私たちのブログへようこそ。

Anthropicの『Fever Dream』：本物の鍵を盗んだクロードの荷物

Anthropicの『Fever Dream』：実際の鍵を盗んだクロードのパッケージ「anthropickit」

2026年の自動化ペネトレーションテスト向け、Astra Securityの主要な代替ソリューション

セキュリティテストに最適なAstraペンテスト | Aikido セキュリティ

Hugging Faceのセキュリティ侵害から得られた4つのインシデント対応の教訓

Hugging Faceのセキュリティ侵害から得られたインシデント対応の4つの教訓

2026年のおすすめSAST ： Aikido、Snyk、Semgrep など

2026年のトップSAST

2026年の主要なSAST 、検出の深度、ノイズ、是正措置、および企業への適合性の観点から比較する

2026年の主要なSAST 、検出の深度、ノイズ、是正措置、および企業への適合性の観点から比較します。

AIアプリケーションを保護するための、トップクラスのLLMセキュリティツール

2026年のLLMセキュリティツールランキング | Aikido セキュリティ

自動脆弱性におけるAcunetixの主要な代替ツール

脆弱性に最適なAcunetixの代替ツール | Aikido セキュリティ

より優れた汎用的な「シークレット、シークレット特定から始まります

SQLインジェクション（および「リトル・ボビー・テーブルズ」）は依然として脅威である

SQLインジェクションは依然として脅威である

TyroのCISO：「サイバーセキュリティ界のアインシュタイン」であるだけでは、開発者から信頼を得られない

サイバーセキュリティ界の「アインシュタイン」も、依然として開発者の信頼を必要としている

開発者が知っておくべきDSPMとコード内のデータ露出について

アップグレードの落とし穴：CVEへの対処としてアップグレードが誤った解決策となる場合

CVEを修正するためにアップグレードすると、かえって事態が悪化することが多い理由 | Aikido

SleeperGem：RubyGemsのサプライチェーン攻撃が、活動停止中のメンテナアカウントを標的にしている

WordPress コアにおける認証不要のRCE（wp2shell）、SQLインジェクションを介して

WordPress コア（wp2shell）脆弱性、SQL インジェクションを介した認証不要の RCE脆弱性。脆弱性この脆弱性に対処してください！

自動化ペネトレーションテストにおける、Penteraの主要な代替ツール

自動化ペネトレーションテスト向けのトップクラスのPentera代替ツール | Aikido セキュリティ

既知のCVEの再発見に関する13のAIモデルのベンチマーク

既知のCVE検出に関する13のAIモデルのベンチマーク

技術

サプライチェーン攻撃に対する防御策：実践的なチェックリスト

サプライチェーン攻撃対策の実践チェックリスト | Aikido

最近のソフトウェアサプライチェーン攻撃の急増に対する、優先順位付けされた30の防御策。「重大」、「高」、「中」の3段階で評価されている。

GitHub Actionsを介してAsyncAPIのnpmパッケージにバックドアが仕込まれた

方法 Aikido インテルがマルウェアや脆弱性をいち早く検知する

6時間でNodeBBの重大度の高い脆弱性を8件発見

依存関係ファイアウォールとは？ | Aikido セキュリティ

依存関係ファイアウォールとは何ですか？

AIによるコード生成や「バイブ・コーディング」を活用して、コード品質基準を維持する方法

改ざんされた @injectivelabs/sdk-ts は、偽のテレメトリを通じてウォレットの鍵を外部へ流出させる

AIペネトレーションテスト購入ガイド：AIペネトレーションテストベンダーの評価方法

AIペネトレーションテスト購入ガイド | AIペネトレーションテストベンダーの評価

Webアプリケーションのセキュリティテストに最適なBurp Suiteの代替ツール

Webアプリケーションのセキュリティテストに最適なBurp Suiteの代替ツール | Aikido セキュリティ

2026年のトップチェーンガード代替品 | Aikido

2026年のおすすめチェーンガード代替品

2026年の最高のチェーンガード代替品を比較、提供元： Aikido Securityから、Docker Hardened Images、Minimus、RapidFort、Echoまで。

強制移行を伴わない、堅牢化されたコンテナイメージ CVE対策のためのチェーンガードの代替案を比較しました。

Black Hat USA 2026のおすすめパーティー、サイドイベント、セキュリティ・ミートアップ

ラスベガスで開催される「Black Hat USA 2026」のパーティー、ハッピーアワー、CISOディナー、セキュリティミートアップを厳選して紹介するガイド。内容は以下の通りです。 Aikido主催の「Omega Mart After Hours with AWS and Tailscale」も含まれています。

Rocket.Chat における MongoDB の ObjectId の継続的な予測

AikidoのAIペネトレーションテスターが、Rocket.Chatにこのファイルアクセス上の脆弱性を発見しました。MongoDBのObjectIdを詳しく調べたところ、悪用を可能にするランダム性の低さが明らかになりました。

AikidoのAIペネトレーションテスターが、Rocket.Chatにこのファイルアクセス上の脆弱性を発見しました。MongoDBのObjectId()を詳しく調べたところ、悪用を可能にするランダム性の低さが明らかになりました。

