Sen Ueno

サイバーセキュリティの株式会社トライコーダ、OWASP Japan Chapter Leader など。飲むとすぐ寝る。
書籍『#セキュリティ1年生』2025年10月21日発売

[Sen Ueno @sen_u]

『#セキュリティ1年生』 Amazonでの予約スタートしました！
従業員に「読ませたい！」と思えるセキュリティ入門書。フルカラー図解でわかりやすく、各専門家によるレビューも行っていて企業の研修にも最適です。
10月21日発売／税込2,420円
https://t.co/gc7u2y7Z3W

[Sen Ueno @sen_u]

IPA刷新！ビールのラベルになってもまったく違和感がなくなった！ https://t.co/S7Gkrgp9GR

[Sen Ueno @sen_u]

6月4日(木)に私が登壇するウェビナーが定員500人なのに登録者が1000人超えたらしい！どんだけ、、
当日は2日コースの「AIセキュリティエンジニア講座」の全スライドを25分で話します！20倍速!?
https://t.co/7kGfjoKpyf

[Sen Ueno @sen_u]

英国のNational Cyber Security Centre（NCSC）が、「AIモデルを使って脆弱性を発見する前に確認すべき10の質問」を公開。AIを活用した脆弱性発見における考慮点を整理した内容です。 AIを用いた脆弱性発見は有効な可能性がある一方で、「脆弱性を見つけること」と「セキュリティを改善すること」は別問題であり、組織には脆弱性管理、優先順位付け、運用体制、情報保護などの基本的なセキュリティ管理が求められるとしています。
1. AIを活用することで、どのような成果を目指していますか？
2. AIを活用することは、セキュリティを向上させる最善の方法でしょうか？
3. AIが発見した脆弱性を管理するためのプロセスはありますか？
4. 脆弱性の優先順位付けはどのように行うべきですか？
5. AIを使って脆弱性を発見する際のリスクは何ですか？
6. どのAIモデルを使用すべきですか？
7. どこから始めればいいですか？
8. 新しいAIモデルに対応するための私の長期的な計画は何ですか？
9. 人材育成において、どこに投資すべきでしょうか？
10. 私たちが開発または使用するすべてのものがどのようにパッチ適用されているかを把握していますか？
https://t.co/iQGyCDCXFu

[Hiromitsu Takagi @HiromitsuTakagi]

私財を投げ打ってブーストしたった。

[Sen Ueno @sen_u]

東京都水道局から「猛暑から都民の命と健康と暮らしを守るため、今夏４か月間、水道料金の基本料金を無償／詳細は東京都水道局サイトをご覧ください」というフィッシングっぽいメールが来てたけど本物だった。
https://t.co/OwiKvinVZs

[熊谷正寿【GMO】 @m_kumagai]

🏆 世界1位達成 🏆

Anthropicの脆弱性発見・報奨金制度

GMO Flatt SecurityのホワイトハッカーRyotaKが、AI業界を牽引するAnthropicのバグバウンティプログラムで1位を記録😊㊗️

日本の技術力、世界へ

https://t.co/2YesPMG6D6

#GMO #GMOFlattSecurity #Anthropic #ClaudeMythos #AIセキュリティ

[徳丸 浩 @ockeghem]

Hack Fes. 2026にて「徳丸本アップデート2026」と題してワークショップを担当します。
徳丸本2版（2018年6月）以降に起きた大きな「変化」は、私は「個人情報漏洩から事業被害へのシフト」だと感じていて、その問題意識に基づく内容です。
#hackfes #hackfes2026
https://t.co/0Kcg6mBa6b

[Satoki@Kn0wl3dg3 @satoki00]

Hack Fes. 2026にて「AIエクスプロイト時代のサイバー防衛：現役ハッカーが語る、AIによる0-day発見の最前線と防衛側のSurvival of the Fittest」を喋ります。
#hackfes #hackfes2026
https://t.co/jGGcLIwEhh

[Sen Ueno @sen_u]

