ぼいらー

しがないプログラマーです。

[ぼいらー @mapyo]

セキュリティ系のニュースが多すぎて追いきれないので、Claudeのスケジュール機能で1日1回まとめて通知してもらうようにした。
けど、脆弱性が出てから悪用されるまでがどんどん短くなってて、1日1回では遅い世界線に入ってきてるのかもしれない。。。

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[ぼいらー @mapyo]

今回のPHPの脆弱性、バージョンアップしてない会社はセキュリティパッチが公開されてないから結構辛い状況になるということか。。。

[【公式】freee @freee_jp]

10月21日(水) 19:00 から 10月22日(木) 5:00 まで（予定）、freeeの一部のサービスで臨時メンテナンスを実施しております。メンテナンス中は該当するサービスをご利用いただけません。

利用している外部ソフトウェアのセキュリティに関する状況を踏まえ、予防措置としてサービスを一時停止してセキュリティ上のアップデートを行うものです。

なお、本件に起因して弊社での不正アクセスや情報漏洩は確認されておりません。

急なご案内となり、みなさまにはご不便・ご心配をおかけしますことを深くお詫び申し上げます。引き続き安心してご利用いただけるよう努めてまいりますので、ご理解とご協力のほど、よろしくお願いいたします。

■ メンテナンス情報ページ
https://t.co/pcfalvtuCw
※ 終了時刻は予定よりも前後する場合がございます

[ぼいらー @mapyo]

Aqua Voice、なぜかわからないけどゆるキャラっぽいやつが表示されるようになった

[松本 勇気 (Yuki Matsumoto) | LayerX CTO @y_matsuwitter]

ソフトウェア開発のあり方も、日本とベイエリアのAgent企業だと差が出始めているなと感じる。

これはBet AI Dayで作ったスライドですが、開発プロセス自体も3つのループを閉じるプロダクト開発そのものになっていく。そこまでやってFactoryと言える。人間がどう使うかの話ではない。

[ぼいらー @mapyo]

地震速報なってるが特に揺れてなさそう。。？

[ぼいらー @mapyo]

Grok Bot、スマホでxみてる時に内容コピペしてChatGPTに貼り付けていろいろ聞いてるのだが、そのコピペ要因として役に立ちそう

[ぼいらー @mapyo]

レビューした時にコンフリクトしてるから修正してと依頼してるけど、それ自体もう遅いってことか。コンフリクトしてたらAIが自動で修正するから、むしろその修正で問題ないか人間が確認するようにしておけばいいのか。

[ぼいらー @mapyo]

AIに開発やプルリクレビュー依頼してると、求められてる要件に対して過剰な実装してくるケースがある。一部のレアケースにて、やったらそりゃ効果あるのだけど、そこまで考慮してやる必要ある？みたいなイメージ。それを却下するのか、しないのか。
https://t.co/EHZbAFqzf5

[ぼいらー @mapyo]

AIがコードベースを検索した結果、仕様と違う内容を提示してきた。

別の人が作ったPRでも同じような間違いがあったので原因を聞くと、コードベースのある部分を読んで誤解したとのこと。

AIが誤解しにくいようにコードベース自体を整えていく重要性を思い知った。

[ぼいらー @mapyo]

めっちゃやった記憶あるなー！！懐かしい。

[スクウェア・エニックス @squareenix_jp]

【🌟#スクエニ記念日🌟】
本日発売されたのはこちらの作品

◆聖剣伝説3 (1995年)

6人の主人公候補から選んだパーティ3人の組み合わせによって物語の展開が変わる、トライアングルストーリー。
成長システム”クラスチェンジ“により、戦略性の高いパーティ育成が楽しめる。
https://t.co/ANziIqgmdW

[ぼいらー @mapyo]

Claude Codeでセッション間の通信出来るようになってるから、隣のセッションと調整してよしなに作業分担してやっといて。というのがやりやすくなって良い感じ

[ぼいらー @mapyo]

Devin、いいけど高いんだよなぁ。とまさに思ってたからありがたい！！

[Kinopee @kinopee_ai]

Devin が大幅にコスト削減。
- Fusion / Normal で 30–40%
- Ultra で 15–20%
- Devin Review で最大 70%
単なるモデルルーティングではなく、ツール、キャッシュの最適化などの組み合わせ。「Devin は良いけど高い」と言われてきましたが、Cognition はその点も解消しようとしています。

[Kinopee @kinopee_ai]

Devin が大幅にコスト削減。
- Fusion / Normal で 30–40%
- Ultra で 15–20%
- Devin Review で最大 70%
単なるモデルルーティングではなく、ツール、キャッシュの最適化などの組み合わせ。「Devin は良いけど高い」と言われてきましたが、Cognition はその点も解消しようとしています。

[ぼいらー @mapyo]

安全に使える環境を作っておいて、その中で好き勝手やれる（予算の範囲内）状態を作るのがめっちゃ楽だよなぁ

[Taichi Nakashima @deeeet]

メルカリのAI Nativeな働き方に最も影響を与えた基盤の一つ．

全ての職種のひとがArcaを使ってプロタイプを気軽に作って公開するようになってる．全社ハッカソンはArcaで動くものを公開することが必須条件になってたり．セキュリティの考え方としてエージェントが大胆に動けるようにしっかり守るという思想になっており良い．　

今は開発側のRemote Agent基盤 (開発から検証，運用までを担えるように) も作っており，ArcaをIdeationの起点としてそれらを連携させることで，開発全体がループで自律実行させていけることを目指してます．

メルカリにおけるAI時代の高速プロトタイピング基盤「Arca」 https://t.co/t7643YmlR8

[Taichi Nakashima @deeeet]

メルカリのAI Nativeな働き方に最も影響を与えた基盤の一つ．

全ての職種のひとがArcaを使ってプロタイプを気軽に作って公開するようになってる．全社ハッカソンはArcaで動くものを公開することが必須条件になってたり．セキュリティの考え方としてエージェントが大胆に動けるようにしっかり守るという思想になっており良い．　

今は開発側のRemote Agent基盤 (開発から検証，運用までを担えるように) も作っており，ArcaをIdeationの起点としてそれらを連携させることで，開発全体がループで自律実行させていけることを目指してます．

メルカリにおけるAI時代の高速プロトタイピング基盤「Arca」 https://t.co/t7643YmlR8

[ぼいらー @mapyo]

1週間くらいオフィスに放置してた開封済の水（口はつけてない）を気が付かずに飲んでしまって、口さえつけてなければ大丈夫だろうという気持ちもありつつ、緊張感が走っている。

[ぼいらー @mapyo]

日本語いい感じにしてくれてるスキル使ってるが、どうも微妙な仕上がりになることがあるから、みてみよう

[kosui (こうすい) @kosui_me]

tanteki: 業務のための文書をもっと端的にするSkill
https://t.co/QRzxptymHU

長ったらしい文書に悩んでいませんか？

論点が曖昧なADR、なぜか作業の進捗が書かれたDesign Doc、現在の実装を詳説した手順書...

文書の種類ごとに、書くべき情報を絞って執筆する「tanteki」をリリースしました。

[ムツミックス@11/23 技術書典21【い19】 @Mutsumix_dev]

やはりJevは速いな…