当社のAIペンテスト、phpBBの重大な認証バイパス（CVE-2026-48611）を発見しました。認証されていないリクエストを1回送信するだけで、任意のアカウントにログインできてしまいます。エクスプロイト修正方法についてはこちらをご覧ください。

phpBBのデフォルト設定における認証バイパス

Aikido Rootを買収し、サプライチェーンの確保を図る

Aikido Aikidoは、ソフトウェアのサプライチェーンを保護するためRootを買収しました。これにより、現在ご利用中のバージョンのオープンソースの脆弱性が修正され、アップグレードは不要です。重要な修正プログラムは、コミュニティに無償で提供されます。

そしてもう一つ。GitHubが「緊急時の認証情報無効化」機能を提供開始

GitHub、緊急時の認証情報無効化機能を提供開始

GitHub Enterpriseにおいて、「Break-glass」方式による認証情報の失効機能が利用可能になりました。TrivyとMicrosoftのdurabletaskに関する一連の事例は、迅速かつ完全な失効処理が必要だった理由を示しています。

GitHub Enterpriseでは、1回の操作でアカウントのすべての認証情報を無効にできるようになりました。Trivyによる攻撃や、マイクロソフト自身が経験したdurabletaskの侵害事例は、この機能がなぜこれほど長く待たれていたのかを如実に示しています。

npmは現在、リスクの高いアカウント変更が行われた場合、影響の大きいアカウントを凍結するようになっています

npmの新しい「72時間のアカウント凍結」について、その発動条件、凍結によって制限される内容、および「trusted publishing」や「staged publishing」との連携の仕組みを解説します。

2026年のKoi Securityの代替サービストップ | Aikido

2026年のKoiに代わるトップ候補

Palo Altoによる買収を受けて、Koi Securityの代替ソリューションをお探しですか？デバイスの保護機能、プラットフォームの幅広さ、価格設定の観点から競合他社を比較してみましょう。

改ざんされた GitHub アクション「codfish/semantic-release-action」がCI/CD シークレット盗み出す

codfish/semantic-release-action は 2026年6月24日に侵害されました。攻撃者は、v2～v5 のタグを、CI/CD シークレット標的とした Miasma の認証情報窃取ペイロードにリダイレクトしました。以下に、発生した事象と、影響を受けているかどうかを確認する方法について説明します。

AIのおかげで、今では誰もが開発者となり、熟練した目による入念なレビューを経ずに多くのコードがリリースされています。

みんな、自分でも読めないコードを送り合っている

Aikido x Drydock | メンテナンス担当者がマルウェアのリリース前にそれを検知する方法

Aikido Drydockと提携し、npmおよびPyPI向けに公開前のマルウェア検査機能を提供

Aikido Drydockと提携し、npmおよびPyPI向けにリリース前のパッケージレビュー機能を提供します。リリースが公開される前にその内容を正確に確認でき、最初のダウンロードが行われる前にマルウェアを検知します。

Aikido はDrydockと提携し、npmおよびPyPIのメンテナーが、リリースが公開される前にその内容を正確に確認できるようにしています。マルウェアは、公開後ではなく、公開前に検知しましょう。

Packagistは現在、以下の機能によって保護されています Aikido Intel およびその他の PHP レジストリの更新

Aikidoのマルウェアフィードは、Composerにおいて不良なパッケージバージョンをデフォルトでブロックするようになりました。Packagistがサプライチェーン攻撃の特定の分類をどのように封じ込めているのかを見てみましょう。

Aikidoのマルウェアフィードは、Packagist.orgからインストールするすべてのユーザーに対し、Composerでフラグが立てられたパッケージのバージョンをデフォルトでブロックするようになりました。特別な設定は一切必要ありません。この1年間、PackagistとComposerは、レジストリレベルでサプライチェーン攻撃の特定の分類を全面的に遮断してきました。ここでは、彼らが実装した内容と、すべてのレジストリがこのように機能すべき理由について説明します。

Aikido x OWASP：個人会員向けに200クレジットを無料提供

Aikido とOWASP：会員限定で200クレジット無料

OWASPの個人会員は200を無料で利用できます Aikido クレジットを無料で受け取り、コード監査を実行できます。対象となる方と、2つのステップでクレジットを受け取る方法をご紹介します。

OWASPの個人会員は200を無料で利用できます Aikido クレジットを無料で受け取り、コード監査を実行できます。2つのステップで受け取る方法は以下の通りです。

Aikido

141個のMastra npmパッケージが、インストール時にペイロードを密かにダウンロードして実行する悪意のある依存関係を注入するサプライチェーン攻撃により侵害されました。

複数のJetBrains IDEプラグインがAIキーの盗用で発覚

7つのベンダーアカウントの下で公開されている、少なくとも15個のJetBrains IDEプラグインによる組織的な攻撃により、ユーザーが設定画面に貼り付けたAIプロバイダーAPI 盗み出される。

『フル・ファサム・ファイブ』：Anthropic社によるMythosクラスの一般公開の背景

『Full Fathom Five』：AnthropicによるMythosクラスの一般公開が意味するもの

IDORやビジネスロジックの欠陥を見つけるのに、Mythosなど必要なかった。AnthropicがFable 5で提供した機能と、情報セキュリティが本質的に「人的要因」の問題であり続ける理由について考察する。