AIによる脆弱性発見加速の影響が記事内で触れられていますね。
MicrosoftのPatch Tuesdayは137件を修正も、criticalが30件。CVSS 9.0以上14件、満点10.0も。MDASHが16件を発見とAI活用で修正規模拡大、管理者の作業増。要点はDNS/RCEやDynamicsの即対応。https://t.co/chC2EQM497

[Sen Ueno @sen_u]

「国内組織のセキュリティ投資は平均でIT投資の15%と年々増加傾向」こういう数字欲しがる人は多い印象。
2025年の被害経験55%。身代金要求型は業務影響45%で、停滞平均54日・経済的影響6.4億円超。運用複雑化を背景に88%が集約・統合を志向し、投資は「量」から「質」へ
https://t.co/f53FltNxh6

[Sen Ueno @sen_u]

Heroku社が提唱したWebアプリ開発のベストプラクティス「The Twelve-Factor App」のAIエージェント版「12-Factor Agents」
LLMエージェントは「プロンプト＋ツール＋ループ」だけでは本番品質に届かない。信頼性/拡張性/保守性のための12原則（ツール呼び出し、文脈管理、制御フロー等）を整理

1. 自然言語からツール呼び出しへ（Natural Language to Tool Calls）
2. プロンプトを自分で持つ（Own your prompts）
3. コンテキストウィンドウを自分で持つ（Own your context window）
4. ツールは構造化された出力として扱う（Tools are just structured outputs）
5. 実行状態とビジネス状態を統一する（Unify execution state and business state）
6. 単純なAPIで起動/一時停止/再開（Launch/Pause/Resume with simple APIs）
7. ツール呼び出しで人に連絡する（Contact humans with tool calls）
8. コントロールフローを自分で持つ（Own your control flow）
9. エラーをコンテキストウィンドウに圧縮して戻す（Compact Errors into Context Window）
10. 小さく焦点を絞ったエージェント（Small, Focused Agents）
11. どこからでも起動し、ユーザーのいる場所に合わせる（Trigger from anywhere, meet users where they are）
12. エージェントをステートレスなリデューサにする（Make your agent a stateless reducer）

https://t.co/nrKLj0nWea

[Sen Ueno @sen_u]

従業員がいない1人社長や個人事業主向けのセキュリティガイド「NIST CSWP 50 中小企業サイバーセキュリティ：非雇用企業」は、CSF 2.0を使って“ソロプレナー”など最小規模でもサイバーリスクを管理する基礎を、専門用語なしで解説。成長時の考慮もあり

高度なセキュリティ製品を入れましょうではなく、最初のステップとして以下を推奨
1. 重要資産の棚卸し
2. 利用中クラウドサービスの把握
3. 使用端末の一覧化
4. 強力なパスワード設定
5. MFA（多要素認証）の有効化
6. バックアップ
7. ソフトウェア更新

このガイドでは
・まず何を棚卸しするべきか
・MFAをどこに設定するべきか
・バックアップをどう考えるべきか
・フィッシングやランサムウェアをどう防ぐか
・インシデント時に誰へ連絡するべきか
など、かなり実践的に整理されています。弁護士・EC事業者・コンサルタントなどのケーススタディも掲載されていて、小規模事業者が自分ごととして読みやすい構成です。
https://t.co/4HaopMeHNB

[Sen Ueno @sen_u]

リプレイ攻撃か。台湾の高速鉄道で大学生が無線通信をハックし、偽の緊急アラームで4本を停止。TETRAの信号パラメータが19年間ローテーションされず再利用可能だった点が焦点。 https://t.co/7CNXognHLf

[Sen Ueno @sen_u]

Zara約197,000人分の個人データが、第三者ベンダー経由の侵害で流出と報告。メールや注文情報、購入履歴、問い合わせチケットが対象に。ShinyHuntersはAnodot認証トークン悪用を主張。https://t.co/uQJYp3Nq3G

[Sen Ueno @sen_u]

ポーランドの水道施設5カ所で、OT/ICSに侵入し運用パラメータをリアルタイム改変する攻撃がABWにより報告。脆弱性ではなく弱い認証・管理画面のネット公開が原因と指摘。関与はAPT28/APT29/UNC1151。https://t.co/HbFo3hkGSH

