cedric-ryo

■Web Security/seccamp2019/CODE BLUE学スタ2018,2019

[O'Reilly Japan @oreilly_japan]

【12月27日発売】最新刊プレゼントキャンペーン
➡️下記書籍を抽選で3名様にプレゼント🎁
✅応募方法
❶当アカウントをフォロー
❷このポストをリポスト
応募締切2026年1月4日まで／当選連絡DM📩

『バイブコーディングを超えて』
https://t.co/vJpJDeyGHV

[O'Reilly Japan @oreilly_japan]

【12月26日発売】最新刊プレゼントキャンペーン
➡️下記書籍を抽選で3名様にプレゼント🎁
✅応募方法
❶当アカウントをフォロー
❷このポストをリポスト
応募締切2026年1月4日まで／当選連絡DM📩

『マスタリング・ビットコイン 第3版』
https://t.co/QTMslh13If

[hayapi🧶 @yo_hayasaka]

読んだ。
"ゼロトラストの本質は「誰が・いつ・何にアクセスできるか」というポリシー定義にあります 。これは外部ベンダーではなく、ビジネスプロセスを熟知した社内のITリーダーやセキュリティアーキテクトが決定すべき事項です" これオブこれ
---
なぜ米国企業はゼロトラスト導入で「大手SIer」を使わないのか？調査でわかった日米のITの構造的な違い https://t.co/9Hx4aCEjaU

[Yusuke Nakajima @nakajimeeee]

【脅威検知フレームワーク】MITRE ATT&CK v18が検知エンジニアリングを一変、曖昧なガイダンスから実装可能なロジックへ

2025年10月リリースのMITRE ATT&CK v18は、防御側の検知手法を根本から再設計した。従来のv1〜v17では、各攻撃技術に対する検知ガイダンスは「スケジュールタスクの作成を監視せよ」といった曖昧なテキストに過ぎず、何をもって「不審」とするかの判断は完全に防御者に委ねられていた。

v18ではこの自由記述欄を廃止し、「Detection Strategies（検知戦略）」と「Analytics（分析ロジック）」という2層構造を導入。Analyticsは擬似コード形式で具体的な検知条件を定義し、例えばLSASSダンプ検知では「PROCESS_VM_READ権限でlsass.exeへのハンドルを開くプロセスを検出」と明示する。各Analyticには固有IDが付与され、チーム間での共有や体系的なカバレッジ監査が可能となった。

Google SecOpsユーザーにとっては、このAnalyticsがYara-Lルール作成の直接的な設計図として機能する。ジュニアエンジニアでも高度な検知ロジックを実装でき、検知開発の速度と標準化が大幅に向上する。
https://t.co/UARGcYocYu

[yousukezan @yousukezan]

[地獄] OpenAI APIが不正使用された件 https://t.co/F4wSLtbknL #Qiitaアドカレ #Qiita @ShigemoriMasatoより

[cedric-ryo @cedric_ryo]

あまりにも運動不足なので7年ぶりにゆる〜く卓球再開しようかな🏓
にしてもラケットとかラバーの価格高騰具合がやばい…

[cedric-ryo @cedric_ryo]

全国専門学校卓球選手権大会はシードで初戦敗退でした。
そして、今日で約9年間続けてきた卓球に終止符を打ちます！
卓球を通じて、本当に色んな事を学べました！
卓球を通じて出会ってくれた方々、ありがとうございました！！
これからは勉強に注力していきます！

[Yurika @EurekaBerry]

昨日登壇した、apan Microsoft Endpoint Configuration Manager UG のActive Directory 勉強会
第 6 回目 [Active Directory セキュリティについて学ぶ回]
の資料を公開しました 📝
AD保護の全部を網羅しているわけではありませんが、概要の理解のお役に立てば幸いです

https://t.co/lNRPvPkP9f

[MK@LLM Researcher @yukimasakiyu]

うわー。これは控えめに言ってやばすぎます。学会でのインシデント史上最悪レベルの大事件だと思います。
【緊急】AI/ML学術界で史上最大級のセキュリティ事故が発生

11月27日、OpenReviewのシステム脆弱性により、プラットフォーム上で運営されている全ての学術会議で著者・査読者・エリアチェアの身元情報が漏洩しました。これは匿名査読という学術の根幹制度が完全に崩壊したことを意味する極めて深刻な事態です。