5つのSocket代替セキュリティソリューションとその優位性

5つのソケットセキュリティの代替手段とその優位性

Socketはマルウェア検出でその名を知られるようになりました。しかし、もはや検出速度だけでは不十分です。その理由をご説明します Aikido と他の4つの代替ソリューションが、サプライチェーンセキュリティ、到達可能性分析、ライセンスなどにおいてどのように比較されるかをご紹介します。

npm v12は、ここ数年で最大級のセキュリティ強化を実現しました

npm v12では、インストールスクリプトがデフォルトでオプトイン方式となり、NxからRed Hatに至る1年にわたるnpmサプライチェーンの脆弱性問題を受けて、インストール時の実行経路が遮断されるようになった。

Aikido x Docker：ノイズを減らし、有益な情報を増やす

Aikido VEXを使用したDocker Hardened Imagesに対応

Aikido Aikidoは、VEXが組み込まれたDocker Hardened Imagesに対応しました。これにより、チームノイズ低減しノイズ実際に注意が必要なコンテナの脆弱性に集中できるようになります。

Dockerの強化済みイメージをスキャンする Aikido でDockerの強化済みイメージをスキャンし、悪用不可能なCVEに対して自動VEXフィルタリングを実行します。

至る所でコードが書かれているが、唯一変わらないのはデバイスだけだ

コードは至る所に存在し、唯一不変なのはデバイスだけだ | Aikido セキュリティ

開発者はあらゆる場所でコーディングを行っています。AIエージェント、Slackボット、MCPサーバーの普及により、開発者の端末は最大のセキュリティ上の死角となっています。

2026年のSBOM：誰もが作成しているが、誰も活用していない

2026年のSBOM：誰もが作成しているが、誰も活用していない | Aikido セキュリティ

ENISAの2026年SBOM 報告書は、334の組織を対象としており、SBOMの作成と実際の活用との間に一貫したギャップが存在することが明らかになりました。以下に、特に注目すべき点をまとめます。

改ざんされたRustのcrate「onering」がコードの流出を引き起こす

crates.io で公開されている、脆弱性が確認された onering Rust クレート v1.4.1 には、ビルドを行うたびに最新のコミットの差分データをホストされた Sentry エンドポイントへ送信する悪意のある build.rs が同梱されていました。

脆弱性存在する10年もの間放置されていた重大な脆弱性、数千のフォーラムにまたがる数千万人のユーザーに影響を及ぼしている

phpBBの重大な脆弱性：認証バイパスおよびリモートコード実行（2014年以降）

Aikido セキュリティ研究者らが、phpBBに存在する重大な認証不要の認証バイパス脆弱性を発見しました。この脆弱性は数千万人のユーザーに影響を及ぼしており、たった1回のHTTPリクエストだけで任意のアカウントを乗っ取ることが可能です。脆弱性 2014年からコードベースに存在脆弱性。

ちょっと待って、binding.gypって一体何ができるの？ npmで最も奇妙なビルドシステムを探る

binding.gypについて深く掘り下げてみましょう。これは見過ごされがちなnpmビルドファイルですが、シェル展開、サンドボックス脱出、コンパイラの乗っ取りを通じて、インストール時に悪意のあるコードを実行する可能性があります。

AISAST SAST としてSAST 、その定義は不明確です。本稿では、AIネイティブSAST AI支援SASTの違いを明らかにするとともに、SAST AIペネトレーションテストの間にSAST AISAST について解説します。

AISAST何ですか？

2026年のTenable Nessus代替ツールトップ5

2026年版：Tenable Nessusの代替ツールトップ5 | Aikido セキュリティ

Tenable Nessus は強力なスキャナーですが、誰も使わない強力なツールでは、ソフトウェアのセキュリティは向上しません。エンジニアリングチームの実際の業務スタイルに合わせて設計された 5 つの代替ツールを比較してみましょう。

Tenable Nessusは強力なインフラストラクチャスキャナーですが、開発者のワークフローと切り離されたままの強力なツールは、結局誰も使わなくなってしまいます。本ガイドでは、開発者のワークフローへの適合性、アプリケーションセキュリティのカバー範囲、コスト、および修正作業の体験という観点から、5つの代替ツールを比較します。

EDRやプロキシでは、サプライチェーンマルウェアから身を守れない理由

EDRやプロキシは、サプライチェーンマルウェアに対処するために設計されたものではありません。npm installを通じて悪意のあるコードが侵入した場合、それは通常の動作のように見えます。これが重要な理由を以下に説明します。

ミトス、どいてくれ。さあ、登場するのは……まあ、ハーネスがしっかりした他のモデルならどれでも

ミトス、どいてくれ。優れたハーネスを備えたモデルなら、どんなモデルでもやってくる。

Mythosはエクスプロイト構築において確かな強みを持っています。しかし、アプリケーションセキュリティの業務の大部分においては、どのモデルを選ぶかよりも、そのモデルをどのように活用するかがより重要です。

Red Hatのnpmパッケージが侵害され、認証情報を盗むワームが拡散

@redhat-cloud-services の公式 npm パッケージが複数、オープンソース化されたマルウェア「Mini Shai-Hulud」を起源とする認証情報窃取型ワームに感染しました。このワームは、クラウドの認証情報や、CI/CD にわたる開発者向けツールを標的としています。

「Code Audit」のご紹介：ソースコードに潜む複雑な脆弱性を発見

SAST パターンをSAST 。コード監査は、攻撃者の視点に立ってコードを分析し、リリース後に初めて明らかになるロジックの欠陥を見つけ出します。

エージェント型モデルは、人間の攻撃者よりも迅速に、ソースコード全体にわたる論理的欠陥を発見し、それらを連鎖的に特定できるようになりました。「Code Audit」は、SAST ペネトレーションテストの中間に位置し、静的コードを分析して推論を行い、リリース前に多段階の脆弱性を洗い出します。

