こんにちは、北海道から freee red team*1に参加している yu です。 読者の皆さんは、freee の全社障害訓練というものをご存知でしょうか。 私自身、4年前の転職の際は障害訓練の記事を見て freee に興味を持つきっかけになったり、入社直後の2022年の障害訓練では手も足も出ず歯痒い思いをしたりと、大変思い入れの深いイベントです。 developers.freee.co.jp 一方で、ここ数年で急速に拡大を続けるこの組織において全社障害訓練を行うハードルは高くなり、思うように実施できない状況が続いていました。 「じゃあ、多少スコープを絞ってでも自分たちでやれば良いのではないか？」そんな単純な動機で始まったのが今回の大規模障害訓練です。 そのため、今回の企画では全社ではなくエンジニア組織にターゲットを絞りました。 折しも昨年の9月に自己増殖型マルウェア Shai-Hulu
最新のAIモデル「クロード・ミュトス」をめぐって世界に衝撃が広がっています。 これまで見つけられなかったソフトウエアの欠陥を次々に発見し、サイバー空間での攻防の状況が大きく変わろうとしているのです。…
米新興企業アンソロピックの高性能AI「クロード・ミュトス」の登場により、金融機関は「攻めのAI活用」から「守りへの投資」に転じることになる。ミュトスが見つけたシステム上の弱点に対する修正プログラムは米国側から大量に配布される見通しで、対応するには膨大な費用が必要になる。経営体力のない地銀は再編に追い込まれるとの見方も浮上している。 経営存続すら危うく 「膨大な費用や人手が必要になる。地銀再編が進むきっかけになるかもしれない」。ある地銀関係者は危機感を募らせた。膨大なコストは経営問題に発展し、地銀再編の動きに拍車を掛ける恐れさえある。 経営存続も危うくなりかねないほど、ミュトスは金融システムにとって危機的な存在だ。弱点を発見できるため攻撃に備えることができる半面、欠陥を攻撃するコードを自律的に作る性能も備えており、悪用されれば社会が大混乱に陥る恐れがある。金融システムは相互につながり、一つの
2026年3月以降、JavaScript向けのnpm、Python向けのPyPI、Ruby向けのRubyGemsといった主要なパッケージ管理システムやプログラム開発に利用されるパッケージ、サーバーの原型となるコンテナイメージにおいて、悪性パッケージの混入や正規パッケージの侵害が連続して確認されています。この侵害についてはラックが確認しているだけでも約2か月間に25件を超えており、自己伝播や、すなわちWorm的に自ら侵害範囲を広げる挙動を持つものも出現しています。 本稿では、この一連の事象を個々に独立したものとしてではなく、ソフトウェア供給網にまつわるリスクが変化している兆候として捉え、開発や運用に関わる方々に向けて、現場で取り得る対応の指針を示します。なお、誤検知や不正確な再配布を避けるため、個別IoCの一覧掲載は行いません。具体的なIoCや影響を受けた可能性のあるパッケージ等のバージョン
大手ECサイトをスクレイピングするプログラムをClaudeCodeに書いてもらいました。とても便利なので公開したいのですが、友人のプログラマに相談すると「叩かれるからやめておけ」と忠告されました。AIも同意見のようです。正直、基準も理由もよくわかりません。なぜ私はこのプログラムを公開してはいけないんでしょうか？ 「叩かれるからやめておけ」というのは、正しい忠告だし、君の為を思って言ってくれた言葉だと感じる。君が公開したスクレイパー付きシステムが何をするものかは知らないが、そのプログラムのインパクトが強ければ強いほど、「『技術者倫理』のない奴は…」というポストは間違いなく現れるだろう。ただし、そういったポストが、本当に正しい理由から発せられているかは、少し怪しいと僕は思っている。 最初に一つだけはっきりさせておきたい。これから僕がする話は、法律の話でも、利用規約の話でもない。技術者倫理の話だ
こんにちは、北海道から freee red team*1に参加している yu です。 北海道は春らしい暖かい日が続き、雪も溶け、私は冬に家の前で落としたスマートリングをようやく見つけることができました。北国での冬の落とし物は往々にして春を待たなければならないことがあります。 さて、そんなことよりも今日は2022年に始まった freee Security Champions*2 のこれまでの歴史と、今なお進化し続けるこの制度についてご紹介します。 Security Champions Program の開始（2022年） 2022 年に私が freee へ入社した頃、当時の PSIRT（Product Security Incident Response Team）は急速に拡大する Agile な開発組織の中でどのように Shift Left*3 するのか少ないリソースの中で腐心していました
