうね
はい
はい
気を付けましょう
気を付け
気を付け
うん
いやまじで気を付けた方がいい
普通に
きっとね
クリティカルなんでね
はい
まあそう思って紹介しました
じゃあ次
あーはいはいはい
これはですね
アンソロピックの
これレッドチーム
違うわ
えー
普通のニュースの記事で
introducing the
anthropic cyber mission
という記事ですね
これ何かっていうと
え間違ってました?
いやいいよいいよ
なんかすごい
その
なんていうか
いやなんでも後で話そう
はい
ありがとうございます
はい
まあなんか
なんでしょう
もうなんか
いろいろ多すぎて分かんないですけど
まあMITOS
あれか
プロジェクトグロスウィングの
延長なのか
また別物なのか
分かんないですけど
まあ新しくその
サイバーセキュリティに
貢献するために
取り組みを始めるよって話ですね
で大きく2つあって
1つが
あの
まあ重要インフラ
と呼ばれるような
システム
なんか水道とか電気とか
なんかOTシステムって
呼ばれるようなやつなのかな
まあそういう部分に対して
えーっと
なんだ
まあアンソロピックの
サイバーセキュリティに
特化したモデルとか
まあそれを使っての
あの
ゼージアクセス探しとか
対応みたいなの
えー
提供しますよって話
と
あともう1つの方が
まあ
紹介したくて
OSSスキャナーっていう
GitHubリポジトリを公開して
でこれで
これ使って
あの
オープンソースプロジェクト
に対して
あの無料で
あの
ゼージアクセスキャンを
実施するってのを
やりますよって
2本立ての話が
ありますと
で公社が結構
あの
面白くて
試してみようかなと思って
んですけど
なんかどういう仕組みになってる
かっていうと
あの
なんか有名なOSSを勝手に
スキャンしに行くんじゃなくて
このOSSスキャナーっていう
リポジトリに対して
そのOSSの
スキャンしてほしい
ゼージアクセスチェックしてほしい
メンテナーが
自分でプロジェクト立てるんですよ
で
何提供するかっていうと
そのOSSの
情報
リポジトリ
と
あとはそれを
動かせるDockerファイル
みたいなものと
えーっと
またなんか
多分文章
決まったかな
多分文章
投げると
プルリクが
マージされたらなのか
その後審査があるのか
わかんないけど
えーっと
まあ条件を満たせば
定期的に
スキャンをしてくれて
でその
申し込みとか
プルリク投げた時に
指定した
えーっと
連絡先に
ゼージアクセスがあったら
27:00
連絡をしてくれる
っていう仕組み
らしいです
で奥が
記事出たばっかの時
見た時には
なんか
30個ぐらいしか
プルリク立てなかったが
今はどうなんでしょう
えーっと
どこだ
どこだ
リポジションに
たどり着けない
あった
これだ
あー
プルリク182個
まあでも意外と
みんな気づいてないのか
うーん
やってみようかな
これ
うーん
ここはちょっと
でもなんか
ここに
うん
いやー
まあいっか
なんでもないっす
ここに乗ったものから
なんか
脆弱性探しに来る人が
いそうだよな
あー
ある
脆弱性含まれてる確率が
高いと判断してる
うーん
なんか
気にしてるんだなーって
気にしてるから
なんか
ここはじゃあ大丈夫そうだな
なんもなさそうだなって
判断すんのか
なんか
ここは気にしてるから
なんかありそうだなって
判断すんのか
ちょっと分かんないけど
なんか
リポジトリどこにあるのこれ
リンク見つけらんない
あの書に
貼り付けた
あの書に
あー
あそそ
いやーでもさー
OSSである時点でも
別になんか
それはそうなんだけどね
うーん
そりゃそうよ
むしろここに出してる
のは
角度高いと
判定されそうな気も
するけどね
どうなんだろう
えーおもろいねーこれ
うーん
ちょっと実際に
ね
まあ
今んとこは
多分
特に
めちゃくちゃ厳しい条件が
あるようには見えないから
うーん
ちょっと上手いよね
ミトスは配れないけど
まあ
申請してくれれば
こっちでやって
であの
プロジェクトクラウスイングの
多分反省として
未だにそうなんだけど
その2万件
見つけましただけど
結局その
全く解決が進んでた
っていうのが
担保されてなくて
メンテナー側が
対応しないとか
その多分
めちゃくちゃいろんな問題があって
でもこっちとかは多分
その
OSS側のメンテナーは少なくても
やる気があるっていうのが
担保されるから
うーん
まあなんか
いい成果が出ると
いいですねっていう
うーん
気持ちでは
うーん
やってますって感じ
なんか結構さ
