私たちのブログへようこそ。

2026年の主要な脅威インテリジェンス・フィード | Aikido セキュリティ

2026年の主要な脅威インテリジェンス・フィード

2026年の主要な脅威インテリジェンス・フィードを比較します： Aikido Intel、Socket Threat Feed、Snyk Security Database、OSV.dev、およびSpectra Intelligence（ReversingLabs）

2026年の開発者向けトップエンドポイントセキュリティツール

2026年の開発者向けトップエンドポイントセキュリティツール | Aikido

2026年の開発者向けエンドポイントセキュリティツール上位製品を比較します。今回取り上げるのは Aikido Security、GitGuardian Developer Endpoint Protection、Koi Security、Socket、CrowdStrike Falcon

Aikido Node.jsのセキュリティ対策に資金を提供

Aikido OpenJSによるNode.jsのセキュリティ対策への資金提供の取り組みに加わる

Aikido OpenJSの「セキュリティ・スチュワードシップ・プログラム」の創設パートナーであり、Node.jsのバグ報奨金制度やメンテナー支援に資金を提供しています。

Aikido セキュリティ部門がFedRAMP「中程度」の認定を取得

Aikido FedRAMP「Moderate」認証を取得し、AIネイティブかつ自動化された脆弱性の修正機能を米国連邦政府機関に提供することとなった。

2026年のCodeQLの主要な代替ツール | Aikido

2026年のCodeQLの主要な代替ツール

ノイズ、修正状況、コストなどの観点から比較した、CodeQLの主要な代替ツール： Aikido Security、Semgrep、Snyk Code、SonarQube、Checkmarx、Veracode

2026年のGreptileの代替サービストップ | Aikido

2026年のGreptileの代替サービストップ

2026年のGreptileの主要な代替ツールを、カバー範囲、ノイズ、レビューの詳しさなどの観点から比較します： Aikido Security、CodeRabbit、Qodo、Graphite、SonarQube、CodeAnt AI

新たな「supplychain.local Go」ワームが出現

MemTensorのnpmおよびPyPIリポジトリが「supplychain.local」マルウェアの被害を受ける

「supplychain.local」：MemTensorのnpmプラグイン（0.1.21、0.1.23）およびPyPIのMemoryOS（2.0.34）から悪意のあるコードが発見されました。

「サイバーレジリエンス法」がついに施行！よくある誤解と第一印象

「サイバーレジリエンス法（CRA）」の最初の期限が、2026年9月11日に迫りました。新たな「単一報告プラットフォーム」の概要と、CRAに関する4つのよくある誤解を解き明かします。

GitLabにメールを送信し、mainブランチにプッシュする

GitLabでは、イシューを作成するための専用のメールアドレスが提供されます。このメールアドレスが漏洩した場合、それを入手した者は誰でも、公開プロジェクトおよび非公開プロジェクトを問わず、コードをプッシュしたり、CI/CD のジョブを実行したり、IP制限を回避したりすることが可能になります。

Graphalgoの取り組みが、TerraformプロバイダーやGoモジュールにも広がっている

マルウェア「Graphalgo」がTerraformとGoに拡散

Aikido TerraformプロバイダーおよびGoモジュール内に、Graphalgoに関連するGoマルウェアを発見した。このマルウェアは、標的を絞ったトリガー、Slack、およびブロックチェーンを介したC2通信を利用していた。

マルウェア「Graphalgo」は、Go言語にも拡散しており、2つのTerraformプロバイダーと2つのGoモジュールに検出されています。

Aikido そしてDeel：一度設定すれば、すべての採用が安全に

Deelを通じて人材を採用すれば、コード、クラウド、デバイスに関する対応が自動的に行われます。

ご紹介 Aikido Altar：主権的なセキュリティインテリジェンスを実現するモデル

Aikido Altar：主権の安全保障のためのオープンウェイトAI

Aikido Altarは、国家のセキュリティインテリジェンス向けに構築された、圧縮型でオープンウェイトのAIモデルであり、 Aikido Machineのオンプレミス型、エアギャップ環境でのペネトレーションテストを支えています。

2026年のオンプレミスAIペネトレーションテストツールランキング

2026年オンプレミスAIペネトレーションテストツールランキング | Aikido セキュリティ

規制対象チーム向けの2026年最高のオンプレミスAIペネトレーションテストツール――エアギャップ対応、ホワイトボックスの深度、アプリケーションのカバー範囲を比較

規制対象チーム向けの2026年最高のオンプレミスAIペネトレーションテストツールを、エアギャップ対応、ホワイトボックスの深度、アプリケーションのカバー範囲の観点から比較しました。各ツールがどのような場面に適しているかをご覧ください。

Aikido アプリケーションセキュリティ分野におけるAWSセキュリティコンピテンシーを取得

AWSは Aikido 「アプリケーションセキュリティ」分野のセキュリティ・コンピテンシーを授与し、 Aikido コードからクラウド、そして実行環境に至るまで、アプリケーションをどのように保護しているかを裏付けるものです。

AWSが私たちの取り組みを評価し、私たちは正式に「アプリケーションセキュリティ」分野のAWSセキュリティ・コンピテンシー・パートナーに認定されました。

AIを活用したコード支援ツールのトップQodo代替案

2026年のQodoの代替サービス比較

2026年にAIコードレビューを行う上で最適なQodoの代替ツールを、ノイズ、セキュリティ、コストの観点から比較しました。これにより、チームに最適なツールを選ぶことができます。

