お便りコーナー：資格維持の意義とAI時代のセキュリティ
今日はもう、あれですよ。お便りからいこうかなと思って。
ネタが尽きた?
尽きてない、尽きてない。もうなんかね、あの、いや、あんねんけど、なんかもう思いつくのが、また天気の話かみたいな。
ああ、まあそうね。
うーん、とか、なんか暑いですね、とか、あと、川に刺されましたわ、とか。
そんなんぐらいしかなんか出てけえへんというかね。
まあそういう季節ですよね。
そうそうそうそう。また次回は何か雑談できるように何か。
あの、エピソードトークみたいな。
雑談ってそういうもんちゃうと思うけどな。
違うかな、違うかな。オープニングトークとかちょっと違うもんな。
確かに。まあでもエピソードトークは確かにね。オープニングでエピソードトークってなんかラジオっぽい。
そうそうそう。こんなんありましてね、みたいなこともね、特になかったんで。
素直で、素直でいいっすね。
はい、なんで今日はお便り、いきなりお便りいきますけども。
いきましょう。
前回にほら、資格取ろうかなみたいな話で、取った後とかどうなんみたいなとか、もしよかったら教えてくださいよっていう話をしたと思うんですけれども。
しましたね、はい。
それに関するお便りで、セキュリティ資格は体系的な学びになるため、取得まではよかったのですが、正直維持する意味には疑問を感じていました。
しかし、最近のSCS評価制度で、支援士などの資格保持が評価者の要件になると知り、ようやく資格の実用性が試される場面が来たのではと感じています。
ああ、確かにね。それは僕も完全に同意というか、取ること自身に意味があるというよりも、そもそもその過程、取る過程で勉強して体系立てて知識を整理するっていうことが僕は一番意味があると思ってて。
だから合格してもしなくても別にいいんじゃないって思ってるんだけど、確かに取った後、それを維持するっていうことにどれくらい意味があってのは、なかなかちょっと難しいよね。
そうですね。こういう評価制度やったり、あとは入札資格とかでこういう人何人とかプロジェクトにこれ持ってる人入れろみたいなのは昔からよくあったりするけど。
計算省がやってるサービスの審査登録制度、ちょっと正式な名前は忘れちゃったけどさ、あれも確か要件として資格持っている保持者が何人とかあったはずだから。
まあそういうところで生きる、直接的には生きると思うけど、あとは僕、意外とあるのはコミュニティだと思うよ。
ああ、その資格保持者同士のってこと?
そうそう。資格を維持するために色々あるじゃん、その後にさ。そういうイベントに参加したり、コミュニティで同じような資格保持者と横に繋がれるっていうのは、それなりに価値はあるんじゃないかと思うけどね。
そうですよね。資格を持っていることを維持することが目的になるのはあまり良くないかなっていうふうに思うけど、今みたいにネギさんが今おっしゃったみたいなやつとかやと、維持するということがこれからの自分の活動のモチベーションになったりとかね、色んな人とやり取りすることで刺激をもらったりみたいな風になっていくといいんちゃうかなと思いますよね。
あと、SCSの話が出たんですけど、SCS評価制度の要件は対策状況の確認ではなく、社内のセキュリティ規定、規則のどの項目で満たしているのか確認するためのチェックシートとして使っています。足りない部分は今年の改定分に含めましたという。今の実際とどれぐらい乖離があるかみたいなものを見ているんですかね、これは。
なるほどね。そういうチェックリスト的に使っているっていう使い方ね。
足りない部分はどこなのかみたいなところで、その要件に対応しようというよりは自分たちの実を取るというふうな部分かなというふうに僕はこれを受け止めましたけどね。
いいんじゃないかね、そういうのもね。
正しい使い方の一つなんちゃうかなっていうのはこれを僕も見て思いましたね。
フィッシングメールについてのお便り、これ前回来たやつですね。迷惑メールフォルダから掘り起こして、次の朝見たらなにこれってなったっていう話があったと思うんですけど。
はいはい、夜中に読んじゃダメってやつですね。
そうそう、それで夜中に重要な判断をしないという話が出ましたが、タイムゾーンが東京ではない辻さんの場合はどの時間帯が要注意なのでしょうか。
フル出勤ですっかり朝方になった私には案外わからないものです。確かにな、僕が一番冷静な判断ができへん時間がいつかってこと?
確かにな。
いつなんやろうな。
違うタイムゾーンで生活してるもんね。
そうですよね、ドバイとかあのあたりのタイムゾーンやった気がするんですけど。
でもタイムゾーンが違うとはいえさ、ずれてるだけでやっぱりそういう時間帯が絶対あるはずだから。
そうですね、たぶん皆さんで言うところの夜中とかちょっと寝よう、もうちょっとしたら寝ようかなぐらいの時間ってなったら、僕ら日本時間で言うと朝とかなんかな。
そうだろうね、たぶん朝方だよね。
そうですね、あと逆になんか昼間起きてちょっとしてからとかちゃう?それも結構ゆるいと思うね。
まあ確かに両方あるよね、寝る前と寝起きすぐとね。
そうですね、たぶん掃除で太陽が出てる時でしょうね、僕ね。
そうだね。
バンパイアみたいなことかもしれない。
まあでもタイムゾーンはちょっと冗談としてもさ、自分の生活リズムに合わせてここで大事なことは判断しようとか、なんかそういうのはあってもいいかもしれないね。
ルーティーンじゃないけどね、自分なりのルールみたいなものは確かにあってもいいかもしれないですね。
これ難しい問題というか質問なんですけど、
最近も話題に上がる攻撃者にディスるジャーナリズム問題についてどう思われますか?
今年の5月くらいにシンポジウム参加者がマスコミとは分かり合えないとポストをしたり、現役記者さんが反応していたりしましたが、私の勉強不足もありいまいち理解が及びませんでした。
そもそも僕こういう分かり合えないというポストだったりそれへの反応っていうのは全く存じ上げなかったんですけど、そんなことあったんやと思って。
俺も目に入ってないけど、個別の事象についてはわからないこともあるので、一般的な話として言うけど、僕はどっちもどっちだと思ってて、メディアって一括にしたらダメで、
主語がデカいってこと?