[Hardening Project @WASForum]

Micro Hardening V3 オンサイトの皆さん at NICTイノベーションセンター

AIでセキュリティ、始まったな！

#H2026AC

[lumin @lumin]

Hack Fes. 2026 で話したい人募集しています。CFP募集中。
https://t.co/HXn5wcq3Ej

[Sen Ueno @sen_u]

信じるか信じないかは、あなた次第！
https://t.co/kHjrlq6lwh

[Sen Ueno @sen_u]

西尾さんは拙著「セキュリティ1年生」のレビュアーを務めて頂いたくらいセキュリティ関連にも信頼が厚い方です。

[あおい みゆ @japan_miyu_]

【がち有能裁判官】

西尾太一裁判官

評価4.7／6件

「警察の証拠改ざんをバイナリレベルで暴いた」

最強裁判官

・東京大学 理学部 卒業
・早稲田大学大学院 法務研究科 修了（2010年）
・弁護士登録（2012年に裁判官任官前に弁護士活動）
・大阪地裁判事補（2012年1月任官）

---何をした人？---

愛知県警パトカー ドラレコ改ざん事件
（名古屋地裁令和4年10月5日判決）

「事件の基本情報」

事故日：2020年4月6日 午後11時50分頃
場所：名古屋市天白区の交差点
当事者：県警パトカー、一般の運送会社のワゴン車

状況：スピード違反車両を追跡中のパトカーが赤信号の交差点に進入、青信号で進行中の貨物車に衝突

被害：原告に人身損害+物的損害

「事件の争点」

パトカーは交差点進入時にサイレンを鳴らしていたか？

パトカー警官の証言：「サイレンを鳴らしていた」

愛知県警の主張：「ドラレコに音声がない理由は録音機能を使用していなかったから、最初から音声データはない」

➤サイレンを鳴らしていなければ赤信号進入は明らかな違法行為となり愛知県の責任が大幅に増大

「西尾裁判官の推理　バイナリ解析」

・ドラレコ動画の「ファイル作成日時」がおかしい

提出証拠乙4（事故前10秒程度）：作成日時 2021年7月
提出証拠乙11（事故前1分程度）：作成日時 2021年9月

➤事故から1年以上後に作成された動画
「未編集データから抜き出した」ものと推察できるが、なぜ未編集データそのものを提出しないのか？

・普通使わないエンコーダーソフトを使用

乙4・乙11のバイナリデータを解析すると、動画切り出しに通常使用しないマイナーなエンコーダーソフトで編集されている

特殊なドラレコ形式を汎用形式に変換するためという可能性はゼロではないが、極めて低い

➤「何かしらの加工」が施された痕跡

・音声データ格納領域が「整いすぎている」

動画のバイナリデータには音声データ格納領域が存在
「録音機能未使用」なら、ここは無音または特定パターンになるはず

西尾裁判官が解析すると、「DF 7D F7」「5D 75 D7」という特徴的なデジタル信号が低頻度で書き込まれた状態で、素人目には見た目奇妙に整っている

技術的には「それだけでは改ざんと断定できない」が、ドラレコの型番を特定すれば仕様を検証可能

・裁判所からの釈明命令

西尾裁判官は愛知県側に：

「パトカーに搭載されていたドラレコの型番を特定せよ」
「メーカー製マニュアルを提出せよ」
「未編集の元データを提出せよ」 と要求

・愛知県警、釈明拒否＋反訴取下げ

愛知県側は釈明に応じず

同時に「サイレンを鳴らしていた」との主張を撤回
反訴も取り下げ

結果：愛知県の敗訴確定

判決
原告の請求を全部認容

原告A株式会社：請求全額認容
原告B（ワゴン車運転者）：国家賠償法1条1項に基づき384万8141円+遅延損害金を認容

愛知県側、控訴も上告もせず判決確定

[Sen Ueno @sen_u]

海外の空港で欧米人らしき人がiPadのLAST WARの広告が終わるのをボンヤリ待っていたのを見て、国は違えど同じなのかと感じたのとともに、人類はこれにどれだけ時間を溶かしているのだろうかと思った。