nintoq

努力・感謝・笑顔。 ほにゃらら支援士 / ネスぺ...etc。 只今CISSP / CEH /は失効中。基本的には自分用メモ&備忘録垢です。

[まさやん @raggariddim]

PKI（公開鍵基盤）についてまとめてみた。#情報処理安全確保支援士　#IPA　#セキスペ

[まさやん @raggariddim]

S/MIMEとDKIMを比較してみた。＃セキスペ　＃情報処理安全確保支援士　＃IPA

[piyokango @piyokango]

能動的サイバー防御に向け、基幹インフラ事業者にサイバー攻撃の報告義務などの命令 - INTERNET Watch https://t.co/WVYtbVYA1b

[TVer @TVer_official]

⋰
「ARASHI Collection」🕺
TVerで無料配信中📢
⋱

嵐が過去に出演した
名作ドラマ28作品をTVerで配信！

嵐の軌跡をTVerでもう一度楽しもう✨

[MBSD NEWS @mbsdnews]

【MBSD技術者ブログ】
Web開発者が気を付けたいDoS攻撃手法

DoS攻撃というと、大量通信によるDDoSを思い浮かべがちですが、
実際にはWebアプリケーションの設計・実装を突く攻撃も存在します。
本記事では、ReDoS / GraphQL / Web Cache Poisoning / Billion laughs攻撃 など、
Web開発者・設計者が押さえておきたい代表的なDoS攻撃手法と対策を解説しています。

▼詳細はこちら
https://t.co/T60VUlXMyj

[yousukezan @yousukezan]

今の脆弱性の見つけ方について語られてるので脆弱性に関係ある人は見ておいたほうがいい気がした
https://t.co/9IRsAMmcz4

[cuon @yskmerlion]

セキュリティおじさん

[Autumn Good @autumn_good_35]

2026年05月18日
国家サイバー統括室
「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」をとりまとめました
[PDF] https://t.co/QbJI4tBDxY
[PDF] https://t.co/hO0ngPcqzh
[PDF] https://t.co/28hs4jj25z
[PDF] https://t.co/PSi85B4QFu
[PDF] https://t.co/QSI0jUsqjG

[nintoq @nintoq]

22歳の天才エンジニア「Claude Mythos」を推測でほぼ完コピ、無料で公開する 7億7000万パラメータで、13億パラメータのモデルに匹敵
https://t.co/ijMD4pOWNa #sbbit @bitsbbit

[SECCON @secconctf]

SECCON Beginners CTF 2026 開催決定‼
初心者〜中級者向けオンラインCTFを今年も開催します。
🔴2026/6/13-14（ 24時間 )
参加登録は 6/6 開始予定です！
#SECCON #CTF #初心者歓迎 #ctf4b
詳細はこちら👇
https://t.co/ozVBgi0e2I

[＠IT - アットマーク・アイティ @atmark_it]

「単独の管理者に任せないで」　米CISAが警告、エンドポイント管理システムの設定強化を呼び掛け
https://t.co/yBnfMlwDOb

[OSINT.JP @osintjapan]

今年もOSINT（オープンソース・インテリジェンス）専門のコミュニティカンファレンスである「https://t.co/aqrM55jsOT Conference 2026」を10月17日(土)に東京・両国にて開催します！
詳細はこちらのアカウントで随時告知いたします。
#OSINT #OSINTJP

[nekono_nanomotoni @nekono_naha]

大騒ぎのMythos以上の脆弱性発見性能評価がGPT5.5で出てるのにこちらはほぼ無風状態でAnthoropicの広報戦略は良くも悪くも凄い事がわかる。明らかバズり狙いの発信を何度もやってくるけど、敢えて煽りまくって社会の対策を加速させる目的もあるのかな

英AISIのMythos/GPT5.5の結果まとめは添付参照

[nekono_nanomotoni @nekono_naha]

最近のAnthropic Mythosを震源とするAIを用いたサイバー攻撃リスクが騒がれすぎて、偉い人からの”これ大丈夫なのか”に苦慮されている方も多そうなので、個人的見解をまとめました。

AIはいずれ深刻な脅威となり今のAPT系攻撃グループとも遜色ないレベルにも到達すると思いますが、まだまだその水準では無いと思います。

Mythosの性能は英国AISI、Mozilla、Anthropic社自身の情報が参考になりますが、その報告から得た評論家的な感想です。特にAISIは非常に詳細な情報を開示しており、その情報中心に共有します。

AISIは3つのテストを行っています。

1：脆弱性発見/CTF
隠された脆弱性を特定する能力を測るCTFテストですが、これは性能が大きく向上し2025年4月以前はどのモデルも成功できなかった専門家レベル（4段階中最上位）のテストを73%の確率で成功し、発見から悪用までできたそう。

Anthropic社による類似の脆弱性発見試験でも、主要OS、ブラウザ全てからゼロデイ脆弱性を発見しExploit化に成功。OSSの既知脆弱性の概要情報だけを伝え既存ソフトから脆弱性部分を見つけ再現するテストで1500超の課題の83%で成功とのこと ※ただ以前のモデルでもOpus 4.6 が67%、Sonnet 4.6 が65%成功済み

更にMozillaのテストではFirefoxを対象にした検査で271件の脆弱性を新たに発見。この種の問題は以前なら1件でも緊急警戒級だったと述べており、271件という規模を強い危機感をもって受け止めていることと、人間の研究者が見つけられる種類/複雑さの脆弱性でMythosが見つけられないものはない、一方、人間トップ研究者でも見つけられない種類のバグ特定はまだとのこと。

