Dependabot到達可能性分析と更新しにくいPHPシステム
こんばんは、Replay.fm第112回です。 えー、こんばんは。
こんばんはー。 はい、こんばんは。
雑やな。 うん。 疲れた。
疲れましたね。お疲れ様でした、本当に。 お疲れ様です。
いや、でもなんか誤解がないように言っとくと、その会社に何かあったとかじゃなくて、僕はですけど、2泊3日の東京出張。
ちょっと仕様も途中で挟みつつ、行ってきたんですけど。
新幹線は疲れるね。慣れないわ、いつまで経っても。
何なら疲れない?
飛行機、いやー、何でも疲れるんじゃないかな。
うーん。 なんか、うーん、飛行機って言おうと思ったけど、どうなんだろう、飛行機も疲れるっちゃ疲れるしな。
なんか、気持ち的には飛行機と新幹線を交互にやると、気持ちの面では疲れないかもしんない、なんか。
どういうこと?
飛行機はさ、今の生活だと滅多に乗らないから、ちょっとフレッシュな気持ちで乗る。
新幹線、間に、その、何だろう、いや違うな、2日後退後退じゃなくて、飛行機でしばらく行って飽きてきたら新幹線に乗って、
そのときに、ああ、新幹線も久々だなーみたいなフレッシュな気持ちで乗って、繰り返すとかかな、知らんけど。
うっす。
興味ないな、そんな。
え?
はい、そいつもやりましょう。
そんなことないよ、いや、興味はありますよ、すごく。
あの、いい話だなって思いました。
次までじゃあ改善策考えてください。
下手か。東京に住めばいいんじゃない?
ああ、もうそんなん。
いやー、ないわ。
寄り添い力がないわ。
寄り添い力を俺に期待しちゃダメだよ。
そんなものを、そんなものを持って生まれてないんだからさ。
ダメだよ。
生まれつきなんだ、それは。
生まれつきだよ。
いやー、ウケる。
ないよ、そんなもん。
そうか。
まあ、でも根本解決という意味ではいいかもしれない。
そうだよ。
根本ゲインを、なんか、あの、アレするのがベストだよ。
知らんけど。
東京で疲弊するのとどっちが。
だから、月1日俺が我慢すればいいんだよな、絶対そんな。
まあ、なん、まあそうだね。
まあいいや。
歯切れ悪いですが、お便り。
歯切れ悪いですが。
歯切れは悪かった。
歯切れは悪かったですね。
今日は歯切れ悪くいこうかな。
残念ながら。
歯切れ悪い回ということで。
はい。
Googleフォームか、Xのハッシュタグですね。
まあもうね、今みんな忙しいと思うんで。
はい。
違うわ、これはこのくだり前もやったよ。
カットしよう。
はい。
えー。
もはやカットしなくていいと思うけどな。
まあいいけど。
うーん。
絶対しない。
大丈夫。
問い合わせなんてしてる場合じゃねえっていう方もね。
まあぜひ問い合わせ、問い合わせ?
問い合わせじゃねえよ。
お便り。
待ってますんでね。
はい。
じゃあ上からいきますか。
はーい。
お願いします。
読むだけ読むか。
Prioritize Dependable Targets with ReachabilityAnalysis
GitHubのチェンジログですね。
なんかまあタイトルの通りで、
えーと、ちょっとごめん。
細かい中身は読んでないんだよね。
ほぼタイトル見てやったぜしか読んでないんだけど。
JSTS向けに、
Dependable Alertの到達可能性の分析をしてくれるよっていう機能が
パブリックプレビューになったよっていう話ですね。
どういう動きをするかとかは全然見てないんだけど、
まあなんか結構、
Dependable Alert多すぎるよっていうので、
まあしんどい思いをしている人も多いんじゃないかなと思うんだけど、
たぶん今なんか、
AIでいろいろできるので、
実際これってなんか対応しなきゃいけないの?みたいな
取り味をAI使ってやってる人っていうのは多いかなと思っていて、
コードQLとか使うと割と簡単にできたりするのかどうかちょっと分からんけど、
実際そのトランジティブな依存まで全部掘ってって、
要はそれが問題になるかしらに到達するのかしないのかみたいな部分、
使ってるのか使ってないのかみたいな部分を分析させてる人も
多いんじゃないかなとは思います。
それが公式の機能として提供されるようになったよという話ですね。
前提が何?
GitHub Enterprise Cloudじゃないとダメなのかな?
そうだね。
GitHub Host Runnerじゃないと動かないとかもあるんだ。
多分これアクションズが動くんじゃないかな。
ディフェンダーボートとかもいつの間にか出るようになったけど、
アクションズでディフェンダーボートアラート立つときにアクションズ動いて、
それちゃんと課金されるようになった。
でもアクションズは課金されないってようやくには書いてあるね。
じゃあこの機能はいいんだ。
あとは4つ判定があるんだよね。
経路があるのと、判定できないので経路ありと判定するのと、
経路なしと分析負荷。
だから3つ目のボリュームが増えてくれると、
クリエイションコストが減らせるって感じかな。
これがどれくらいの精度というか、
深さで見てくれるのかが分からないからまだ何とも言えないんだけど。
裏側がCodeQLなんであれば、
CodeQLって多分LLMも今は組み込まれてるかもしれないけど、
LLMはずっと前からあるやつだから、
割とロジカルに、
LLMのハレーション的な誤判定、ガチャみたいなのはないと期待したいなって気持ちはあるな。
裏側がCodeQLだともしかしたらJSTC以外は来ないかもね。
でも主要言語は大体対応してるから、
マイナー言語じゃなければ来るんじゃない?
自分で使えてないから分からんけど、
Goとかだとビルドをフックしてるんだよね。
ビルドをしないと到達可能性を、グラフを構築できないんですよ、あいつらって。
そしたらこれ実装するときは、
アクションを通過するときにビルドしてパスを探すみたいな挙動になるのかもね。
ビルドのオプションとかをちゃんと渡さないといけないはずで、
なんか多分設定がいるんじゃないかな、JSTC以外。
少なくとも俺の知る限りで言うとGoでやろうとすると、
その辺は必要になる気がしてるんだけどちょっと分からんね、正直。
Python、Ruby、RustことNinjaが、
その辺とかは全然。
その辺はいけそうな気がするね。
Swiftは。
その辺は多分いけるようになるかもね。
Rustはちょっと分からんけど、
Pythonとかはいけるようになりそうな気がする。
あとこれなんか気になるのは、
コード側が変わったときに、
その都度再判定してくれるのかめっちゃ気になるんだよな。
確かにね。
1回判定して、
いやそうだね、でもそれやるとさ、
なんかすごい数Defend.Alertの、
何ていうか該当性の判定が走ることになるから、
大変だね。
だから、
なんか嬉しいなって思ったけど、
これ最初のとき。
なんかちょっと該当性不安だな。
今でもさ、Defend.Alert、
他の環境はどうなんでしょう?