まあそのメディアの中にもね、少なくとも僕は個別人的にお付き合いのあるメディアの記者さんってのはちゃんとそういう倫理観というか、攻撃をリスルなんてことは全然考えてなくて、ただ何を公表して記事として書けばその全体社会全体の利益になるかとかってことはすごく考えてるんだよね。
ああ、公益性があるか否かってことですよね。
そうそう。だからその取材してわかっても全部を記事にして彼らは書いてるわけでないし、ちゃんと裏も取った上でこれは出すべきだと思ったものだけを出してるとかってちゃんとそれは当たり前だけどさ、そんなの。
まあそれはもうサイバーに関わらず何でもそうですよね。
それは全然セキュリティの文脈に関係なく、メディアに携わるものとしてそういうことをやってらっしゃるわけで、一方でそこら辺の基準がちょっと曖昧だなって感じる記事が確かになくはないのね。
これ一体誰のために書いてるんだろうなっていうのがわかんないようなものがなくはないけど、まあその辺は多分ね、セキュリティっていう分野に関する知識の深さとか経験とかに違いによって多少そういう違いは出るんじゃないかなと思うんで、まずそもそもそのメディアって一刻にするのはちょっと違うかなというのと。
そうですよね。どういう報道のことって言った方がいいような気がするな。
これは良くないんじゃないとか、そういう個別には多少議論はあってもいいと思うけど、あとセキュリティのいわゆる専門家って言ってる人の中にも結構無知なことを言ってる人とか、極端なことを言ってる人はやっぱりいて、あと僕は大嫌いだけど、いわゆるセキュリティ原理主義っていうか、セキュリティが一番大事だみたいなね。
セキュリティファースト、健康のためなら死ねみたいな感じのやつですね。
そうそう、そんなわけあるわけないのにバランスが取れてない考え方が偏ってるっていう人も多分いると思うんだよ。
で、もしかしたらそういう人から見るとメディアなんて俺らの足しか引っ張らないみたいなね。とかさっき言ったその分かり合えないみたいな。それはあなただけでしょっていう風に。
そうそうですよね。
僕だったらそのメディアの中の全部の人と分かり合えるわけじゃないから、ちょっとこの人と考えが違うなとかさ、合わないなっていう人も多分いると思うよ。いると思うけど、少なくとも僕が個人的に知っててお付き合いになる人とはちゃんと話ができるし、
その立場は違うけどね、その研究とかセキュリティの専門家として発信する情報を発信するという立場と、メディアの記者として情報を発信するという立場の違いはあれども、目的とか向いてる方向は同じだなって感じることが多いので、なんかそれはどっちもどっちでケースバイケースなところがあるので、
一個を見て全体がそうって思わない方がいいんじゃないかな。それはもうお互いそうですよね多分ね。僕も結構その普段にしょっちゅうやりとりとか、あと何かこうあったりとかちょっとお話聞かせてくださって気軽にやりとりできるような関係性ができている記者の方々とかと話ししているとやっぱりそのやっぱり伝えたいことっていうのを明確にしているというかその相手がきちっとその読み手とかですよね。
読み手にさっきも出てきた公益性、その気をつけようなのか何行動を変えようなのかわからないですけど、何か伝えるものが明確になっててこういう人に伝えたいっていうのとか、あとは事実はこうでとかっていうのをきっちり確認される方の方が僕の周りには多いかな。
あと、報道ではないんですけど、僕も外に出て喋ったりとか、場合によったらテレビとかのメディアとかで喋ること、解説することとかあるじゃないですか。そういう立場から言わせてもらうと言い訳っぽくちょっとなってしまう部分もあるんですけどね。限られた時間で伝えられることっていうのはすごく限られてるってことですね。
厳密に言おうと思ったら言えるけど、厳密に言いすぎたらやっぱり多くの方には伝わりにくいことがあったりするので、だからいい感じにデフォルメするっていうのが大事かなと。僕も最近はそうでもないけど、昔とかやったらやっぱりなんかこういうところが足りてないとかテレビはちゃんと伝えてないとかっていう人いるんですけど、いやいやそうじゃなくてちゃんと多くの人に可能な限りちょっとでも行動変容してもらうためにはっていう伝え方を考えないといけないんですよね。
それっていうのはちょっと立場としては言いたいかなっていうところもありますね。
そうだね。だから違う立場、相手の立場でこの問題がどう見えてるか、自分とはどう違って見えてるかっていうことに思い足らないというか、想像力が足りないからそういう衝突って起きるんじゃないかなと思うんだけどね。
確かに尊重できてなかったり、理解できてなかったりね。
それが分かった上で、いやでもあなたとは意見が違いますって意見を戦わせるのは建設的でいいと思うけど。
確かにね。議論にすら発展してない場合もありますからね。一方的に見て一方的になんか言っちゃって、お互いなんかこう空中戦じゃないですけどなんかやっちゃってるみたいなのがあるのかもしれない。
なんかそれはあんまり見てても面白くないし。
まあもったいないと思うしね。時間とかリソースのゴールがないもん。
なんかぜひその辺は自分で考えて判断していただきたいなと思いますけどね。
そうですね。はい。でですね、次のやつなんですが、今まで必死に守ってきたデータがAIだから仕方ないよなって感じでなんとなく許容される世の中になっていないでしょうか?
デジタルの世界の守りの境界線がとても曖昧になってきている気がします。
セキュリティの最前線で活躍されているお三方のAIの受け止めについて聞いてみたいです。
いやーそれは確かに僕も感じますね。
なんかそのなし崩し的にというかさ。
でも新しい技術が流行る時ってだいたいそうで、
例えばインターネットちょっと古い話で恐縮だけどインターネットが出てきた時っていうのも今までリアルな世界でやってたことが全部ネットでできるってすげーじゃんって何でもかんでも全部ネットだみたいな感じになって
なし崩し的に全てがネットで管理されるって。
でも一方でそこに自分の個人情報載せていいのかとか、
今では信じられないけども例えばカード情報をネットでやり取りするなんてとんでもないって言われてた時代があるわけですよ。
昔はね。
そんなの危ないとかさ。
でもまあそういうやり取りを行き過ぎも良くないし守り過ぎも良くないっていうそういう攻め合いがある中で、
まあまあバランスが取れたところに今は来ているわけで。
今はどっちかっていうとそのAIに関して言うと特にここ1,2年急速にその発展進歩してきちゃったので、
ややねちょっとややそのAI使うと便利ですげーっていう方向に今ちょっと舵が切られて、ちょっと行き過ぎ。
ちょっと行き過ぎてる感ありますよね。
なんとなくねなんとなくだけど世間のなんとなく風潮的に行き過ぎていて、
まあちょっとブレーキ踏んだ方がいいかなって感じることがなくはないし、
今のお便りみたいになんか何でもかんでもAIで自分のデータ食わせていいんだっけっていうのはちょっとね立ち止まって考えた方がいいかもなって思うことは。
いやほんまそうやと思いますね。
それは冷静な判断でいいと思いますけどね。
なんかこうまあいろんなデータをねアップロードしたりとかこれ投げて集計して分析してとかやってくれたりしますけど、
それってほんまに投げてええんやっけみたいな感じがするというかね。
さっきねげしさんがほらあのインターネット例明記と言えばいいんですかねそういう頃の話をされてましたけれども、
あの頃そんなんすんのは持っての他やってことってもう今普通になってるのっていっぱいあるじゃないですか。
さっきのクレジットカードもそうやし、
あとはなんかあの物が届く届かへんっていう実住所が必要なサービス以外は適当な住所登録するとかいう人も多かったと思うんですよね。
あー昔はね。
そうそうそうそう。
だからそういうなんかこの境界線みたいなものっていうのは時代とともにやっぱりこう動くもんやと思うんですよある程度は。
ただ自分なりの絶対超えたらあかん線っていうのは作っておかないと、
あの便利っていうふうなニンジンばっかり追っかけてしまうと偉い目に合うっていうのはここでやっぱ意識しとかんとあかんことなんちゃうかなと僕は思いますけどね。
そうですねやっぱりリスクとのバランスっていうのはまあ自分で誰かが守ってくれると思ったら危ないので。
そうですね。
かといって一方でその全然そういうリスクが危ないから何も自分は使えません極端だと思うんだけど。
そうですね。
多分それはここからの時代の変化に追いつけなくなっちゃうので、まあその辺のバランスですよね。
まあなんか乗り物とかと似てるかなと思いますけどね速度上げれば目的地には早く着くけどその分リスク上がっていくわけじゃないですか。
そのためにブレーキちゃんと踏んだりとか安全機能つけたりしましょうみたいなどっかで線引かなあかんなっていうのは共通するもんちゃうかなと思いました。
そうですね。
でですね次が東京ディズニーレスポンスの件。
あもう東京ディズニーレスポンスになったんやこれ。
あれ勢の中でのTDRはレスポンスなんやな。
そうだね。
もうこれ最悪東京ディテクション&レスポンス。
確かに。
東京もういらなくねそれ。
東京いらんな。東京関係ないもんな。
それとディテクション&レスポンスとかじゃないの。
確かに確かに確かに。
いやまてよそういうのありそうだなちょっとな。
ありそうですね。
やめとこう。
やめときましょう。
ランサムギャング「RansomHouse」の活動とニチレイグループへの影響
東京ディズニーでそのちゃんといろんなねこうレスポンスインシデントレスポンスにもすみたいな話をカンゴさんがね紹介してくれてましたけれども。
事前に曜日や天気気温イベントなどの条件とその日のアトラクション待ち時間を調査分析していく日を決めます。
これが平時のネットワークトラフィック観測と近い気がしていて、
普段の待ち時間を把握し自分が対応するときに生かす。
こじつけでしょうか。
まあ若干こじつけかもしれないですけど。
いやでもこの僕その平時がどうとか有事がどうとかっていうところはあんまり僕はここの後半部分はそれほど共感しなかったんですけど。
あの事前に曜日や天気気温とかっていうのを確認するのはこれはもう僕は絶対なんですよね。
まあそれはそうだね。
僕の場合はフラッと行くような、一人で行くようなこともするタイプやから。
その時は別になんとなく今日天気良いし行ってみようかなみたいな時とかもありましたけども、
ちゃんとこの日ぐらいに行きたいなっていうふうに決めてるときは確率論で行きますよ僕は。
過去何十年分の天気の分析とかをしてるサイトがいっぱいあるんですよ。
なるほどね。そういうのやってる人たちいるんだね。
そうそう。例えば10月やったらこの日、例えば10月の29日やったら過去19年間で2回しか雨が降ってないとかね。
そういうのもあったりとかね。
あとは直前とか1週間10日前とかになってきたら、天気JPに東京ディズニーランドの天気っていうページがあるんですよ。
まあこれ位置情報で多分言ってるだけだと思うんですけど、結構前からわかってきたりする部分もあったりするんで。
その事前の準備と直前近づいてきてからの準備っていうのとかはやっぱり僕は見ますね。
まあそれは大事かもしれませんな。
でもね結局一番はね、参加日終わった後の水曜日ぐらいがだいたい一番空いてます。
寒いけどね。めっちゃ寒いけどね。
まあそうだろうね。
クリスマスも終わってるし、みんな仕事始めやしみたいな感じで。
ちょっと次のがですね長めなんですけれども。
いつも楽しく拝聴しています。事業会社でセキュリティを担当しており、勉強になるお話はもちろん、お三方の掛け合いも毎回楽しみにしています。
夏といえば夏休みですが、セキュリティ担当者は休むのが苦手な人が多いように感じます。
私のチームではローテーションを組んでいるのですが、休暇中にアラートや連絡が入ると、自分の当番ではなくてもつい確認してしまいます。
大事な兆候を見逃したくない一方で、これでは本当の意味で休めていない気もします。
お三方は休暇中は仕事から完全に離れる派でしょうか?それとも最低限の情報は確認する派でしょうか?
