GMO Flatt Security株式会社

"エンジニアの背中を預かる"をミッションに、開発組織向けにトップクラスの専門家が脆弱性診断・ペネトレーションテスト( )を提供します。AIエージェントTakumi( )はWebから今すぐ利用できます！

[GMO Flatt Security株式会社 @flatt_security]

https://t.co/cIybeEIZri

[GMO Flatt Security株式会社 @flatt_security]

12月1日(火)に開催されるレバテックLAB様 @levtech_lab のオンラインイベントに、セキュリティエンジニアの松井 @ryotaromosao が登壇します！

「AI攻撃に守る側がいまやるべきこと～攻撃の最新動向とペネトレーションテストの重要性～」をテーマにお話しします。

ぜひお申し込みください！ #Security_LTLAB
https://t.co/YXvo9DilCq

[GMO Flatt Security株式会社 @flatt_security]

📢 Takumi AIペネトレーションテストが、端末侵害を想定した内部起点テストに対応しました！

端末が乗っ取られた状況を想定し、そこを起点に Takumi がペネトレーションテストを実施します。外部から到達できない内部システムも含めて、目的の達成可能性を検証できます。

https://t.co/GdOgkionbk

[GMO Flatt Security株式会社 @flatt_security]

ウェビナー「急増する不正アクセス 今取り組んで欲しいこと〜年次 × 1アプリ診断から毎日 × 全社AIペネトレへ〜」の資料を公開しました。

昨今の攻撃に関する分析から、新サービス「不正アクセス抜き打ちテスト」の詳細、また今後守り手に求められることを解説しています。

https://t.co/fjG4TdknTC

[GMO Flatt Security株式会社 @flatt_security]

／
📢 本日12:00から！
＼

AIを悪用した不正アクセスが急増する今、取り組んでいただきたいことをお伝えするウェビナーを開催します。

・日時：11/05(木) 12:00~13:00
・登壇者：執行役員 豊田 @toyojuni

▼ お申込はこちら
https://t.co/u5jg0Ms2Bm

[GMO Flatt Security株式会社 @flatt_security]

▼ リリースノートはこちら
https://t.co/Th5NONQLSX

[GMO Flatt Security株式会社 @flatt_security]

📢 Takumi Agent for Endpointを提供開始しました

Macにインストールするだけで、npm 等のパッケージインストールが、強制的にTakumi Guard経由になります。
ツールごとの設定は不要で、悪性と判定されたパッケージは開発端末に届かなくなります。
また、プロキシ型では提供していないコンテナ対象のTakumi Guardも、本機能経由にてご利用いただけます。

詳細はリリースノートをご覧ください。
https://t.co/xLcWcR7JGm

[GMO Flatt Security株式会社 @flatt_security]

先日提供を開始した、Takumi Agent for Endpointの機能詳細ページを公開しました。

・対応エコシステム
・導入方法
・Takumi Guard管理機能との使い分け
・全18項目のFAQ

など、詳しく紹介しています。ぜひご覧ください。

https://t.co/CrmUMGCroA

[とよじゅに @toyojuni]

AIペネトレーションテストに関するウェビナー、今週木曜日ランチタイム(11/5木 12:00〜13:00)にも再演がありますので、ぜひご参加ください 🙋‍♂️ それに価値があるかはともかくですが録画ではないです、喋ります

↓こんな話をしますの例

[GMO Flatt Security株式会社 @flatt_security]

📢 悪性パッケージをブロックするTakumi GuardがGitLab CI/CDに正式対応しました！

GitLab CI/CDのジョブで行うパッケージダウンロードも、組織のインストールログ（有償機能）に記録されます。OIDC認証により、CIに長期有効なシークレットを保存する必要はありません。

https://t.co/gSsGwo8PTH

[GMO Flatt Security株式会社 @flatt_security]

📢 Takumi Agent for Endpointを提供開始しました

Macにインストールするだけで、npm 等のパッケージインストールが、強制的にTakumi Guard経由になります。
ツールごとの設定は不要で、悪性と判定されたパッケージは開発端末に届かなくなります。
また、プロキシ型では提供していないコンテナ対象のTakumi Guardも、本機能経由にてご利用いただけます。

詳細はリリースノートをご覧ください。
https://t.co/xLcWcR7JGm

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[GMO Flatt Security株式会社 @flatt_security]

TakumiのAIペネトレーションテストを改善し、目的の達成に向けて、より粘り強くテストを続けるようになりました！

詳細はリリースノートをご覧ください。
https://t.co/IRqJsby6Ir

[GMO Flatt Security株式会社 @flatt_security]

AIを悪用した不正アクセスが急増する今、取り組んでいただきたいことをお伝えするウェビナーを開催します。

守り手が知るべき時代の変化と脅威、その対策を解説します。

・日時：10/27(火) or 11/05(木) 12:00~13:00
・登壇者：執行役員 豊田 @toyojuni

▼ お申込はこちら
https://t.co/3j3seJREFN

[GMO Flatt Security株式会社 @flatt_security]

続報４：公式 Docker イメージのビルドも順次完了し、コンテナ環境への適用もしやすい状況になりました。ビルドをお待ちだった方も、ぜひアップデートをお願いいたします。

・GitHub https://t.co/tLRoZ4lwR7
・DockerHub https://t.co/BO7aG5Cvjm

[GMO Flatt Security株式会社 @flatt_security]

【要対応】PHP システム多数で被害が出うる脆弱性「php2shell」の修正パッチが、本日10/21 23時（日本時間）にリリースされる見込みです。

以下にて、弊社調査の現況や、現時点で考えうる緩和策・備えを整理しました。ご一読の上、対応にお役立てください。

▼ 詳細
https://t.co/TpXN7puKzh

[GMO Flatt Security株式会社 @flatt_security]

続報３：php2shell アドバイザリを大幅更新しました。

・本件影響は、5.x 系を含む、過去版に及ぶ可能性が否定できません。

・緩和策には、当初案内の機能のみでなく、複数の機能無効化が推奨されます。

・根本的には、最新版への更新が必要です。

▼ 詳細
https://t.co/TpXN7puKzh

[GMO Flatt Security株式会社 @flatt_security]

【続報】LiteLLM に対するサプライチェーン攻撃（一時のマルウェアパッケージ化）についての本記事も、調査結果を踏まえ、大幅に内容を更新しました。

※ なお、本件においても、Takumi Guard をご利用の方に被害はございません。

https://t.co/znh4B3b3e7

[GMO Flatt Security株式会社 @flatt_security]

本日 10/21(水) に発生した、LiteLLMパッケージへのソフトウェアサプライチェーン攻撃に関し、速報記事を公開しました。

※2026年3月に発生した事案とは別の再侵害が発生しています。

詳細について引き続き調査中です。記事を随時更新し、概要と対応指針を整理します。

https://t.co/znh4B3b3e7

[GMO Flatt Security株式会社 @flatt_security]

日本経済新聞にて、執行役員 豊田 @toyojuni のコメントが掲載されました。

10月20日未明にPHP開発チームから注意喚起があったPHPの重大な脆弱性について、悪用時の具体的なリスクやパッチ適用の重要性について解説しています。
https://t.co/NYqSbgK8Ft

[GMO Flatt Security株式会社 @flatt_security]

TakumiのAIペネトレーションテスト機能をアップデートしました！

ブラックボックス診断・グレーボックス診断、およびペネトレーションテストの結果を引き継いで、AIペネトレーションテストの開始が可能です。

詳細はリリースノートをご覧ください。
https://t.co/eVwTgimYCq