Yuta HR

EXPO2025 大阪・関西万博は最高だった…。2027 横浜花博も楽しんでいこう。

[Yuta HR @YutaHR1]

さようなら大阪・関西万博。また逢う日まで。
#EXPO2025 #EXPO2025Forever

[【公式】null²ⁿ（ﾇﾙﾇﾙネクサス） @null2_nexus]

【TOPICS |祝！ご来場者1万人達成!!】

オープンから2度目の週末も大入り満員御礼申し上げます。
本日17:20入場回にて1万人目のお客様をお迎えしました！

幸運なお客様は大阪・関西万博でnull²に入れずやっと来られた神奈川県在住のお二人。
1万人目を記念して落合陽一直筆サイン入エコバッグなどを進呈させていだきました。

▶︎雨天でも安心屋内全天候対応null²ⁿチケット販売中！
https://t.co/QLo8svYuEi

#落合陽一 #ﾇﾙﾇﾙネクサス #null2 #null2n #null4 #大阪関西万博 #EXPO2025 #アフター万博 #横浜

[Watkin Lab @0xWatkin]

千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。

昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。

过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？

但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。

黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：

1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。

2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。

最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。

以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。

[Yuta HR @YutaHR1]

台風で荒れた城原海岸に、長期保存修理工事中の仁風閣。さすが、やはりもってない
でも、そんな悪天候でも鳥取東照宮は雰囲気満点でなかなかよかった。梨も美味いし、すし北海道も旨い。人も少ないから自然も多様。鳥取県、住みたい

[糸井 重里 @itoi_shigesato]

宮本茂さんの文化勲章と、「考え終わっている人」の “すごみ” ──思い出した、岩田聡さんの取材 https://t.co/tTyxCVgzBg @denfaminicogameより

[Yuta HR @YutaHR1]

@takuma_yamazaki 身体の示すいろんな反応も、ほとんどは環境が起因しているものな気がしますよね

[Yuta HR @YutaHR1]

@ochyai 短歌も俳句も、情報量が少ないがゆえに完成した歌を解釈する想像の幅が広いゆえに優劣とかつけるだけ野暮（どれも良い）だし、AIポン出しの歌の一部をもうすこし自分好みに変えたいなっていうとときも、豊富な言葉選びから伴走してくれるので、誰でもとっつきやすいですよね

[創＠AI×インフラ×経営｜複数社実務検証＆ベンチマーク @hikarine3]

⚠️急ぎ認識&対応必須⚠️
お名前.com VPSのFXサービスの顧客は今すぐPCをネットから外し電源を落とすべき
> 被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社の中身を盗み、遠隔操作用のウイルスを仕込んだ」
GMOの顧客のPCがランサムウェアの人質になる💣

<詳細>
この投稿は、攻撃者が「これまで隠されていた侵入の全手口（GMO側の技術的落ち度）」を暴露し、さらに「脅迫の標的をGMOから『顧客の自宅PC・個人の私生活』へ切り替える」と宣言した、極めて危険なエスカレーション（脅迫の激化）を意味しています。

書かれている内容を技術的な背景と合わせて噛み砕くと、主に以下の4つの重大な事実とメッセージが浮かび上がります。

1. 侵入の手口：なぜ全VPSが一網打尽にされたのか
犯人は、GMOのシステム構造に「インフラ設計として致命的な初歩的ミス」があったと主張しています。

VPSなのに「Active Directory（社内網の仕組み）」を使っていた
通常、VPS（仮想サーバー）は契約者ごとに完全に隔離（独立）されていなければなりません。
しかし、GMOは社内のパソコンを一括管理するような「Active Directory」という仕組みで全VPSをひとまとめに繋いでいました。
例えるなら: 本来は頑丈な壁で仕切られるべき賃貸マンションなのに、「壁に隣の部屋へ行けるドアがついており、全室共通のマスターキーが存在した」ような状態です。

サポートエンジニアのアカウントからマスターキーを奪取
GMOのサポート担当者がユーザーのサーバーに入って作業した際、その担当者が使った「全サーバー共通の管理者パスワード」の痕跡がサーバー内に残っていました。
攻撃者はそれを拾い上げ、2万7千台すべてのVPSの支配権をいとも簡単に手に入れた（水平移動した）と主張しています。

2. 最大の衝撃：「VPSから自宅PCへの逆流侵入」

これまで被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社のパソコン本体までハッキングした」と明かしています。

原因は配布されていた「RDPファイル」の設定ミス
お名前.comでサーバーに接続する際、公式からダウンロードする接続用アイコン（.rdp ファイル）を使います。
このファイルの設定で、「ローカルPCのドライブ共有（リダイレクト）」が最初からONになっていました。

何が起きたのか？
ユーザーが自宅PCからVPSに接続した瞬間、自宅PCのCドライブやデスクトップが、VPS側に丸見えの状態で自動接続されていました。
攻撃者はすでにVPS側を乗っ取っていたため、その接続トンネルを逆走して「自宅PCの中身を盗み、遠隔操作用のウイルス（バックドア）を仕込んだ」と主張しています。