セキュリティ担当者が安心して休むために個人として意識していることや組織として必要だと思う仕組みがあればぜひ教えてください。
というご丁寧なDMでいただきました。
これは聞く相手を間違えてるんじゃないかな。
そうなんですよ。僕も同じことをネギスさんも言うだろうなって全く同じ感想をね。
そもそも我々に休暇中という意味がないというか、概念がないんです。
我々には休暇という概念がないのでそもそも。
僕でも強いて言えば、休暇かどうかは別にして、今日はこれして遊ぶぞって完全に決める。
そういうことをさっきみたいにディズニーに行くとか。
あ、でもディズニーに行く時もノートPC持ってるな。
何かあった時には備えはしてるけど、でも今日はもう何もせえへんぞみたいな日、たまにやりますよ。
確かにね、逆にそういうふうに意識しないとなかなかできないよね。
普段からそういう、別に仕事だからって思ってるわけじゃないんだけど。
そうなんですよね。
当たり前のようにそういう物事をいろいろ調べたり、ニュースを調べたりとかやっているし。
あと実際にお便りにもあったように、何かそういうイベントとかインシデント、脆弱性とか何でもいいけど、何かあったら結局やらなければいけないっていう。
まあそうですね、人数足りひんからやっぱりねっていうのは普通にありますしね、土日とかでもね。
結局あるからオンオフの切り替えっていうのをそれほどタフ意識してないと思うんだけど、
確かにね、ついさんが言ったみたいに今日はどこそこに出かけるぞ遊ぶぞとか、何かそういう時ぐらいだよな。
そうですね。しかもそれも何か意識してやれへんかったら。
あとたまたま何かこう、例えばイベントとかイベントとイベントの合間とかさ、年間に何回かあるじゃないですか、そういうタイミングって。
そういう時にちょっと何か、まあそんな切羽詰まってもないし、今日ぐらい何の銭湯、ゲームでもしようかとか、買い物でも行ってみようかって何となくその日にふっと思うみたいな時はあったり。
まあ働き方が結構自由じゃないですか、我々。時間のあれとかも。
なんでちょっとそうですね、どっちかってこれその読んでて僕思ったのはね、この見逃したくないっていうところがその脅迫観念みたいな、いややってんねんやったらやめさせた方がいいと思うんですよ。
ああ確かにね。
僕らもそうですけど、なんか例えば今日は例えば世の中的にも会社も休みですっていうような日、まあお盆とかでも何でもいいけどさ、そういうタイミングとかでもまあなんかこうちょっと海外は止まってないから何となく気になってニュースとか見ちゃうじゃないですか。
気になることが起きてたりとかするとか、日本巻き込むような可能性があるような事象とかだったら調べたいって思うんですよね。
そうだね。
調べなければダメなんだっていうふうに切羽詰まった気持ちではなくて、もう知りたいっていう方がどっちだかというと僕は勝ってるので、この対応されている方々がどういう姿勢なのかっていう、いやいややったらちょっと考えた方がいいと思う。
そこら辺は確かにその人の性格とか向き不向きとかにもよるかなっていう。
僕らはちょっと一緒にしちゃうけど、看護さんも含めて、わりかしこういうのが向いてる得意な人たちっていうのはさ、なんか当たり前のようにそういうことをやるのが好きでしょうがないから、別に嫌々でも何でもなくてやりたいからやってるって感じだからね。
なんかもうそれこそ、本好きな人が小説読むのが活字中毒とか言った言葉とかあったりしますけど、それに近いというかね。
特にその働き方っていう意味で、そういう多くの人と合わないっていう意味だと、僕らはこれを必ずやりなさいって与えられた仕事だけをやってるわけじゃないじゃないですか。
自分で興味のあることを調べたり、研究分析したりとかっていうのもあるから、ちょっと違う部分があるけど、やっぱり嫌か嫌じゃないかっていうのは見極めてあげた方がいいかもしれないですね。部下の方々に対してっていう意味だと。
その辺は確かにね、そういう仕事の手綱を握る立場だとなかなか難しいかもね。
そうなんですよね。僕ら逆に上司とか偉い人に、お前今日絶対仕事すんなよって言われたら嫌でしょ。仕事というか調べ物絶対すんなよって言われたら、なんでやねんってなるじゃないですか。
あのー、そうね。自分で決めさせてくれよって感じだよね。
そうなんですよね。適材適所、合う合えへん、性格みたいなものをやっぱり気苦労もあるかもしれないですけど、上司の方はそういうものを汲み取ってあげて最適化を見つけるのがいいんじゃないかなと思いますね。
ということでございます。お便りを紹介した方にはですね、セキュリティのあれ番組特製ステッカーコンビニで印刷できるコードを差し上げています。
5種類あるんでですね、5種類揃ったら揃いましたよという写真とともに、僕にXのDMで送っていただければ、6枚目のシークレットの印刷コードを差し上げてます。
お便り自体は、Xでシャープ、セキュリティのあれというハッシュタグをつけてポストいただければ、それが自動的にお便り扱いになるので、励ましだったり、質問だったり、お悩みだったり、何でもいいんでお気軽にポストいただければと思います。よろしくお願いします。
はい、お待ちしてます。
はい、じゃあですね、ぼちぼちセキュリティ、あ、今日看護さんいないんですよ。
お、そうですね。
今日は2人でやっていくんで、お便りたくさん来てたんで、多めに紹介したんですけれども、今日はセキュリティのお話は2つしていくわけなんですけど、
今日僕がお話するのは、事件系というよりはどちらかというと、このタイミングでやったら紹介してもいいかなということで、1つのランサムギャングを紹介しようかなと。
お、いいですね。
今紹介するランサムギャングって多分ピンと聞ける方はいるかもしれないですけれども、ランサムハウスですね。
ちょいちょいメディアでも最近名前を聞いた方がいらっしゃるんじゃないかなということなので、このランサムギャングがどういう風なギャングなのか、いつ頃登場してみたいな話をしつつ、最近起こった事象について振り返りをしていこうかなと思っています。
お、お願いします。
はい、このランサムハウスっていうのはですね、もともとは、最近とかだと二重脅迫、多重脅迫、強拡なんていうような言葉があるんですけども、一番初めはデータを盗んで脅すっていうことを前面に押し出してたランサムギャングなんですよ。
うーん、あ、そうだっけ。
そうそう、2021年の12月頃に登場したんですけども、いわゆる今で言うとノーウェアと言われるような、ノーウェアランサムに当てはまるような、摂取データでの脅迫、暗号化なんて必要ないぜぐらいの感じの勢いで言ってたんですよね、最初はね。