MDMでは開発者のマシン上で保護できないもの（およびその対処法）

MDMでは開発者のマシン上で保護できないもの

JamfやKandjiといったMDMツールは不可欠ですが、npmのインストールやIDEの拡張機能、AIコーディングツールなどは管理対象外です。ここでは、開発者のマシン上で実際に保護されていない部分と、その対策について解説します。

多くのセキュリティチームではMDMを導入しています。しかし、npmによるインストール、VS Codeの拡張機能、AIコーディングツールなどは、MDMの管理範囲外で行われているのが問題です。ここでは、実際に保護されていない部分と、その対策について解説します。

2026年のシークレット向けGitGuardianの主要な代替ツール

2026年のシークレットークレットスキャン向けGitGuardianの主要な代替ツールを比較。詳細はこちら Aikido Security、GitHub Secret Protection、TruffleHog、Gitleaks、Semgrep、Snyk、Cycode、Checkmarx、GitLabがどの用途に最適かを確認しましょう。

2026年のシークレットスキャン向けGitGuardianの主要な代替ツールを比較シークレット。以下を含みます Aikido Security、Betterleaks、GitHub Secret Protection、TruffleHog、Semgrep、Snyk、Checkmarx One、GitLab Secret Detection。

一見正当なコードックス・リモートUIが、密かにAIトークンを盗み出している

洗練されたCodexのリモートUIであるnpmパッケージ「codexui-android」は、現在も活発に開発が進められており、毎週数千人のユーザーが利用しています。しかし、この1か月間、同パッケージはOpenAIの認証トークンを密かに盗み出していました。

Aikido 対XBOW：独立したベンチマークで58％多くの脆弱性が発見された

Aikido Doyensecによる独立系ベンチマークでAikidoとXBOWを比較。 Aikido は、同価格帯で58%多くの脆弱性を検出しました。セットアップ時間、誤検知率、および完全な結果をご覧ください

当社はDoyensec社に、以下の項目について、ブラインド方式による独立したベンチマーク調査の実施を依頼しました Aikido とXBOWについて、同じアプリで、同じ価格帯でのブラインドかつ独立したベンチマーク調査を依頼しました。 Aikido は、検証済みの脆弱性を58%多く発見し、セットアップ、速度、安定性の面でも優れていました。

なぜ開発者のマシンが、今やサプライチェーン攻撃の最大の標的となっているのか

開発者向けマシンがサプライチェーン攻撃の最大の標的となる理由 | Aikido

Omnea、Cognism、Glasswall、Raisin、および英国の公共部門の各チームが、EDRやMDMでは開発者のマシン上で実際に何が起きているのかが把握できない理由を明らかにする。

Omnea、Cognism、Glasswall、そして英国の公共部門のエンジニアリングおよびセキュリティチームは、それぞれ独立して同じ盲点を指摘しました。各組織は、この問題に対して次のような対策を講じています。

認証情報窃取型マルウェアを用いたサプライチェーン攻撃が、Laravel-Langパッケージを標的としている

Gitleaksの代替サービス5選とその優れている点

2026年にGitleaksに代わる、より優れたシークレットツール5選

Gitleaksの代替ツールを探していますか？Betterleaks、TruffleHog、 Aikido、GitHub Advanced Security、Spectralを比較し、チームに最適なシークレットを見つけられるようお手伝いします。

Gitleaksは現在、開発が休止しており、シークレット分野は急速に進化しています。ここでは、BetterleaksやTruffleHogなど、2026年時点で最も有力な5つの代替ツールを比較します。 Aikido、GitHub Advanced Security、Spectralの5つの有力な代替ツールを比較し、皆様の環境に最適なツールを見つけられるよう支援します。

VS Code拡張機能の「無法地帯」と、悪意のある拡張機能がGitHubのセキュリティを侵害した経緯

昨日、GitHubに悪意のあるVS Code拡張機能が侵入した。これは、Visual Studio Marketplaceで「Nx Console」（インストール数220万件）が18分間にわたり侵害され、自動更新を有効にしているすべてのユーザーに影響が及んだ翌日の出来事である。

悪意のあるVS Code拡張機能によるGitHubへの侵入：開発者の端末こそが真の標的である理由

VS Code拡張機能を通じてGitHubが侵害される | 開発者向けサプライチェーン攻撃 2026

GitHubは、悪意のあるVS Code拡張機能によって従業員の端末が侵害され、3,800件の社内リポジトリが流出していたことを確認した。なぜ開発者のワークステーションが、今やサプライチェーン攻撃の最大の標的となっているのか。

PyPi上のMicrosoft製durabletaskパッケージが侵害された。Mini Shai Huludがまたもや攻撃を仕掛けてきた……またもや！

ミニ・シャイ・フルードが再び襲来：npmワームが@antvのパッケージ数百個を侵害

「ミニ・シャイ・フルード」が再び襲来：npmワームが@antvのパッケージ数百個を侵害

「Mini Shai-Hulud」というnpmワームが、Alibabaの@antvパッケージ、echarts-for-react、およびtimeago.jsを攻撃しました。CI/CD シークレット盗み出し、VS CodeやClaude Codeにバックドアを仕込み、侵害されたパッケージを再公開することで拡散します。ここでは、何が起きたのか、そしてチームを守る方法について解説します。