僕が見てる環境は全然立ってくれないんですよ。
It takes too long timeで、
全然Defend.Alertのプレリクエスト立たなくて、
だからあんま正直使い物にならない。
で、その裏側で、
負荷かかんないようにタイムアウトさせてんのか、
なんかもう差は消えてないのか分かんないけど、
まあでもなんかその、
ね、その、
いろんな世の全プライベートリポーションの
分かんない、そのDefend.Alertの数を合算したときに、
まあ必要なコンピュータリソースの
重さを考えると、
じゃあこれで今デイリーでやってほしい、
デイリー中間、差分見てやってほしいなとか思ったけど、
そんなに、
まあでもどうだな。
まあどうなんでしょうね。
頑張ってほしいなって感じです。
顧客が求めてたものオブザイヤーではあるから、
使い物になるといいなっていう。
まあそうね。間違いない。
感じですね。
パブリックペーパーでさすがになんか
お金取るんじゃないかなって気はするけどね。
どうだろうね。
まあアドバンスとセキュリティに組み込むような気はするけどね。
そうだよね。そんな気はする。
まあいいですね。
自前でこういうのを組んでるところとかは
これに乗せ替えると
良くなるかもしれないですね。
はい。
じゃあ次行きますか。
これは読むか。
僕らはなぜ更新しにくいシステムを作ってきたのか。
ちょこちょこ登場しているクオンさんの
ブログの記事ですね。
えっと
PHPのデカめな脆弱性が
ちょっと前に出たんですけど
まあなんて言ったらいいんだろうな。
なんか
ちょっとざーっと斜め読みしかしてないんだけど
それを題材に
なんでこう
なんていうか
パッチを当て続けるというか更新し続ける
っていうのを
なんで我々がやれてなかったんだっけ
っていうところを
論じてくれている記事ですね。
ぜひ読み物として
結構良かったので読んでみてください
っていう話ではあるんだけど
まあ
たぶん様々あって
バーって更新が
その対応が終わっているところもあれば
なんか未だに閉じているところもやっぱある
ちょこちょこあるんだよね。
あるねー。
たぶんPHPなんだろうなーっていうのが
やっぱりあって
なんか普通に生活している中でも
メンテナンス中ですみたいなのが
普通に出てくるので
なんかああPHPっぽいなーみたいなのを
いつも見てるんだけど
まあなかなかその
ちょっと実際のところは分からないけどね
なんかその
どうしてそこが遅くなっているのかとか
分からないけど
まあでもきっとなんかここで話をされているような
そのなんていうか
最新との差分がやっぱ大きくなって
しまっていて
たぶんこう更新が
難しいみたいなのはきっとあるんじゃないかな
とは思っていて
でなんか
なんかの統計でその
こう判別可能なサイトの
なんか
えっと
69.2%がPHPで
えっと
そのうち
半分ぐらいが
サポート終了してる
バージョンだよみたいなのが
途中で研究されてて
結構衝撃だなっていう
感じでしたね。すいません。詐欺しちゃったけど
うん。大丈夫。
まあでもなんかそんな感じするなって
肌感としては
まあ
そうだよねっていう感じがするわ
まあね
なんかその
このなぜなのか
みたいな部分の
たぶんその
この記事のアンサーを
超雑に訳すと
まあその歴史の中でウェブが
台頭してきて
でみんなウェブサイト
つけたいってなって
またワードプレスが
よく丸くも
そこで活躍したりとか
ワードプレスじゃなくても
いろんなウェブアプリケーションを
ベンダーなりどっかに依頼して
立てていくみたいな
自分だけのウェブサイトを立てるみたいな
まあムーブメントがあって
いろんなものが立ってきたけど
その時代の常識としては
立てるところがゴールであって
立てた後にメンテナンス
パッチを当てるとか
何か
やっていくっていうのは別に
契約条件に
入っていないというか
だし多分必要性も今ほどは
全然認識されてなかったっていう
ところが積み重なって今に至るよね
みたいな感じ
だよね
なんか
すごい昔に
某勉強会で
めっちゃなぜか
すごいググッと
気になる人は
調べてくればいいですけど
僕ともう2人
僕よりはるかに強い有名な
エンジニアの方と
パネルディスカッション
するっていうめちゃくちゃ
貴重な機会があったんですけど
その時に一緒に話した方が
おっしゃってたのは
今までの常識って
ちょっとワーディング忘れたんだけど
リリースしておしまい
みたいな話だけど
それはもうめちゃくちゃ古くて
普通にローチアンドインテレーション
っていう表現を使ってたかな
基本的にはもう
考え方としては
Azureに近いと思ったけど
毎週毎週積み重ねて
積み重ねてポツポツポツポツリリースして
更新していくものがソフトウェアなんだよね
っていう話を
結構強い
メッセージとして喋っていて
なんていうか僕らが
生きてる働いてる会社とか
働いてる会社の界隈
みたいなところだと
これかなり常識というか
むしろそれ以外を
知らないからな
ソフトウェア開発で
ベストプラクティスを
追っかけて人たち化すると
割と影響するようにやるようなこと
アレンジメントはいくつかあると
なんだけど
そもそも別に行動を書く人じゃない
というか飲食店やってて
ワードプレスを依頼して立てましたとか
そういう人たちは知らんこっちゃねって話だし
不都合な
不都合も
表現は難しいけど
売る側の構造としては別に
顧客から言われないのはやる筋合いもないし
売り上げとして立てばいいし
そんなイビリの気持ちでやってるからさておき
そこまで
面倒見るのって相当
誠実誠実というか
信念がないとやらないよね
という部分もあるし
あと顧客がそもそも
やっぱ求めてないはデカいような気が
するよね
別に動いてれーやんっていう
のが当然にあるだろうし
じゃあ報酬運用するのにいくらかかりますって
やるときにいらんいらん
売りつけないでみたいな
ありそうな気もするしさ
でも
いい歴史の言語家であり
もう概ね同意というか
そうね
ここからどうなるんだろうね
どうなってくるんでしょう
という気はしつつ
変わるものと変わらないもの
一定は残るんだろうな
でも普通に
わかんないけどダメなものはダメで
淘汰されて
何らかの形で消えていって
終わりだと思うけどね
個人的には
ダメじゃないものだけが
生き残って
新しい世界を築いていく
それが歴史として繰り返していくかは
まだ読めない
今まで
積み上げてきた
ものの中の
潜在的にダメなものとか
全部借り尽くされていくんじゃない
この先
何らかの形で
悪意を持った人たちがそれをやるのか
善意の人たちがやるのか
どっちかだと思うけどね
そうだね
またこのPHPみたいな
ことが起こるんだろうなと思うし
それを
世の中がまたかって
受け止めるのか
もうちょっと違う受け止め方をするのかとか
それはちょっとわかんないし
またかってライトに受け止めちゃうようだと
この先もしんどそうだなっていう
感じではあるね
守るものがあるところは
当然
今回の件起きに色々
動いてるところも多いかなと思っていて
守るものがあると
自覚
自覚できたところ
あるいは自覚しているところ
していたところかなと思うんだけど
そういうところは
これを機に色々
さすがに動いてて
欲しいんだけど
わかんないけどね
まあそうね
間違いない
どうなることやら
という感じですね
いやーPHPは悪くないんだよな
本当に
ただPHP
PHPは悪くないけど
他の言語ってさ
ファイルを
ポンって置いたら
それがニーコード実行ですって
バックエンドのニーコード実行ですって
なる言語ってあんまりなくない?