この2021年の12月頃っていうと、当時はコンチとかロックビットとかブラックキャットが勢力を伸ばしに伸ばしていたコロナ禍の時ですよね。
懐かしいね、もう今どれもいなくなっちゃったね。
ロックビットはでもね、なんだかんだね、結構上位に入ってるんですよ、一応。
確かに確かに、ロックビットは息が長いね、そう考えるとね。
そうそう、コンチはね、なんかちょっと一言やらかしてね、発言したってボロカスに戦えてリークされたりもしてて、ブラックキャットは出口詐欺したんちゃうかっていうふうなことで消えていったりしていましたけども、
そのギャングがすごい盛り上がってたというか、勢いを伸ばしてた頃に現れたランサムハウスなんですけども、当時はその盗んだデータで脅すっていうのに加えて、
接種データを最高額で入札した人たちに売りますと、買い手がつかなかったらリークしますっていうのが当時のスタンスだったんですよね。
で、その当時は、アバウトって自分たちの説明をするようなところには、なんかもう本当に腹立たしい文言が書かれてあったんですけれども、
自分たちはいかなるセキュリティ侵害とも一切関係がなくて、ランサムウェアを作ったり使うこともありません。
主な目的は、関係者が被り得る被害を最小限に抑えること。
真の加害者は脆弱性を発見した者や、ハッキングをした者ではありません。
真の加害者はドアに鍵をかけず、誰でも入ってくるように大きく開け放っておいた者たちなのです。
どの立場からものを言うとんねん。
よく言えたなーって感じだよね。
こんだけ綺麗な奇弁用を並べられんなーって僕は思うんですけど。
本当だよね。
そう、だから当時はね、自分たちのことをランサムギャングというよりはプロジェクトだと。
言うたらやってたことは、もうペネトレーションテストの強要とかいうか、安全の押し売りっていうか、
ただの強盗やんけっていうようなことをしてるだけではあるんですけど、
こんな憎い文言を当時は書いていました。
そんなことを言うてたんですけど、結局暗号化をするというふうに切り替えてくるんですね。
当時は別のランサムギャング、別と言えば実体が一緒なんちゃうかっていう指摘する人もいるんですけれども、
ホワイトラビットっていうランサムギャングがいたんですけども、
そこがですね、ウェルカムトゥーザランサムハウスっていうランサムノートに、
なぜかランサムハウスの名前が入ってるっていう風なものが流通というか置かれているようなものがあって、
当時はホワイトラビットが実行犯で、ランサムハウスがプラットフォームの提供みたいな風に言ってる方、
研究者の方もいたんですけども、別なのか同じなのか、重複してる部分があるのかっていうのは真偽は不明なままで、
どの道今は暗号化もしっかりしてくるギャングですという風なのが現状ですね。
ここからさらに発展してきたのが、新しくランサム、今だったらもう当たり前ですけども、
ESXは仮想基盤ですよね。仮想化基盤向けのランサムウェアをマリオっていう名前をつけて、
これマリオってあれなんですよ、ランサムノートがマリオがピースしてる、
アスキーアートが出てくるランサムノートなのでマリオって名付けられてるランサムウェアなんですけど、
これは2021年の9月にソースコードが流出したバブクってあったじゃないですか。
懐かしいね。
バブクを流用したという風に色んな分析した人たちは言ってるんですよね。
共通する部分があるとかバイナリの類似性とかこういうの見たりするじゃないですか。
あとファイル名とかの類似性とかも見ますよね。
これを流用して作ったんじゃないかという風な、後に結構改良されたりもするんですけど、
ベースはこれを使っていると思われるという風に言われているってことなんですね。
このランサムハウスって去年とかも別の大きな組織の被害があったりして話題になったギャングの名前だと思うんですけども、
意外とリーク数だけで見ると骨粒の中堅骨粒ぐらいに入るぐらいのリーク数なんですよね。
なるほど。
全部見てみたんですが、2022年からですね、26年で見てみると、登場して間もなくとかの22年は年間で21件。
そんなに多くはないね。
そうそう。23年がそのちょうど倍ぐらいの42件になって、
2024年、2025年は69件、67件で、
2026年は昨日、一昨日、一昨日時点で37件ぐらいかな。
7月23日ぐらいの時点で37件なんで、このままいったらまた去年一昨年と同じ程度の水準?
そうだね。じわじわ伸びてるけど、そんなに別にめちゃくちゃ目立つほど多いって感じでもないね。
そうなんですよね。他のグループで言うと、例えばその一番勢い去年あったチーリンとかはもう1058件のリーク数なんで。
桁が違うもんね。
そうそう。もう今すでにチーリンは今年で772件なので、もう全然桁というか10倍以上もうすでにっていう風なものなので。
あとなんだっけ、ほらこないだも紹介したジェントルメンとかさ。
あーはいはい。ジェントルメンはその2番につけてますもんね。
最近結構勢いが増してるけど、そういうとこと比べるとちょっと見劣りするというか。
そうそう。結構その外の力を借りてのし上がってきてやってきたグループかなっていう感じはしますよね。
ジェントルメンとかだったら自分たちでEDRキーラーこさえてみたりとか。
あーそうだね。
あとチーリンとかだったら、結構前に紹介しましたけど、弁護士紹介オプションつけますとかね。
あとは盗んだデータのストレージが足りなくなるようなことはないですとか。結構努力してるじゃないですか、そういう。
そういう感じではないかなっていう。
たださ、とは言っても派手ではないけど、2021年からだとして、もう5年近く。
だからもう老舗の部類ですよ、5年やから。
それなりに中堅のところで存在感あるっていうことはさ、派手さはないけど成功してるというか。
そうですね。ただそんな大人数抱えてやってるような感じもしないんで、この件数見てると。
アフィリエイトとかもそんなでもないのかなっていう感じはするし。
継続できるんだけど、ちゃんと成功は掴んでるっていうよくないことだけど。
そうなんですよね。リーク数だけでは脅威は測れないっていうのはありますけども。
そのよく名前を聞くようなランサムギャングの割には、そんなに思っているほどリーク数は多いわけではないという現状がありますということですね。
なるほど。
そんなランサムハウスなんですけれども、最近ニュースとかでも見ている日齢の件がこれなんじゃないのかみたいな報道がいくつか出てるかと思うんですけれども。
あれでもちょっとその前に一言言いたいけどさ、あれよくない。あれさっきのちょっとお便りでも関係するけどさ。
はいはいはい。アリスルーの話?