「Mini Shai-Hulud」というnpmワームが、過去最大規模の感染拡大を見せ、アリババのデータ可視化エコシステム全体で数百ものパッケージを侵害しています。このワームの拡散が続く中、当社のマルウェア対策チームは、盗まれたトークンを使用して作成された2,700件以上の不正なGitHubリポジトリを追跡しています。

ペンテストレッドチーム活動ペンテストどちらが必要か迷っていませんか？このガイドでは、両者の主な違い、それぞれの活用シーン、そしてAIがこれらにどのような変化をもたらしているかを解説します。

ペネトレーションテスト：その違いとは？

ペネトレーションテストレッドチーム活動ペネトレーションテストどちらもセキュリティの耐性を試す手法ですが、同じものではありません。この記事では、それぞれの仕組み、どちらをいつ活用すべきか、そしてAIを活用したペネトレーションテストがどのように状況を変えつつあるかについて解説します。

GoogleAPI 、削除した後も引き続き機能します

GoogleAPI 、削除した後も悪用されるほど長い間有効なままになる

GoogleAPI 削除しても、即座に無効化されるわけではありません。当社のテストでは、削除後最大 23 分経過しても認証が成功することが確認されており、Google はこの問題を修正する意向を示していません。

GoogleAPI 削除しても、即座に無効化されるわけではありません。当社のテストでは、削除後最大23分間も認証が成功することが確認されましたが、Googleはこの問題を修正することを拒否しました。

「シャドウAI」は恐怖反応であり、それを禁止すれば事態はさらに悪化する

なぜAIの影のリスクは「恐怖」から始まるのか（そして禁止は事態を悪化させる）

従業員が未承認のAIツールを使って問題を起こそうとしているわけではありません。彼らは取り残されることを恐れているのです。ここでは、シャドーAIを禁止することがなぜセキュリティリスクを高めるのか、そしてその代わりに何をすべきかについて解説します。

「シャドウAI」とは、恐怖から生じる反応です。従業員が使用しているツールを隠しているのは、AIスキルが求められる雇用市場の動向を的確に読み取っているからです。禁止措置が事態を悪化させる理由と、その代わりに取るべき対策について解説します。

ミニ・シャイ・フルードが帰ってきた：npm WormがMistralやTanstackを含む160以上のパッケージを検出

「Mini Shai-Hulud」が再び現れ、TanStack、UiPath、Squawkなどの169のnpmパッケージを悪用して、開発者やCI/CD シークレット盗み出し、信頼された公開ワークフローを通じて拡散しています。

GitHub Actions セキュリティチェックリスト（完全版）

GitHub Actions のセキュリティチェックリスト

2025年および2026年に発生した大規模なサプライチェーン攻撃の背景には、GitHub Actionsの設定ミスが存在していました。ここでは、何が問題だったのか、そして自組織で同様の事態を防ぐ方法について解説します。

2025年と2026年に発生した大規模なサプライチェーン攻撃の背景には、GitHub Actionsの設定ミスが存在していました。ここでは、こうした攻撃から身を守るための実践的なチェックリストをご紹介します。

2026年のWebアプリケーションセキュリティにおける主要なOWASPスキャナー

2026年版：Webアプリケーションセキュリティに最適なOWASPスキャナー

多くのスキャナーは、OWASP Top 10の全項目を網羅していません。そこで、2026年の主要なOWASPスキャナーを徹底比較し、実際に必要なセキュリティ対策を確実にカバーできる製品を選べるようにしました。

ほとんどのOWASPスキャナーは、トップ10のすべてを網羅しているわけではありません。このガイドでは、2026年の主要なツール、各ツールが実際にカバーしている範囲、そしてノイズ排除しつつ完全なカバレッジを実現するスキャナーについて解説します。

5,000人以上のエンジニアが在籍する組織における開発者向けセキュリティの導入

大規模環境における開発者のセキュリティ：CISOのための導入ガイド

開発者向けのセキュリティ施策の導入が失敗に終わるケースの多くは、それが文化の変革ではなく、単なるソフトウェアの導入のように設計されているためです。企業のCISO向け実践ガイド。

開発者向けのセキュリティ施策の導入が失敗に終わるケースの多くは、文化の変革ではなく、単なるソフトウェアの導入のように設計されているためです。ここでは、この問題を解決するために経験豊富なCISOたちが採用している段階的なモデルを紹介します。

セキュリティの変容：自律型AI攻撃に対応したMythos対応アーキテクチャのチェックリスト

現代の複雑さの中で、アプリケーションセキュリティは行き詰まっている。プロジェクト・グラスウィングやミトス時代においては、直面する脅威と同じスピードで対応できるセキュリティ体制が求められている。

ブラウザ拡張機能がなぜ重大なセキュリティリスクとなるのか、そしてその対策とは

ブラウザ拡張機能には、私たちが認めたくないほど多くのセキュリティリスクが潜んでいます。本記事では、その脅威の全容と、個人および組織がどのような対策を講じられるかについて解説します。

2026年に既知の脆弱性を特定するための主要なCVEスキャナー

2026年の主要なCVEスキャナー：検出範囲、インテリジェンス、自動修正機能で比較

2026年の主要なCVEスキャナーについて、カバレッジの広さ、情報源、ノイズ、および自動修正機能を評価しました。各製品の比較結果と、お客様のシステム環境に最適な製品をご紹介します。

