Kanatoko

最高品質のウェブセキュリティサービスをお届けする。 Scutum VAddy Loggol の中の人でつ。

[Kanatoko @kinyuka]

iLogScannerが更新されなくなってしまって久しいですが、シンプルにウェブサーバのログをセキュリティ的視点で分析するという機能に美を感じていたので、同じ立ち位置のセキュリティサービスをリリースしました。説明など、私が赴きますので気軽に声かけてください! https://t.co/AEdipSCaZG

[Hedgie @HedgieMarkets]

🦔In South Korea, "dopamine sites" have spread among Gen Z. Fake food delivery apps where you browse menus, fill a cart, and simulate an order you never place. Fake shopping sites where you track a courier that doesn't exist. Virtual smoke break rooms where you sit with strangers and watch a timer count down. Young Koreans spend up to 30% of their income on rent. The youth employment rate has dropped to 43.6%. Nearly half a million young Koreans have stopped looking for work entirely.

My Take
I don't know whether to call this sad or rational. Probably both. If you can't afford the delivery, faking the order and taking the dopamine without the bill is a better financial decision than going into debt for the food. That's a sentence I never expected to write, but the logic holds.

This is what the end of the consumer pipeline looks like. Companies spent decades fine-tuning every app and every checkout to trigger the purchase impulse. They got exactly what they built. A generation wired to consume. And then the economy priced that generation out. The dopamine sites are the honest version of what every shopping app already does. The only difference is they took the transaction out. Every other shopping app is a dopamine site that also charges you.

Hedgie🤗

[Kanatoko @kinyuka]

勉強のためNGINXに対するHTTP/2 Bombを実行するクライアントのコードをAIエージェントを使わずに書いてみた。確かに1接続で300MB弱のメモリを消費させることができる

[Kenn Ejima @kenn]

やべぇ

Webアプリのエラー追跡に使うSentryのテレメトリは公開されてるのでそこに偽物のバグを送りつけ、それをAIに修正させようとするとnpxコマンドで悪意あるコードを実行するという手口

もう何も信じられないな

[Kanatoko @kinyuka]

これですなぁ

『今まで1ヶ月で開発していたものが１週間で開発できるようになって、1ヶ月で生産性が4倍になったとしても、追加された分のソフトや開発案件に需要が発生しなければ、その分はお金になりません。』

[今井翔太 / Shota Imai@えるエル @ImAI_Eruel]

生成AI開発は、コーディング能力でソフトウェア業界という黒字の元を見つけ、少なくとも一時的に黒字化は可能であることは示したのですが、まだ安心はできず、ここから先は「AIバブルか収益は上がるか」はAI業界ではなく、別業界の需要構造の問題になったと思います。
ソフトウェア開発の世界で現場レベルで生産力が上がったとしても、その上がった分の生産能力が売り上げに変換されなければ、長期的にはAI業界に対して払うコストが正当化できず、結局AI側に流れるお金も一過性で減っていきます。
今まで1ヶ月で開発していたものが１週間で開発できるようになって、1ヶ月で生産性が4倍になったとしても、追加された分のソフトや開発案件に需要が発生しなければ、その分はお金になりません。需要が発生しないソフトを作っているのであれば、むしろ開発案件が４倍になった分コストは増えています。
したがって、そもそも現在のソフトウェア業界が増えた分の生産力に需要が発生するほどの構造になっているか、言い換えると現在のソフトウェア業界は売り上げが発生する案件が大量あるのに人間の開発力では追いつけていない状況がどれくらい発生していたかが問題になります。
仮にソフトウェア業界の需要に天井があるとすれば、生産性をお金に変えるために重要になってくるのは「どれだけ多くの人を解雇できるか」になります。少なくとも、現時点のアメリカのレイオフ状況を見ているとややこちらが優勢っぽい不穏さを感じます。
ちなみに、ソフトウェア業界に関して、明確に人手不足であると個人的に感じているのはゲーム開発の世界です。最近のゲームはあまりにもリッチになりすぎたせいで、開発規模も機関も巨大になっています。私個人がプレイヤーのところだとドラクエやFFなどですが、この辺の開発の生産性を上げることができれば、そのまま収益に繋げられるのではないかと思っています。

[Kanatoko @kinyuka]

NGINXは1つのHTTPリクエストに32000のフィールドを許容していた（している？）らしいのでやはり懐が深すぎるかもしれないｗ

[Kanatoko @kinyuka]