Rubyとかいけるのかな
Perlぐらいいいかな
パッと思いつくのは
PerlもCGIで動くよね
Perlはまず
CGIは全般的に
それで言うとそうだね
まあ
うーん
そうね
ただ言語仕様っていうよりかは
やっぱワードプレスの功材は
あるだろうなとは思っちゃう
ファイル置かれたら
終わりは結構痛ぇなと思ってて
なんかPHPに関しては
別にそれがいい悪いは別として
その
セキュリティ観点だけで
フラットに見た時に
まあ確かにね
いや
まあ僕たちは
あとJSPとかも
いけるのかなもしかしたら
あーいけるかもね
ちょっとなんか
触れてない言語
に関してはもう完全に記憶が
飛んでてもう分かんないんだけど
CGIとかもはや世代ですらないしね
我々
インターネット老人会が始まる
いやー
まあそんな記事でございました
皆さんぜひ興味のある方
呼んでみてください
えーじゃあ次行きましょう
はい
AIによる自律的なサイバー攻撃と防御側の対応
えーと私で
えーとね
Googleの
Google Cloudの
Categoriesの記事で
Artics and Friends
Entire Agentic Offensive Remarks
っていう記事ですね
まあちょっと
またかいという
話ではありつつ
まあ言い切りしちゃったんでちょっと話してきようって感じなんですけど
まあ昨今
日本のしかり世界を逃げらせてる
AIを用いての
攻撃
攻撃の児童化
自律的な攻撃について
まあいろいろ情報をまとめたり
まあその上でどうしようか
みたいな話を
書いてくれてる記事ですね
結構ね記事長くて
あのー
構成としては
AIを組み込んでの
ペンテスト的な
OSS面に出して
アーテックスもあるし
それ以外もいくつかあるし
それが実際に悪用されてるっていうのは
Googleも観測してるし
引用だとWizとかもレポート出してるし
他にもいろいろポツポツで出してるよね
って話があって
それで
何が変わったんだっけって話と
それを受け止めた上で
何をじゃあやればいいんですか
っていう部分を書いてある
って感じですね
でなんかその変わった部分
の話で言うと
まあなんか割とおおむね認識
同じだし他の記事もそんな書き方かな
と思うんですけど
今今だと
これじゃあAIでツール動かして
ターゲット決めたら
ポンポンポンって攻撃が成功するか
っていうとどちらかというと
ありとあらゆる手を
ひたすら試して手数
を稼いで
成功を模擬する
みたいな挙動をして
いるっていうのが今今の挙動っぽい
ですよと
なんでまあまもれがわ目線としては
結構そのなんだろうな
アクセスが急増して
でいろんなことをやってそう
みたいな兆候がやっぱり見られるし
侵入した後もAIっぽい
ファイルが置いてあったりとかあるし
そういう傾向がありますと
で割と
今までの攻撃と違うのは
今までだったら技術がある
攻撃者だっても
侵入成功してじゃあそこから横展開
してとかいろいろ探して
みたいなのをいって自動化はしつつも
やっぱり試行した上で
自動通路回すとか
場合によっては手で動かすっていうのが
あったんで
例えば
なんだろうな10分でルート取れますとか
っていうのはあまりそんなには
起きえないことだったんだけど
こういうツールを
使うと15分でルート取れました
みたいなことが
起きえるような形になっているので
スピード感といろんな手数を
形式でなくていろいろ
使ってやれるっていうのが特徴だよねって話ですね
それ踏まえた上でどうすればいいんじゃいって
部分は5個分けて
書いてあるんですけど
基本的には
本当に基本的なことをやりましょうっていうことが
やっぱり書いてあって
はい
はいって感じ
クレデンシャルをローテしましょうとか
守るべきAPIを
インターネットレベルで守れないかを
見直しましょうとか
かなり具体的に書いてあって
後半のほうは
もう
5個に分けて
それぞれでこういうのをやりましょうって
割と具体的な例を分けてくれている
って感じですね
あとは
このセリアなるほどなって思ったのが
記事の
第一作の手前にあるんですけど
このAIを使っての
攻撃側の
レベル感みたいなのを
ステージ1から7っていうふうに
表現していて
例えばステージ1だと
プロンプト11打って
LMに教えてもらって
人間が働くみたいな
形ってのが
一番ファーストステップから
今どこまでいってるのかで言うと
この記事では
ステージ4まで来てるよねっていう
ステージ4っていうのは
フレームワーク作って
AIモデルを
セットして
ある程度自律的に
動いて攻撃を達成するっていうところまでは
動いてますよと
たださっきも言った通り
一発で通すほど
洗練はされてなくて
基本的には手数で攻めまくって
穴を見つけて
入ったら同じことを繰り返す
みたいな行動をやってますと
ステージ5 ステージ6
ステージ7が一番極まったものが
何かって言うと
基本的には全部自動化されていて
かつ
攻撃自体が洗練されてますよ
っていうのがステージ7として定義されてて
洗練されてってのはどういう意味かって言うと
さっき言った試行錯誤とかをせずに
確実に
最短経路で脆弱性を見つけて
ステルス性を持って
バレないように攻撃を成功させる
みたいなのを
ステージ7として
定義しているって感じですね
この記事の要件だと
3から6ヶ月くらいに
このフェーズが来るんじゃないかと
いうことを書いてあって
なんか嘘だと思えないのかもちょっと怖いな
みたいな気持ちを言いつつ
ここは予想
この記事の予想なんで
そういう情報くらい受け取るのがいいかなと思うんですけど
そんな感じで割と体系立てて
整理してる記事だなー
っていう
いやー
なんだろうなー
なんで
なんか
結構これ見て
思ったのが
今今の
びっくりしたー
エコーが喋りました
今今思ってるのは
今時点の
やってくる攻撃って
何十回もここで話したけど
あまり言っても人間が今までやってたことを
爆速でやってるって話
防衛策も変わんないし
別になんか
めちゃくちゃ技術力のある
APTみたいな
挙動するAIが
全企業を攻めてくるみたいな
世界観ではないかなっていう意味では
良くも悪くも
慌ててもあんま変わんないし
やるべきことも変わんない
ただタイムラインは変わったかもみたいな
認識だったんだけど
このステージ7みたいなところまで行かれちゃうと
結構その
まあなんだろうな
基本的なこと一通り
まあ基本的なことって
なんぞやった話だけど
まあ結構なんかその
ベースラインの意識を上げないと
ここまでやってて
もうやられちゃったんだみたいな
ことが起きないとは言えないな
っていうところに
まあ
ビビってる部分もあるし
危機感と言えば危機感なんですけど
ある程度はなんか
なんだろうな
攻撃の糸口みたいなのを
全部潰し切るのは難しいって前提に
立った時にというかまあそういう風に
立つべきだと思うんだけど
その時にやっぱ多層防御で色々守っていきましょう
みたいな話もそうだし
まあステルス性を持ってやってこれるとした時に
まあじゃあそれをどうやって
検知しましょうかみたいな
なんか結構もうなんだろうな
セキュリティ教科書でやった方がいいこと
フルセットみたいなところまで
やっていかないといけなくなる
としたら
まあ例えば今僕らが働いているような
企業の規模感とか
ベンチャーみたいな規模感とか
なんかそういう規模感の
会社の体制で
守りきれんのかみたいな
別に大企業であっても
持ってるプロジェクトがその分大きいってなると
まあそれでも守りきれるんだっけみたいな
部分が出てきちゃうのかなっていう
ちょっとネガティブに考えると
そういうことを
まあ実際そうなんだろうなとは
思う一方で
うーん
まあそうなんだろうなだと救いがなさすぎるから
なんか
うーん
なんとかならないかなと思うけど
ちょっとなんともならなそうだよね
うーん
まあなんかその
シンプルに
まあ
まあそうね
そのこれ系の記事
どれも全部書いてあるのがさ
こっちもAI使いましょうっていう話が書いてあって
いやまあね
別にでもそこは無人像に湧いてくるわけじゃない
からね
使い方って様々あるしさ
そうなんだよね
このステージをさ
まあ仮に守る側にもステージがあるとしたらさ
うーん
なんていうか
ステージを登っていくのがさ
やっぱ大変だよね
うーん
その完全にステージを登り切った先で
人の手を離れて動き出します
はまあ
そういう世界もあり得るんだろうな
とは思う一方で
なんか登っていく途中は
むしろ人の手は
なんて言うんだろうな
むしろ必要なんじゃないかな
と思っていて
うーん
なんか
個人的にちょっと復職して
1ヶ月経って思ってるのは
ソフトエンジニアの
多分視点に近いんだけど
そのシンプルに
