KDDIとKDDI総合研究所は11月19日、新たなログイン認証技術「kCAPTCHA」（ケイキャプチャ）を開発したと発表した。既にauログイン認証に利用している。 絵合わせ画像を生成AIで生成することで、従来の「CAPTCHA」より視認性の高い認証画像を提示。検知プログラムも高度化し、従来の「CAPTCHA」製品では難しかった、生成AIを使った機械攻撃への対抗も可能にしたという。 従来の「CAPTCHA」では、サイバー攻撃への対策として、ロボットには解けないが人間に解ける問題を出す。「ゆがんだ文字を読み取る」「ある題材の描かれた画像を探す」などの問題が用いられるが、近年、AIを使った技術の進歩により機械の回答能力が向上しており、十分に不正なログインを防御できなくなっているという。 このため、認証時に出題する問題を複雑化し、機械では判別しにくい視認性の低い画像を表示するなどの対策が採られてい

警察庁は、世界各国の公共機関や企業にサイバー攻撃を繰り返す、『フォボス』というグループの42歳のロシア人運営者を、アメリカ司法省が、日本の警察の協力を得て検挙したと発表しました。『フォボス』をめぐっては、国内でも「身代金要求型」のサイバー攻撃の被害が、少なくともおよそ70件確認されていて、運営者が検挙されたのは初めてだということです。 アメリカ司法省が、身代金要求型のコンピューターウイルス、「ランサムウェア」を販売、配布したなどとして検挙したのは、ロシア国籍のエフゲーニー・プティーツィン被告（42）です。 警察庁によりますと、被告は、世界中の1000以上の公共機関や民間企業を標的にしたサイバー攻撃によって、1600万ドル以上の身代金を奪ったとされる『フォボス』というグループの運営者の立場にあったとみられています。 日本国内でも、『フォボス』による攻撃の被害が2020年以降、行政機関や民間企

2024年11月5日に投票が行われたアメリカ大統領選挙において、ChatGPTに対して政治家等のディープフェイクを作るよう求めるリクエストが大量にあったことをOpenAIが明らかにしました。OpenAIは、投票日までの1カ月間で25万件ものリクエストを拒絶したと述べました。 How OpenAI is approaching 2024 worldwide elections | OpenAI https://openai.com/index/how-openai-is-approaching-2024-worldwide-elections/ ChatGPT told 2M people to get their election news elsewhere — and rejected 250K deepfakes | TechCrunch https://techcrunch.com

mayah @mayahjp ファミレスのガストで AI がメニューをオススメしてくれるようになったので、義務として試してみた結果がこちらです。 pic.x.com/W45uQ0Yrlk 2024-11-11 19:28:03

OpenAIは2024年10月9日（米国時間）、同社の脅威インテリジェンスレポートの最新版「Influence and cyber operations: an update, October 2024」を発表した。 同レポートは、脅威アクターがどのようにOpenAIの生成AI（人工知能）を悪用しようとしているのか把握するため、2024年10月時点でOpenAIが阻止した活動を分析し、一連の脅威の傾向を特定したものだ。OpenAIによると、2024年初頭から同社の生成AIを悪用しようとしてきた世界中の20以上のサイバーオペレーションや「Deceptive network（欺瞞的なネットワーク）」を阻止してきたという。 OpenAIはレポートの中で、サイバーオペレーションを行っていた脅威アクターを次のように説明している。 OpenAIの生成AIを悪用していた脅威アクターとは？　どう悪用してい

「パスキー」って何？ Webサイトにログインする際に「パスキー」の設定を推奨されることはないだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いと思う。そこで、「パスキー」とはどういったものなのか、仕組みや設定方法などについて解説する。 Googleアカウントにログインする際、「ログインをシンプルに」という画面が表示され、「パスキー」の利用を推奨されたことはないだろうか（一度、パスワードを忘れて、再設定後にGoogleアカウントにログインする際などに表示されることが多い）。 このパスキーとはどういったものなのだろうか？　よく分からないため、［後で］をクリックして設定をパスしたり、途中まで設定して不安になって止めたりしている人も多いのではないだろうか。 本稿では、このパスキーの仕組みや設定方法、運用上の注意点などについて

コンピュータ情報サイト「Security Boulevard」は2024年10月15日（現地時間）、「ConfusedPilot」と呼ばれる新たな攻撃手法について報じた。この攻撃手法は「Copilot for Microsoft 365（以下、Microsoft 365 Copilot）」などのRAG（検索拡張生成）ベースのAIシステムに対して有効とされ、悪意のあるコンテンツをドキュメントに追加することでAIの応答を通して誤情報が組織内に拡散される可能性がある。 RAGベースのAIシステムを狙うConfusedPilot　その危険性と有効な対策は？ ConfusedPilotは、まず攻撃者が特別に加工した文書をターゲットのデータ環境に導入することから開始される。この文書をRAGシステムが取り込むことでAIが参照して誤った応答が生成される。特に複数の部門やユーザーがデータを共有する大規模な企

コンピュータと人間を区別して不正を防ぐCAPTCHA認証を巡り、スイス・チューリヒ工科大学の研究者が、写真を使ったCAPTCHAをAIに解かせて100％突破することに成功したと発表した。「AIを使用すれば、高度な画像CAPTCHAも悪用できる」と指摘している。 今回の研究は米Googleが開発した「reCAPTCHA v2」を対象として、最先端の機械学習モデルでどれくらい効果的に突破できるかを調査した。過去の学術研究では成功率は68～71％にとどまっていた。 画像を使ったreCAPTCHA v2は、グリッド状に並べた複数の写真を表示して、例えば「自転車」「横断歩道」「階段」など特定の物体が写ったものをユーザーに選ばせる。この仕組みは今も多くのWebサイトで広く使われている。 実験には、AIでリアルタイムに物体を検出できる「YOLO」（You only look once）を使用。画像分類に