HTTP/2 BombのIISのPoCでは接続数を1000や2000にしているみたいなんだけど、そもそもHTTP/2は基本的に1つの接続だけにしてね、という考え方だった気がするので、1000とか受け付けるのはIISの懐が深すぎるのかもしれない

[Kanatoko @kinyuka]

ぱっと見た感じ
HTTP/2 BombはApacheとEnvoyのCookieが複数あっても全体として数を1としちゃうのはシンプルなバグであり比較的気にならないんだけど

IISのやつこれで攻撃成立するんだ
やっぱりWINDOW_UPDATE遅らせたりするやつ対策をもうちょい真剣に考えよう

[yousukezan @yousukezan]

HTTP/2を利用する主要Webサーバーに、わずかな通信で数十GBのメモリを消費させる新たなDoS攻撃「HTTP/2 Bomb」が公開された。PoCコードも既に公開されており、ApacheやEnvoyなどでは1台のクライアントからサーバー全体を停止状態へ追い込める可能性がある。

この攻撃は、HTTP/2のヘッダー圧縮機構であるHPACKとSlowloris型攻撃を組み合わせたものだ。通常の圧縮爆弾とは異なり、大量データを送るのではなく、極めて小さなヘッダーからサーバー側で大量のメモリ確保を発生させる。さらにゼロバイトのフロー制御ウィンドウを悪用し、確保したメモリを長時間解放させない。

研究者によると、Apache httpdやEnvoyでは単一の攻撃クライアントが約20秒で32GBのメモリを消費させることが可能という。サーバーはクラッシュせずスワップ状態へ陥るため、正規ユーザーのアクセスが極端に遅くなる。

影響は広範囲に及び、nginxは既に対策を実装済みで、ApacheもCVE-2026-49975として修正を公開した。一方でMicrosoft IISやEnvoy、Cloudflare Pingoraなどは記事時点で修正が提供されていないとされる。

対策として研究者は、可能であればHTTP/1.1への切り替えやヘッダー数の制限、コンテナ単位でのメモリ制限設定を推奨している。
https://t.co/FB6DxWNsWt

[Kanatoko @kinyuka]

ﾍﾞｯﾁｰ仕事してるな

[すけ @3sukeju]

なんか怖いこと書いてあるな…🙄

[Son Luong @sluongng]

Codex just found a “workaround” of not having sudo on my pc…

[Kanatoko @kinyuka]

<script>alert('kwkw'みたいな攻撃も報告する義務があるものなのだろうか

『不正アクセスなどのサイバー攻撃を受けた際や、攻撃の痕跡を発見した際（特定侵害事象等）には速やかに所管の大臣および内閣総理大臣に報告し、30日以内に詳細な報告書を提出する』
https://t.co/0nJhgU7V1W

[Kanatoko @kinyuka]

@EijiYoshida 蚊ｗｗｗ

[gabe @allgarbled]

I made a /seppuku skill for my Claudes for when they make an unforgivable mistake, and now they use it spontaneously without me asking.

[吉村 優 ☕ YOSHIMURA Yuu @_yyu_]

ペッパーくんなどの二足歩行ロボットに人力車を運行させれば、軽車両ということで色々な法的束縛を回避した自動運転車にならないだろうか？🤔

[vaxry @vaxryy]

supply chain attacks?

yeah no, I use C++. We don't even have a package manager.

[Kanatoko @kinyuka]

@yskmerlion @hasegawayosuke 技術的負債という言葉を口にするための心理的安全性が欠けています

こうですか

[Kanatoko @kinyuka]

@hasegawayosuke 仮想パッチという用語
なんか懐かしいですね

[Yosuke HASEGAWA @hasegawayosuke]

「技術的負債」が我々の使う感覚と外れている気がするけれど、我々だって技術的負債という語の指すところは一致していないので、まぁ……。

[thaidn @XorNinja]

We’ve now seen at least four nginx RCEs that require non-default configs: nginx rift, nginx poolslip, and two of our own (including the one in the last tweet).

The configs involved are unusual, which raises the obvious question: do these attacks actually work in real-world deployments?

We asked Claude to download and analyze more than 4,000 nginx config files from GitHub.

The result was embarrassing: none of them were vulnerable to nginx rift or our own attacks. We can’t say anything about nginx poolslip yet, since it hasn’t been published.

So don't worry about your nginx yet.

Moral of the story: AI can generate FUD, but also help fight FUD. Embrace it!

[Kanatoko @kinyuka]

@elkentaro 行きました！ﾅﾂｶｼｽ〜