みなさん、こんにちは。m（@the_art_of_nerd）です。 今回は私がWebサーバーをフォレンジック調査を担当した際に発見した、任意の拡張子からPHPを実行する方法について紹介します。 背景 Webサーバーが攻撃者によって侵害されたという事案で、フォレンジック調査を実施した際に発見したテクニックです。（正規の仕様を悪用） Webサーバーの侵害のため、WebShellの設置を疑い、まず拡張子ベースで不審なファイル（改ざん・作成）が存在しないか調査していたところ、いくつか不審なファイルは発見されましたが、どうしてもWebShellのような機能を有するファイルだけ見つかりませんでした。 そこで、拡張子で見ていく調査から各ディレクトリごとに気になるファイルが存在しないかの調査に切り替えたところ、1つだけ明らかにWebサーバーのコンテンツとして違和感のある"ファイル名"が付けられたCSSファ

サイバー攻撃を代行する海外のネットサービスを使って企業などのウェブサイトにサイバー攻撃を仕掛けたなどとして、中学生2人が書類送検や児童相談所への通告をされていたことが警察庁への取材で分かりました。世界各国ではこうしたネットサービスを利用した人が300人以上いることも分かり、警察庁などが注意を呼びかけています。 警察庁によりますと、ことし10月、サイバー攻撃を代行する「IPストレッサー」という海外のネットサービスを使って、国内の企業や自分が通っている学校に関係するウェブサイトにサイバー攻撃を仕掛けたとして国内に住む中学生が書類送検されたということです。 このサイバー攻撃は「DDoS攻撃」と呼ばれ、大量のアクセスをしてウェブサイトをダウンさせるもので、中学生は「YouTubeでDDoS攻撃の動画を見て、かっこいいと思った」などと供述していたということです。 また、別の中学生1人も、「IPストレ

米OpenAIとAI安全性の研究組織である米Apollo Researchは12月5日（現地時間）、OpenAIが同日公式版をリリースしたLLMの「o1」についての考察を発表した。いずれも、o1に関して幾つかの懸念事項を指摘している。 o1は、OpenAIが9月に発表したLLM。回答を生成する前に思考の連鎖を生み出すことで、複雑な推論タスクを実行できるというものだ。さまざまな戦略を試したり、間違いを認識したり、思考プロセスを洗練したりすることで、従来のモデルと比較して、より有用な回答を提供できるようになったとOpenAIは説明している。 だがApollo Researchは、o1が「scheming」（策略。開発者やユーザーの意図と異なる目的を密かに追求する能力）について評価したところ、o1が以下のような行動を示すことが明らかになったとしている。 開発者やユーザーではなく、o1自身の目標に

AI開発を行うスタートアップとして知られるAnthropicが、エネルギー省・国家核安全保障局(NNSA)の原子力専門家と協力して、AI「Claude」が兵器製造の支援を行わないように安全性調査を行っていることがわかりました。 Anthropic, feds test whether Claude AI will share sensitive nuclear info https://www.axios.com/2024/11/14/anthropic-claude-nuclear-information-safety AI Nuclear Risk Potential: Anthropic Teams Up with U.S. Energy Department For Red-Teaming - WinBuzzer https://winbuzzer.com/2024/11/14/a

大規模言語モデル(LLM)のセキュリティを研究するスタートアップ・Lakeraのエンジニアであるダニエル・ティンブレル氏が、画像認識も可能なチャットボットAIに対する「ビジュアルプロンプトインジェクション」攻撃について解説しています。 The Beginner's Guide to Visual Prompt Injections: Invisibility Cloaks, Cannibalistic Adverts, and Robot Women | Lakera – Protecting AI teams that disrupt the world. https://www.lakera.ai/blog/visual-prompt-injections プロンプトインジェクションとは、大規模言語モデル(LLM)の脆弱性を突く攻撃手法の一つ。具体的には、巧妙に作られたプロンプトを使っ

スポットワークと呼ばれる単発の仕事を仲介するサービスが、特殊詐欺や強盗の実行犯となる「闇バイト」の募集に悪用される懸念が強まっている。政府は仲介事業者に業務内容などを求人公開前に審査するよう繰り返し求めているが、900万人超の登録者を抱える最大手タイミーは今も審査を求人公開後に後回ししている。【関連記事】「夜道で猫を探すバイト。地図上で印をつけるだけ」「なるべく地味めな格好で。携帯電話や荷物は