2026年のクラウドネイティブセキュリティにおける、Aqua Securityの主要な代替ソリューション

2026年のAqua Security代替サービストップ6の比較

2026年のAqua Securityに代わる最良の代替製品を比較： AikidoWiz、Prisma Cloud、Sysdig、Orca、CrowdStrikeを、カバー範囲、導入方法、価格、適合性という観点から比較します。

Dependabot 対 Renovate (2026)：どちらを使うべきか？

Dependabot 対 Renovate

Dependabot と Renovate を、セットアップ、モノリポジトリ、プラットフォーム、セキュリティの観点から比較するとともに、自動更新では実際に悪用可能な箇所を見逃してしまう理由についても解説する

大手ソフトウェア企業で相次ぐCVEの急増は、是正措置に関する問題である

大手ソフトウェア企業各社でCVEの件数が増加しており、連邦政府の監査によると、NISTでさえその対応に追いつけていないことが明らかになりました。ここでは、開示件数ではなく、是正措置のスピードこそが、実際に重要な指標である理由を解説します。

今月、21社の主要ソフトウェア企業においてCVEが急増していることを示すグラフが話題となり、業界はこの意味を巡って二つの陣営に分かれて議論を繰り広げた。しかし、どちらの陣営も、実際にリスクを決定づける数値、すなわち「重要な脆弱性がどれほどの速さで修正されるか」という点を看過している。

ジェイソン・ハディックス：AIによるペネトレーションテストを恐れるのはやめよう

ジェイソン・ハディックス：ペネトレーションテストの90％はAIによって行われるようになる

ジェイソン・ハディックスが、手動によるペネトレーションテストが追いつかない理由、最初に失われるもの、そしてAIによるペネトレーションテストが機能する理由として「人間による手法」が重要な理由について語る

pub.dev に掲載されている改ざんされた Flutter パッケージに、XCSSET マルウェアが含まれている

pub.dev上で、改ざんされたFlutterパッケージ内にXCSSETマルウェアを検知しました。ここでは、感染の連鎖、拡散モジュール、およびパッケージ内で確認された情報窃取ロジックについて、詳細に解説します。

Shai-Huludのnpmペイロードが111日後に戻ってきた

シャイ・フルード、111日ぶりに蘇る

既知のShai-Huludワームのペイロードが111日間休眠状態にあった後、npmに再公開され、これを検知するためのマルウェアスキャンをすり抜けてしまった。

5月に公開された「Shai-Hulud」のペイロードが、npmに再び出現しました。ハッシュ値は同じで、変更点もなく、本来なら検知されるはずだった公開時のスキャンをすっぽりとすり抜けてしまいました。

StyleSmugglerの修正：MagentoおよびAdobe CommerceのRCEに対するパッチ適用

StyleSmugglerの修正：MagentoおよびAdobe CommerceのRCEに対するパッチ

StyleSmugglerは、MagentoおよびAdobe Commerceを標的とする認証不要のRCE攻撃であり、現時点でCVEは割り当てられておらず、Adobeによるパッチもまだ公開されていません。 Aikido すでに修正済みです。

StyleSmugglerが現在、MagentoとAdobe Commerceを襲っており、Adobeは依然として修正プログラムを公開していません。ここでは、すでに用意されているパッチとその仕組みについてご紹介します。

Dirty Frag (CVE-2026-43284)：読み取りアクセスからroot権限を取得してしまうLinuxカーネルのバグ

Dirty Frag (CVE-2026-43284): Linux での権限昇格 | Aikido

「Dirty Frag」は、権限の低いLinuxアクセスをroot権限に変換し、コンテナからの脱出も可能にします。影響を受けるCVE、脆弱性の有無を確認する方法、および修正方法について解説します。

2026年のコンテナおよびクラウドスキャン向け、Trivyの主要な代替ツール

2026年の「Trivy」に代わるおすすめアプリ：比較

2026年版として、コンテナスキャン、IaC、SAST 、優先順位付け、修正といった観点から、Trivyの代替ツール6つを比較し、それぞれが実際にどのような場面に適しているかを検証しました。

SLA違反をなくす：修正プログラムがリリースされる前に脆弱性を修正する方法

SLAの期限が迫っており、その依存関係にはパッチが適用されていません

使用方法 Aikido ライブラリを活用して、脆弱性のある依存関係にパッチを適用し、セキュリティSLAを満たす方法。

依存関係の脆弱性に対するセキュリティSLAを満たす方法について、 Aikido Libraries を活用し、安全でバックポートされたパッチを適用することで、依存関係の脆弱性に対するセキュリティSLAを満たす方法を学びましょう。

「メッチャ・カメレオン」はRCEから隠れることはできない

MECCHA CHAMELEONにおいて、2件目の遅延型RCEを発見しました。悪意のあるカスタムマップを使用すると、システム上の任意の場所にファイルを書き込んだり、再起動後にコードを実行したりすることが可能でした。これはバージョン4.0.0で修正済みです。

2026年のDSPMツールランキング：比較・順位付け

2026年のトップDSPMツール

2026年の主要なDSPMツールを比較： Aikido、Wiz、Cyera、Varonis、Orcaの各ツールについて、データアクセス、是正措置、および脆弱性の特定方法の観点から比較します

2026年の主要なDSPMツールを比較します。 Aikido、Wiz、Cyera、Varonis、Orcaについて、データアクセス、是正措置、および脆弱性の検出方法の観点から比較します