CVEスキャナーは、すべて同じように作られているわけではありません。2026年の主要な製品について、カバレッジの広さ、情報源、ノイズ、自動修正機能の観点から比較しました。これにより、お客様のシステム環境に最適な製品をお選びいただけます。

Mythosへの移行に向けた実用的なCTO向けセキュリティチェックリスト

Mythos対応チェックリスト

「Mythos」や自律型AIによる脅威が横行する世界において、SaaS企業のCTOが実践すべきチェックリスト。防御側の強み――つまり、攻撃者が入手するのに手間がかかる「文脈」を自チームがすでに把握しているという利点――を軸に構成されています。他者に先駆けて問題を特定し、修正できるかどうかを左右する、セキュリティ対策、実践手法、および運用上の習慣について解説します。

ある人物が、ユーザーの.envファイルを盗むために、27分間で偽の「tanstack」パッケージを4つのバージョン公開した

27分間でアップロードされた偽の「tanstack」パッケージの4つの公開バージョンが、ユーザーの.envファイルを盗み出そうとしている

本日、偽の「tanstack」npmパッケージが27分間で4つの悪意あるバージョンを公開し、postinstallフックを介して.envファイルを盗み出しました。ここでは、何が起きたのか、誰が影響を受けたのか、そして認証情報を更新する方法について解説します。

Aikido AWS Kiroとの統合：レビューでのキャッチ処理はもはやスケーラブルではない

Aikido x Kiro | レビューでのキャッチはもはやスケーリングしない

AIエージェントがコードを記述します。 Aikido は、AWS Kiroのエージェント型ワークフローに直接統合され、最初の1行から自動的にセキュリティを考慮した開発を実現します。 Aikido は、KiroにおけるAWS初のグローバルセキュリティパートナーです。

Mini Shai-Hulud、パンを装った秘密情報窃取ツールでSAPのnpmパッケージを標的に

侵害されたSAPのnpmパッケージは、Bunをベースとしたプレインストールペイロードを使用してGitHub、npm、クラウド、およびCIシークレット盗み出し、その後「OhNoWhatsGoingOnWithGitHub」を利用してGitHub経由で拡散します。

ブラウザ拡張機能をサプライチェーン攻撃の経路として扱うべき時が来た

ブラウザ拡張機能をサプライチェーン攻撃の経路として扱うべき時が来た | Vercelの侵害事件から得られた教訓

Vercelでのセキュリティ侵害は、セキュリティ業界ではよく知られたパターンに沿ったものでした。つまり、サードパーティのコードが暗黙のうちに信頼され、その後、上流で侵害されるというものです。私たちには、こうした事態に対処するためのフレームワークがあります。ただ、まだブラウザ拡張機能には適用していないだけです。（ネタバレ：私たちはソフトウェア依存関係これを行っています）

Shai-Huludが復活したのか？脆弱性が発見されたBitwarden CLIに、自己増殖型npmワームが含まれている

@bitwarden/cli v2026.4.0 に発見されたマルウェアは、SSH キー、シークレット、AI コーディングツールの認証情報を盗み出し、被害者自身の npm パッケージを通じて拡散します。その正体は、「Shai-Hulud: The Third Coming」と名乗るワームです。

npmとPyPIに存在するGPT-Proxyバックドアが、サーバーを中国のLLM中継サーバーに変えてしまう

新たに発見されたnpmおよびPyPIを標的としたマルウェアキャンペーンは、侵害されたサーバーに隠蔽されたLLMプロキシをインストールし、それらをLLMトラフィックのリレーノードとして利用している。

RoundcubeのXSSとCookieの書き換えを組み合わせることで、受信トレイへの完全なアクセス権を取得

Roundcubeのドラフト添付ファイルエンドポイントに、保存型XSSの脆弱性を発見しました。この脆弱性をクッキー投げ渡し（cookie tossing）の手法と組み合わせることで、攻撃者は被害者の受信トレイに完全なアクセス権を得ることができます。以下に、エクスプロイト仕組みと、その修正方法について説明します。

Roundcubeのドラフト添付ファイルエンドポイントに、保存型XSSの脆弱性を発見しました。この脆弱性をクッキー投げ渡し（cookie tossing）の手法と組み合わせることで、攻撃者は被害者の受信トレイに完全なアクセス権を得ることができます。ここでは、エクスプロイト仕組みと、その修正方法について説明します。

「デバイス保護」のご紹介：開発者向けデバイスのセキュリティ

Aikido デバイス保護：開発者向けデバイスのセキュリティ | Aikido

サプライチェーン攻撃は開発者の端末を標的としている。 Aikido Device Protectionは、npm、PyPI、VS Code拡張機能、ブラウザ拡張機能、AIツールにおけるすべてのインストールを監視します。

Mailcow に複数のクロスサイトスクリプティング（XSS）の脆弱性が確認されました

Mailcowに複数のXSS脆弱性が発見され、認証不要のアカウント乗っ取りも含まれる

Aikidoのペンテスト、Mailcowに3つのXSS脆弱性を発見しました。そのうち1つは、認証されていない攻撃者が管理者アカウントを乗っ取ることを可能にするものでした。すべての問題はバージョン2026-03bで修正されています。