■ 影響を受けた主要会議（一部）
・ICLR（全年度）
・NeurIPS（全年度）
・ICML（全年度）
・ACL / ACL Rolling Review
・EMNLP（全年度）
・CVPR（全年度）
・AAAI
・その他、OpenReview上の各種ワークショップ・シンポジウム

つまり、AI・機械学習・自然言語処理・コンピュータビジョン分野のほぼ全ての主要国際会議が影響を受けています。推定で数万人規模の研究者の情報が露出した可能性があります。

■ 何が漏洩したのか
・論文著者の氏名・所属機関
・査読者の氏名と担当論文の対応関係
・エリアチェア（採否判断を行う上級査読管理者）の氏名と担当論文
・過去の年度の論文についても遡及的にアクセス可能だった

通常、学術会議ではダブルブラインド査読（著者も査読者も互いの身元を知らない）によって公正性を担保していますが、この前提が完全に破壊されました。

■ すでに発生している実害
ICLR 2026の公式声明によると：
・談合の試みの報告を複数受けている
・査読スコアの異常な上昇を観測
・著者から査読者への脅迫・賄賂の可能性

これは理論上のリスクではなく、現実に進行中の不正です。「スコアを上げなければ報復する」「金銭で評価を買う」といった行為がすでに行われている可能性が高いと考えられています。

■ 技術的な原因
OpenReviewの `profiles/search` というAPIエンドポイントで、本来は権限を持つユーザーのみがアクセスできるべき情報が、認可チェックなしで一般公開されていました。URLのパラメータを変更するだけで、特定の会議の査読者リストを誰でも取得できる状態でした。これはセキュリティの基本中の基本である「アクセス制御」の不備（Broken Access Control）であり、OWASP Top 10で最も深刻な脆弱性とされています。

バグは11月27日10:09(UTC)に報告され、11:00には修正されましたが（対応自体は迅速）、一部のユーザーは11月12日頃からこのバグが存在していたと報告しており、2週間以上にわたって悪用可能だった可能性があります。

■ ICLR 2026の緊急対応
・全ての論文に新しいエリアチェアを再割り当て
・査読スコアを議論期間開始前の状態に巻き戻し（議論の成果も全て無効化）
・査読者による追加のスコア変更や議論参加を禁止
・公開コメント機能を無効化
・不正行為者は投稿論文をデスクリジェクション（査読なし不採択）＋複数年の会議出禁
・OpenReviewは多国籍法執行機関と連携し、悪用者への法的措置を検討

■ なぜこれほど深刻なのか
1. 査読者への報復リスク：低評価をつけた査読者が特定され、SNSでの晒し上げ、職場への苦情、将来的な報復査読などのリスクに晒されます。これにより、今後査読を引き受ける研究者が減少する可能性があります。

2. 学術的公正性の崩壊：著者が査読者を特定できてしまうと、圧力・脅迫・賄賂によって評価を歪めることが可能になり、論文の質による公正な評価という学術の根幹が機能しなくなります。

3. 過去の論文への遡及的影響：過去に不採択になった論文の著者と査読者の関係が判明することで、「あの時の恨み」に基づく将来的な報復が可能になります。学術コミュニティ内の人間関係・権力構造が可視化されたことの影響は計り知れません。

4. 採択結果への永続的な不信：ICLR 2026で採択された論文は「本当に公正に評価されたのか」という疑念が常につきまといます。不採択になった著者は「談合で落とされたのでは」と考える可能性があります。

5. 中央集権的インフラのリスク：AI/ML分野の主要会議のほぼ全てが単一のプラットフォーム（OpenReview）に依存していたことで、一つのバグが分野全体を揺るがす結果となりました。

■ 今後への影響
・査読者のなり手がさらに減少（すでにAI/ML分野では投稿数爆発により査読者不足が深刻）
・オープンレビューへの移行議論の再燃
・分散型査読システムの研究加速
・OpenReview以外のプラットフォームへの移行検討
・学術会議の運営体制・セキュリティ基準の見直し

この事件は、デジタル化された学術インフラの脆弱性と、品質保証システムそのものの信頼性が問われる歴史的な転換点となる可能性があります。

詳細な技術解説：https://t.co/olDV8tGCao

[O'Reilly Japan @oreilly_japan]

【10月24日発売】最新刊プレゼントキャンペーン
➡️下記書籍を抽選で3名様にプレゼント🎁
✅応募方法
❶当アカウントをフォロー
❷このポストをリポスト
応募締切10月30日まで／当選連絡DM📩