文字列ベースのルールでは、すでに確認されているマルウェアしか検知できません。サプライチェーン攻撃を発見するには、行動分析による検知が有効です。

サプライチェーン検知の闇

Docker イメージのセキュリティ確保：強化、パッチ適用、およびメンテナンス

Dockerイメージのセキュリティ対策

コンテナの脆弱性のほとんどは、ベースイメージに起因しています。Dockerイメージを強化する方法、強化作業が継続的なものである理由、そしてすでに実行中のベースイメージにパッチを適用する方法について解説します。

TeamPCP、さようなら。さあ、ここからが本番だ。

TeamPCPによる逮捕は、同組織が浮き彫りにしたサプライチェーンのリスクを解決するものではない

AFP、FBI、およびワシントン州警察は、「TeamPCP」の背後にいるとされる2人の男を起訴した。チャーリー・エリクセンが、今回の逮捕によって「TeamPCP」が暴いた問題が解決されたわけではない理由について解説する。

オーストラリア連邦警察（AFP）、FBI、西オーストラリア州警察による数ヶ月にわたる国境を越えた共同捜査の結果、TeamPCPのメンバーとされる2人の男が起訴された。 Aikidoチャーリー・エリクセン記者が、なぜ今回の摘発だけではTeamPCPが露呈させたソフトウェアサプライチェーンの脆弱性が解消されないのかを解説する。

Minimusはサービスを終了します。 Aikido、Chainguard、Docker Hardened Images、RapidFort、Echoを比較し、再びロックインされないような強化イメージの代替サービスを選んでください。

2026年のMinimusの代替製品トップ

Aikido セキュリティ部門、AIガバナンスに関するISO 42001:2023認証を取得

Aikido ISO 42001認証を取得 | AIガバナンス

Aikido セキュリティ部門は、AIガバナンスに関する国際規格であるISO 42001の認証を取得しました。この認証は、AIペネトレーションテスト、コードセキュリティ監査、および詳細なPRレビューを網羅しています。

コンプライアンス

ソフトウェアのサプライチェーンセキュリティには、デフォルト設定ではなく、適切な判断が求められる

ソフトウェア・サプライチェーンのセキュリティ：デフォルト設定ではなく、意思決定を

ほとんどのソフトウェアは、誰も決定していないことの上に成り立っています。ゲート処理、ピンニング、バックポート、そしてSBOM の維持管理が、実際に誰かが責任を持って管理している場合にのみ機能する理由について話し合います。

xz-utils のバックドア。lodash のビルド不具合。これらはいずれも、バージョン番号を「選択肢」ではなく「既定値」として扱ってしまうという同じ習慣に起因しています。ここでは、デフォルト設定を鵜呑みにするのではなく、自ら判断を下すために実際に何が必要かについて、私たちの考えを述べます。

Aikido Androidアプリ向けのエージェント型ペネトレーションテストを開始

Androidのペネトレーションテスト、エージェント型かつ自律型に | Aikido

Aikidoペンテストの担当者が、Androidアプリとそのバックエンドを1回のホワイトボックス評価で検証します。再現可能な検証結果、AutoFix、および各問題に対する再テストが提供されます。

Aikido 現在、攻撃者が行うのと同じ手法でAndroidアプリの自律型ペネトレーションテストを実施しており、1回の評価でアプリとそのバックエンドを網羅し、AutoFix機能と再テスト機能も組み込まれています。

私たちは、ネット上で話題になったAIジムハッキングを、管理された環境下で再現しました。OpenClaw上でOpus 4.6を実行したところ、このモデルは10回の試行のうち9回で予約システムの脆弱性を悪用しました。

どのようにして Aikido Mythosの半分のコストで、より多くの脆弱性を発見する

どのようにして Aikido Mythosを活用することで、Claude Securityよりも多くの脆弱性を、半分のコストで発見できる

Aikido AI Code Auditは、Mythosを活用したClaude Securityよりも8件多くの脆弱性を発見し、そのコストは半分以下でした。設計の活用が、1ドルあたりのカバレッジ向上にどのように寄与するか。

Aikido Code Security Auditは、Mythosを使用したClaude Securityよりも8件多くの脆弱性を発見し、そのコストは半分以下でした。設計の活用が、1ドルあたりのカバレッジをどのように高めるかをご覧ください。

シャイ・フルードは、サプライチェーンのセキュリティにとって最高の出来事だった

npm Trusted Publishingは、リリース後しばらくの間、ほとんど利用されませんでした。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生したことで、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析しています。

npm Trusted Publishingは2年間、ほぼ利用されない状態が続いていました。その後、Shai-Huludをはじめとする14件のサプライチェーン攻撃が発生し、その採用率は3.4倍に跳ね上がりました。チャーリーがその背景にあるデータを分析します。

2026年版主要なイメージハードニングツール：7つの製品を比較

2026年の主要なイメージハードニングツール

2026年のイメージハードニングツールの比較： Aikido、Chainguard、Docker、RapidFort、Echo、Minimus、およびWiz

2026年のアプリケーションセキュリティに最適なエンタープライズ向けAIペネトレーションテストツール

2026年のエンタープライズ向けAIペネトレーションテストツールベストセレクション

2026年のエンタープライズ向けAIペネトレーションテストツールのトップ製品を比較： Aikido、XBOW、NodeZero、Pentera、Hadrian、Cobalt。

CVEの修正とは、使用しているソフトウェアの既知の欠陥を修正することです。アップグレードが失敗しがちな理由、修正作業の具体的な内容、そしてバックポートがどのように問題を解決するのかについて解説します。