AikidoのAIペネトレーションテストエージェントは、広く利用されているセルフホスト型メールサーバー「Mailcow」に3つのXSS脆弱性を発見しました。最も深刻な脆弱性では、認証されていない攻撃者がAutodiscoverログにペイロードを注入することが可能であり、管理者がそのログを表示した際に実行され、アカウントの完全な乗っ取りを可能にしていました。これら3つの脆弱性はすべて、バージョン2026-03b以降で修正されています。

NIST NVDの予算削減が進む時代における信頼できるCVE情報源

NIST NVDの2026年変更点：セキュリティ担当者が知っておくべきこと

NISTは、ほとんどのCVEの詳細情報を更新しなくなります。変更点、影響を受ける機能、そして今後の見通しについて解説します。

Opengrepの1年：これまでの成果と今後の展望

OpengrepSAST 年：より高速で確定的な静的解析

Semgrepのフォークから1年が経ち、Opengrepは処理速度が向上し、より詳細なテイント解析に対応するようになったほか、一貫性があり再現性のある結果を出力できるようになりました。

Semgrepをフォークしてから1年が経ち、Opengrepはより高速で、より高性能になり、完全にオープンソース化されました。ここでは、私たちが構築したものと今後の展望についてご紹介します。

Axios CVE-2026-40175：重大なバグだが……悪用は不可能

AxiosのCVE-2026-40175は「重大」と評価されていますが、実際のNode.js環境では実質的に悪用されることはありません。その理由は以下の通りです。

バグ報奨金制度は終わっていないが、従来のモデルは崩壊しつつある

AIがプログラムを圧倒する中、バグ報奨金制度は限界に直面しており、より持続可能で品質重視のセキュリティモデルへの移行が迫られている。

技術

GlassWormがネイティブ化：新しいZigドロッパーがマシン上のすべてのIDEに感染する

GlassWormは、偽の拡張機能に隠されたZigベースのネイティブ・ドロッパーを展開し、VS Code、Cursor、VSCodium、その他のIDEを気付かれずに侵害します。

Aikido Attack、Hoppscotchに複数のゼロデイ脆弱性を発見

Aikido 攻撃により、Hoppscotchにゼロデイ脆弱性が発見される

AikidoAikidoのAIペネトレーションテストエージェントは、Hoppscotchにアカウント乗っ取り、保存型XSS、アクセス制御の欠陥など、複数の重大な脆弱性を発見しました。これらの問題はすべて修正済みです。

Aikido Attackは、Hoppscotchに3つの高深刻度の脆弱性を特定しました。具体的には、アカウント乗っ取りにつながるオープンリダイレクト、保存型XSS、およびチーム間リクエストインジェクションを可能にするアクセス制御の不備です。

Mythosをめぐるサイバーセキュリティに関する悲観論は、現場で実際に見られる状況とは一致しない

「アンソロピック・ミトス」がもたらすサイバーセキュリティリスク：1,000件のAIペネトレーションテストが実際に明らかにしたこと

Anthropic社の「Mythos」モデルの流出により、AIを活用したサイバー攻撃への懸念が高まっている。我々は1,000件のAIによる侵入テストを実施した。その結果、この脅威はメディアの見出しが伝えるよりも複雑であることが示唆された。

npm上のaxiosが侵害される：メンテナンス担当者のアカウントが乗っ取られ、RATが展開された

悪意のあるaxiosのバージョン1.14.1および0.30.4が、乗っ取られたメンテナンス担当者のアカウントを通じて公開されました。隠された依存関係により、クロスプラットフォーム型のRATが展開されます。影響を受けているかどうかを確認し、直ちに対処してください。

Axiosが侵害されました。メインメンテナンス担当者のアカウントが乗っ取られた後、悪意のあるAxiosバージョン1.14.1および0.30.4がnpmに公開されました。この悪意のある依存関係は、実行後に自己破壊するクロスプラットフォーム型RATを展開します。

PyPI上でTeamPCPにより人気のtelnyxパッケージが侵害

大手AI企業が利用しているPyPI上の人気パッケージ「telnyx」が、TeamPCPによって侵害された

Aikido × Lovable：雰囲気、修正、カップリング

Lovableは Aikido と提携し、Vibe-Codedアプリへのペネトレーションテストを実現

愛らしくて Aikido がペネトレーションテスト機能をプラットフォームに導入し、開発者が実環境での攻撃をシミュレートし、リリース前に問題を修正できるようにします。

Aikido Lovableにペネトレーションテスト機能を直接統合しました。実際の攻撃をシミュレートしてアプリをテストし、リリース前に問題を修正しましょう。

CanisterWormが牙をむく：TeamPCPのKubernetes向けワイパーがイランを標的に

TeamPCPは、Trivyが侵害されたことを受け、NPMにCanisterWormを展開した

Aikido フロスト＆サリバンより、ASPMにおける「2026年カスタマーバリュー・リーダーシップ賞」を受賞

フロスト＆サリバンが認定 Aikido ASPM「2026年カスタマー・バリュー・リーダーシップ賞」に選出しました。本賞の選考基準から読み取れる、AppSec市場の成熟度について詳しく解説します

ありがとうございました！あなたの投稿は受理されました！

あれ！フォームの送信中に何か問題が発生しました。

2023年8月10日

•

ガイドラインと推奨事例

Aikidoの2025年SaaS CTOセキュリティ・チェックリスト

SaaS企業はセキュリティに関して大きな標的となっています。Aikidoの2024年SaaS CTOセキュリティチェックリストは、セキュリティを強化するための40以上の項目を提供します 💪 今すぐダウンロードして、貴社とコードのセキュリティを10倍向上させましょう。 #cybersecurity #SaaSCTO #securitychecklist

