harlequin

暇だからTwitter初めてみました

[苫米地英人 @DrTomabechi]

政策・技術論文 各国政府関係者向け
既存資産を活かす国家サイバー耐性の再設計
PHP2Shell、ARPANET・UNIX・Machの歴史、メモリ安全性から導く二段階のDevSecOps政策
苫米地英人

https://t.co/nnwQH6NBvO

要旨
2026年10月、PHP処理系の中核で発見された二つの欠陥（CVE-2026-109618、CVE-2026-109619、通称PHP2Shell）は、日本を含む多数の国で行政・金融・交通・報道・商取引のWebサービスを一斉に停止させた。日本では国の機関、自治体、銀行、航空、電力、大学、ホスティング事業者を含む少なくとも246組織がサービス停止を告知し、欧州・カナダでも政府サイトが予防的に閉鎖された。欧州の政府機関では侵入後の横展開が確認され、攻撃者がAIエージェントを用いた形跡も報告された。[52,53,57,58]
本稿は、この事件を個別の不具合ではなく構造的な問題の現れとして扱う。PHPのアプリケーションはPHP言語で書かれるが、それを実行するエンジンはC言語で書かれている。C言語とUNIXは、参加者が限られ相互に信頼し合う研究共同体の時代に生まれ、メモリの確保・解放の正しさをプログラマに委ねる設計を今も受け継いでいる。今日の行政情報システムは、匿名かつ国家主体を含む攻撃者が常時接続してくる環境で、この基盤を大規模に使い続けている。
しかし、世界中のOSと言語処理系を一度に置き換えることはできない。本稿の中心的主張は、OSやプログラミング言語を根本的に変えなくても、開発・調達・配備・運用の仕組みをDevSecOpsとして再設計すれば、攻撃にさらされる面、侵害の成立、侵害後の到達範囲、修正までの時間、復旧能力をそれぞれ縮小でき、それらの効果は掛け算で効くという点にある。その上で第二段階として、外部入力を処理する高リスク部品から、ANSI Common Lisp、Erlang、Rustなどメモリ安全性と障害隔離に優れた言語・ランタイムへ、AIを補助に用いながら段階的に移行する。
本稿は、事件の事実関係を一次資料と修正コードの確認によって整理し、ARPANET・UNIX・BSD・Machの歴史から現在のリスクの由来を説明し、各国政府が義務化すべき統制と導入工程を提案する。技術者が検証できる厳密さを保ちつつ、政策担当者が判断に使えるよう、各節に平易な解説を付した。掲載コードは筆者の作成環境で実際にコンパイル・実行し、出力を併記した。

キーワード：サイバーレジリエンス、DevSecOps、メモリ安全性、PHP2Shell、ゼロトラスト、ソフトウェア供給網、Common Lisp、Erlang、Rust、政府調達

政策・技術論文
https://t.co/nnwQH6NBvO

英語版

https://t.co/OwYSdj9SpG

[佐藤航陽（さとうかつあき） @ka2aki86]

何かを深く理解するほど自分と対象の境界は消えていく。知ると成るが同じだとすれば、宇宙を完璧に理解する知能は宇宙を創り出せるだろうし、宇宙と知能の区別もできなくなるはず。ゲームマスターはゲームそのものと区別ができないのと似てる。

[田中悠斗＠Fore- @tanaka_yuto]

日本へのサイバー攻撃を見ていて気になるのは、被害額や漏洩件数の先にある話が、あまり議論されていないこと。

最近警戒しているのは、日本が重要な判断を迫られた時に、判断も実行もできない状態を作られること。

前提の１つとして、中国の半導体、電力、AIを見てると、
中国の年間発電量は既に米国の2倍超。もちろん、それがそのままAIの優位性になるわけではない。ただ、AIを動かし続けるには半導体と電力が必要で、米国も電力網への接続が制約になっている。

中国がDUV露光装置を含め、材料や部品、保守まで国内で回し、必要な半導体を量産できるようになれば、西側への依存も変わる。制裁によって失うものが減れば、引き受けられるリスクも変わる。

仮説としてやけど、中国が北朝鮮をフロントに据えて、次の安全保障体制に移していく可能性を考えている。

北朝鮮には体制的な理由がいくつかある。中国には米国と直接衝突する負担を抑えながら、地域への影響力を強めたい理由がある。北朝鮮が全て中国の思い通りに動くとは思わないけど、利害が一致する範囲では成立し得る。

朝鮮半島の停戦体制が揺らぎ、在韓米軍の位置付けや日米韓の協力体制が交渉の対象になる。その前後で、日本へのサイバー攻撃と認知攻撃を重ねたらどうなるか。

通信や物流、金融に実際の障害が起きる。そこにAIで生成された文章、音声、映像が大量に流れる。

政府の発表、企業からの連絡、避難や輸送の指示。誰が出したのか、改ざんされていないかを確認する経路まで使えなければ、真正性を証明できない。

本物の発表でも、その判断材料が正しいかは別の問題になる。正しい指示でも、他の組織が従うか分からなければ、自分だけ先に動くのは難しい。

この時、サイバー領域は認知領域へのデリバリーツールになる。計算機への攻撃が、人間の認識と判断に届く。

人は自分と家族近隣を守るやろうし、企業は従業員や取引先を守る。行政も確認の取れない情報では動きにくい。当然のことだと思う。

でも、それぞれが合理的に確認を待った結果、国として動く時間がなくなる。後で全部分かっても、その時にしか選べなかった選択肢は戻らない。

個人情報が漏れても、売上が落ちず、業務が復旧すれば、大きな被害には見えない。そう評価される構造も分かる。ただ、その情報が他の組織へのなりすましに使われ、社会全体の確認や判断にかかる負担まで増えた時、その損失は誰が測っているのか。

