Alphe

セキュリティに興味のある社会人1年目です
顔と名前覚えるの苦手なので、出会ったら声かけてもらえると嬉しいです！
SecHack365'24/Seccamp'24
サブ垢: @Alphe_sub

[Alphe @Alphe_]

@CookieySun 覚えていてくださったんですか！！頑張りました💪

[Alphe @Alphe_]

Flattでブログ書きました🙌
テーマはブラウザ拡張のセキュリティです！！
ぜひ読んでみてください！

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア 大塚 @Alphe_ のブログを公開しました！

AIを使ったバイブコーディングで、誰でもブラウザ拡張機能をつくれる今。
拡張機能の仕組みを整理したうえで、開発時に注意したい代表的な7つのリスクと対策をまとめました！

https://t.co/bx1Y7Tu13I

[GMO Flatt Security株式会社 @flatt_security]

セキュリティエンジニア 大塚 @Alphe_ のブログを公開しました！

AIを使ったバイブコーディングで、誰でもブラウザ拡張機能をつくれる今。
拡張機能の仕組みを整理したうえで、開発時に注意したい代表的な7つのリスクと対策をまとめました！

https://t.co/bx1Y7Tu13I

[Hiroki SUEZAWA (@rung) @rung]

今日の Product Security Square #4 (GMO Flatt Security)での登壇資料です
「サプライチェーンセキュリティの空白地帯 - 信頼できる”依存性”の未来を考える」
https://t.co/CauddvokBi

#pss_flatt

[GMO Flatt Security株式会社 @flatt_security]

セキュリティリサーチャー RyotaK @ryotkak の技術ブログを公開しました。

今回、Claude Code GitHub Actions の権限制御を外部の GitHub Issue 経由でバイパスし、ワークフロー権限を悪用できる脆弱性、並びにそれに付随する設定ミスを発見・報告しました。

当該の脆弱性は v1.0.94 で修正済みですが、設定ミスについては各リポジトリにて対応が必要であるため、当該製品を利用されている場合は設定の見直しと実行ログの確認を推奨します。

https://t.co/6hjfE6xrsb

[市川 達大@TECH WORLD @tech_world18]

「1人だけ格が違う。」弱冠22歳、世界トップのセキュリティエンジニアRyotaKの生態

今回は@flatt_security 特集後半動画です。
世界トップクラスのセキュリティリサーチャー @ryotkak さん、Co-CTO @lmt_swallow さん、@Ga_ryo_ さんにインタビューさせていただきました。

是非ご覧ください。

https://t.co/kcEJlmLq9G

[GMO Flatt Security株式会社 @flatt_security]

🎬 Ultra Thinking #16 公開 🧠

今回はソフトウェアサプライチェーンセキュリティをテーマに、npmの最新動向や仕様の隙を突いた攻撃手法について深掘りしました。

✅ npmの「Staged Publishing」の仕組み
✅ npx 特有のDependency Confusion

🔗本編URLはスレッドのリンクから 👇

[yousukezan @yousukezan]

GitHubが内部リポジトリ侵害を調査していることが判明した。TeamPCPは約4000件の非公開コードへアクセスしたと主張しており、GitHub内部ソースコードや組織情報を5万ドル以上で販売すると掲示板で宣伝している。

GitHubは「内部リポジトリへの不正アクセスを調査中」と認めたが、現時点では顧客組織や公開外リポジトリなど、外部顧客データへの影響は確認されていないとしている。影響が判明した場合は対象顧客へ通知すると説明した。

攻撃を主張したTeamPCPは、Breachedフォーラム上で「GitHubのソースコードと内部組織情報を保有している」と投稿し、約4000件の非公開リポジトリを保持していると主張した。ランサムではなく販売目的だと説明し、購入者が現れなければ無償公開も示唆している。

TeamPCPは近年、GitHub、PyPI、npm、Dockerなど開発者向け基盤を狙うサプライチェーン攻撃で知られる。3月にはAqua SecurityのTrivy侵害にも関与し、Checkmarx KICSやLiteLLMへ連鎖被害を引き起こしたとされる。

さらにOpenAI従業員端末へ影響した「Mini Shai-Hulud」キャンペーンや、Mistral AIのCI/CD認証情報窃取にも関連付けられており、オープンソース供給網全体への脅威として警戒が強まっている。

https://t.co/yvNfzWazt9

[GitHub @github]

1/ We are sharing additional details regarding our investigation into unauthorized access to GitHub's internal repositories.