タグ/

#AppSec

2023年8月10日

•

ガイドラインと推奨事例

Aikidoの2024年SaaS CTOセキュリティ・チェックリスト

タグ/

#AppSec

2023年7月25日

•

ガイドラインと推奨事例

CTOが明かすクラウドとコードセキュリティの15の最重要課題

CTOは皆、製品のセキュリティ確保において課題に直面しています。私たちはSaaS CTOのトレンドを把握し、ニーズと懸念事項を明らかにしたいと考えました。クラウドネイティブソフトウェア企業のCTO15名に、クラウドとコードのセキュリティに関する課題についてヒアリングを行いました。優先事項、阻害要因、欠陥、望ましい結果！

タグ/

#AppSec

#クラウド

2023年7月12日

•

脆弱性と脅威

OWASPトップ10とは？

OWASP Top 10は、最も重大なWebアプリケーションセキュリティリスクを特定し、開発者がこれらの脆弱性を軽減するための指針となる重要なチェックリストです。OWASP Top 10を遵守することで、機密データを保護するだけでなく、セキュリティ意識の文化を育み、新たな脅威に直面してもアプリケーションが回復力を維持できるようにします。

タグ/

#OWASP

#脆弱性

2023年7月11日

•

ガイドラインと推奨事例

SaaSアプリの安全な管理画面を構築する方法

SaaS管理パネル構築時によくある間違いを回避しましょう。SaaS開発者の皆様のために、具体的な落とし穴と潜在的な解決策をいくつかご紹介します。

タグ/

アイテムが見つかりませんでした。

2023年7月5日

•

ガイド

ISO 27001:2022に備えるには

ISO 27001:2022 は ISO 27001:2013 に取って代わります。Aikido は、新しいセキュリティ管理に迅速に準拠できるよう支援し、お客様と顧客が安心して夜を過ごせるようにします。このブログ記事では、新しい要件と Aikido がどのようにサポートするかを詳しく説明します。

タグ/

アイテムが見つかりませんでした。

2023年6月19日

•

ガイド

CI/CDプラットフォームがハッキングされるのを防ぐ

CI/CD はハッカーにとって主要な標的であるため、被害を防ぐための対策を講じましょう。Aikido Security は、クラウドが CI/CD を積極的に防御しているかどうかを特定します。

タグ/

#AWS

#Codeship

#クラウド

#CircleCI

2023年6月12日

•

ガイドラインと推奨事例

セキュリティー評価報告書でより早く取引を成立させる方法

タグ/

#AppSec

#DevSecOps

2023年6月5日

•

ガイド

技術的脆弱性管理の自動化 [SOC 2］

開発チームに重いワークロードを課すことなくコンプライアンスを遵守する方法

タグ/

アイテムが見つかりませんでした。

2023年6月1日

•

ガイドラインと推奨事例

リポジトリ内のプロトタイプ汚染を防ぐ

タグ/

#AppSec

2023年5月16日

•

ガイド

SaaSスタートアップのCTOは、開発スピードとセキュリティのバランスをどうとるか？

タグ/

アイテムが見つかりませんでした。

2023年4月10日

•

エンジニアリング

シンプルな電子メール送信フォームを通じて、ある新興企業のクラウドがどのようにハッキングされたのか？

メールを送信するシンプルなフォームによってスタートアップのクラウドが乗っ取られた経緯

タグ/

#AWS

#SSRF

#IMDSv1

#クラウド

#IMDSv2

2026年7月14日

•

製品および会社のお知らせ

方法 Aikido インテルがマルウェアや脆弱性をいち早く検知する

インテル

Aikido 機器の保護

SCA

2026年6月30日

•

製品および会社のお知らせ

Aikido Rootを買収し、サプライチェーンの確保を図る

コンテナイメージスキャン

2026年5月12日

•

製品および会社のお知らせ

Opengrepの1年：これまでの成果と今後の展望

SAST

オープンソース

2026年7月31日

•

脆弱性と脅威

Anthropicの『Fever Dream』：本物の鍵を盗んだクロードの荷物

AI安全性

マルウェア

2026年7月19日

•

脆弱性と脅威

SleeperGem：RubyGemsのサプライチェーン攻撃が、活動停止中のメンテナアカウントを標的にしている

マルウェア

2026年7月14日

•

脆弱性と脅威

GitHub Actionsを介してAsyncAPIのnpmパッケージにバックドアが仕込まれた

マルウェア

2026年6月12日

•

DevSecツールと製品比較

5つのソケットセキュリティの代替手段とその優位性

Aikido Zen

マルウェア

オープンソース

2025年8月19日

•

DevSecツールと製品比較

2026年のダイナミック・アプリケーション・セキュリティ・テスト（DAST）ツールトップ13

2026年に注目すべきダイナミック・アプリケーション・セキュリティ・テスト（DAST）ツールトップ13をご紹介します。機能、メリット、デメリット、連携機能を比較して、DAST を選びましょう。

ツール

DAST

2025年7月18日

•

DevSecツールと製品比較

2026年のコンテナスキャンツールトップ14

2026年版、おすすめのコンテナスキャンツール14選をご紹介します。機能、メリット、デメリット、連携機能などを比較し、DevSecOps 最適なソリューションを選びましょう。

ツール

コンテナイメージスキャン