上海のAI企業「INF Technology」やオープンソースのAI研究コミュニティ「M-A-P」などに在籍する研究者のチームにより、最終モデルだけでなくトレーニングデータやデータ処理パイプラインなど、モデルを再現するのに必要な情報全てがオープンな大規模言語モデル「OpenCoder」が公開されました。 OpenCoder: Top-Tier Open Code Large Language Models https://opencoder-llm.github.io/ 大規模言語モデルについて「オープンなモデル」と言う場合、どの程度オープンなのかについてはさまざまです。モデルのアーキテクチャが公開されていて誰でも独自のデータで大規模言語モデルをトレーニングできる場合を「オープンソース」、トレーニング済みのモデルが公開されていて誰でも自分のローカルPCで実行できる場合を「オープンウェイト」

OpenAIで主任安全研究者を務めているリリアン・ウェン氏が、2024年11月9日に同社を退職することを報告しています。同氏は2024年8月からOpenAIの研究および安全担当のヴァイスプレジデントを務めており、それ以前は安全システムチームの責任者を務めていました。 OpenAI loses another lead safety researcher, Lilian Weng | TechCrunch https://techcrunch.com/2024/11/08/openai-loses-another-lead-safety-researcher-lilian-weng/ ウェン氏は自身のX(旧Twitter)アカウントを更新し、「OpenAIで約7年間働いた後、退職することにしました。多くのことを学び、リセットして何か新しいことに挑戦する準備ができています」と述べ、OpenAI

アメリカ大統領選挙の投開票を2024年11月5日に控えた2024年10月23日に、Microsoft脅威分析センター(MTAC)が「アメリカの民主的プロセスの弱体化を目的としたロシア・イラン・中国による工作活動が活発化している」との調査結果を報告しました。 As the U.S. election nears, Russia, Iran and China step up influence efforts - Microsoft On the Issues https://blogs.microsoft.com/on-the-issues/2024/10/23/as-the-u-s-election-nears-russia-iran-and-china-step-up-influence-efforts/ Iranian hacker group aims at US election

合格率も高く，ITSSのスキルレベルもITパスポート同等のものであるため，比較的とっつきやすい試験だと感じております． なぜ受けるべきか 「知識をつけたいなら参考書を読むだけで十分」「資格試験は取るだけでは実務に活かせる部分が少なく意味がない」等々，色々な意見があるのは重々承知していますし，どれも間違いではないと思います． ですが，「学習を進め，知識の習得率を測るために試験合格をゴールとする」ことは大変有意義なことだと私個人は思います．その理由を以下に2点述べたいと思います． セキュリティの体系的な知識は知ろうとしないと身につかない まず大前提ですが，受け身で学習していても部分的な知識しか身につきません． 受け身でいる場合，ニュースで見るようなセキュリティ事故やSNSで閲覧する表層的な知識くらい得ることができません．情報収集がしやすい反面，体系的に学ぶことができないのが欠点です． これは，

2024年10月12日付けで発表されたWordPress公式ニュースによると、Advanced Custom FieldsがSecure Custom Fieldsに変更となった。所有者がWordPress.orgとなっているが、これは単純なフォークではなく、スラッグがそのままなので、既存のACFユーザーがWordPress管理画面からアップデートした場合、今後はこのSCFが使われることになる。 こうしたハイジャックと呼んでもよい手法について、WordPress公式ニュース（書いたのはマット・マレンウェグだが）は以下のように説明している。 WordPress セキュリティチームを代表して、プラグインディレクトリのガイドライン第18項を適用し、「Advanced Custom Fields (ACF)」をフォークして新しいプラグイン「Secure Custom Fields (SCF)」を公

