ntddk

サイバーセキュリティ企業のCTO

[ntddk @ntddk]

Mythosはどこまでヤバいのか？正しく恐れるために、脆弱性診断内製化のためのハーネスエンジニアリングについて書きました。ゴールデンウィークの読み物にどうぞ。

[株式会社リチェルカセキュリティ @RicercaSec_JP]

リチェルカセキュリティは、AIによる脆弱性発見の現状と内製化の判断基準を整理したホワイトペーパーを公開しました。

Mythos以降、脆弱性発見の前提は大きく変わりつつあります。
その変化の実態と、企業が取るべき対応をまとめています。https://t.co/gXY4WnYrgn

[ntddk @ntddk]

第5回SIG-SEC研究会（セキュリティサマーサミット2026）のパネルディスカッション「最新鋭LLMでサイバーセキュリティはどう変わるか？」にご招待いただきました。7月、北海道でお会いしましょう
https://t.co/L9evPnnHol

[ntddk @ntddk]

ガバメントAI「源内」のv1.0.7が出ています。セキュリティアドバイザーをしました
https://t.co/WojyCkWpSr

[ntddk @ntddk]

マジか！！！

[offensivecon @offensive_con]

Offensivecon is coming to Tokyo! 🔗 https://t.co/VGZ1shw2b1

Ticket shop, sponsorships and CFP are already open...

[ntddk @ntddk]

@Mister_Ch0c Agreed. CTF is already heading into that structure. Top players are also using AI now, and what decides most challenges seems to have come down to things like parallelizing models and automating flag submission.

[ntddk @ntddk]

Duplicated 🤗 I also landed a VM escape and reported it with a working PoC on March 27 — one response on April 7, then it stalled. Not a who-was-first thing; such collisions will only get more common in the AI era.

[V12 @v12sec]

today we are releasing a qemu escape

[ntddk @ntddk]

@arinerron thanks for the reply! what a coincidence! it really does feel like a bit of a gold rush. the quieter corners of large codebases make for such a fun playground

[aaron @arinerron]

@ntddk ironically, we actually reported it the exact same day! lol

[LCFR @lcfr_eth]

"we got rce in very widely used x" -> look inside -> /proc/pid/mem assistance || disabled aslr -> 🥱🥱🥱

[ntddk @ntddk]

俺も彼らもAIぶん回してこれを見つけている。犬も歩けば脆弱性に当たる時代、重複報告も増えるし、いちいち取り合っていたらトリアージコストも青天井。開発チームには「それ対象外だよ」と言い切る胆力もあるといいよね

[ntddk @ntddk]

技術者倫理の時間だ！

俺氏、QEMUからVMエスケープの脆弱性を発見・報告
↓
開発チーム「標準仮想化構成以外の脆弱性は通常のバグとして扱う（=開示制限なし）」
↓
同一脆弱性を発見していたセキュリティ研究者（Fragnesiaのチーム）がPoC公開

「脆弱性ではない」のでCVE番号なし

[ntddk @ntddk]

Duplicated 🤗 I also landed a VM escape and reported it with a working PoC on March 27 — one response on April 7, then it stalled. Not a who-was-first thing; such collisions will only get more common in the AI era.

[ntddk @ntddk]

往年のVENOM（CVE-2015-3456）ほど影響範囲は広くはなく、仮想CXLデバイスを有効にしていないと刺さらない。だから「脆弱性じゃない」。

[ntddk @ntddk]

There's another one I haven't published ― a different-root-cause VM escape. Given QEMU's position that "non-virtualization use case" issue are bugs rather than vulnerabilities, I'm honesty unsure it's even worth releasing.

[ntddk @ntddk]

「閉山中の富士山に登るなんて💢」「Webサービスの野良クライアントを作るなんて💢」というのはリスクテイクが美徳になる分野とアテンションエコノミーの相性の悪さだよな。怒りまで計量されて本当にいいんですか？

[ntddk @ntddk]

日本政府がMythosにアクセスできないことが問題なのではない、という話はホワイトペーパーに書いたから読んでくれよな。

[ntddk @ntddk]

@sekimiya ←夏休みナシ😭

[suzaki @KuniSuzaki]

ホワイトペーパー
Mythos以降のAI脆弱性診断 [Ricerca Security 2026]
https://t.co/Ifjzk6XirD
をダウンロードしました。
Mythosの問題点を良く書けています。
研究室でも読んでもらおう。

[ntddk @ntddk]

@HiromitsuTakagi いまはロジックバグもじゅうぶん検出できるようになっています

[ntddk @ntddk]

すまん、Webフォーム埋めなきゃいけないのは勘弁してくれ。驚き屋に対する殺意はしっかり込めてるから。

[ntddk @ntddk]

Mythosはどこまでヤバいのか？正しく恐れるために、脆弱性診断内製化のためのハーネスエンジニアリングについて書きました。ゴールデンウィークの読み物にどうぞ。

[株式会社リチェルカセキュリティ @RicercaSec_JP]

リチェルカセキュリティは、AIによる脆弱性発見の現状と内製化の判断基準を整理したホワイトペーパーを公開しました。

Mythos以降、脆弱性発見の前提は大きく変わりつつあります。
その変化の実態と、企業が取るべき対応をまとめています。https://t.co/gXY4WnYrgn

[ntddk @ntddk]

実家の本棚、実家のような安心感