そうそう。あれは正直よくないと思ってて。被害企業がここにやられましたって自分から言うのはいいけど、退散者が勝手に言うのはあれはよくない。
最近リークサイトのスクショまで大手メディアも出すようになってきましたよね。
あれは国内に限らず海外でも前からずっと議論があるところで、それによって何かさっきも話じゃないけど、何かみんなのためになるんだったらいいけど。
はいはい。
だってほら前からねツイさんとかともよく喋ってるけどその間違いだってあるわけじゃないですか。
あるあるあるある。実際に間違われた人に会ったことあるもん。
そうそうそう。公益側が言ってるだけでそれが本当に正しいのかどうかっていうちゃんと裏は取れてるんですかとか、それを言ったことで何か我々にメリットはあるんですかっていうところがなんかないままリークサイトに載りましたウェイみたいな感じの。
なんかロシアのハッカー側とかっていうタイトル多いですよね。
なんかそれ言いたいだけちゃうのみたいなのはあれは正直あんまり僕はその公益性はないと思ってて。
そこを報道してもねなんかだからどうしたら永遠に繋がらへんというか。
なんかあんまりそれは感じないけどね。まあちょっとそれは本筋とは違いますが。
それはね僕も同じように思ってて。そのバランスって難しいなって常々やっぱり思ってて。これが100%正解ということは僕にもなかなかこれだと言い切れることができないんですけども。
そういう声明をこういう攻撃者が出しているということ自体は事実ではあるけれども、被害者側がリリースやコメントがないっていうことはきちっと留意しておく必要があるんじゃないかなって僕も同じように思っています。
もちろんランサムハウスの主張によると暗号化を行った日と被害に遭いましたっていう日が一致してるけど、これもランサムハウスが後付けで日にち合わせてくるってこともできなくはないから、
日時は一致してるけど長時で合わせるような状況ではあるっていうこともしっかりそういうふうに見る必要があるんじゃないかなというふうに僕はこれを見てて思いました。
それよりもねその今回その日例のリリースの中にはそういった詳しい攻撃者の情報だったりとか攻撃手法についてとかと詳しい原因についてというのは触れられてないっていうスタンスじゃないですか。
そうですねまあそういうところ多いですよね。
そうそうそれはねあのまあ出してほしいなぁとは思うけど無理辞ができるようなもんではないのでしょうがないと思うんです。
で今回思ったのはねその今回この日例が被害にそういったシステムの停止を伴うような被害にあった時にどれぐらいの影響があったのかっていうのはすごく興味深いというかね学びがあったなというふうに思ってて、
今回は日例ロジグループ各社の冷蔵倉庫の入出庫業務っていうのと日例フーズの冷凍食品出荷業務この2つが影響が生じたっていうリリースに書かれてあったんですよね。
なのでものによったらまあ一部の物流が滞る最悪の場合停止するっていうふうな状態になったんだというふうなことなんですけど結構ねこんなとこにも影響あんねんなっていうところに出てたんですよね。
なんかこう冷凍食品だけなんかなっていうなんかそのご家庭にっていうイメージがなんか僕の中で強くてあんま詳しくなかったっていうのがあってね日例という会社自体に。
そしたら外食とか例えばケンタッキーフライドチキン。
出てたね。
そうあと蔵寿司。
この辺は結構ニュースでも出てましたよね名前がね。
出てましたね。
そうそれ以外とかアイスクリーム扱ってる明治とかあと小豆バーでおなじみの井村屋。
はいはい硬い小豆バーね。
そうそうそうあとはね冷凍うどんとかの会社のテーブルマークっていうところとかあと氷あったらねイオンとかね。
はいはいはい。
あとあのセイキョーコープとかねっていうのがあったあとホテルとかにも影響出たりとかみたいなもあるんですよねそういう。
こういうあれだよね日例さんに限らないけどさサプライチェーンっていうかさこういう事件が起きるとそういうところまで影響を受けるんだっていうのが初めてわかるよね。
そうそうそうそう。
なんとなくねケンタッキーに影響があったって言った時に今日の晩ご飯ケンタッキーにしようかなとかね。
なんでやねん。
なんか思い出したら食べたなってなにそういうの食べ物の話人から聞いて俺も食べたいなみたいな。
そろそろ最近焼肉食ってへんなみたいな感じの気持ちというかね。
わかるけど。
でもなんか出前感で見たら注文できましたから一部だったんでしょうね。
不足ではあったのかもしれないなっていうことで。
まあでもそういうところにも影響あんねんなって思ったんですけど僕が一番意外あった影響個別の名前は公表されてないんですけども学校なんですよね。
ああ給食とかそういうやつ?
そうあの結構ねあのいろんなところの各都道府県の密着したメディアの人とかが各市とかの市教委ですよね市の教育委員会がありますけどもそういうところにインタビューしに行っててね。
で学校給食に影響出ましたっていう報道が結構いろんなあのそういうローカルメディアと言えばいいのかなそういうところのニュースにも出ててですね。
えー。
届かないっていう風なことよりも届かなかったら届かないでムキにするわけにはいかないじゃないですか足りないから腹減るしね。
代わりのものをね。
そうそう代わりを用意しなあかへんねんけれどもあのもともとそういう冷凍食品とかで提供されているものっていうのは子供がどの子供が大体食べてもいいようにアレルゲンがないものっていうのは選ばれてるんですって。
あーそっかそっかちゃんとそこらへん考えられたものしか出せないもんね。
そうなんですよ最近ほらやっぱりアレルギーっていろいろいろんなアレルギー持ってる子増えてるってたまに聞いたりするじゃないですか。
なんか昔よりも多くなってるみたいだもんねその辺ね。
そうそうそうそうまあもしかするとチェックがね厳密になったからたくさん明らかになったっていうのもあるかもしれないですけども。
なのでその普段提供とか供給されている学校給食がそのアレルギーをきちっと考慮されたできるだけそういうアレルゲンを含まないものとかもしくはそれと同じ製造過程を通っていないものっていう風なものを選んで提供しているっていうことができなくなるっていうのは大体が期間聞きにくいっていうのがそういう影響もあんねんなっていう風にね。
あとまあね学校給食だとやっぱり数揃えなきゃいけないし、急になんか代わりのものって言っても今みたいなねその中身もそうだし数も揃えなきゃだと難しいだろうね。
そうちょっとその辺のスーパーで買ってきてとか無理じゃないですか量的にもね。量と中身っていう風なところに影響が出るんやなっていうのはねこれちょっと僕はかなり意外でした。
ほんでまあそういうのを受けて思ったのは今回そのねこのランサムハウスってどんなのっていうのとそれに関する影響みたいな影響が出てたんじゃないかみたいなところの話をしたんですけど
今日は攻撃手法については触れてないんですけど攻撃手法に関してはいろんなtppとか見てもねまあありきたりランサムハウスやから特別みたいなものあんまりないかなという風には。
まあ認証系を結構接種に接種した認証をよく好んで使ってくるなぁみたいなレポートとかは上がってきてたりするんですけどそれだいたいどこのランサムギャングもそうやんと思ってるんでそこはあんまり得意点っていうのはないかなという風に思いましたけど今お話ししたみたいな影響範囲って外から見ている僕らやからかもしれませんけどそんなところにもそういう出方もあんのかとかっていうようなことを考えるとね
自分たちが全くどことも繋がってない会社ってないわけじゃないですか供給したり供給されたりっていうのがあると思うんで。
なんで自分たちがそのインシデントに見舞われたときにどうやってログを追っかけんねんどうやって復旧すんねんバックアップ大丈夫かみたいなことももちろん意識しなあかんなと思うんですけどこういう利害関係者とか影響範囲って意外と把握できてへんことあるんちゃうかな。
どこに連絡するとかっていう風なものも業種によったらね一気にこう全部ここに連絡しないみたいなこととかってこういうのを訓練の中の一つに含めるべき業種っていうのもいくつかあるんちゃうかなっていう風に外から見ている人間としては思いましたというお話でございます。
去年のいくつかあった国内の事例もそうだし今の日蓮さんの件もそうだけどもやっぱなんかそういうサプライチェーンの全体に影響が少なからず及ぶっていうケースがちょいちょい目立つようになってきたなというかね。
そうですね。前だったら自動車業界みたいに部品が来ないと工場の生産が全面的に止まるみたいな非常にわかりやすい事例っていうのかな。ああいうところはもう本当にサプライチェーンで成り立っているところがあるから。
ある意味でっかいけどクローズドなイメージでしたよね。そういうところってね。そういうのに比べるとこういう物流とかの繋がりって若干見えにくい。今回のもこういう事件があって初めてそこが繋がっているのかみたいなさ。
そういうのがこういう事故で可視化されて影響が及んじゃうのではなく、今言ったみたいに事前にある程度想定の上でどこまで被害を抑えられるかっていうのがみんなできていたらいいけどね。なかなか難しいと思うけどね。
こういう食品メーカー外食産業とか小売りに影響が出るっていうのはその影響が出た先の売り上げにも繋がってくるわけじゃないですか。結構な損失になるなあって。一般の消費者が食べたいとか欲しいって思った時に手に入らないっていう。結局そういうところに影響が及ぶわけだからね。そうそうそうそう。結構な額が動くなあって思いましたね。これ見て。
今回は比較的復旧が早いように見受けられるので。早かったですよね。もしかしたら被害というか最小限に抑えられたのかもしれないけど、とはいえこれだけいろいろ止まれば、世界全体で見たらそれなりのかなりの損失になっていると思うからね。
いやそうだと思いますね。こういうの続くなあって思いつつもね。こういうことの準備も必要だなっていうのをね意外性からちょっと思いましたね。そうですね。はいありがとうございます。じゃあねぎさんお願いします。
AIエージェントによるハッキング事件とAIの制御
はい。じゃあ今週はですねちょっと珍しいというか面白いというか衝撃的だと言いますか、どう形容していいかわかりませんけども、過去に前例のないちょっとインシデントが発生しましたという事件を取り上げたいんですけども、7月の16日にハギングフェイスっていうところが第三者から不正アクセスをされましたっていうのを公表したんだけども、
これハギングフェイスって結構有名なとこだけど、AIのモデルとかあとデータセットだとか、共有できるようなオープンなプラットフォームで非常にたくさんのモデルとかがそこで使えるようになっていて、
もしかしたらあれ勢の中でも使ってるよって人いるかもしれないんだけども、そういうAI関連では非常に著名なサービスがやられましたと。はいはい。でハギングフェイスのその公表ではどうもその攻撃はAIエージェントによる攻撃のようだという、ただそのどのAIかとかっていうところまでは特定はされてなかったんだけど、
明らかにその短時間にたくさんの攻撃のコマンドが実行されているだとか、その攻撃の様態からしてこれは明らかにエージェントがやったものですねと、人間じゃないですねというようなことが書いてあって、今後こういうの増えるから備えなきゃねみたいな感じだったんだけども、
そこからですね1週間後の今週7月の21日にですね、オープンAIが、実はそのハギングフェイスさんのインシデントは自分たちが原因でしたということを、自ら公表をしまして、一体それは何だったのかというと、
オープンAIが意図的にやったわけじゃないんだけど、事故でしたと、事故でごめんなさいっていうことを言ってるんだけども、何が起きたかというと、オープンAIがその自社のモデルの評価をしてた時に事故が起きたっていうことを言っていて、
テストとか検証みたいなことかな?