加速装置としてうまく使いこなす
みたいなのは
個人としては頑張りたいなって気持ちは
あって
そのじゃあ
今言った通りもうちょっと結構
フルセットじゃないとダメというか
対抗できないんでじゃあ
もう一人採用しましょうってなった時に
まあこの界隈ってめちゃくちゃ
その優秀な人材
っていう視点においては
決して自分たちの市場じゃないから
すぐに取れるわけじゃないってなった時に
じゃあその間も攻撃されて待つんですか
っていうよりかは
じゃあ今あるリスト制どうしましょうって話にしか
ならなくて
人手を埋めるために
自分自身の
生産性って言葉は安易に扱いたくないんですけど
その作業量を加速させるとか
なんか実際
その
希望方面の話で言うと
そのうまく使えば
その
だから副職前とかだと
なんか夜ちょっと
30分あったら
やりたいな系タスクがやっぱバックログに
無限に積み上がってくって
まあどうしてもそのいつまでたっても手がつけられない
みたいな感じだったけど
まあそういうのとかだったらうまいことやれば
まあ5分ぐらいでさばいてとか
全然夢じゃないなっていう
気はするし
まあなんかさばける物量も
増えていくんであれば
じゃあなんかあとは
どれからやりますかっていう部分の
精度とかまあその辺はもう
多分人間に依存するとは思う
うーんそうね
なんかでも
物量はそうなのかなって
思うんだけどなんか
うーん
なんかちょっと
人間そのもののなんか
CPUとしての性能の高さが
そんなにでもそんなでもないと思ってて
なんか
同時に抱えられるコンテキストって
そんなに多くないよなと思うんだよな
その
なんか
幅を出しにくいっていうか
なんか
物量はそうなんだろうなと思うんだけど
それで言うとその
なんか俺俺
AI使い方トークになっちゃうけど
その
なんかAIに
任せていい領域は
AIにコントロールさせてたり
するわ今チャレンジしようとしてるの
うーんそこまでやれるとね
いいよね
だからもうこれはもう
課題がありますで何をすればいいかっていうのを
解きほぐすのはまあ
壁打ちに使うかもAIで使うかもしれないけど
人間がやっていってで受け入れ要件
固まりましたで何をすればいいかも固まりました
でそれが
そのなんだろうな
人間的な作業が必要ない行動を書いて
何かを設定すれば完結するんだったら
まあじゃあそれはもうバーって
もうこの何十枚のチケットを
あなたが一人でサバイエージェント
立てまくってさばいてくださいみたいな
でそれができると
また次のその
僕が自分で考えなきゃいけないものに
順々にやっていくみたいな
まあそれでも限界は
多分あるけどね
あとそのクオリティコントロールみたいな
部分で言うとあの
注意点はあると思うんだけどでもなんかちょっと
個人的に結構その
ポジティブに思ってるのは
ソフトウェア開発の方は
その同じように
そのAIを加速装置だよねって
認識をしつつも
じゃあなんかその行動書く
もう巷で散々言われてるけど行動書くスピードが2倍になったら
じゃあ売上2倍になってますかって言うと
絶対2倍になってないんですよ
とか2倍にできてる会社
あるかもしれないけど
多分ほとんどの企業は2倍に絶対になってなくて
まあなぜなら
その事業が生み出す価値とか売上っていうのは
コードの量で決まる訳じゃないから
アウトカムプロダクトが出すアウトカム
量で決まるから
基本的にはボトルネックが別の場所に移ってて
リリーススピードかもしんないし
作る機能がいけてないのかもしんないし
みたいななんかそういう構造があるから
プロダクト側のそのAI
を使った時に費用対効果を出すって
すごい難しい領域だと思うんだけど
セキュリティってまあよくマルクも
その何だろうな
売上を生む訳じゃなくて
じゃあ何をベンチマークに置くべきかで言うと
この状態
こういう防御をできてる状態にしたいよね
っていうところを定めて
そこに対して足りない部分を
組織作りとか
文化作りとか
あるいは自動化コードを書いて
何かツールをやってとか設定を直してっていう風に
埋めていく訳じゃなくて
ゴール自体は分かりやすくて
あとはじゃあどんだけ最短のスピードで
いけるかみたいな話だと思うんだけど
そこに対して
AIを使うと歩みを進められるよね
ってことは言えるんじゃないかなっていう気は
していて
そういう意味では相対的に希望を持ってたりは
する
あとは間に合うかだよね
そうだね
それは本当にそう
結局なんか割と
面の広さが
守る側にとってかなり大事だから
そうだね
同時に捌ける量っていうのを
増やしていかないといけない訳で
うーん
まあねちょっとそういう使い方は
個人的にはあまりできてないな
なんかまだ結構付き合っちゃうわ
AIに
なんかちょっと
模索中でもね
そのまあたかだかまだ
復習して1ヶ月だからタスクにも
本当に寄る気はしていて
やっぱなんか
その
自分の脳みそのCPUが
何個あるか分かんないけど
全個は使わないと
やっぱ動かせないタスクも
やっぱりどうしてもあると思うし
だからその
なかなか
そうだね
自分をクリティカルパスに置かないように
なんかオーガナイズするみたいなのは
すごい結構
それで
脳みそが疲れたりする感覚は
あるかもね
いやーすごいっすね
もう自分がクリティカルパスにしか
いねえなあ今
そうね
なんかそのタイミングとかね
その積み上がってるバックログにも
寄るとは思うんだよね
まあでも
自分がクリティカルパスになるものを
常にやれる状態に
して他は
AIでいいやつは
AIでやれるってなると
結果的に加速すると思うから
ただ疲れるんですよねそれ多分
結局俺らにしんどい仕事しか残んないから
まあね
そこはあるんだけど
それはもうこの時代の宿命なのかな
まあね
なんかやることやらないことの
ドキュメントワークみたいなやつとかね
なんか
まあ
頑張りたい
ちょっとだいぶ話しといたけど
仕事なくなるぐらいまで
頑張って
成功したいですね
今のところ仕事なくなってないね
全然なくなってない
なかなか奪ってくれないね
奪ってくれないどころか増やしてるね
しかも全然ありがたくないね
そうだね
俺らに関してはそうだね
向こう側が
いやーちょっとこれもなー
ちょっとまあほんとしょうがないねなんか
その有利だと思うわ
このAIを使うという
向こうはなんかリスクがないよね
ほんとに
そうだね
トークンとかするリスクしかないから
会社とかでもさなんか僕らも
このなんだっけアーテックスとか
回した方がいいんじゃないみたいな
雑談で
あれは昨日の話
昨日の話じゃない
昨日の話
その時も俺話したけど
なんていうか要は
ああいうツールをなんか
軽いノリでぶん回すのって
こう
相手が死んでもいいと思って殴れる人にしか
たぶんできない所業であって
人間がやる時でさえその
セキュリティレストってすごく
気を使うものなので
環境壊さないようにね
なので
なんていうか無理よっていう
話をしたんだけど
あのーそれこそもう
フロンティアモデルの
企業たちが答えを出してるからねもう
そうなんだよね
気づいたら殴り殺しては殺してはない
殴ってましたって
相次いでるわけで
あれを自社で起こせるか
と言われるとね
ちょっと無理だよね
だから
やるとしてもかなり入念の準備が
必要というか本当にぶっ壊していいんだけど
プロダクションに近い環境を作んなきゃ
いけないとか
しかもそこから出らんないようにしないといけないし
出らんないけど機能はするように
しないといけないから必要な情報を取りに
いけるようにしないといけないし
そうだね
大変だよ
分からんけど
普通にはちょっと回せないな
っていう感覚はあるね
今のところ
回す手段が全くないわけじゃない
だろうけど
でも
それを探って
いくのにめちゃくちゃ時間が
多分かかるし
まとめると
ちょっと大変だなっていう感じはあるね
やろうと思ったら
やれたらやれない
やれたらやらない
こうしたことはないとは思うんだけど
明日リードミー読んで
動かしてみましたわ
無理だよね
分からんけど
少なくとも自社の
他の人も使ってる環境に
適当に気軽に
エイヤーで回すようなものではない
間違いなく
自分の
ぶっ壊してもいいアプリにやってみようかな
そういえば
でもさ
まあいいんじゃない
でもさ
捕まらないことを祈ってるよ
そうなんだよね
関係ないと攻撃しない保証を
誰がしてくれるんだって
っていうのもあるし
それを動かしてる環境を
完全にローカルに絞ってなったらいいけど
確かにね
例えばクラウドフレアで動かしてて
クラウドフレアで何か壊すことが
普通にあり得るし
確かにね
ローカルやな
例えばクラウドフレアで
動いてるみたいだから
これ動かしてるやつの
アカウントを取りに行けばいいんじゃない