その
なんか
うん
その
本当に暴走しない
っていうことに対して
みんな
信用できんのかなっていうのが
気になっちゃうな
こういうプログラムを
まあこの
あの
プリクタティティの
このOSSスキャナー
まあいいだろうと思うけど
静的にしか見ないと思うから
うーん
なんか環境渡すわけじゃないからね
うーん
コード渡すだけだから
うーん
このなんか
ネットワーク系の話とかは
多分そうじゃないわけでしょ
そんなこともないのかな
あー
この
需要インフラのほうね
うーん
それは
そうだねー
だから上手くやってくれよ
って感じはあるかもね
そっちに関して
うーん
さっきのニュース見ちゃうとね
うーん
ドキドキしちゃうけどね
俺は
なんか
わかんないけど
そうだねー
うーん
実際なんか
30:00
そう
そういうケースで事故って話
まだ出てきてないよね
その
基本的には検証中に
約束
とかなんか多分
そうだね
うーん
コントロールする側の目を
盗んでやっちゃったみたいなケースが
多分あるんです
うーん
でその
ロジックとしては
その
まあ自分の能力を証明しなきゃいけない
っていう
ゴールに対して
ねじ曲がった方向で
みたいな
うん
ロジックだと思うから
うーん
だからまあ理由としたら
まあ普通に
自社の
環境にアクセスできるところで
ペンタスターとして振る舞わせたら
事故るとかは
全然あるかもね
うーん
うーん
はい
まあ
はい
興味ある方はぜひ
やってみてください
やってみてください
うーん
これでも本当になんか
インジェクションとかできないのかな
このOSSスキャナって
なんか
OSSスキャナに対して
うーん
プルイン
うーん
プルリクを見に来るかは
ちょっと分かんないな
あれプルリク立てることによって
その内部的に
なんか
なんかのリポジトリを見に行って
ソースコードを見て
運営管理を多分するわけでしょ
プルリクを
がマージされて
で多分
デフォルトブランチに
そのプロジェクトの情報が
格納されて
うん
っていう
順番かな
あそこまで行ってるのか
プルリク自体は
なんか誰かが見るの
じゃあ
そこはねあんまりよく
わからない
なんかマージされてるやつ
いくつかあるから
見れば分かると思う
ちょっといまいち
なんか動きが
分かんないな
あでも
あれだね
なんか
人間が見てるね
うーん
じゃあ変なものがないか
その時点で
見てんのかな
でも1回追加された後って
定期的に
チェックすんのかな
定期的にチェックすんだと
定期的にチェックする対象に
なんか
ずっと変なものが入ってない
保証はないよね
まあでもデフォルトブランチに
変なもの後回りれるっていうのは
プルリク立てると
プルリク立てないと無理だから
そこは
そうじゃなくて
スキャン
スキャン対象の
そのコードに関して
ああ
そうね
まあでも
うーん
そこでアンソロピックと
バトルしようっていう人は
もしかしたらいるかもね
うーん
まあちょっと手間な気
するけどな
だって
赤バンされるリス
でもなんか
ジョッジハッカー
赤バンされちゃう
赤バン
赤バン
赤バンされるの
何の赤を
バンすんのだって
その
まあ
その
悪意なる攻撃を
仕掛けるっていうので
アンソロピック側から
通報されたら
基本的に
ああそういうことね
スタンスだったら
バンされると思うし
確かにね
それはそうだね
だから攻撃が
成功するまでの間に
しかもなんかその
やらかすことがあるとはいえ
アンソロピックの内部の
外から見えないやつを
なんか
突破するっていうのを
止められる前に
やりきらなきゃいけない
と思うと
うーん
あんまうまみもないし
ちょっと手間がかかり過ぎる
気はするけどね
うん
まあ
そろそろ誰かのアカウント
33:00
乗っ取って
その人のOSSを
ここにやって
バンされるのは
その人です
もったいねえ
まじ周りくどいな
もうちょっと
あとなんかその
違うことに
使えそうだな
あとはその
たぶんどっかファイル
渡すから
言うても
だからその
なんか結構さすがに
動かす環境は
めちゃくちゃ隔離するんじゃ
ないかなと思うけど
向こう側でも
ああ
もう未知のものを
動かすっていうのは
確定だから
うん
うん
なんか
まあどれぐらいのレベルで
分離するか
分かんないけど
うん
うん
うすうす
いい
あとは
あこれ被ってるな
これちょっと
被ってるんでスキップして
えーっと
次が
あーはいはい
これもさらっと
紹介できれば
という感じなんですけど
これはプロジェクトディスカバリー
っていう
サービスなのかな
サービスの会社の
記事
記事ですね
これさ