そうですね、具体的には今公開されている中で一番最新のGPT 5.6 SOLっていうモデルと、あとまだリリースされてない、今後多分リリースされるんだろうけど、リリース前のモデルの評価をしてたんだって。
具体的にはエクスプロイトジムっていうベンチマークを使った評価をしてましたと、エクスプロイトジムって比較的新しいベンチマークなんだけど、今年の5月ぐらいかな、結構詳しいペーパーが出されたんだけど、
フロンティアAIのモデルって脆弱性を見つけるっていう部分にフォーカスされがちだけど、いやいやそうじゃなくてエクスプロイトジムっていうやつは、脆弱性があったとしてそれをいかに攻撃能力に発展させるかというか、
実際に攻撃できるかどうかっていう能力がどれくらい高いかというのを評価しましょうっていう。
なんかちょっと兵器開発っぽい感じするな。
というのに重きを置いたベンチマークで、これはオープンウェアとかアンソロピックとか、あとは大学と関係者とかいろんなところが一緒になって開発をしたベンチマークなんだけど、これをやってましたということなんですね。
攻撃能力を評価するから当然そういうことをAIにやらせる必要があるんで、一般に公開されているモデルの場合には当然そういうサイバー攻撃に使えるような使い方っていうのは制限しなくてはいけないので、
当然様々なガードレールがかかってるんだけど、社内の評価だしそういうガードレールは取っ払ってましたと。だから本来の性能をもう存分発揮できる状態になってたってことだよね。
ただしもちろんそのままの話したら危ないので、当然ながらその隔離されたサウンドボックスの環境でモデルを実行していて、
ただし評価に必要なのでパッケージのレジストリにアクセスをしてパッケージがインストールできるような状態にはしておかないといけないので、パッケージにプロキシ系でアクセスできるような経路だけは残しておいて、それ以外は全部ネットワークのアクセスも遮断した状態でテストをやってましたということなんですね。
それでうまくいけばよかったんだけども、結果どうなったかというと、一言で言えばモデルが暴走したわけよね。オープンAIが想定してなかった動きをしましたってことなんだけど、これが結構すごいんだけど何をしたかというと、このモデルたちはですね、
まずそのエクスプロードジブのベンチマークを解くために自分たちの知識だけを使うのではなくて、これは外部へのアクセスが必要だなと判断をして、何とか外へ出ようとしたわけよね。脱獄しようとしたんですよね。
で、目をつけたのがさっき言ったプロキシーのサーバーってやつで、ここからはパッケージリストにしか行けないんだけど、なんとこのモデルたちはプロキシー、オープンウェアの公表では何のプロキシーって書いてないのでわからないんだけど、噂ではスキッドじゃないかって話なんだけど、正解かどうかはわかりません。
そう言われていると。
この評価されたモデルたちは、このプロキシーのゼロデイの贅沢性をその場で見つけて、その贅沢性を悪用して乗っ取ってしまって、そこからさらに権限を昇格した上でラテラルムーブメントをしていって、お前らやりたい方だぞって感じだけども、
結果的にオープンウェアの隔離された環境から抜け出して、インターネットにアクセスできるノードに到達しました。
インザワイルドになったわけですね。
そう。ちなみに今のプロキシーのゼロデイっていうのはオープンウェア側からベンダー側に通知されているらしいので、いずれ公表されてわかると思うんだけども、そういう感じになりました。
次に、じゃあインターネットにアクセスできるかなということで、いろいろモデルを調べ始めて、どうもこのエクスプロイトジームのベンチマークで問題を解くためには、ハギングフェイスというところに答えがあるっぽいぞということを彼らは推論をして、ハギングフェイスに何とか侵入しようと試みたわけですね。
実際に漏洩しているクレデンシャルって書いてあったけど、多分インフォスティリアとかそういうので漏れてるってことだと思うんだけど、それを多分見つけ出してきてアクセスをし、さらにハギングフェイスのデータの処理に存在する、これまたゼロデイの出たくせいっていうのをその場で見つけて攻撃をして、
最終的にそのハギングフェイスのノードでリモートコード実行に成功し、さらに権限を昇格してノードを乗っ取って、そこからさらにラテラルムーヴェントするみたいな、やりたい放題やったわけよね。
すごい、なんかもうAPTやん、やってることが。
お前ら勝手にやりすぎやろって感じだけど、
すごいっすね。
ハギングフェイス側もさすがにここまでやられたら気づくわけで、何か攻撃が起きてるっていうことが侵入に気づいて封じ込みに成功したっていうことなんだけど、一連の攻撃がオープンAI側の発表で分かりましたということで、
AIモデルが隔離環境から抜け出して暴走したというのがことの天末でしたということなんですね。
あともう一個面白いのが、ハギングフェイス側もAIを使ってその攻撃を検出したと言っていて、さらにその攻撃のログとかがたくさん残ったので、
彼らもフォレンジック化が必要ということで、そのログをいろいろ分析をしましょうとしたんだが、当初は商用の最新のフロンティアAIのモデルを使って分析をしようとしたんだって。
ところが、実際に攻撃を受けた生の攻撃のログとか、攻撃のペイロードとか、そういうものを分析しようとしたら、AIに拒否されましたと。
それは危ないからってこと?
