私たちのブログへようこそ。

シャイ・フルードは、サプライチェーンのセキュリティにとって最高の出来事だった

npm Trusted Publishingは2年間、ほぼ利用されない状態が続いていました。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生し、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析します。

人気のあるRustクレート「arrayref」、「append-only-vec」、「internment」がサプライチェーン攻撃により侵害された

サプライチェーン攻撃により、人気のある2つのRustクレート「arrayref」と「append-only-vec」が侵害され、ビルド時にリモートのペイロードをダウンロードして実行する悪意のある「proc-macro1」パッケージへの依存関係が仕込まれました。

GogsでまたしてもRCEが発生しましたが、今回は修正されました！

AIハーネスエンジニアリングとは何ですか？

ハーネスエンジニアリングとは、AIモデルをエージェントとして機能させるためのコードのことです。ハーネスの役割、モデルを単に選ぶよりも優れている理由、そしてその構築方法について解説します。

この攻撃の背後にいたのは誰だったのか？　おそらく誰もいないのだろう

この夏、人間の関与が一切ない状態でAIエージェントが実際の組織を攻撃した事例が3件報告された。インシデント対応の枠組みには、まだこうしたケースに対応する項目が設けられていない。

Hugging Faceのセキュリティ侵害から得られた4つのインシデント対応の教訓

偵察、認証情報の盗用、隠されたC2、再構築かパッチ適用か。進行中の攻撃を検知できるかどうかを示す、Hugging Faceのセキュリティ侵害に関する4つの判断基準。

より優れた汎用的な「シークレット 、シークレット特定から始まります

一部のAPI 公開されることを前提としています。Betterleaksでは、こうしたキーを一般的なシークレット検出対象から除外するようになり、スキャン1回あたり数千件の誤検知が削減されました。

6時間でNodeBBの重大度の高い脆弱性を8件発見

当社のペンテスト により、ペンテスト 発見されたNodeBBの重大な脆弱性8件。XSSチェーン、認証バイパス、および投稿乗っ取りに関する詳細な技術的分析を掲載しています。

SQLインジェクションは依然として脅威である

SQLインジェクション対策は数十年前から存在し、今でも有効です。では、なぜWordPressコアに、今になって緊急パッチが必要になったのでしょうか？その原因となるデータと、それに対する防御策について解説します。

TyroのCISO：「サイバーセキュリティ界のアインシュタイン」であるだけでは、開発者から信頼を得られない

TyroのCISO、アルン・シン氏が、開発者の信頼を「有限な資源」として捉え、サプライチェーン攻撃によってチームがその信頼を費やさざるを得なくなった場合に何が起こるかについて語る

WordPress コアにおける認証不要のRCE（wp2shell）、SQLインジェクションを介して

既知のCVEの再発見に関する13のAIモデルのベンチマーク

26件の既知のCVEを発見するテストを、13種類のAIモデルで実施しました。GPT-5.6が最も多く発見しましたが、最も高価なモデルが予算の最適な使い方だったわけではありませんでした。