Yesterday we detected and contained a compromise of an employee device involving a poisoned VS Code extension. We removed the malicious extension version, isolated the endpoint, and began incident response immediately.

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【要対応】GitHub 社に対する侵害が、社員のデバイス内の VSCode Extension 経由で発生し、内部 ~3,800 レポに流出可能性ありとんこと。我々も、まず優先して①拡張機能の最小化＆自動更新無効化、②念のためシークレットのローテ、に取り組んだほうがよさそうです。

[Tinydile @Tinydile]

[Slides/資料公開] 本日のBSides Tokyo 2026での講演資料です。

TLPT2.0の提案 －「敵を知る」と「自分を知る」の分離
(A Proposal for TLPT 2.0: Decoupling "Knowing the Enemy" from "Knowing Yourself")

https://t.co/KddOdQOrcd

#BSidesTokyo #TLPT #レッドチーム #RedTeam

[GMO Flatt Security株式会社 @flatt_security]

🏆Anthropicのバグバウンティで1位🏆

セキュリティリサーチャーのRyotaK @ryotkak が、「Anthropic バグバウンティプログラム」において1位を記録しました。

詳しくはプレスリリースをご覧ください。
https://t.co/gfbAs2pjEx

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

今回漏洩した GitHub PAT を revoke すると rm -rf ~/ するスクリプトなども同時にプラントされており (!!)、感染時の初動対応には注意が必要です。これ続くとしんどいですね……。（一度こういうのがあると、今後の revoke がためらわれる。）

[yousukezan @yousukezan]

Linuxカーネルに、わずか数百バイトのスクリプトで管理者権限を奪取できる重大欠陥が発覚した。Copy Failと呼ばれるこの脆弱性は広範な環境に影響し、検知も困難なため極めて深刻なリスクとなっている。

問題はCVE-2026-31431として報告され、暗号サブシステムのauthencesn処理におけるロジック不備が原因である。非特権ユーザーでも任意の読み取り可能ファイルのページキャッシュに対し、制御可能な4バイト書き込みを行える点が本質だ。攻撃者はsetuidバイナリを書き換えることで即座にroot権限を取得できる。さらにページキャッシュはシステム全体で共有されるため、コンテナ環境をまたいだ侵害も可能となる。ディスク上のファイル自体は変更されず、メモリ上のみ改変されるため、従来の整合性チェックでは異常を検知できない。原因はalgif_aeadにおけるin-place処理で、入力と出力の分離が行われていなかった点にある。修正ではout-of-place方式へ戻すことで問題を解消した。公開済みのPoCにより悪用リスクが高まっており、カーネル更新やAF_ALG機能の制限が急務とされる。

https://t.co/BZtnRBuFA6

[GMO Flatt Security株式会社 @flatt_security]

🎉4/27(月) 学生向けオンライン説明会 ゲスト決定！🎉

2025年度サマーインターンシップ参加者として、新月 @fubukiyokiyoki さんがゲスト参加します！
パネルディスカッションで、Flattのエンジニアと共に皆様からいただいたご質問に回答します。

ぜひお申し込みください！
https://t.co/s7mK8UxKBO

[Alphe @Alphe_]

Tシャツ当たりました✌️

[いわさき@Findy DevRel @iwasakitchen]

ブース遊びにきていただいてありがとうございました！Tシャツ喜んでいただいてありがとうございます！🎉✨
#rubykaigi

[Alphe @Alphe_]

RubyKaigi参加してます！！
Drink upも楽しみ！
#rubykaigi #rubykaigi2026

[アスースン・オンライン @asusn_online]

▼動画投稿しました！
セキュリティ・キャンプに応募しよう！応募対策講座 #seccamp
https://t.co/U7FqLtm06e

[SecHack365 @SecHack365]

#SecHack365 の2026年度開催概要と募集要項を公開しました‼️応募条件やイベントスケジュールは大事なので必ずチェックお願いします。コース概要については追って公開予定です。申込開始は4月21日（火）14時なので、ココロの準備お願いします☺️
https://t.co/ihKbzvrhuI

[市川 達大@TECH WORLD @tech_world18]

【動画更新】
今回はGMO Flatt Security(@flatt_security )に潜入し、世界トップレベルのセキュリティエンジニアの生態を調査してきました。

是非ご覧ください。

https://t.co/WoNSvFUp8o