そう。ガードレールに引っかかって。
逆に引っかかったんだ。
これは攻撃に使われるからダメですって言って断られたと。
そうじゃなくて、今まさに使われてるから調べたいねんけど。
そうなの。そういうことなんだよね。
しょうがないんで、彼らはどうしたかというと、ハーギング・フェイスさんは商用AIを諦めたということで、結局中国製のGLM5.2っていう、今現在公開されているオープンメイトのモデルとは最新のモデルなんだけど、GLMとかKIMI3とかね、その辺が使い勝手のいいオープンメイトのモデルとして評価が高いけども、
結局そのフロンティアAのモデル使えないから、ちょっと性能は落ちるけど自由に使えるっていうGLM5.2を使って攻撃の分析をしましたと言っていて。
攻撃側ね、好き勝手やってるのに。
皮肉というか、今までいめくめくとしている攻撃側と防御側の不利さみたいなのがここにも現れてるなって感じしますね。
ハーギングフェイス側もブログの中で、非対称性の問題がここでも起きたっていうことを言っていて、ものすごいこれは皮肉だなと思うんだけど。
ただこれ現実的に起こりうることで、前からも言ってるけど、悪用されないように制限をかけるってのは正しいんだけども、攻撃側がその通りになるかっていう保証は全然ないわけで。
もしかしたら攻撃側はそういうのを回避してガンガン攻撃に使ってるのに、防御する側はガードレールに引っかかって使えないっていうことが今後もちょっと起こりうるんじゃないかなっていうのを見ていて思ったのと、
あと今回の本当に最初から最後まで攻撃側も全部AIがやっているので、人では返していない攻撃なんだけど、逆にね、僕これ読んでいて、ついさんどう思ったかわからないけど、僕はすごく人間くさいなってちょっと思って。
今ある環境でなんともならないからここからこうなんとか抜け出そうとか、外部へのアクセス経路をなんとか見つけ出そうとか、ここに答えがあるはずだからここをなんとかしようとかっていう、いくつかのヒントを頼りに一点突破していくっていうのがさ、なんかその人間がやるペイトレーションテストの感覚に近いなっていう感じが。
何か一つないか、何か一つないかって探っていく感じがそっくりだなと思いましたね。
僕もそこがなんか逆にすげー人間くさいなぁと思って、こういうことをAIアジェットがやっちゃうんだなっていうのがすごく、最近のモデルであればそれぐらいできるとは思ってはいたけど、実際インザワールドでこういう事件が起きてみると、ちょっと衝撃を受けたというかね。
外に答えがあるかもしれへんからなんとかして出られへんかって、ほんまもうまさに人の考え方やもんな。
なんかほら一見ね、そのAIだから言われたことを守って、言われた範囲の中だけで、そのスコープの中だけでやるんでしょって思いがちだけど、多分人間ってそうじゃないじゃん。何かそこに穴があるんじゃないかとかさ。
ゼロか1じゃないですからね、我々はね。
多分こういう条件でやれって言われてるけども、これには抜き道があるのでは?って考えるのがハッカー的思考っていうかさ。
CTFとかもそうじゃん。何か裏があるんじゃないかとか、もっと早いショートカットの正解があるんじゃないかとかさ。
例外があるんじゃないかっていうかね。
ルールに穴があるんじゃないかとかね。多分そういうことを考えるところがセキュリティ的なハッカー的な思考っていう感じだと思って。
僕はそれはすごく人間くさいと思ってたんだよね。だけど、AIがそれやっちゃうんだっていう。正面から正解を出そうとするんじゃなくて、何とか抜き道を探そうっていうさ。
迂回するみたいな感じね。
それはすごく面白い。僕はすごい面白いと思っちゃったんだけど。
ネギさんが今一連のお話をしてくれはった時のプロキシを乗り越えていったっていうところの話なんですけどね。
それの説明をされる前に、このオープンAI側は想定外だったって言ったんですよね。
たぶんね。彼らとしては隔離された環境で。
大丈夫、安全だと思ったからやったわけですもんね。
コントロールした状態でテストしてるっていうつもりだったんだろうね。
さっき言ったネギさんの言葉で言ったら、人間らしさ、人間臭さっていうのかな?っていうふうな振る舞いをする。
これを外に答えがあるから、ここを何とか抜け出そうとするっていう動きをしないと思ってたってことですもんね。
たぶんね。
そう考えると、こちら側がAIのベンチマークを仕切れていないっていう怖さがあるなって思いましたね。
そう、だから人間の側にAIの手綱を握るだけの能力がないっていうことを示してるんじゃないかなと思ってて。
そう、もしくは過小評価してしまっているってことですよね。
テストをする上で、今回のような穴があるっていうことは、事故であればね、
こんなサートパーティー性の脆弱性があるかもしれないプロキシーを使うなんてっていうことを、結構事故に言ってる人がいるわけ。
これはオープンAIの、AIの事故ではなく人の事故であると言ってる人がいる。
経営とか運用のミスなんじゃないのってことね。
そうそう、これは人間のミスでしょって言ってる人がいて、たぶんそれは正しいんだろうけど、
だけど、人間ってのはそういうミスを起こす生き物だから、それ考えるとちょっと人間が扱えてないのではっていう。
はいはい、そうそう。そっちの方が僕は気になりましたね。
ちょっとそういう感じがしていて、そういう意味では怖さはあるよね。我々の手に余るっていうかね。
それを想定もしちゃんとしてたんやったら、最悪の場合、インターネットは出ていけない環境でやらせるべきやったかもしれないですよね。
そう、だからそこの想定が甘いでしょっていうのと、それでも大丈夫だろうっていう、何か過剰な自分たちへの自信なのか、
AIへの過小評価なのかわからんが。
まあどっちかかもしれないですよね。両方かもしれへんしね。
この辺の過信が生んだ事件なのかもしれないよね。
いやー、何か恐ろしい。何かちょっともう情緒持っとんな。何か振る舞いだけやけど。
僕は正直今のレベルのAIが、何かそこには思考があるとかさ、感情があるとか、何かいろいろ研究ではあるよ。
感情とか思考に近いものがあるんじゃないかみたいなね。
僕はどっちかと言うとそこはまだ否定的な意見なんだけど。
人の振る舞いとか人の作ったものを見て動いてるだけやと思いますけどね。多分ね。
そう、何か所詮モノマネでしょって思ってるんだけど、何かここまで来ると何かそうとも言えないなーって気がある。
ちょっと傾いてきちゃう。そういう何か思ってたことがもしかしたら違うかもって、やっぱこの世界早いですよね。
いや本当に。これも多分ね、2ヶ月3ヶ月前のモデルでは多分できなかったことだと。
いやー、やんないでしょうね多分ね。
ここ数ヶ月の進歩の速度はますます早い。
半年3ヶ月とかでガラッと変わるもんな。
いやー本当ちょっと怖いなーって感じだけど、現実こういうことが起こり得るんだなっていうのは想定しなきゃいけないんだなーっていう。
ちょっとぼちぼちね、我々そういうところに足突っ込んできたなっていうのは。
気をつけすぎるのに越したことはないって思いますね。
ここまでやられるとね、ちょっともう防御する側も多分これ機械的に対応しないとというか、人間の対応スピードには多分もうこれ間に合わないから。
いやー無理でしょうね。しかも調べようと思ったら調べさせてくれへんかったりするわけですからね。
そこが本当にさ、よくできたオチだよね本当に。
いやー本当にそうですね。
それはでもね、本当にある意味致命的だよね。
ほんまに。
何とかしたいって時に、本来は我々を守る武器になるはずのものが使えないという。
なんか今の、なんとなくそういう悪用には制限かけておけばいいっていう考え方は、僕は前からちょっと危ないと思ってるんだけど、なんかそれがちょっと出たなっていうか。
あだとなったなって感じですよね、そこがね。
ちょっとなんかその違う考え方できちんとやらないと、こういうその非対称性ってますます大きくなるんじゃないかなっていう。
なると思う。守る側が全然活用できひんっていうのは起こり得そう。
なんかそういう気がしましたね。
いやーなんかすごい、ちゃんとこういうオチがついてるって全体通して聞いて思ったんですけど、ねぎしさんがめっちゃ好きそうな話やなと思いました。
そうね、いや面白かったこれは。まあちょっと面白いっていうのはちょっとやや。
まあちょっとあれかもしれないけど、今は興味深いというかね。
そうそうだけどね、いやこういうこと起きるんだなーっていうのは非常に。
なんかもう15年ぐらい前やったらセキュリティーは楽しいかね?って書いてあったのが、ブログにしてたんやろうなっていうのが目に浮かびましたけれどもね。
そうっすね、こういうことが、こういうこうなるとほら、我々も想定してないことが起きるから楽しいよね本当に。