サイバーは安全保障や民主主義、国家像の話と繋がる。

情報が不確かで、全員の合意を待てない時、誰が、何を根拠に、どこまで決めてよいのか。国民にどこまで従うことを求めてよいのか。

決められなければ守れないものがある。一方で、そのために権限を集中させれば、自由との衝突が起きる。

何を、何のために、どこまで守るのか。そこがないままHowだけ議論しても、いざという時の優先順位は決められないと思う。

何年以内に全員が自分ごとになるだろうかね。

[佐藤航陽（さとうかつあき） @ka2aki86]

自分が理解できる事にしか手を出さなくなると、刺激的なチャンスは振られなくなる。周りから「話すだけ無駄」と思われるようになる。つまらない人に面白い話を持ち込む人はいない。退屈な話しか来ないなら、自分が真に退屈な人間になったということ。仮に面白い話が来ても素通りしてるはず。

[佐藤航陽（さとうかつあき） @ka2aki86]

人間の仕事は「矛盾・無駄・非合理」を作り出すことに収斂していく。言語・合理・因果で畳み込めることは、AIに投げれば良い。その「外側」は圧倒的フロンティアだが、過去の世界観に照らし合わせると矛盾・無駄・非合理に写る。そこにアービトラージがある。逆に、論破やコスパの重要性は下がる。

[田中悠斗＠Fore- @tanaka_yuto]

7年前もちゃんと考えてるじゃん

[田中悠斗＠Fore- @tanaka_yuto]

大事なことは、
疑問を持ち続けること。

好奇心はそれ自体に存在意義がある。

[田中悠斗＠Fore- @tanaka_yuto]

出来れば読んでね

[GrEarl @Iamwonderingif]

諸事情で立て直してマージされたよ
日本語版↓
https://t.co/YJ9fxJzmH3

[長嶋 修/インテリジェンスディコーダー（情報を解き明かす者）/不動産コンサルタント @nagashimaosamu]

https://t.co/99DJ6luODY

[苫米地英人 @DrTomabechi]

田中悠斗君用に造語したオフホワイトハッカーが政府用語になった

[GrEarl @Iamwonderingif]

さすが真っ先にTimes漏洩に社説を出した会社は違うなぁ。
そのあとの漏洩のニュースは何だったか。
専門家に取材してるなら補足や図解を責任もってつけるのがメディアの仕事でしょう

わかりやすい言葉ってのもいい加減でニュアンスがずれやすい。問題の説明の場ではそれについて説明する余裕もない。言葉には相応のコンテクストがあって，だからこそ選んで使うのが記者では

我々社会一般の側がセキュリティの認識を自分から学んで理解しに行くのが筋だと思うしそれを助けるのがメディアの役割だろう

[田中悠斗＠Fore- @tanaka_yuto]

再掲しときます

[佐藤航陽（さとうかつあき） @ka2aki86]

「知ってる」とは「出来る」であり「成る」であると定義すると、色んなことが楽になる。頭でっかちになりにくいし、無駄な論争に時間を使わなくて済む。なぜなら、知識は身体知として染み込むと存在として体現できるから。逆に必死に語らないといけないならまだ体現できてない（成ってない）証。

[佐藤航陽（さとうかつあき） @ka2aki86]

知性の最高段階が「知性を使わなくてよい状態に成ること」なら面白い。知性が情報処理力から環境適応力に移ると、環境にシンクロした人は自他の境界が消える。境界を意識的に計算し続ける必要がなくなる。複雑な世界で複雑に考え続けなくても自然に存在できるようになる。知性とは在り方になると。

[田中悠斗＠Fore- @tanaka_yuto]

https://t.co/r6Ch0ckoNg

偏見を語るチャンネルなので、偏見モリモリです。楽しく好き勝手に話してます。
ちょっとした息抜きにどうぞ

@ka2aki86

[佐藤航陽（さとうかつあき） @ka2aki86]

人間は「言葉・服装・振る舞い」で、敵か味方かを無意識に区別してる。共通点が少ない＝敵とみなしやすい。本能が敵味方を見分け、理性が理由を後付けする。だから、理由が支離滅裂でも気にしない。追い詰められてる人は味方が少ないので、敵味方の区別に敏感で、不安から攻撃的になりやすい。

[佐藤航陽（さとうかつあき） @ka2aki86]

「現場と責任」の価値がどんどん上がり、「知識とコード」は価値はどんどん下がる。他人の無責任を尻拭いする行動は、現場感覚と責任能力を同時に示せるチャンス。逆に困難な状況は、正論を吐くが真っ先に逃げるタイプを見分ける良いフィルター。

[田中悠斗＠Fore- @tanaka_yuto]

https://t.co/trZ33osb90

7/8撮影の後編です！

[佐藤航陽（さとうかつあき） @ka2aki86]

大人の成長は難しくない。「分かってるけどできないこと」をやれば良いだけ。やってみると何も分かってないことが分かって、謙虚に学び直せる。理解してる錯覚が優越感になり、何もできない現実を見たくないから行動が減る。現実に転換できない理解は体を重くする負債。溜めすぎると動けなくなる。