自分のアカウントが取られるとかあるかもしれないし
ローカルで
Wi-Fi切って
動かすやな
いやでも
そうすると大したモデル
使えないしさ
確かにそっか
ネットワーク通信必要だね
めんどくさいねやっぱ
でしょめんどくさいんだよ
そういうところに
非対称性が現れてるわけですよね
そうだね
壊しちゃったら壊しちゃって
まぁまぁええわみたいな
壊す方法がわかっただけむしろ
ありがてえわぐらいの感じでさ
世界の企業の
数だけ弾丸はあるわけだからね
そうそうそうそう
直ったらまたやろうって
そんなことする
ひどい話だな
はいそんなとこですか
そんなとこっすね
頑張りましょう
まぁでもあの
これ系の記事だと今まで読んだ中だと
一番まとまってるなと思ったんで
まだキャッチアップできてない人は
読んでみるといいかもしれないです
はいじゃあ次
お願いしようかな
スクロール挙動を使ったXSリークとAI時代のCTF
エクセスリーク
to read cross-origin text
through scrolling to view
という記事ですね
茶芸の記事ですね
あの
イエライが
ちょっと前に
人間向けのCTFの
これが最後だよみたいな
ぶち上げてやってるCTFをやってて
でそれのラウンド1で
出題した問題について
作者である茶芸が
紹介してくれてるっていう
記事ですね
タイトルの通りで
スクロールイントビューっていう
これは昨日と言ってしまっていいのかな
多分昨日と言ってしまっていいような気が
するが
スクロールイントビュー
っていうなんかコード上の名称が
あるらしいですね
なんで昨日と言ってよさそう
があって
それを使うと
えー
いろいろ
iフレーム経由で
XSリークが成立するよ
っていう話ですね
ものすごくまとめてしまうと
で
この機能が何かというと
なんだっけな
コフレームの
中のスクロールが
エアフレームから取れる
っていう話なのかな
違う気がしてきた
なんかもう読んでくださいでいいような気がしてきたけど
うまく説明できない
親フレームとコフレームのサイズで
確か
なんかね
今日読んだばっかなんだけど難しいんだよね
そう難しい
いつもそうなんだけどXSリークの話って
結構説明がねめっちゃ難しくて
特定の条件で
クロームの
スクロールの挙動が
ある挙動があって
って話
なんかでもあれだね
ようやくの一読みが
全てな気がしてきたな
攻撃者ページに埋め込んだ
クロスライジングフレームの内の要素を
フラグメントURLで
フラグメントURLって
エレメントのID
のあれを
フラグメントで指定してあげると
そこまで自動スクロールするって機能が
あるんですけど
それ使って
自動でフォーカスさせてあげると
クロームが親フレームをスクロールして
要素表示しようとするんで
親は自身のスクロール
XとスクロールYを読むだけで
iフレーム内の要素の位置と幅高さを
推定できますよって話ですね
っていう話を記事の中で紹介してくれてる
っていう感じです
すっきりした
読むと分かるんだけど
自分の言葉で説明できない
っていう話ですね
なんか大変良かったですという感じですね
確かこれプラスアルファで
ここに
ソニーの文字を入れて
その時のスクロール量を見ると
文字ごとに幅とか高さが違うから
それを元に
それが情報になるから
この
確かこのフォントだと
文字のサイズが違うから
このフォント使って1個1個試すと取れますよ
すげえお考えだなっていう
面白かった
逆にそこしか取れないから
フォントは
そういうのを探してこないといけないっていうのは間違いなくそうで
面白かったです
よく考えるよな
人間向き合おうし
これAI解けるのかな
解けなそうだよな
結局どうだったんだっけ
追いかけきれてないんだけど
どうなんだっけ
直前に新しいモデルが出たり
新しいモデルミッドウスが公開されたんだっけ
ちょっと忘れてたけど
バタバタしてて直前で
やべえ大丈夫かみたいな
話もあったような気がして
最終的にどうだったかちょっと分かんないな
少なくとも
問題作ってる段階では
バニラのエージェントでは解けなかったって話だったと思うから
なるほどね
いいね
職人だわ
面白いね
これでこれ以降は
AIも解ける問題になってしまいましたが
そもそもやるのかな
なんかちょっと話するけど
イスコンがあったんですよ
先週の
優勝した人の
AIの使い方が物議用かもしていて
悪い意味じゃないですけど
何かっていうと
ハーネスガチガチに組んで
競技時間8時間
8時間完全に自走する
自走して動くようにして
その方たぶんお子さん
いて土曜日
開催だったんだけど土曜日は子供と過ごすって決めてるから
開始時間に
ポチッと押して
ポータルのログインもプレイライト経由でするようにして
8時間後に
お子さんのお風呂入れて
上がって見たら優勝してたっていう
のがあって
すごい世界だなっていう
なんかその
まだ見れてないけど
AIで壊したっていうかその人の
AIの組み方がすごくて
当然全員AI使ってるから
そもそもソフトエンジニアとしても
ソフト優秀な方っぽいから
方っぽいというか方ですね
モンテトリウムの元CTOの方なんですけど
もしかしたらCTFも
もうAI前提でガチガチに
難しいのにして
最強のAIハーネスを作った
人が
勝てるのか
きついってだって
解けないやつを探してこないといけないんだよ
人間が
そんなに
ポンポンこの人たちが出せるかもしれない
けれども
そのカードを切るタイミングが
難しいよね
出題したらもう二度と使えなくなるんですよ
あれだね
競技性の違いで
そこは難しいね
イスコンは解けた解けないじゃなくて
点数だから確かにそれはそうだわ
全く同じ出題でも
点数だけで
見るから別に
極端な問題は
ずっと一緒でもいいわけじゃん
それがいいとか悪いとかなんじゃなくて
競技性自体は別に
それは損なわれないわけじゃん
競技のAIとかと一緒じゃない
極端なことを言うと
なんとかっていう競技のAIがあって
それを任すAIが出てきましたみたいな
そういう世界観にも成立し得るわけじゃん
イスコンの場合は
イスコンはそうだね
CTFはもう都競争だもんな
全問得という前提にもしたっちゃう
都競争になっちゃうね確かに
そうだね
都競争にならないようにもし抜け
人間が問題つくのか
工夫の余地が難しいね
あとは都競争にならないようにするんだったら
CTFにも色々景色があるから
アタック&ディフェンスとか
キングオブザヒルとか色々景色があるので
ジョパティだけじゃないからさ
そういうのでAI同士がバトルするようだったら
都競争にならない
世界っていうのはできるかもね
ジョパティ以外やったことないんだよな
できる気もしないけど
ありがとうございます
それを人間が見て面白いかっていうのも
大事なところな気がするけどね
じゃあ次聞きましょう
GitHubのパッケージ保護機能とトークン管理
これハッカニュースに引っ張っちゃったけど
公式のリンクの後でやっときますが
GitHubが
いっちゃえば
匠ガード
ソケットファイアウォール相当の機能
パブリックプレビューで
出したよって話ですね
これ実際に
見れたんで
昨日
見てるんですけど
どういうことができるかというと
匠ガードとか
ソケットファイアウォールと同じように
どうだったかな
丸入りのやつとかを
ブロックするみたいなことができたりとか
あとミニマムリリセージの
設定ができるんですよね
例えば3日以上
更新してから3日以上経ってないやつは
インストールブロックするとか
あとは何だったかな
あとは基準が
正確な基準は分かんないんですけど
GitHub基準で
クリティカルなCV
ディフェンダブルアラートみたいなものが
含まれているものは
インストールブロックするみたいなのもあったりして
結構
ソケットファイアウォールは
設定見たことなくて匠ガードは
多分そういう設定がないっていう
もしかしたら課金したら見れるかもしれないけど
そういうものと比べると結構
いろいろ設定できるものが
多そうという感じだったり
あとはブロックしたものも
開発者側からバイパスリクエストみたいなのを
出せるみたいで
そういう用もやろうと思えばできそう
みたいな話があるみたいです
これは
個人的には
寄せられるなら何かに全部寄せられると
すごい便利だなと思っている
派閥なんで
これが
GAになっていい感じに使えるようになってくるんだったら
ありがたいなみたいな
今のところは無料だけど
これも
課金になるのかどうか
でもNPMJSをGitHubがやってるから
ここで金取ろうってならない気も
するっちゃするし
なぜならGitHub自身は
NPMが壊れちゃうと
困っちゃうので
まあまあ
すごい前向きに