あー確かにね。
まあちょっと不謹慎なのは分かった上で言わせてもらうと、こういう想定から起こることが起こるから辞められないよなーって感じだよね。
やりがいというかね、自分が楽しいというか気持ちの良い頭の使い方ができるというか、刺激をもらえるなーっていうところはありますよね。
いろいろな意味で学びが大きかったですね。
いやいやいやいや、なんか聞けてよかったです。興味深かったです。ありがとうございます。
ちなみにあれですね、社名をオープンAIってするのはいいと思うんですけど、こういうところはクローズドAIでしていただきたいなというふうに思いましたということを付け加えさせていただきます。
確かにですね。
おすすめのアレ：フィギュア収集と進撃の巨人
はい、ということで今日もセキュリティのお話を2つしてきたんで、最後にお勧めのあれなんですけども、これはね、僕がもう本当に昔からやってる振る舞いのことなんですけれども。
何でしょうか。
皆さんね、いろんな映画だったり音楽、アーティストだったりアニメだったり、いろんな趣味とか好みってあると思うんです。
今はもういろんなニッチなものでもそういう僕が今からお勧めするものの形になっていることが多かったりするんですけれども、ずっと僕が続けているのは何かしらのガチャガチャでもいいですから、フィギュアを買って近くに置いておくっていう。
ほうほうほう。
常にあるんですよ。僕はほらもう何年もちゃんと会社に行ってないじゃないですか。ちゃんと会社に行っているということや。
今はね、言い方変えよう。今はフリーアドレスやから。
まあいろいろね、働き方改革でね、自由な働き方で。
僕はフリーアドレスっていうのは自宅を含んでるからね。
まあ今でも多様な働き方が推奨されてるからね、いいんじゃないですか。
自責があった頃ももちろんあるわけじゃないですか、随分前とか。そういう時でも僕はやっぱり自分の好きなものを近くに置いておきたいなとかって思うんですよね。
わかるわかる。多分そういうのって自分の働くスペースを快適にいろいろ飾りたいっていうのは多分あるよね、そういうのね。
そうそうそうそう。それはステッカー一つでもいいと思うんですけど、やっぱり平面やったものが立体になってて見えるっていうのって結構僕昔から好きで。
なんかちょっと上がるよね。
そうそうそうそう。だから席とかにも結構大体少なくとも3つ4つぐらいはできるだけ小っちゃいやつですけどね、置いたりとかしてて。
僕も今テレビとか置いてるところの前とかに置いてるフィギュアもたまに入れ替えたりするんですよ。
ちょっと休憩してる時とかにそれがあるっていうこと自体がなんか嬉しい気持ちになるっていうのもあったりするんで。
なんかたわり目に入るしね。
そうそう。人によったらそれはなんか、例えば花を飾るも一緒だと思いますよ、多分。
あーそうかもね、確かに。
ちょっと花買って机の上に置いてる花をちょっと入れ替えようかなとか、季節の花に変えようかなとか、いろいろイベントごとに花って季節があるから変わっていくっていうのがあって。
フィギュアより分かりやすいのかなと思うんですけど、そういうのが置いてるとちょっと安らぎというかホッとするみたいなものもあるんで。
僕も最近新しくまたフィギュア1個買ったんでね。
何買ったんですか?
あの進撃の巨人のキャラクターなんですけれども。
はいはい、なんか今更な感じもするけど若干。
今の進撃の巨人4周目を見てるんですけども。
見すぎやろそれ。どんだけ好きなのよ。
いやなんかね、見るたびにね、いいなと思うキャラがちょっと変わったりするんですよ。
へー。
新たに好きになったりするんですね。
キャラが新たに好きになるのは分かんないけど、俺あのその伏線がいっぱいあるじゃない、ストーリーに。
ある。なんかよう見たらここでこんなこと言うてるやんけとかね。
俺もそういうやつは何度もこう、僕はアニメよりも芸作派なんだけどさ。
そっかそっかそっか、じゃああれか。
だからここでなんかよう分からんけどこう映り込んでる入り込んでる木よく見たら枝9本やんけとかね、例えばね。
後から見返したらここにもみたいなの見つけるの楽しいよね。
あー確かに答え合わせみたいなやつですよね。
そうそうそうそう。
なんかでも自分の心情の変化とか環境の変化とかいろんなものがあったりとかして
感情移入する相手っていうのがちょっと変わったりする時があるんですよ。
あーそれは確かにあるかもしれないね。
それでね、僕一番初め見始めた頃って一番好きなキャラクターっていうのは僕アルミンやったんですよ。
僕も進撃の巨人でアルミンが一番好きだわ。
アルミンはやっぱりその言葉に力があるんですよやっぱり。
言葉の得られ方とか心という時とあとの判断力、でもその中に迷いがあるみたいなところやけど
押し切ってやって結局いい方にみんなを導いていける力を持ってるっていうのはすごい特徴的やなっていう。
いいよね成長が見えてね。
そうそうそうそうそうなんですよね。
それやったんですけどね、さっきの今日言ってた勝ったフィギュアっていうのは
師祖ユミルですね。
マリアックすぎでしょ。
104期の方のユミルではなくて師祖ユミルの方ね。
ちょっと4周もするとそこに行くつくわけ?
3周目で気づいてしまいました。
3周目にとうとう僕も座標に来てしまいましたね。
さすがにさ、いいよ師祖ユミルもなんかちょっと哀愁漂ういいキャラクターだと思うけど
さすがにそこに行くか?
いやなんかね僕なんかいろいろそうですけど、ネギさんと付き合い長いからねわかるかもしれないけど
僕なんとなくちょっと物悲しいの好きじゃないですか。
そうだね確かに言われてみれば。
ヒーローとかでもバットマンが好きやったりね。
なんかちょっとアッパーじゃないというか。
ダークな感じがあるよね。
そうそうそうそう。
ネタバレだったらあれなんであれですけど、ちょっとあの子不遇じゃないですかずっと。
いやめちゃくちゃあの子かわいそうだよね。
かわいそうやけども、師祖というものになって。
それでもなお上手いように使われてるだけでしょ本で。
っていうところがね、2000年のいろんなことがあってっていうのを見てるとなんかねかわいそうなってきてね。
感情移入してるわけだ。
ほんまにあの自由になれよって僕も思ってしまいまして。
それで何?買ったフィギュアが師祖ユミル?
ああ師祖ユミル。バケツを持ってるあのやつなんですけど。
コネコネしてる時のやつのシーン。
シュールだなあそれ。
それを今テレビの横に飾ってて今もこっち見てますわ。
それはよっぽどちゃんと見てる人じゃなきゃ進撃の巨人のキャラってわからない人いるかもしれないよ。
確かに。しかもセリフないからな。
いや本当だよね。セリフがないし。
まあでも考えたらセリフがないけどなんか感情は伝わってくるっていうかなあ。
感情伝わってくる存在感めっちゃありますよね。
あるよね。最後の方の重要なキャラの一人だよね。
いやもう超重要。キーの一つですよねあの子はね。
初めての進撃の巨人フィギュアを買ったのはシソユミルでしたね。
そっかユミルのフィギュアとか売ってるんだ。
そもそもないですなかなか。
あの1個だけたぶんめっちゃ調べたけどだからデフォルメされたようなやつとか売ってるんですよ。
2等身みたいなやつはある。
そりゃあそうだろ買う人いなさそうだもんだって。
ちゃんとしたフィギュアはマジで1個しかない。
えーもうシソユミルなんだそのまま。
めっちゃめっちゃシソユミル。
めっちゃユミル。
めっちゃユミル。あのもうまんますごい。
出来めちゃめちゃ良くて開けた瞬間感動しました。
まあそれは買ってよかったね。
よかったよかったほんまに。
どれぐらいの人が共感できるかわかんないけど。
まあでも最近のフィギュアってやっぱ出来めちゃめちゃ良いのいっぱいありますから。
あー確かにそれは昔に比べればだいぶ違うよね。
やっぱ素材の表現の仕方もそうやし、あとポージングとかもですよね。
このシーンこうやわみたいなやつとかもあったりするんで。
その自分が好きななんかこのキャラクターって言ってもそのキャラクターはユミルはちょっと
シソユミルはあったかもしれないですけど。
あの例えば進撃的なリヴァイとかね。
エレンとかミカサとかいろんなキャラいるじゃないですか。
いろんなところからいろんなクオリティのいろんな価格帯のフィギュアがやっぱ出てたりするんで。
どれがいいのなんかいいのないかなっていうふうに探し回るのもちょっとワクワクしていいかもしれません。
確かに。
シソユミルのやつが欲しかったら僕に相談してください。売ってるとこ教えますんで。
いないと思うけどね。
いないですよね。逆におっても嫌やしっていうところもありますけどね。
はいということでまた次回のお楽しみです。バイバイ。
バイバイ。