GitHubが大好きなセキュリティチームのhikaeです。GitHubは先日、GitHub Copilot Free / Pro / Pro+ の入出力などを、オプトアウトしない限りAIモデルの学習に利用する方針変更を発表しました。適用は2026年4月24日を予定しています。Copilot Business / Enterprise の利用者はこの変更の対象外ですが、本当に安心なのでしょうか？ 「自社の開発者が必ずBusiness / Enterpriseライセンスの経路で使っている」と言い切れるかという観点から、意図せず学習に使われる経路をどう塞ぐかについて実装方法を整理し、その実装方法を整理し社内で実施した対処法について紹介します。 github.blog 学習許可のオプトアウトに注意 今回注意すべきはinteractionの範囲です。もしもCopilotユーザーが学習利用をオンにして
美濃工業株式会社 当社は、外部からの不正アクセスによるサイバー攻撃を受け、一部のサーバーおよびパソコンが暗号化される事案が発生しました。このセキュリティインシデント発生を受け、セキュリティベンダーの協力のもと、調査、復旧、監視等の対応を実施してまいりました。その結果、社内に侵入していたウィルスの根絶、不正アクセスの侵入経路と攻撃手法の特定、新たな不正アクセスおよびウィルス再侵入の可能性排除等を確認し、それらがないとの判断をいただきました。これに加え、24時間監視体制も整ったことより、当社のIT環境については安全であることを宣言いたします。 以下、状況および対応の詳細をご報告いたします。 1. 現在の状況について 現在、主要システムの応急復旧が完了しました。業務は通常通り稼働しており、生産活動・出荷・金融機関との取引への影響はありません。 今回の安全宣言は以下のような根拠に基づきます。 侵入
「飛行機に乗り合わせたたった一人の医者」をGeminiに描かせたら一人でジェット機の操縦席に座る医者になってしまった件 はじめに こんにちは、freeeセキュリティチーム マネージャーのただただし（tdtds）です。この記事はfreee Developers Advent Calendar 2025の21日目です。昨日はreiyaさんの「新卒の歩きかた in freee」でした。 例年、このあいさつは「PSIRTマネージャーの」で始めていたのですが、先日とうとうセキュリティチーム全体が両肩に乗っかってきてしまいまして。せっかくなので、これまで5年以上にわたって別々に活動してきたCSIRTとPSIRTを合体して、ひとつのチームにすることにしました。 CSIRT（Computer Security Incident Response Team）は一般的にはその名のとおり、社内のコンピューターや
【Twitter歴14年のアカウントが乗っ取られた話】何が起きたのか、そしてどうすれば防げたのか。こんばんは。 Twitter歴14年にして、ついにアカウントが乗っ取られてしまったおじさんです。 今回は、 「実際に何が起きたのか」 「なぜ防げなかったのか」 「どうすれば避けられたのか」 をできるだけ具体的にまとめました。 正直、恥ずかしい話ではあるんですが、 いま同じ手口で被害に遭う人が本当に増えています。 誰かの防御力アップにつながれば、という気持ちで書き残します。 ■ 1. すべての始まりは「12月4日のDM」だった発端は、普段から仕事のやり取りをしていた相手から届いたDM。 「報酬を支払うため、Twitter Adsの報酬確認ページからログインしてほしい」 送られてきたURLは、見た目が完全に“本物っぽい”。 Ads系のURLは複雑なので、違和感を覚えにくいのが厄介です。「最近のTw
サイバーセキュリティの分野で、パラダイムシフトが進んでいる。近年の常識となっていた「攻撃者の侵入を前提とした事後検知・対応」というトレンドが、「侵入の予防」へと回帰しつつあるのだ。その理由と、どのような取り組みに注目が集まっているのかを見てみよう。 サイバーセキュリティの取り組みは、3つの要素で構成される。1）コンピュータの防御（Protection）、2）防御が破られた場合のハッカーの検知（Detection）、3）システム内のハッカーを排除するための対応（Response）だ。これらはいずれも重要な要素だが、近年は防御への期待が低下し、検知と対応に力点が置かれていた。 サイバーセキュリティの概念が整備された当初は、防御に焦点が当たっていた。しかし2000年代の初めごろから、検知・対応へのシフトが起きる。背景にあるのは、国家レベルの攻撃能力を持つハッカーの台頭だ。国家が敵対国への攻撃のた