2026年のCVE対策とは何でしょうか？

2026年のCVE対策とは？

最適なサイバーAIモデルを見つけるために、117億トークンをバーンしました

最適なサイバーAIモデルを見つけるため、117億トークンをバーンしました | GLM5.3とDeepSeekが新たな最先端となりました

32件の新規CVEに対して10種類のAIモデルをテストしました。DeepSeek V4 Proは28件を検出しており、3回の簡易実行だけで、Opus 5やGrokの1回の実行を上回る検出率を達成しました。

AIペネトレーションテストの評価チェックリスト：AIペネトレーションテストベンダー選びのポイント

AIペネトレーションテスト業者選定チェックリスト：注目すべきポイント

検証、コードへのアクセス、スコープ管理、信頼性といった観点から、AIペネトレーションテストベンダーを評価するためのチェックリストに加え、本物のプラットフォームと単なる見栄えの良いデモを見分けるための危険信号について解説します。

GogsでまたしてもRCEが発生しましたが、今回は修正されました！

CVE-2026-52813 | ある Aikido ペネトレーションテスト用エージェントにより、Gogsにおけるパストラバーサルが検出されました。これを完全なRCE（リモートコード実行）にエスカレートさせ、さらに2つのバグを報告しました。これらはすべてバージョン0.14.3で修正されています。

2026年の主要なエンタープライズ向けSCA ツール

2026年版エンタープライズ向けSCA ツールランキング | Aikido

2026年のエンタープライズ向けSCA ツールの比較： AikidoSonatype、Snyk、Endor Labs、Checkmarx、Black Duck、Veracodeの各製品を、インテリジェンス、是正措置、コンプライアンスの観点から比較。

2026年の主要なエンタープライズ向けDAST ツール

2026年の企業向けDAST ツール・トップ | Aikido

2026年の主要なエンタープライズ向けDAST ツールを、認証済みカバレッジ、API 検出、エクスプロイト検証、ガバナンス、コンプライアンス、およびAIペネトレーションテストの観点から比較します。

2026年のトップ統合セキュリティツール | Aikido

2026年のトップ統合セキュリティツール

2026年のトップ統合セキュリティツールを比較： AikidoCortex Cloud、Wiz、Checkmarx、Snyk、Orcaの各製品を、対象範囲、相関分析、ガバナンス、コストの観点から比較します。

Hugging FaceからFableまで：この夏は、AIの「制御」が「信頼」よりも重要であることを示している

AIセキュリティ：なぜ「制御」が「信頼」よりも重要なのか

Hugging Faceでの自律型AIによるセキュリティ侵害と、Anthropicによる「Fable」の運用停止は、同じことを示している。つまり、ベンダーを信頼することと、自ら制御していることとは別物だということだ。

あるAIエージェントが、自力でHugging Faceに侵入した。あるAIベンダーのアクセス権限が一夜にして消滅した。これらに共通する点とは何か。

実際に必要なセキュリティテストツールはどれでしょうか？

各段階で脆弱性を発見する：何を、いつ実行すべきか

SAST、「Deep PR Review」、「Code Security Audit」、そして「AIペンテスト」は、それぞれ異なる段階で異なる脆弱性を検出します。ここでは、それぞれの活用タイミングとその理由について説明します。

SAST、「Deep PR Review」、「Code Security Audit」、そして「AIペンテスト」は、それぞれ異なる段階で脆弱性を検出します。ここでは、それぞれをいつ、どのような理由で活用すべきかについて説明します。

ハーネス・エンジニアリングとは？ | AIハーネスとAIセキュリティへの影響

AIハーネスエンジニアリングとは何ですか？

ハーネスエンジニアリングとは、AIモデルをエージェントとして機能させるためのコードのことです。ハーネスの役割、モデルを単に選ぶよりも優れている理由、そしてその構築方法について解説します。

この攻撃の背後にいたのは誰だったのか？　おそらく誰もいないのだろう

この攻撃の背後にいたのは誰か？　おそらく誰もいない | Anthropic、OpenAI、およびAISIによる自律エージェントによる攻撃

この夏、人間の関与が一切ない状態でAIエージェントが実際の組織を攻撃した事例が3件報告された。インシデント対応の枠組みには、まだこうしたケースに対応する項目が設けられていない。

The Aikido Machine：ネットワーク外に出ることのないオンプレミス型AIペネトレーションテスト

Aikido マシン：オンプレミス型AIペネトレーションテストサーバー | Aikido セキュリティ

クラウドを利用できないチーム向けの継続的なAIペネトレーションテスト。この Aikido Machineは、モデル、コード、結果をすべてお客様のネットワーク内に完全に保持します。

規制の厳しい組織のネットワーク内で実施される継続的なAIペネトレーションテスト。ベルギーの銀行・保険会社であるベルフィウスが、これを導入した最初の企業となった。

Keyvとその仲間たちがnpmのサプライチェーン攻撃の被害に遭った

2026年8月4日、攻撃者がメンテナンス担当者のGitHubアカウントを乗っ取ったことを受け、keyvおよび関連する8つのnpmパッケージに「Mini Shai-Hulud」マルウェアが仕込まれた。

2026年版エンタープライズ向けSAST ランキング | Aikido セキュリティ

2026年の主要なエンタープライズ向けSAST

ノイズ、AIによる修正、ガバナンス、コンプライアンス、およびコストの観点から、優れたエンタープライズSAST 比較

Anthropicの『Fever Dream』：本物の鍵を盗んだクロードの荷物

Anthropicの『Fever Dream』：実際の鍵を盗んだクロードのパッケージ「anthropickit」

Anthropicは、PyPIに実際のマルウェアを流した犯人を特定したと発表した。我々はそのパッケージを発見したと考えており、そこに含まれるあらゆる誤りは、すべてそのAIに起因しているようだ。