導入を検討したいな
ということで紹介しました
これか
結局
向け先を
強制する方法が
管理者視点だと結構
大変だなと思っちゃうけどね
そうだね
まあ
ランボニアルならEDRとかでブロックかな
本家のNPMJSを
本家をブロックするのはいいけどさ
なんかじゃあ匠ガードを
個人的に入れてる人がいてとか
そこはもう
会社のポリシーでうちはこれ使ってください
にするしかないんじゃないかな
なんか
その
AR
ARが
あらゆるレジストリをブロックするっていうのが
現実的じゃないよなっていう
まあでもそんな
ないけどねNPMJSでまともに使える
レジストリ
本家とJSRと匠ガード
防げた場合オールぐらいじゃない
あとJFlowのやつとか
あるけどJFlowが課金しないと使えないし
まあじゃあなんとかなるのか
またなんか
そうだ忘れてたこれめっちゃ
微妙なところが一個だけあって
パッドが必要なんですよね
なんでそれだけどうにかなったら
本当お願いしますって感じかな
たぶんNPMの仕様的にしょうがなくて
その認証通すのに
NPMRCに
匠ガードもそうだよね
確か
通知してほしかったらトークンセットして
JFlowとか昔設定したことあるけど
認証通すためにトークン設定するっていうのが
必要だからまあそこは
まあでもそのパッドの権限絞って
やれるならいい気はするし
管理者目線だと
開発者の数だけパッドが増えるのはちょっと
煩雑ではあるんで
そこだけちょっとデメリットかな
まあね
まあでも何使うにしても
パッドじゃないものがあればいいんだよね
要は竹見ガードの場合は
別にそれにしか使えないやつだからさ
うんそうだね
だからまあ
漏れたところでみたいな話は正直あって
一方でパッドは
なんかちょっと範囲広くねっていう
普通にあるけど
権限次第だよね
これだけの権限つけるのがサポートされてるんだったら
管理者だったら
ファイングレンドトークンの場合は
全部のトークンを
見れるしやろうと思えば
新生成にもできたりするから
まあそういう用途セットで
ちゃんと漏れなくなるんだったら
まあね
まあそうだね
これに渡してるパッドが
それなのかみたいなのも気になっちゃうし
なんか
そうだね
生の見に行く
わけにもいかないしね
まあむずいよね
そうなんだよね
なんかちょっと
いい感じになってほしいなっていう
いい感じになってほしい
わかる
はいまあそんなところです
ギターウェビーの皆様ご検討
なんかあれだよね
ギットのトークンプロバイダー
的なやつがあるじゃん
GHOST setup
ギットでセットアップしてくれるやつ
ああいうやつがNPMにあればいいんだよね
そうだね
あれで
なんかちょっとわからんけど
それが
わからんけど
そういうのがあった上で
なんかその
GHOSTログイン
GHコマンドの認証情報を使うようなやつとかがあれば
なんか別にいいわけだよね
なんかそこがうまいこと
仲立ちをしてくれるような
間取り持ってくれるような機能が
そういうのであれば
まあでもNPM以外にも
PNPMとかYARNとか
BANとか考えると
それ全部足並み揃えてもらわないといけないから
そこがブロッカーになるかもね
まあどっちにしろじゃない
でもそれは
あとは普通に環境変数で渡すとかかな
一応できるはずだから
PATがいるという問題は
そうだね
GHOSTトークンとかの結果を環境変数で渡すとか
ありかもしれないけど
あとCACD上で
インストールするときとか
どっかファイルでインストールするときとかどうするのとか
まあだから意外と
まあでもそうだね
その辺は多分何使っても一緒だから
まあそうだね
JFログとの連携とかもできるんだ
なんかJFログ
やっぱこの辺だと
メインストリーム
なんだろうな
ちょっと研究して
進展があればまたシェアしようかな
ぜひみんなに使ってみましょう
じゃあ次行きますか
はい行きましょう
AIガードレールから脆弱性の存在を推定する手法
これは小ネタって感じなんですけど
When AI guardrails expose
Prioritiesっていう
クラウドストライクの記事ですね
記事どのくらい長かったかな
なんか
まあぼちぼちな感じなんですけど
一言で言うと
確かに言って思ったんですけど
AIモデルを使って
脆弱性を探したいと
でもフロンティアモデル
フェーブルとか
オパスとかもそうですかね
悪意を防ぐためにガードレールが動いて
その支持は受けられませんって言うよね
みたいな話があって
それに対してこれ使えば
迂回できるじゃんっていう
方法論の話です
これどういうことかっていう
どういうふうにやるのかっていうと
AIに
このコードベースを1から100まで
全部解説してって言うんですよ
この部分はこの関数はこういうやつで
これはこうでみたいなふうに解説していくんだけど
その時に解説を拒否る時が
あるらしいんですよ
これなぜ拒否るかっていうと
そこに脆弱性がある可能性が
めちゃくちゃあって
内部的には
脆弱性があるから解説を
セキュリティのための
ガードレールが動いて
モデルによって挙動が違うらしいんですけど
処理が止まるパターンもあれば解説できません
っていうパターンもあるし
返答が曖昧にふわっと濁す
みたいなパターンがあったりして
いろいろらしいんだけど
その方法を使うと
どういう脆弱性があるか
特定できないんだけど
そこが脆弱だっていうのは特定できそう
っていうのを検証してみて
実際
いけそうっていうのを解説してるっていう記事
いや 興味深いね めっちゃおもろいね
めっちゃ面白いでしょ
なるほどねと思って
実験では
5つの脆弱性クラスで
73%成果性を達成し
実際のオープンソースプロジェクトでも
試したみたいなことが書いてありますね
そこまで特定できたら
オープンメイトモデルで解決できちゃいそうだから
ガードレール実は意味ない説
あるね
この状態だったらね
でもなんかどうしようもないよね
どうしようもないしかないなって
嘘つかせたらね
それはそれでっていう話になっちゃうし
モデル作る側としてはちょっと
もうこれ以上は無理です
っていうしかないかな
まあでも結局
それをあらゆる場所に対して
実行するコストが
多分結構高くなるような気がするから
そうだね
コードベースのデカさにも愛存するけど
そっちでパンクするような気は
するな
実際に
悪用するみたいな観点に立ったときに
どんぐらい使うのになるのかはちょっと
わからんね正直に
ソースコードが
明らかになっていてそれが攻撃対象
みたいなパターンがどんだけあるかで言うと
なんかやっぱ
その狙い目で
あればあるほどみんながもう
ホワイトハッカーが探し尽くしてる
みたいな話もあると思うから
なるほどねと思って
ちょっとおもろかった
バグバウンティーがないけど
結構使われてるOSSなんていくらでもあるはずで
そうだねそれは
だから探されてないやつって
普通にあるだろうなって思うし
そうね
だからバグバウンティー
やるべきですとも思わないし
そんなことは言えないんだけど
だからまだまだ
出るんだろうなとは思いますね
そうね
オープンエイトまでの話もあるし
本当にやるんだったら
そういうのとこれと
これもハウの一つとして
組み合わせて有効なら
使われるんだろうし
いやー
なんか
ちょっとアハ体験だったわ
ね
おもろいね
まあ興味ない方は中も見てみてください
まあ中見てもない
今言った話以上の話はそんなに出てこないんで
たぶんエレレームのもうちょっと構造を知りたいとか
具体的にどこまで
まあね
でもそう考えると
モデルは何にも言われなくても
脆弱性を探してるってことだよね
なんか
そういうことになるかもね
別にこういう動作をしてますだけを
まあでもこういう動作をしてますを解説していく中で
なんかその
バグに言及しないわけにもいかないみたいな話
言ってあんのかな
ちょっとわからんけど
なんか別に脆弱性探してるわけではないのかな
ちょっとわかんないけどね
具体的なプロンプトとかは
あったかな
まあなんか記事の冒頭には
まあコードの機能について尋ねたら
なぜか答えなかったみたいな部分で
あれってなったみたいな
感じだね
なんかちょっともうちょっと実験結果が欲しいですね
むしろ
なんか本当に
どれぐらいの確率でそれが
実際
使えそうなのかとか
気になるな
その辺は記事にぽちぽち書いてある
成功率は
70%ぐらいだったみたいな
結構でかいね
まあ十分だよね
あとはC言語の
httpってやつで
実験したよとか書いてある
いや
はい
じゃあ
次が最後かな
ああ
ようやくメモリ忘れた
まあいいや
AWSセキュリティエンジニアに学ぶコミュニケーション
AWSのセキュリティブログの記事で
パート3サイバーセキュリティジャーニス