脆弱性っぽい挙動を見つけたときの 倫理的な行動とは？ 2025-11-29 まっちゃ139勉強会 はせがわようすけ 長谷川陽介(はせがわようすけ) @hasegawayosuke (株)セキュアスカイ・テクノロジー 取締役CTO セキュリティ・キャンプ協議会代表理事 千葉大学 非常勤講師 最近の興味関心領域は哲学・倫理学 WebブラウザーやWebアプリケーションに関する多数の脆弱性を発見。 Black Hat Japan 2008、韓国POC 2008、2010、OWASP AppSec APAC 2014他講演や記事執筆も多数。 https://utf-8.jp/ ※本内容は個人のものであり所属する組織の見解ではありません 2025-11-29 まっちゃ139勉強会 https://utf-8.jp/ お断り 特になにかの結論がある話をするわけではありません 倫理学
GrapheneOSでDuress PINを設定する手順を簡単に備忘録として残しておきます。
AWS と LiteLLM で実現する、セキュアで柔軟な AI エージェント基盤のアーキテクチャ
AI エージェントの導入にあたり、私たちはプロキシ基盤に大きく 3 つの要件を設定しました。 セキュリティとガバナンス : 開発者がツールを安全に利用できるよう、意図しない情報流出を防ぎ、誰がどのように利用しているかを把握できること。 オブザーバビリティ : 単なるコスト監視に留まらず、利用動向を詳細に分析し、開発組織全体の生産性向上に繋げるためのインサイトを得られること。 プロバイダーの柔軟な選択肢 : 特定の LLM プロバイダーだけでなく、将来にわたって用途に応じた最適なモデルを迅速かつ容易に使い分けられる拡張性を持つこと。 これらの要件を満たすため、私たちはオープンソースの LiteLLM と AWS の各種サービスを組み合わせたアーキテクチャを設計しました。 クライアントからのリクエストは、まずAWS WAFによるセキュリティチェックを経たのち、Application Load
【読売新聞】 園庭のような場所で子供らがドッジボールを楽しみ、室内では幼児らが布団を並べて寝ている――。取材班がたどり着いたあるサイトには、日本の保育園とみられる映像が映し出されていた。比較的鮮明で、子供が着替える様子も映る。 映像
セキュリティガイドライン、フレームワーク集 業界や技術等の軸で存在感のあるガイドラインやフレームワークを学習することは非常に有益です。 本記事は、普段は参照しないようなものから幅広い知見を得ることでセキュリティ業界全体を盛り上げたい。という思いで作成しています。そのため、国内外から多く参照され、かつ無料で閲覧できるものを中心に掲載しております。 この記事が新たな”セキュリティの世界”を知るきっかけになると幸いです。 分類などに特定のこだわりはありません！ぜひお役立てください！ ※2024年版はこちら。 組織、業界別ガイドライン集 サイバーセキュリティマネジメント ※企業又は組織におけるサイバーセキュリティの確保に組織的・体系的に取り組むこと 名称 概要 発行元
In a joint study with the UK AI Security Institute and the Alan Turing Institute, we found that as few as 250 malicious documents can produce a "backdoor" vulnerability in a large language model—regardless of model size or training data volume. Although a 13B parameter model is trained on over 20 times more training data than a 600M model, both can be backdoored by the same small number of poisone
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