Anthropicは、自社のエージェントの1人がPyPIに実稼働中のマルウェアを公開し、その過程で実際のサードパーティ企業を侵害したことを明らかにした。調べてみたところ、そのエージェントが残したと思われるパッケージを見つけたかもしれない。

2026年の自動化ペネトレーションテスト向け、Astra Securityの主要な代替ソリューション

セキュリティテストに最適なAstraペンテスト | Aikido セキュリティ

2026年のAIペネトレーションテスト向け「Astra Security」の代替ソリューションを、分析の深さ、ホワイトボックステスト、コンプライアンス対応機能、プラットフォームの幅の観点から比較する

Hugging Faceのセキュリティ侵害から得られた4つのインシデント対応の教訓

Hugging Faceのセキュリティ侵害から得られたインシデント対応の4つの教訓

偵察、認証情報の盗用、隠されたC2、再構築かパッチ適用か。進行中の攻撃を検知できるかどうかを示す、Hugging Faceのセキュリティ侵害に関する4つの判断基準。

2026年のおすすめSAST ： Aikido、Snyk、Semgrep など

2026年のトップSAST

2026年の主要なSAST 、検出の深度、ノイズ、是正措置、および企業への適合性の観点から比較する

2026年の主要なSAST 、検出の深度、ノイズ、是正措置、および企業への適合性の観点から比較します。

AIアプリケーションを保護するための、トップクラスのLLMセキュリティツール

2026年のLLMセキュリティツールランキング | Aikido セキュリティ

AIアプリケーション向けの主要なLLMセキュリティツールを比較します。対象となるツールには以下が含まれます。 Aikido、Snyk、Semgrep、Endor Labs、WizといったAIアプリケーション向けの主要なLLMセキュリティツールを、コード、サプライチェーン、ランタイムの各側面から比較します。

自動脆弱性におけるAcunetixの主要な代替ツール

脆弱性に最適なAcunetixの代替ツール | Aikido セキュリティ

Acunetixの代替ツールを探していますか？同社のDAST ルールベースのチェックをDAST 、ビジネスロジックの分析や監査レベルのペネトレーションテストの実施はできません。さらに一歩進んだ5つの選択肢をご紹介します。

Acunetixの代替ツールを探していますか？同社のDAST 標準的なチェックはDAST 、ビジネスロジックの分析や監査レベルのペネトレーションテストの実施には対応していません。さらに一歩進んだ5つの選択肢をご紹介します。

より優れた汎用的な「シークレット、シークレット特定から始まります

一部のAPI 公開されることを前提としています。Betterleaksでは、こうしたキーを一般的なシークレット検出対象から除外するようになり、スキャン1回あたり数千件の誤検知が削減されました。

SQLインジェクション（および「リトル・ボビー・テーブルズ」）は依然として脅威である

SQLインジェクションは依然として脅威である

SQLインジェクション対策は数十年前から存在し、今でも有効です。では、なぜWordPressコアに、今になって緊急パッチが必要になったのでしょうか？その原因となるデータと、それに対する防御策について解説します。

TyroのCISO：「サイバーセキュリティ界のアインシュタイン」であるだけでは、開発者から信頼を得られない

サイバーセキュリティ界の「アインシュタイン」も、依然として開発者の信頼を必要としている

TyroのCISO、アルン・シン氏が、開発者の信頼を「有限な資源」として捉え、サプライチェーン攻撃によってチームがその信頼を費やさざるを得なくなった場合に何が起こるかについて語る

開発者が知っておくべきDSPMとコード内のデータ露出について

従来のDSPMは、機密データがどこにあるかを特定します。コードベースのDSPMは、そのデータがどのように漏洩しているかを特定し、コード内の修正箇所を指摘します。

アップグレードの落とし穴：CVEへの対処としてアップグレードが誤った解決策となる場合

CVEを修正するためにアップグレードすると、かえって事態が悪化することが多い理由 | Aikido

CVEを修正するためのアップグレードは、一見簡単そうに見えます。しかし、パッチが適用されたバージョンは、アプリが動作しなくなったり、まだリリースされていなかったり、あるいは存在しなかったりすることがよくあります。その理由と、実際に効果的な対策について解説します。

「アップグレードして修正する」という考え方は、修正済みのバージョンが存在し、それがリリースされており、かつアプリに不具合が生じないことを前提としています。しかし、多くの場合、これらの条件はいずれも当てはまりません。これが「アップグレードの罠」であり、アップグレードしても、アップグレードしなくても、セキュリティリスクや本番環境への影響が生じる可能性があります。ここでは、その打開策について考察します。

SleeperGem：RubyGemsのサプライチェーン攻撃が、活動停止中のメンテナアカウントを標的にしている

SleeperGem：休眠状態だった2つのRubyGemsメンテナアカウントが乗っ取られ、信頼されているGemにマルウェアが仕込まれた。そのうち1つは、累計ダウンロード数が50万回を超えていた。

WordPress コアにおける認証不要のRCE（wp2shell）、SQLインジェクションを介して

WordPress コア（wp2shell）脆弱性、SQL インジェクションを介した認証不要の RCE脆弱性。脆弱性この脆弱性に対処してください！

WordPressのコアに、認証不要のRCE（wp2shell）の脆弱性が確認されました。これはSQLインジェクションであることが判明しています。今すぐ7.0.2または6.9.5にアップデートしてください。まだパッチを適用できない場合は、緩和策を講じてください。実行時に攻撃用クラスをブロックするには、 Aikido Zen、実行時に攻撃クラスをブロックしてください。