ヤギ足が追加したんじゃないかな
え
そう
そうなの
そうだね
そうなんですよ
はい
でまあまあまあ
どういう記事かっていうと
めっちゃシンプルで
モデルに
アプリのある
学習データ
仕込むことで
あなたの手元で動いたときに
あなたの環境を
例えば機密情報を
特定のURLに送る
っていうのが
できますよ
っていう話ですね
これ
そう
私ですね
追加したの
なんか
全く完全に忘れる人は
読んでもいいね
しかも
まあ
何の話かっていうと
多分オープンウェイトモデルとかで
なんかこう
危険なものが
危険なオープンウェイトモデルを
動かすとどうなんの
みたいな
実際でも
たかがモデルでしょ
っていう話が
なんか多分あって
でもね
そのたかがモデルが
じゃあ実際何ができるの
みたいな話とか含めて
その
なんていうか
どういうことが起こるのか
っていうのを
多分紹介してくれてるんだろうな
と思って
読んでなかった
ですけど
まあ言ってくれたみたい
あってるね
あってるですか
はい
ありがとうございます
結論は
結構簡単に
その悪さできる
っていうのが結論で
で
その
使ってる方はわかると思うんですけど
オープンウェイトモデルって
まあその
オープンなんで
学習
再学習みたいなのをして
その自分のモデルとして
再公開みたいなのできたりして
で
そのハギングフェイス上とかでは
結構その
いろんな
モデルが流行ったり
流行りしてたりありつつも
まあ誰でもダウンロードできて
使えるみたいな状態になっていて
なんで
ですよと
でその状況の中で
もう結論
で
できますと
ちょろっと
再学習すればできる
なんかコストも
めっちゃ低かったんじゃないかな
お金も
全然かかってないし
時間もすぐにできたみたいな
で
なんか
まあ結構その
記事の後半は
かなりその
LLMモデルに関する
専門的なことが書いてるんで
その辺はちょっと僕も
100%理解しきれてない
36:01
もので
その辺の
ハードルはかなり低そう
っていうのがあるんで
なんでその
例えば業務で
ただだからといって
オープンエイトモデルで
オープンコードでしたっけ
クロードコード
コーディングエジェイトの
OSS
とかで使っちゃうと
まあこれ踏み抜いたら全然
普通に
アウトになりそうだなとか
またその
やっぱ見た目で分かんない
っていうのは結構難しくて
あの
挙動がやっぱ
ブラックボックス
なんで
これでも
なんかその
多分
あの
POCだかっていうのあるけど
特定のワードに
なんか特定の話題が出たら
それを発火させるみたいな
仕組みを
組み込んでて
だからそれ以外の時は
普通のモデルとして
振る舞うんだけど
ある時突然爆弾が発火して
全部外に送られちゃう
みたいなことが
要因できるっていう
実験をしてて
だから結構
なんていうか
これ
例えばなんか
脆弱性禁
なんか
NPMパッケージをスキャンして
どうこうっていうので
なんかあんま不セキュリーな
イメージがなくて
だから
オープンエイトモデルは結構
信頼できるところから
動かさない
落としてきて動かす
もしくは
用途的に
コーディングレジだったとかじゃなければ
だから通路を渡さなければ
別に外部掃除とかできない
だから
だからその辺はちょっと
念頭において
過ごしたほうがいいなっていうのは
結構思ったなっていう
通路を渡さないは
結構大事かもね
通路を渡さなければね
ただの文章出力群だから
だから
だから
もう
通路を渡すやつは基本的に
めちゃくちゃ無難なんで
やっぱフロンティアモデルだけど
でもローカルで動かしたい
という話もあるから
まあまあじゃあ
知恵マーとか
Qnとかどうなんでしょうね
中国製はどうなんでしょうって
気もあるけど
まあまあまあ広く
運を国に使ってるようなやつとか
まあまあまあ
まあアンパイだよね
っていう感じはする
はい
面白かったこれは
まあまあ確かに
確かにそうだねっていう
なんかまあ
フル
フル
動きとしては
なんか想像した通りだったな
なんか
うんそうだね
うん
はい
ありがとうございます
はい
なんか
存在忘れそう
なんか
何か
なんか忘れてた
その
なんか
どっかに隠して
置いたものを
見つけた気分ですね
今
ラッキーじゃん
ラッキー
いやー
はい
じゃあ最後
最後は
POログに始まり
POグで締めるって感じですけど
AIペネトレーションテストツール
アーテックスについて
まとめてみたって記事ですね
まあこれ
アーテックスなの
ARテックスなの
どっちなの
あー
わかんないな
読み方
アルテックス
アーテックス
アルテックス
確かに
アルテックスのパターンもある