the work behind the work
っていう記事ですね
まあパート3ってなってるんですけど
これ何のパート3
パート1とパート2読んだ記憶がある
多分ね
唐突なパート3
スターウォーズ方式の可能性があるか
わかんないけど
でもあれだ
前4回のAWSのセキュリティエンジニア
11人にインタビューしました
しますという記事ですね
でこれちょっと
メモリ忘れたんですけど
なんか
全部読んじゃうと
記事読むのと同期になっちゃうんで
ぜひ読んでほしいなって感じなんですけど
シンプルにめっちゃ面白いなというか
いい記事だと思いました
AWSの多分中の
めちゃくちゃ優秀な
セキュリティの人たちが
どういうのを大事にしているか
とかなんでこの仕事をしているのか
みたいな話を
いろいろ書いていて
面白いなと思って
で結構特に印象に残ったのは
1人目の
ブランドン・コードウェルさん
が言ってたのは
セキュリティエンジニアの仕事は
みんなが想像するところだと
椅子に1日中座って
ひたすら脆弱性を探すとか
孤独に歩くとかするみたいな
想像するかもしれないけど
実際には50%以上
人とひたすら会話するのがやっぱり
大事な仕事だし
あとはその
そのコミュニケーションが
本当にめちゃくちゃ大事みたいなことを言ってて
なんで大事かというと
多分この人のポジションも関係しているんだろうな
と思うんだけど
やらなきゃいけないのって
アプリケーションを開発して
そのアプリ開発したものを
子供のようにめでている
優秀なソフトエンジニアのところに行って
あなたの行動には欠陥があります
って言わなきゃいけない
でもあなたの行動には欠陥がありますなんて言うと
向こうはムッとしちゃうし
じゃあそうなったときに
いかにリスペクトを持って
どういうふうにコミュニケーションするか
っていうのはめちゃくちゃ大事
例えばめちゃくちゃ大事よねみたいな話
とかがあって
そういうのもひっくり返って
人と関わることも多いし
どう関わっていくのかが大事だと思ってます
みたいなことが一夢のやつだと
書いてあったりとか
そうだね
あとは二夢とかは
AIの活用みたいな話とか
今でもAIに頼らない部分
ここはAIに頼る部分みたいな話
言及があったりとか
三人目はどんな感じの話だったかな
ちょっと忘れちゃったけど
翻訳が動かなくなった
悲しい
ちょっと待って
でも三人目は一人目の方と
対照的でひたすら行動を読む
みたいなことをやってる
みたいな感じで結構
職人肌っぽいなみたいなのとか
なんか
読み物として
面白いんでちょっとさらっと
紹介したいなという感じでした
コミュニケーション50パー
50パーかわかんないけど
コミュニケーション能力が
大事はめちゃくちゃ
身にめっちゃ染みるわけじゃないけど
マジで否定できないなみたいな
気持ちで
読んだりしてましたね
セキュリティエンジニアは
コミュ力が大事です
唐突に褒めるけど
ヤギ足の仕事ぶりとかからは
そういう意味ではめちゃくちゃ学びがあります
そうなんだ
なんかその
無意識だと思うんだけど
キャリア的に多分経験積んでるから
やっぱ
言葉選びとか
話の持っていき方とか
細かいところで
熟練度を感じる
具体的にこうっていうのはパッと出てこないんだけど
なんだろう
散々人の作ったもので
XXXしておもちゃにしてた
時代もありましたけどね
そうですね
そういうの経て
やっぱなんか
ソフトエンジニアとは全然
取るべきコミュニケーションが違うというかさ
ソフトエンジニアの時は
技術的に
良い意思決定を導くために
どうディスカッションするかとか
PDMとプロダクトについて
話でディスカッションするとか
まさかりを投げ合ってた
まさかりを投げ合ってたかもしれない
でもなんかその
なんだろうな
いや
表現が難しいけど
なんか
同じ船に乗ってる間で
まさかりを投げ合うというか
別に
同じ会社だったら同じ船なんだけど
船はあんましっくりこないな
優先順位の一貫性とセキュリティの仕事の負荷
意識的にはチームでないで
割と完結できることも多いし
それを積み重ねていくと
コミュニケーションコストも
減っていくというか
セキュリティの仕事だと
今の会社とかは
ちっちゃいからあれだけど
割とみんなも
お互い認知できてるけど
それでもやっぱり
普段の取り組みのベクトルは全然違う
中で
いろんなネゴシエーションもしなきゃいけなかったり
ディスカッションもしなきゃいけなかったり
というか
向こうは向こうで
なんだろうな
やらなきゃいけないことやるべきことを
思っているミッションみたいなのがある中で
伝えたいことを
ちゃんと伝えきらなきゃいけないよね
みたいな話もあるし
前提知識もお互い違う中で
底がないようにしなきゃいけないよね
もあるし
その中で
そんな変数がある中で
一番ベタな意識っていう
つかみ取るための
リード的なことも
やっぱり必要だと
今しゃべったと思ったけど
やっぱり結構難しいことを
多分してるんだよね
っていうのは思いますね
なるほどね
小並感ですけど
いい意思決定にしたいは
確かにそうなんだけど
でも結構
いや正直わかんないですみたいなことも
割とあるよなと思ってて
どっちかというと
でもなんかね
正直わかんないです
うまいんだよ
そうなんだ
何がうまいかでいうと
ソフトエンジニアも一緒だけど
なんか
わかんないですで
終わられると
何も進まんじゃないですか
でもなんかその
わかんないけど
これとこれこういうアイディアがあるかもね
なんでわかんないかでいうと
こうでこうだよねみたいな
そういうコンテキストみたいとか
わかんないなりの
選択肢の提示とか
情報の提示っていうのが
あるわけで
その辺の差し加減とか
はあるなっていう気は
まあね
一方でなんかでもう
わかんないなりに決めに行かないといけない
シチュエーションっていっぱいあるからさ
うんそうだね
それでいうと
なんか常にやってるというか
考えてることでいうと
結構その取捨選択の
一貫性みたいな部分は
なんか結構意識してるかも
あーなるほどね
いやー確かにね
これとこれと比べて
なんでこっちが今優先度
高くなってるの
みたいなところに対して
それはこれこれこういう理由で
言ってることと違わない
これこれこういう理由で変わったんだ
説明できるかどうかみたいなのは
まあ正直別に
ごめんなさい
人間なのでそこはなんか
全部機械みたいにできてるわけじゃない
と思うけど
おおむねそこに一貫性があるようには
意識してるし
そうじゃないと
なんか
信用価値得ないというか
なんか
その積み重ねによって
初めて
こいつがこんだけ大騒ぎしてるんだから
これやべえんだなって思ってもらえるかどうか
みたいなところが変わってくるん
じゃないかなと思って
る
いやでもあると思う
別にそれって
小手先の技術というか
変にごまかしてるみたいな話では全然なくて
ただただ誠実であるという
その一言に尽きるんだけど
なんか
またその
一貫性を逆に持つようにしないと
なんか
そのセキュリティという性質
セキュリティやり始めた
初期めっちゃあったなって
今思ったけど
セキュリティの一種の性質を考えたときに
なんかやっぱ
パンクするよね
向こうの受け取り方としては
工夫しないと
やんなきゃいけないものが
横から飛んできたみたいな
でそれって
どうしても1個や2個じゃないし
常に抱えてる中で
1個1個
当初の僕は1個1個
これあるんでお願いします
やったけど
その中で
本来は
それぞれに温度感があって
しかるべきだし
理由みたいな別に
丸投げしてたわけじゃないけど
横櫛というか石を
バーって横に並べたときに
このボーダーがあってみたいな
そういう意識は自分の中では全然してない
できてなかったししてなかったし
なんかそれをしておけば
なんかもうちょっと多分
よくできた行動
あっただろうなって気はしてて
なんか球を出す順番とか
これはまだ
懐にしまっておいていいよ
とか
しまっとく必要は
ないような気もするんだけど
別にある種の
透明性みたいな話で
出すだけ出しとくのは全然いいかなとは
思いつつ
心構えも
変わってくると思うから
とはいえ
難しいとこだよね
ずっと頭の片隅で
不安の種になってるよ
それはそれで困るし
お互いに
そうだね
とはいえなんかちょっと
ここ最近はもう完全にそういうの
ぶっ壊され気味なので
本当に難しい状態だなとは思うね
そうだね
ちょっと無理丸投げするしかない
助けてみたいな状態に
普通になったりするから
状態ですね正直
ここ2年ぐらいね脅威情勢が
メンバーとして
ここ
10月きつかったね
10月きつかったね
きつかったよ
きつすぎて復職2ヶ月目だと
途中から錯覚してやってたもん本気で
あれ?