『実践 Webペネトレーションテスト ―攻撃者の視点で学ぶWebアプリケーションセキュリティ』

[yousukezan @yousukezan]

10月14日に配信されたWindows 11のセキュリティ更新プログラムKB5066835適用後、開発者やIT管理者の間でlocalhost（127.0.0.1）接続が不能になる不具合が発生。これにより動作不能となるアプリケーションがあり、世界的に開発環境が混乱している。

問題はOSビルド26200.6899および26100.6899に影響し、ローカルサーバーやAPIテストツールがタイムアウトや接続拒否を起こす。KB5066835は本来、PowerShell RemotingのタイムアウトやWindows Hello顔認証、Chromium系ブラウザの印刷プレビュー不具合などを修正する目的で配信されたが、結果的にローカル通信を阻害する副作用が確認された。Microsoftは現時点でこの問題を公式文書に記載しておらず、修正版の提供時期も未定である。回避策としてはDISMを用いたロールバックが提案されているが、セキュリティリスクを伴うため注意が必要である。
https://t.co/OiXxDft9hn

[ITmedia NEWS @itmedia_news]

韓国、政府のオンラインストレージが火災で焼失　8年分の業務資料858TBが消滅か　バックアップなく「気が遠くなる」　現地報道
https://t.co/VzTfO1Hnic

[チームみらい【公式】 @team_mirai_jp]

／
政治とカネの問題を終わらせるための第一歩
#みらいまる見え政治資金
を本日リリースしました📣
＼
公約の一つ、100日プランでお約束した「政治資金の可視化」に向けた取り組みの一つとして、『みらい まる見え政治資金』を開発しました！ぜひ、リンクから実際にツールを触ってみてください。

[naro143 @naro143]

本日16:30からの「技術負債にならない・間違えない」権限管理の設計と実装の発表スライドです。

会場で見づらい場合はお手元でご覧ください🙌

https://t.co/D5htcHe8je

#kaigionrails #kaigionrails_blue

[Osamu OGASAHARA @ogasahara]

「さくらのAI」の第一弾となるパブリックサービス　「さくらのAI Engine」を出しました。
無償枠もあるのでぜひお試しを〜。
OpenAI準拠のChat completions APIやWhisperのAudio transcription APIとかとか。
モデルはQwen3-Coder-480Bとかもありますよ。

使ってみて、プライベートGPU環境でつかいたいとか、これらの上にサービス構築したいとかあれば、なんなりとご相談ください！
そしてなによりもフィードバックください！
使いたくなるサービスをつくり続けたいメンバーが待ってます！

[kokumօtօ @__kokumoto]

EDRやウイルス対策ソフトを停止状態にする新たな概念実証ツールEDR-Freezeが公表。BYOVD¹とは異なり、Windows OSの正規関数を使用。MiniDumpWriteDump関数はメモリのスナップショット取得のために対象プロセスの全スレッドを停止するが、この停止時間を無限にする手法。 https://t.co/GVxcfhjP6X
¹ bring your own vulnerable driver：脆弱なドライバの持ち込み（による権限昇格）

[通信の猫@ID=AO_VTuber @ID_JAPAN_AO]

にゃーん………

NTT西日本による通信障害の原因が判明、VLAN IDの設定ミスでループ発生 https://t.co/qXC1YIT1fQ

[えいとびーと @eightbeat8b]

Zennに記事を書きました

クラウド破産の顛末､なぜ起きたのか解説､回避方法(予算アラート設定方法)､AWSの対応をまとめました

もう誰も､クラウド破産させない｡失敗者は俺で十分だ｡

俺の屍を越えてゆけ･･･
https://t.co/SWXNmoKOSv

[cedric-ryo @cedric_ryo]

HackerOne、日本市場に参入しグローバル展開を加速 https://t.co/GCwt08OedA @PRTIMES_ＪＰより

[𝗵𝗼𝗿𝗶𝘇𝗼𝗻 @horizon2k38]

https://t.co/WgWhoIokGt
OSの次は1000行Hypervisorが出てアツすぎる！！！nutaさんの新作記事が一番嬉しい

[GMO Flatt Security株式会社 @flatt_security]

🏆 Meta社主催コンテストで世界1位 🏆

セキュリティリサーチャーのRyotaK @ryotkak が、「Meta Bug Bounty Researcher Conference 2025」において全参加者中で1位を獲得したほか、"Most Impact Award"を受賞しました。

詳しくはプレスリリースをご覧ください。
https://t.co/1iqmMeUn45