これ
まあ今はちょっと
消されちゃったけど
OSSだから
まあその
OSSメンテナーたちは
どう読んでるか
してたから
うん
はい
で
まあ何かって言うと
39:01
あの
今回取り上げたのに
POログの別の記事で
韓国の銀行
えー
4つ
4つぐらいが同時に
同時期に
あの
がっつり
サイバー攻撃を受けてしまって
被害が発生したみたいなのが
あって
割と燃えてるんですけど
まあそれに
まあこの
まあアーテックス
アルテックスが
使われたんじゃないか
っていう話が
ありますっていうのが
まあ話題の発端ですね
で
これ自体が
何かって言うと
簡単に言うと
AI
AI
モデルを
APIキーとかを
食わせて使う
えーっと
まあペンテストツール
みたいな
ものになっていて
で
開発目的としては
基本的には
その
まあ
ホワイトハッカー
目的は
普通のOSSとして
多分開発されていて
で
基本的には
攻撃に使うような
ものではないよ
っていう
スタンスを取って
まあ
まあ
まあまあ
はい
アンティデアリーとかと
同じ
まあ
あれではあるっすね
まあまあまあ
うん
縦前はね
けど
縦
そう
これが
まあ
銀行の攻撃使われて
で
文字列が入っていて
これなんじゃないか
みたいな
話があって
で
今はどうなんだろう
もしかしたら
もう
クローズされてるかも
しんだけど
なんか
そうだね
見れなくなってるん
じゃないかな
今も変わってなければ
多分見れなくなってる
感じなんですけど
はい
クローズドソース化になったんだ
もう10月8日
次の生命で
なんかでもバカクソフォークが立ってて
っていう話はあるけどね
そうだね
だからまあもう
今時点の性能に関しては手遅れというか
何がしちゃったの?
これまあ
なんで
別になんて言ったらいいんだろう
なんか
これが特別優れてたっていう話
でもないんじゃないの?
どうなんだろうね
たまたまこれが使われただけで
これがめっちゃ優れてたの
あれなんだね
コンペで買ってるんだ
まだ一定性能が
そこで
今年の9月4日にコンペで優勝してるんだ
だからこれで名付けられちゃって
使われて文字列入ってるでしょ
お前じゃんってなって
クローズドに
危険なしクローズドにします
みたいな感じの流れかな
なんでまあ
まあまあ時代が追いついてきましたね
って気持ちでさらっと
これがあるから攻撃が増えた
というロジックは成り立たないと思うが
国内の攻撃も
こんだけ数が多いんだったら
同じようにやられてる可能性もあるだろうな
って気はしつつ
まあでもやることは変わんないんで
そんな別にこれを受けて騒ぐ必要もないかな
42:01
と思いつつ
まあまあ頭の片隅に入れてもいいかな
っていうテンションです
普通に業務でなんか
使えるんだったら全然
ありかもしんないけどね
なんか
諸説
わかんないね
その
ちょっと個人的な
意見としては
もうちょっと見極めの
フェーズかなと思っていて
その
いかんせん
ちょっと怖いな
と思うけどねシンプルに
まあまあそれこそ
どんな実装が
組まれてるかとかも別にわかんないし
まあ別にオープンソースだったら
わかるから別にちゃんと
読めばいいって話はあるんだけど
まあでも
なんだろう
まあなんか
OSSの実装の全てを把握してから
使うって今までもやってなかったじゃん
そうだね
だがまあその
なんだろうなセキュリティテストの
特性とかあと安全性とか
あとコーディング能力が
自分にあるんだったら一番生産的なのは
その性能が
コンペで優勝してるってのは
一定あるからそのOSSの
アーキテクチャとかその
フィロソフィーみたいなのを
学んだ上で
自分で内製するやつに
反映するみたいなのが一番
ヘルシーかもね
まあ個人的にはそう思いますね
まあまあまあそれはそうだね
はい
まあなんか愛な気持ちで個人試すとかは
なんも保証できんっていう
はい
今日はそんな感じです
いやーちょっと
早く平和になってほしい
世界に平和が訪れてほしいですね
ずっと
リプレイFM
始めたばっかの時はさ
まあでもあったか
いやなかったよおととしの9月でしょ
だから
そんなにサプライチェーンが
不正アクセスが
LLMが暴れてとかそんなリウドのニュース
なかったと思うんだよな
まだなかったね
サプライチェーンぐらいはあったかもしれないけど
ちょこちょこ
でも去年の
そうだよね
去年の6月ぐらい
初めてでかいやつ
いやー
はい平和の世の中を
目指していきましょう
はいじゃあそんな感じで
次回も
皆さん
お楽しみにしててください
大丈夫? 大丈夫です
はいじゃあおやすみなさい
おやすみなさい
はい
