私たちのブログへようこそ。

ジェイソン・ハディックス：AIによるペネトレーションテストを恐れるのはやめよう

ジェイソン・ハディックスが、手動によるペネトレーションテストが追いつかない理由、最初に失われるもの、そしてAIによるペネトレーションテストが機能する理由として「人間による手法」が重要な理由について語る

pub.dev に掲載されている改ざんされた Flutter パッケージに、XCSSET マルウェアが含まれている

pub.dev上で、改ざんされたFlutterパッケージ内にXCSSETマルウェアを検知しました。ここでは、感染の連鎖、拡散モジュール、およびパッケージ内で確認された情報窃取ロジックについて、詳細に解説します。

SLA違反をなくす：修正プログラムがリリースされる前に脆弱性を修正する方法

依存関係の脆弱性に対するセキュリティSLAを満たす方法について、 Aikido Libraries を活用し、安全でバックポートされたパッチを適用することで、依存関係の脆弱性に対するセキュリティSLAを満たす方法を学びましょう。

「メッチャ・カメレオン」はRCEから隠れることはできない

MECCHA CHAMELEONにおいて、2件目の遅延型RCEを発見しました。悪意のあるカスタムマップを使用すると、システム上の任意の場所にファイルを書き込んだり、再起動後にコードを実行したりすることが可能でした。これはバージョン4.0.0で修正済みです。

サプライチェーン検知の闇

文字列ベースのルールでは、すでに確認されているマルウェアしか検知できません。サプライチェーン攻撃を発見するには、行動分析による検知が有効です。

Aikido セキュリティ部門、AIガバナンスに関するISO 42001:2023認証を取得

Aikido Androidアプリ向けのエージェント型ペネトレーションテストを開始

Aikido 現在、攻撃者が行うのと同じ手法でAndroidアプリの自律型ペネトレーションテストを実施しており、1回の評価でアプリとそのバックエンドを網羅し、AutoFix機能と再テスト機能も組み込まれています。

シャイ・フルードは、サプライチェーンのセキュリティにとって最高の出来事だった

npm Trusted Publishingは2年間、ほぼ利用されない状態が続いていました。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生し、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析します。

人気のあるRustクレート「arrayref」、「append-only-vec」、「internment」がサプライチェーン攻撃により侵害された

サプライチェーン攻撃により、人気のある2つのRustクレート「arrayref」と「append-only-vec」が侵害され、ビルド時にリモートのペイロードをダウンロードして実行する悪意のある「proc-macro1」パッケージへの依存関係が仕込まれました。

GogsでまたしてもRCEが発生しましたが、今回は修正されました！

AIハーネスエンジニアリングとは何ですか？

ハーネスエンジニアリングとは、AIモデルをエージェントとして機能させるためのコードのことです。ハーネスの役割、モデルを単に選ぶよりも優れている理由、そしてその構築方法について解説します。

この攻撃の背後にいたのは誰だったのか？　おそらく誰もいないのだろう

この夏、人間の関与が一切ない状態でAIエージェントが実際の組織を攻撃した事例が3件報告された。インシデント対応の枠組みには、まだこうしたケースに対応する項目が設けられていない。