自動化ペネトレーションテストにおける、Penteraの主要な代替ツール

自動化ペネトレーションテスト向けのトップクラスのPentera代替ツール | Aikido セキュリティ

2026年の自動化ペネトレーションテスト向け、Penteraの主要な代替ツールを比較しましょう。どこが Aikido Security、XBOW、Horizon3、Hadrian、RunSybil、Terra、Astraがどの場面に最適かを確認してください。

既知のCVEの再発見に関する13のAIモデルのベンチマーク

既知のCVE検出に関する13のAIモデルのベンチマーク

13種類のAIモデルを用いて、26件の既知のCVEに対してテストを行い、どのモデルが最も多くの脆弱性を検出できるか、また、最も高価なモデルはそのコストに見合う価値があるかどうかを検証しました。

26件の既知のCVEを発見するテストを、13種類のAIモデルで実施しました。GPT-5.6が最も多く発見しましたが、最も高価なモデルが予算の最適な使い方だったわけではありませんでした。

サプライチェーン攻撃に対する防御策：実践的なチェックリスト

サプライチェーン攻撃対策の実践チェックリスト | Aikido

最近のソフトウェアサプライチェーン攻撃の急増に対する、優先順位付けされた30の防御策。「重大」、「高」、「中」の3段階で評価されている。

GitHub Actionsを介してAsyncAPIのnpmパッケージにバックドアが仕込まれた

2026年7月14日、週あたり約200万回のダウンロードを記録している5つのパッケージバージョンが、難読化されたドロッパーを配布しました。現時点で確認されている内容は以下の通りです。

方法 Aikido インテルがマルウェアや脆弱性をいち早く検知する

Aikido Intelは、オープンソースのエコシステム全体にわたるマルウェアや未公開の脆弱性を、多くの場合リリースから8分以内に検知するリアルタイムのフィードです。

Aikido Intelは、オープンソースのエコシステム全体にわたるマルウェアや未公開の脆弱性を迅速に検知する、リアルタイムのサプライチェーン・インテリジェンス・フィードです。

6時間でNodeBBの重大度の高い脆弱性を8件発見

当社のペンテストにより、ペンテスト発見されたNodeBBの重大な脆弱性8件。XSSチェーン、認証バイパス、および投稿乗っ取りに関する詳細な技術的分析を掲載しています。

依存関係ファイアウォールとは？ | Aikido セキュリティ

依存関係ファイアウォールとは何ですか？

依存関係ファイアウォールは、悪意のあるオープンソースパッケージがインストールされる前にこれをブロックします。その仕組みと、 Aikido Safe Chainがサプライチェーン攻撃を阻止する仕組みについて解説します。

AIによるコード生成や「バイブ・コーディング」を活用して、コード品質基準を維持する方法

Vibe Codingは機能を迅速にリリースし、レビューの遅れを解消します。ルールごとのコード品質チェックをベンチマーク化することで、プルリクエストやリポジトリを問わず、チームに一貫した結果を提供する仕組みをご覧ください。

改ざんされた @injectivelabs/sdk-ts は、偽のテレメトリを通じてウォレットの鍵を外部へ流出させる

@injectivelabs/sdk-ts の悪意のあるリリースでは、「使用状況のテレメトリ」と表示されたコード内にウォレットキー窃取コードが隠され、さらに17のnpmパッケージに拡散されました。その仕組みと、プロジェクトを確認する方法について説明します。

AIペネトレーションテスト購入ガイド：AIペネトレーションテストベンダーの評価方法

AIペネトレーションテスト購入ガイド | AIペネトレーションテストベンダーの評価

実用的な選定基準、1,000件以上のAIペネトレーションテストに関する調査結果、およびダウンロード可能な評価チェックリストを活用して、AIペネトレーションテストベンダーを評価する方法をご紹介します。

実用的な選定基準、1,000件以上のAIペネトレーションテストに関する調査結果、および評価チェックリストを活用して、AIペネトレーションテストベンダーを評価する方法をご紹介します。

Webアプリケーションのセキュリティテストに最適なBurp Suiteの代替ツール

Webアプリケーションのセキュリティテストに最適なBurp Suiteの代替ツール | Aikido セキュリティ

DAST ペネトレーションテスト向けの、Burp Suiteの主要な代替ツールを比較します。これには以下が含まれます。 Aikido、Caido、ZAP、Invictiなど、DASTおよびAIペネトレーションテスト向けの主要なBurp Suite代替ツールを比較します。

2026年のトップチェーンガード代替品 | Aikido

2026年のおすすめチェーンガード代替品

2026年の最高のチェーンガード代替品を比較、提供元： Aikido Securityから、Docker Hardened Images、Minimus、RapidFort、Echoまで。

強制移行を伴わない、堅牢化されたコンテナイメージ CVE対策のためのチェーンガードの代替案を比較しました。

Black Hat USA 2026のおすすめパーティー、サイドイベント、セキュリティ・ミートアップ

ラスベガスで開催される「Black Hat USA 2026」のパーティー、ハッピーアワー、CISOディナー、セキュリティミートアップを厳選して紹介するガイド。内容は以下の通りです。 Aikido主催の「Omega Mart After Hours with AWS and Tailscale」も含まれています。

Rocket.Chat における MongoDB の ObjectId の継続的な予測

AikidoのAIペネトレーションテスターが、Rocket.Chatにこのファイルアクセス上の脆弱性を発見しました。MongoDBのObjectIdを詳しく調べたところ、悪用を可能にするランダム性の低さが明らかになりました。