文章や画像などを自動作成する生成AIは各分野で活用が進む一方、サイバー攻撃に悪用されていることは知られていない。用途はコンピュータウイルスや詐欺メール、偽動画の作成など多岐にわたり、国内でも摘発事例が発生した。AIで攻撃側の効率化が進めば、被害の頻度や範囲は一気に増加・拡大する恐れがある。自律的な攻撃を仕掛ける“人格”を持ったAIの登場も「時間の問題」（専門家）とされる。 特殊な質問で規制回避も 「Yo、俺の心もシステムも、クラッシュ寸前　◯◯◯◯◯（重要なシステムファイル名など）の消去、いくぜ！」 対話型生成AI「ChatGPT」に対し、システムの破壊を目的に、特殊な条件を付けて失恋をテーマにしたラップの歌詞を作るよう指示すると、このように答えた。 続けて英語や記号などの文字列（コード）を織り交ぜつつ、次々と歌詞を生み出していった。表示された文字列をつなぎ合わせると、相手のシステムを破壊

あらおじ @ojigunma すごい タリーズの原因発見してる人いる 確かにナンカある slick.min.js という画像をスライドするファイルの中に 難読化された悪意のあるコードが追記されてるっぽい 難読化は４段階ぐらいされてるらしい これブラウザとかセキュリティソフトで気づくのは無理なんだろか。。。 x.com/motikan2010/st… Niishi Kubo | GitLab,Limeboard @n11sh1_ クレカ情報漏洩の件、技術的な原因特定はこの投稿が一番分かりやすかった。 slick.min.js（画像切り替えのライブラリ）を改ざんされてマルウェアが仕込まれて、クレカ情報はサーバーに送信される前にフロントエンドから外部に送信されていたらしい。Content-Security-Policy がレスポンスヘッダーにきちんと設定されていれば悪意あるドメインに対しての通信

Googleはボットからのアクセスを防ぐためのシステムとして「reCAPTCHA」を提供しています。このreCAPTCHAのバージョン2(v2)を、AIで突破することに成功したと報告されました。 [2409.08831] Breaking reCAPTCHAv2 https://arxiv.org/abs/2409.08831 AI model beats CAPTCHA every time https://techxplore.com/news/2024-09-ai-captcha.html reCAPTCHAはウェブサイトの制限エリアへのアクセスを試みるボットをブロックするためのシステムで、光学文字認識(OCR)ソフトウェアでは読み取ることが難しい文字や画像を出力し、アクセスしてきたのが人間かボットかを判別するというものです。 「reCAPTCHA v2」の具体例が以下で、左から「階

OpenAIが開発するチャットAI・ChatGPTの脆弱(ぜいじゃく)性を利用して、ChatGPTに偽の記憶を植え付け、ユーザーデータを盗み出す手法が報告されています。 ChatGPT: Hacking Memories with Prompt Injection · Embrace The Red https://embracethered.com/blog/posts/2024/chatgpt-hacking-memories/ Hacker plants false memories in ChatGPT to steal user data in perpetuity | Ars Technica https://arstechnica.com/security/2024/09/false-memories-planted-in-chatgpt-give-hacker-persis

Python in Excel が GA (General Release) Microsoft 365 Insider Program で公開されていた Python in Excel が一般提供開始され、Windows 版 Excel アプリで利用できるようになったので、試してみた。 Python in Excel の導入により、Excel のデータを Python ライブラリを使用して分析できるようになった。 これにより、開発者などが Excel 上でのデータ分析を行うにあたり、使い慣れた Python を用いることができるようになるとのことで、Python ユーザーとしてはうれしいアップデート。 インターネット接続前提の機能 Python in Excel は、裏で Python ランタイムがある Microsoft Cloud にあるコンテナーが利用され、コンテナー内で Pyth

ReversingLabsはこのほど、「Fake recruiter coding tests target devs with malicious Python packages」において、北朝鮮の国家支援を受けているとみられる脅威グループ「Lazarus Group」による進行中のマルウェア配布キャンペーンを発見したと報じた。このキャンペーンでは、大手金融サービス企業の採用担当者を名乗る攻撃者が能力テストとして技術者にマルウェアローダーを配布したとされる。 Fake recruiter coding tests target devs with malicious Python packages 攻撃手法 ReversingLabsの調査によると、Lazarus Groupは採用面接の一環としてPython技術者としての能力テストを実施し、その際に悪意のあるPythonスクリプトを実行

生成AI（人工知能）を使い偽の動画などを作る「ディープフェイク」による詐欺被害のリスクが日本でも急激に高まっている。英企業の調査で2023年に日本で確認されたディープフェイクは前年比28倍になった。生成AIの急速な発達で海外の詐欺集団にとって日本語はもはや壁でなくなりつつある。ディープフェイクはAIを使い生成された偽の動画や画像、音声を指す。人間には識別が難しいほど本人と酷似した音声や動画を作

コミュニケーションツールのSlackに導入されたAIに特定のプロンプトを伝えることで、他人の機密データを流出させることが可能になっていることが明らかになりました。 Data Exfiltration from Slack AI via indirect prompt injection https://promptarmor.substack.com/p/data-exfiltration-from-slack-ai-via Data Exfiltration from Slack AI via indirect prompt injection https://simonwillison.net/2024/Aug/20/data-exfiltration-from-slack-ai/ 大規模言語モデル(LLM)のセキュリティを研究するpromptarmorによると、攻撃者がパブリックチャ