アメリカ大統領選挙の投票日が近づく中、アメリカ政府は、ロシアやイランなどが、生成AIでつくった偽情報を拡散し、選挙に影響を与えようという情報工作を活発化させているとする分析結果を公表しました。 これはアメリカの情報機関を統括する国家情報長官室が23日、発表したものです。 それによりますと、ロシアやイランなどの勢力が生成AIで偽情報をつくりだし、さまざまな手法で拡散させることで、大統領選挙に影響を与えようとする情報工作を活発化させているということです。 このうちロシアの勢力は、選挙に関係した偽のテキスト、画像、音声それに動画を最も多くつくっていて、トランプ前大統領を後押ししようとしたり、移民問題といったテーマで対立を強調したりしているということです。 一例として、「ハリス副大統領が過去に起こしたとするひき逃げ事故の被害者」として拡散された偽の動画に、ロシア側が関与していたと見ています。 また

2014年から先端テクノロジーの研究を論文単位で記事にして紹介しているWebメディアのSeamless（シームレス）を運営し、執筆しています。 1週間の気になる生成AI技術・研究をピックアップして解説する連載「生成AIウィークリー」から、特に興味深い技術や研究にスポットライトを当てる生成AIクローズアップ。 今回は、「私はロボットではありません」でお馴染みのGoogleが開発する「CAPTCHA」（コンピュータと人間を区別するための完全に自動化された公開チューリングテスト）を突破するAIシステムを提案した論文「Breaking reCAPTCHAv2」に注目します。 ▲CAPTCHAを突破するAIシステム CAPTCHAは、ウェブサイトのセキュリティを向上させるために広く使用されている技術です。この研究は、そのシステムの効果を詳細に検証し、AI技術を用いてどの程度突破できるかを明らかにしま

映画やディズニーリゾートの運営を手がけるウォルト・ディズニー・カンパニー(ディズニー)が、社内でSlackの使用を禁止したことが明らかとなりました。ディズニーは2024年7月に、社内で利用していたSlackチャンネルがハッキングされ、大量のデータが流出したと報じられていました。 Disney to Stop Using Slack Following Hack That Exposed Company Data - WSJ https://www.wsj.com/business/disney-to-stop-using-slack-following-hack-that-exposed-company-data-c5311caf Disney to ditch Slack following July data breach – NBC New York https://www.nbcn

Lumen Technologiesは9月18日(米国時間)、「Derailing the Raptor Train - Lumen」において、中国の国家支援を受けているとみられる脅威グループ「Flax Typhoon」が4年以上かけて構築した多層ボットネット「Raptor Train」を発見したと報じた。ボットネットの分析、キャンペーンの詳細など脅威グループの活動レポートは「(PDF) Derailing the Raptor Train Black Lotus Labs - LUMEN」から閲覧できる。 Derailing the Raptor Train - Lumen 多層ボットネット「Raptor Train」の概要 レポートによると、発見された多層ボットネット「Raptor Train」は複雑な多層ネットワークで構成されているという。具体的には、上流の管理ノード(Tier3)、

ことし2月、中国のサイバーセキュリティー企業の“内部文書”がネット上に流出した。 詳しい実態が分かっていない中国のサイバー空間での「暗躍」を明らかにできるのではないか。 NHKは世界7つの国と地域の専門家と文書を徹底分析した。 文書に含まれていたのは、SNSで世論をコントロールするシステム。取材を進めると、中国による「世論操作」の一端が見えてきた。 （NHKスペシャル取材班 福田陽平 新里昌士 高野浩司 杉田沙智代）

横断歩道の白線の間隔は、これまで45センチから50センチと定められていましたが、塗り直しにかかるコスト削減などを目的に、間隔を90センチまで広げることを可能にする制度改正が、ことし7月に行われました。 しかし「目の不自由な人たちが横断歩道を認識しづらくなる」という意見が事前に寄せられ、警察庁は一部の横断歩道に対象を絞って間隔の変更を進める方針です。 横断歩道は、車のタイヤとの摩擦などで塗料がすり減ることから、交通量の多い場所では2年から3年ごとに塗り直しが必要で、維持管理にかかるコストが課題になっています。 白線の間隔は、標識標示令で45センチから50センチと定められてきましたが、警察庁は塗り直しのコスト削減などを目的に、白線の間隔を90センチまで広げることを可能にする制度改正の方針を打ち出し、ことし6月にかけて意見を募集しました。 これに対し、目の不自由な人たちから「白線の間隔を広げると