AikidoのAIペネトレーションテスターが、Rocket.Chatにこのファイルアクセス上の脆弱性を発見しました。MongoDBのObjectId()を詳しく調べたところ、悪用を可能にするランダム性の低さが明らかになりました。

当社のAIペンテスト、phpBBの重大な認証バイパス（CVE-2026-48611）を発見しました。認証されていないリクエストを1回送信するだけで、任意のアカウントにログインできてしまいます。エクスプロイト修正方法についてはこちらをご覧ください。

phpBBのデフォルト設定における認証バイパス

Aikido Rootを買収し、サプライチェーンの確保を図る

Aikido Aikidoは、ソフトウェアのサプライチェーンを保護するためRootを買収しました。これにより、現在ご利用中のバージョンのオープンソースの脆弱性が修正され、アップグレードは不要です。重要な修正プログラムは、コミュニティに無償で提供されます。

そしてもう一つ。GitHubが「緊急時の認証情報無効化」機能を提供開始

GitHub、緊急時の認証情報無効化機能を提供開始

GitHub Enterpriseにおいて、「Break-glass」方式による認証情報の失効機能が利用可能になりました。TrivyとMicrosoftのdurabletaskに関する一連の事例は、迅速かつ完全な失効処理が必要だった理由を示しています。

GitHub Enterpriseでは、1回の操作でアカウントのすべての認証情報を無効にできるようになりました。Trivyによる攻撃や、マイクロソフト自身が経験したdurabletaskの侵害事例は、この機能がなぜこれほど長く待たれていたのかを如実に示しています。

npmは現在、リスクの高いアカウント変更が行われた場合、影響の大きいアカウントを凍結するようになっています

npmの新しい「72時間のアカウント凍結」について、その発動条件、凍結によって制限される内容、および「trusted publishing」や「staged publishing」との連携の仕組みを解説します。

2026年のKoi Securityの代替サービストップ | Aikido

2026年のKoiに代わるトップ候補

Palo Altoによる買収を受けて、Koi Securityの代替ソリューションをお探しですか？デバイスの保護機能、プラットフォームの幅広さ、価格設定の観点から競合他社を比較してみましょう。

改ざんされた GitHub アクション「codfish/semantic-release-action」がCI/CD シークレット盗み出す

codfish/semantic-release-action は 2026年6月24日に侵害されました。攻撃者は、v2～v5 のタグを、CI/CD シークレット標的とした Miasma の認証情報窃取ペイロードにリダイレクトしました。以下に、発生した事象と、影響を受けているかどうかを確認する方法について説明します。

AIのおかげで、今では誰もが開発者となり、熟練した目による入念なレビューを経ずに多くのコードがリリースされています。

みんな、自分でも読めないコードを送り合っている

Aikido x Drydock | メンテナンス担当者がマルウェアのリリース前にそれを検知する方法

Aikido Drydockと提携し、npmおよびPyPI向けに公開前のマルウェア検査機能を提供

Aikido Drydockと提携し、npmおよびPyPI向けにリリース前のパッケージレビュー機能を提供します。リリースが公開される前にその内容を正確に確認でき、最初のダウンロードが行われる前にマルウェアを検知します。

Aikido はDrydockと提携し、npmおよびPyPIのメンテナーが、リリースが公開される前にその内容を正確に確認できるようにしています。マルウェアは、公開後ではなく、公開前に検知しましょう。

Aikidoのマルウェアフィードは、Composerにおいて不良なパッケージバージョンをデフォルトでブロックするようになりました。Packagistがサプライチェーン攻撃の特定の分類をどのように封じ込めているのかを見てみましょう。

Aikidoのマルウェアフィードは、Packagist.orgからインストールするすべてのユーザーに対し、Composerでフラグが立てられたパッケージのバージョンをデフォルトでブロックするようになりました。特別な設定は一切必要ありません。この1年間、PackagistとComposerは、レジストリレベルでサプライチェーン攻撃の特定の分類を全面的に遮断してきました。ここでは、彼らが実装した内容と、すべてのレジストリがこのように機能すべき理由について説明します。

Aikido x OWASP：個人会員向けに200クレジットを無料提供

Aikido とOWASP：会員限定で200クレジット無料

OWASPの個人会員は200を無料で利用できます Aikido クレジットを無料で受け取り、コード監査を実行できます。対象となる方と、2つのステップでクレジットを受け取る方法をご紹介します。

OWASPの個人会員は200を無料で利用できます Aikido クレジットを無料で受け取り、コード監査を実行できます。2つのステップで受け取る方法は以下の通りです。

141個のMastra npmパッケージが、インストール時にペイロードを密かにダウンロードして実行する悪意のある依存関係を注入するサプライチェーン攻撃により侵害されました。

複数のJetBrains IDEプラグインがAIキーの盗用で発覚

7つのベンダーアカウントの下で公開されている、少なくとも15個のJetBrains IDEプラグインによる組織的な攻撃により、ユーザーが設定画面に貼り付けたAIプロバイダーAPI 盗み出される。

『フル・ファサム・ファイブ』：Anthropic社によるMythosクラスの一般公開の背景

『Full Fathom Five』：AnthropicによるMythosクラスの一般公開が意味するもの

IDORやビジネスロジックの欠陥を見つけるのに、Mythosなど必要なかった。AnthropicがFable 5で提供した機能と、情報セキュリティが本質的に「人的要因」の問題であり続ける理由について考察する。