Mythosの性能では脆弱性発見力向上が最大のハイライトのようです。まずい状況にも思えますが、脆弱性自体はどんなソフトにも未だ多く内在してますし、脆弱性1つあってもそれだけで企業のセキュリティ全体を脅かすようなことにはならないので、ここだけで大きな脅威と捉えるのは尚早に感じますし、この能力は攻撃だけではなく防御側でも十分活用できていくと思います。

ただ人間と違いほぼ無尽蔵の検査リソースを持つAIにより、数年間内は脆弱性（CVE）の件数とクリティカルなものの数が急増していくと思うのでその管理や優先度付の進化が必要です。

2：模擬企業環境への攻撃/TLO
TLO/The Last OnesというAISIのテストでは随所に脆弱なポイントを撒いた企業を模したテスト環境へ、外部からの侵入と情報持ち出しをMythosに行わせ、初めて攻撃を完遂できたモデルだったそうで、10回中3回の成功だったとのこと。テスト詳細は添付画像の通り。

攻撃が完遂できたと聞くとぎょっとしますが、重要なのが模擬企業環境とは言っても、防御系製品による行動阻止や介入は一切なく、どれだけ派手に行動してもペナルティはない等、現実にはありえない構成になってることです。

対策も監視も何もない企業環境であれば攻撃を完遂できても、現実の多くの企業環境では攻撃が早期に止まるか気づかれる結果となりそうです。なお、純粋な攻撃力は現AIで十分なため、今後は防御を備えた環境での評価設計が必要になると示唆しています。

3：OT・ICS環境への攻撃/Cooling Tower
これは模擬発電所の冷却塔制御システムへの攻撃を試みるテストで独自プロトコル・暗号解析や制御装置攻略も必要な主にOT領域を想定した高難度のテストです。

このテストでは前段階のIT系システム攻略パートで詰まってしまいOTシステム関係の性能を測るに至らなかったそうです。

なおTLO、Cooling Tower相当の模擬攻撃評価はAISI以外の組織からの公表は見当たりません。

大騒ぎするには少し早い印象ではありますが、Cooling Towerもいずれ攻略されるのでしょうから、それに備えていまから大騒ぎして対策を促しておくという面もあるのかもしれませんが、Mythosの現状を冷静にみると上記の通りになるかなと思います。

一緒に騒いで会社からセキュリティへの投資を引き出す材料にするのもありだし、過剰反応してる人には落ち着いて、とお伝えする参考になればと思います。

ソース：
https://t.co/n2mWQARMEk https://t.co/kSJSFHOCRD https://t.co/y2s0kxFno1 https://t.co/5gg3W7jyQ2

[M1LLCR3PE @M1LLCR3PE]

以前から興味のあった技術系同人誌のサークル参加に申し込みました。

技書博13にてセキュリティ関連の本を出す予定です。
宜しくお願いします。

サークル Midnight Monologues
配置番号 あ-07

#技書博

[yousukezan @yousukezan]

米政府機関のネットワーク機器が高度マルウェアに感染し、修正後も潜伏を続けていたことが判明した。通常のパッチでは除去できない持続性を持ち、攻撃者が長期間アクセスを維持する新たな脅威が浮き彫りになっている。

CISAは、連邦機関のCisco Firepower装置が2025年9月に「FIRESTARTER」バックドアへ感染したと公表した。このマルウェアはNational Cyber Security Centreと共同で分析され、APT攻撃の一部と評価されている。

侵入はCVE-2025-20333およびCVE-2025-20362の脆弱性悪用によるもので、VPN認証情報の不正利用や未認証アクセスが可能だった。初期侵入後は「LINE VIPER」が展開され、その後FIRESTARTERが永続化手段として導入された。

FIRESTARTERはCisco ASAの中核機能LINAにフックを仕込み、通常処理を改変して任意コードを実行する。再起動やファームウェア更新後も再生成される仕組みを持ち、完全な電源断や再イメージ化を行わない限り除去が困難とされる。

当局は境界機器の棚卸しや特権アカウント監査、認証情報の更新を推奨し、異常な挙動の監視強化を呼びかけている。
https://t.co/GPDTun48Xh

[ライブドアニュース @livedoornews]

【発表】メカニカルキーボードのFILCOで知られる「ダイヤテック」が事業終了
https://t.co/L67Sh406Pl

ダイヤテックはウェブサイトで「2026年4月22日をもちまして、弊社は事業を終了(閉業)いたしました」と伝えた。

[乃木坂46 @nogizaka46]

【ニュース更新】 小川彩、菅原咲月がそれぞれ舞台に単独初主演で出演決定！ https://t.co/ihrmopu1u3

[辻 伸弘 (nobuhiro tsuji) @ntsuji]

PDFを開くだけで、このAdobe Readerのゼロデイ脆弱性が悪用される恐れ |Malwarebytes https://t.co/seUNlL2M4I

CVE-2026-34621

･Acrobat DC バージョン 26.001.21367 以前（バージョン 26.001.21411 で修正済み）
･Acrobat Reader DC バージョン 26.001.21367 以前（バージョン 26.001.21411 で修正済み）
･Acrobat 2024 のバージョン 24.001.30356 およびそれ以前（Windows 版は 24.001.30362Windows macOS 版は 24.001.30360 で修正済み）

[nintoq @nintoq]

IPA、サイバーセキュリティ対策の記載を拡充した「中小企業の情報セキュリティ対策ガイドライン」第4.0版公開 - INTERNET Watch https://t.co/5uIfWAG1zN