3. 解約したサーバーが「放置」されていた理由

「解約したのに狙われた理由」の種明かしです。
通常、クラウドサービスは解約されると即座にデータが完全消去（初期化）されます。

しかしGMOはコスト削減や再利用の手間を省くため、解約手続き後も次の契約者が現れるまで何ヶ月もサーバーを稼働させたまま放置していたとされています。

そのため、何ヶ月も前に解約して安心していたユーザーのデータがサーバー内に生きたまま残っており、犯人に一括で回収されてしまったということです。

4. 次の行動：脅迫の矛先が「個人への身代金・ばら撒き」へ

ここが最も恐ろしい部分です。GMOが要求に応じないため、犯人は「GMOを困らせるために、顧客個人を直接攻撃する」と方針転換しました。

自宅PCのランサムウェア暗号化: 自宅PCを操作不能にし、「GMOが身代金を払わないせいだ」と書いた脅迫状を画面に出す。

極めて悪質な個人情報のばら撒き（ドキシング）:身代金を払わなければ、盗み出した「ブラウザの閲覧履歴（秘密の趣味や検索内容）」「個人データ」を、本人の家族・友人・会社の同僚へ名指しで一斉送信すると予告しています。
送信件名まで指定しており（「○○様がGMOを利用 — セキュリティ不備が招いた恥ずべき事態」）、社会的な尊厳を徹底的に破壊する手法です。

この主張の信憑性と注意点
この犯人の主張（Active Directoryの悪用、RDPドライブ共有によるクライアント逆侵入）は、セキュリティの技術論として「極めて理にかなっており、実際に起こり得る手口」です。単なるハッタリではなく、システムの構造を完全に把握した上での告発・脅迫である可能性が極めて高いと考えられます。

もし過去にお名前.com デスクトップクラウドを利用したことがある場合：

自宅PCの完全スキャン: 配布されたRDPファイル経由で不審なプログラムを埋め込まれていないか、信頼できるセキュリティソフトで自宅PCをフルスキャンする（可能であれば重要データを退避して初期化を検討する）。

ブラウザに保存したパスワードの変更: 自宅PCのブラウザ（Chrome等）に保存されていたクレジットカード、SNS、メール、銀行などのパスワードを別端末（スマホ等）から変更する。

脅迫メールへの無視: 今後、個人宛に「身代金を払え」「家族に閲覧履歴を晒す」といった脅迫メールが届いても、絶対に個人で犯人に連絡・送金せず、警察（サイバー犯罪相談窓口）に相談する。
犯人は現在、「顧客個人を人質にして阿鼻叫喚の地獄絵図を作り、GMOに社会的責任と巨額の支払いを強制させる」という最も凶悪なフェーズに突入しています。

[物質調律家の山崎タクマさん @takuma_yamazaki]

【お知らせ】
ニューヨークでの個展「Industrial Artistry 2」は11月19,20日となりました　PromPlant®︎ / HeartBeat の価格は去年の2倍となりました(2025年,2026年2月の個展で購入した方々はおめでとうございます)　タイミング合えばぜひ会いに来てください.!
引き続き、よろしくお願い申し上げます🤲

[落合陽一 Yoichi OCHIAI @ochyai]

鳥取県立美術館　来春は落合陽一展
https://t.co/lgm7LDhzS0

[落合陽一 Yoichi OCHIAI @ochyai]

5人しか読んでいない会場で，小説の作り方を全部話した｜落合陽一 @ochyai #落合陽一 https://t.co/gbJZdj6N4c

[stacked @stackedlol]

if you want to mess around with them yourself: https://t.co/0OnHnhoyYR

[stacked @stackedlol]

full demo of shark ascii animation

[Sou Fujimoto 藤本壮介 @soufujimoto]

僕たちのデザインした「空のパビリオン」

12月4日-12月27日

代々木公園にて！

[Yuta HR @YutaHR1]

@itoi_shigesato この時間からのコーヒーによるカフェイン摂取は、夜の快適な睡眠に差し障るので、ゆっくり銭湯につかるの一択です。風呂上がりの珈琲牛乳は、コーヒー飲料なのでセーフ

[Yuta HR @YutaHR1]

@i3EsS9uAt その2つは、よくあるショッピングモールの東館・西館のように屋内でつながっているのではなく、屋外のデッキ（屋根はある）で行き来できる感じになってます。10分は離れてるかな

[落合陽一 Yoichi OCHIAI @ochyai]

#null2n #null2

[落合陽一 Yoichi OCHIAI @ochyai]

#null2n #null2

[落合陽一 Yoichi OCHIAI @ochyai]

#null2n

[落合陽一 Yoichi OCHIAI @ochyai]

横浜国際園芸博もあともう少し！ #null4 #greenexpo

[Anthony Fu 🦋 @antfu.me @antfu7]

Hey Japanese learners! I built a font that renders Furigana or Romaji above Kanji, with ligatures to support words. You can apply it anywhere to get furigana notations for free.

Give it a try, and I hope it will be helpful :)
https://t.co/Fg6Srg9ila