違うわ2週間前に
復職したんだ
社会人になってから
一番きつい1ヶ月だったと思うな
正直
本当?
張り詰め方とかそういうのも全部トータルで見た時に
なんかセブンペイで
メルカリンにいた時に
セブンペイのあれで世の中がバタバタした時の
メルカリンの中の
色々の時よりも
しんどかった正直
本当
あれはあれだな
ちょっとダメだ言えないわ外では
外では言えない
なかなか超えられない
単的に言うと
表現が大障害ではないんだけど
心臓の音がバクバクする
障害を起こした思い出があって
それが暫定トップだ
なるほどね
そうだね
それを超えないように
頑張りたいな
張り詰め方みたいな
これちょっとパート1とパート2も
読もうかな
普通にでもいいなって
思いながら読んで
こういう
これ読んで
あるいはこのPodcast聞いて
セキュリティやってみたいなと思った人は
ぜひやってみてください
お便りで相談してもいいです
相談しても大丈夫です
そこは手伝う
サポートとかないんだ
やってください
寄り添い力
代わりに寄り添うから大丈夫
びっくりしちゃった今
やってください
そうね
セキュリティを学ぶための書籍と今後の課題
でもなんかわかんないけど
それ以外に言いようがあるかな
勇気いりますよ
そうなのかな
やる人は勝手にやるし
やらない人は
別に永遠にやらないじゃん
そうじゃない
別に社内とかでも
このあれを受けてセキュリティ
少し
かじってみようと思ってみた人も
実際いたじゃん
やる人はそうなんだよ
うちの僕以外の
チームの僕以外の2人だって
別に必要だと思って
わからんなりにセキュリティやってるわけじゃん
めっちゃ厳しいこと言ってるな
急に
さっきまでの話何だったんだって感じ
状況によるかな
僕ともう1人のメンバーの場合は
やる選択肢がもうなかったから
やらないという
それでもやっぱ
やらない選択肢が
あったとしても
やらない選択肢がなかったとしても
別に
わからんけど
別に目を背けることもできたわけでしょ
そうだね
でも背けなかったわけじゃん
でもさっき言った
社内でこのきっかけみたいな話で言うと
何から読めばいいですかみたいな質問
飛んできたりしたじゃん
それぐらいはいいよ
お便りで
やりたいんですけど何から始めればいいですかとか
俺も聞いたしね一番最初に
あれじゃない
トクマルさんの質問箱とかに
あれすればいい
プロクシーすんな
ひでえ話だな
トクマルさんの
トクマルさんの質問箱
投げてもきっと
あれだね
問答か今
問答があるんで
投げたらたぶん
喜んでトクマル本読んでくださいって
教えてくれると思うから
いいと思うけどな
読んだ方がいい本は
わりと決まってて
とりあえずマスタリングTCPIPの入門編からです
あと石油スペ
CNCの参考書
2冊からじゃないかな
マスタリングTCPIP
通れてないんだよな結局
マスタリングTCPIPの入門編は
マジで通った方がいいと思うな
今からでも
ネスペ通ってるもんね
ネスペ通ってる
なんか読んだ気がすんだよな
覚えてないんだよね
ネスペ通ってるんだったら
別に今更とも思うけど
正直ネスペでたぶん試されない部分も
一定あるとは思うから
気が向いたら
改めて読んでみても
いいかもしれないね
結構集め合ってしんどいんだよね
本もでかいしさ
俺がやったから
捨ててない系の本みたいな
とりあえず
メルカリで買っとくか
家に置いとこうかな
お守り
お守りにするほどでもねえな
正直
持ってても読み返してない
そんな感じなんで
お便りは送っても同じ回答するかもしれない
今以上の回答はないよ
最初何がいいですかって
言われたらその2冊ですね
ありがとうございます
寄り添い
それ読み終わりましたなあとは
何がいいかな
何がいいかな
お好きなもの
まあそうね
それこそドクマル本とかも
いいだろうなと思うし
今第6番なんだ
俺が持ってるのは
たぶんちょっと古い気がする
うーん
6番だともう
あんま
新品買うか
あとなんだ
いくらでもあるな正直
あれじゃないなんだっけ
オーソライゼーションアカデミーとか
オーソライゼーションアカデミーはいいね
あれはなんか何なら
ソフトエンジニアみんな読んでもいいぐらいに
思って
よかった
長くなっちゃう書籍紹介タイムが
前半だけどめんどくさい
ウェブセキュリティとかもおすすめする
大事なんで
貸せないけど
探せばあるでしょ
すげえ高かったりしてね
高かった気がするな
原書は手に入るんじゃないかな
普通に
普通に新品売ってるわ
本当に
アマゾンで売ってるよ
また出したのかな
メルカリも普通に出てるね
いいじゃん
ちょっと話として
古いんだよね
もうちょっとめんどくさい
ウェブセキュリティ読んで
もうちょっと新しい話が
知りたいなと思ったら
ブラウザセキュリティ本
ウェブブラウザセキュリティかな
ツバメの本です
あとブラウザハック
この辺りかな
ウェブブラウザセキュリティは
割と新しいよね
ブラウザハックは結構古くなっちゃってる
気がするけど
だってこれ10年前に買ってるもん
ブラウザハック
ウェブブラウザセキュリティが
2021年だから
順序と言うとそんな感じですね
なるほど
まあ
あんま深く考えずに
一番新しいの読んだ気がするな
この中だったら
はいそんな感じです
ありがとうございます
有意義だ
じゃあ
そんな感じですかね
そんな感じです
今日はなんか
物騒な記事なくてよかったな
平和だったね
本当かよって感じだけど
なんか物騒な記事をさ
別にあんまりあれしてないだけじゃない
まあ確かに事件は起き続けてるからね
だって別に
漏洩も日々起きてるしさ
そうだね
我々もちょっと慣れちゃってるのかな
ピオログの漏洩をまとめてみたみたいなの
もはやピックしなくなってしまってる
俺でも一応
軽くはメイトしてるよ
マジでもう見てすらいないわ
なんか
なんか
よくも悪くもやっぱもう
攻撃者がやってること一緒だから
学びって意味だと差分が少なくなってるのは
普通にフラットにあると思う
そうだよね
しかも詳細出てこないしさ
あそんな脆弱性まで疲れちゃうんだ
みたいなのがさ
別に新たにこう
事件として得られるわけじゃないし正直
そこが
知りたいんだよね
リアルにどういうレベルのものを
落としに来てるのかっていうのが
知りたいんだけど本当は
出すとこは多分出してるから
もうちょっと経ったら
私が
データベースで見れるようにしますよ
とか見れるんだけども
待ちしてます
じゃあそんな感じで
皆さん次回もお楽しみにしててください
おやすみなさい
おやすみなさい