5つのSocket代替セキュリティソリューションとその優位性

5つのソケットセキュリティの代替手段とその優位性

Socketはマルウェア検出でその名を知られるようになりました。しかし、もはや検出速度だけでは不十分です。その理由をご説明します Aikido と他の4つの代替ソリューションが、サプライチェーンセキュリティ、到達可能性分析、ライセンスなどにおいてどのように比較されるかをご紹介します。

npm v12は、ここ数年で最大級のセキュリティ強化を実現しました

npm v12では、インストールスクリプトがデフォルトでオプトイン方式となり、NxからRed Hatに至る1年にわたるnpmサプライチェーンの脆弱性問題を受けて、インストール時の実行経路が遮断されるようになった。

Aikido x Docker：ノイズを減らし、有益な情報を増やす

Aikido VEXを使用したDocker Hardened Imagesに対応

Aikido Aikidoは、VEXが組み込まれたDocker Hardened Imagesに対応しました。これにより、チームノイズ低減しノイズ実際に注意が必要なコンテナの脆弱性に集中できるようになります。

Dockerの強化済みイメージをスキャンする Aikido でDockerの強化済みイメージをスキャンし、悪用不可能なCVEに対して自動VEXフィルタリングを実行します。

至る所でコードが書かれているが、唯一変わらないのはデバイスだけだ

コードは至る所に存在し、唯一不変なのはデバイスだけだ | Aikido セキュリティ

開発者はあらゆる場所でコーディングを行っています。AIエージェント、Slackボット、MCPサーバーの普及により、開発者の端末は最大のセキュリティ上の死角となっています。

ありがとうございました！あなたの投稿は受理されました！

あれ！フォームの送信中に何か問題が発生しました。

2023年6月1日

•

ガイドラインと推奨事例

リポジトリ内のプロトタイプ汚染を防ぐ

タグ/

#AppSec

2023年5月16日

•

ガイド

SaaSスタートアップのCTOは、開発スピードとセキュリティのバランスをどうとるか？

タグ/

アイテムが見つかりませんでした。

2023年4月10日

•

エンジニアリング

シンプルな電子メール送信フォームを通じて、ある新興企業のクラウドがどのようにハッキングされたのか？

メールを送信するシンプルなフォームによってスタートアップのクラウドが乗っ取られた経緯

タグ/

#AWS

#SSRF

#IMDSv1

#クラウド

#IMDSv2

2023年1月19日

•

会社の最新情報

Aikido Security、開発者ファーストのソフトウェアセキュリティプラットフォーム構築のため200万ユーロのプ投資ラウンドを調達

ベルギーの SaaS スタートアップ Aikido Security は、開発者向けのソフトウェアセキュリティ簡素化というミッションを支持する著名なエンジェル投資家から200万ユーロのプレシード資金を調達しました。

タグ/

#AppSec

#脆弱性

•

脆弱性と脅威

RoundcubeのXSSとCookieの書き換えを組み合わせることで、受信トレイへの完全なアクセス権を取得

Roundcubeのドラフト添付ファイルエンドポイントに、保存型XSSの脆弱性を発見しました。この脆弱性をクッキー投げ渡し（cookie tossing）の手法と組み合わせることで、攻撃者は被害者の受信トレイに完全なアクセス権を得ることができます。ここでは、エクスプロイト仕組みと、その修正方法について説明します。

タグ/

アイテムが見つかりませんでした。

製品・会社の最新情報

2026年10月6日

•

会社の最新情報

Aikido セキュリティ部門がFedRAMP「中程度」の認定を取得

Aikido FedRAMP「Moderate」認証を取得し、AIネイティブかつ自動化された脆弱性の修正機能を米国連邦政府機関に提供することとなった。

2026年9月21日

•

会社の最新情報

ご紹介 Aikido Altar：主権的なセキュリティインテリジェンスを実現するモデル

2026年9月17日

•

会社の最新情報

Aikido アプリケーションセキュリティ分野におけるAWSセキュリティコンピテンシーを取得

お知らせ

脆弱性と脅威

2026年9月23日

•

脆弱性と脅威

新たな「supplychain.local Go」ワームが出現

「supplychain.local」：MemTensorのnpmプラグイン（0.1.21、0.1.23）およびPyPIのMemoryOS（2.0.34）から悪意のあるコードが発見されました。

マルウェア

2026年9月8日

•

脆弱性と脅威

pub.dev に掲載されている改ざんされた Flutter パッケージに、XCSSET マルウェアが含まれている

マルウェア

2026年9月7日

•

脆弱性と脅威

シャイ・フルード、111日ぶりに蘇る

インテル

マルウェア

脆弱性

DevSecツールと製品比較

2026年6月12日

•

DevSecツールと製品比較

5つのソケットセキュリティの代替手段とその優位性

Aikido Zen

マルウェア

オープンソース

2025年8月19日

•

DevSecツールと製品比較

2026年のダイナミック・アプリケーション・セキュリティ・テスト（DAST）ツールトップ13

2026年に注目すべきダイナミック・アプリケーション・セキュリティ・テスト（DAST）ツールトップ13をご紹介します。機能、メリット、デメリット、連携機能を比較して、DAST を選びましょう。

ツール

DAST

2025年7月18日

•

DevSecツールと製品比較

2026年のコンテナスキャンツールトップ14

2026年版、おすすめのコンテナスキャンツール14選をご紹介します。機能、メリット、デメリット、連携機能などを比較し、DevSecOps 最適なソリューションを選びましょう。

ツール

コンテナイメージスキャン

ガイドラインと推奨事例