tjun

newmo 自動運転team.
ex-Sony / ex-メルカリ, メルペイ/ ex-未踏クリエーター

[tjun @tjun]

Museも試してみる。
最近は個人情報は漏洩するしAI AgentにGmail全部渡してるし、情報を守ることに対するあきらめと許容が進んでいる

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[高市早苗 @takaichi_sanae]

皆様に、今夜に対応して頂きたい大至急のお願いです。

多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な２件の脆弱性に関する注意喚起を行っています。

公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時（日本時間）に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。

修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。

国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)（@cyber_forecast） / X

[tjun @tjun]

まじかー、寄附控除試算額が漏れたら年収もある程度分かっちゃうような

[tjun @tjun]

だれか頼む！

[newmo タクシー&自動運転で地域をカラフルに @newmohq]

【自動運転タクシーの車両と移動空間をつくる、1人目のインダストリアルデザイナーを募集！(絶対面白い)】
newmoは、自動運転レベル4の商用化に向けて、車両・ソフトウェア・運行オペレーションを一体でつくっています。

自動運転というと「車が自動で走る技術」を想像する方が多いと思いますが、実際に乗客の方に使ってもらうには、それだけでは足りません。

・自動運転車両が街中でどのように見えるか
・乗客がドライバー不在の車両にどう安心して乗るか
・車内で乗客がどう快適に過ごし、設備や操作機器に無理なくアクセスできるか
・タクシーというよりもハイヤーに近い、上質で安心できる移動体験をどう設計するか etc...

アプリの画面ではなく、車両そのものと車内空間をデザインするのがこのポジションです。

そして、このポジションは、newmoの自動運転チームで1人目のデザイナーです。

デザイン原則や体験品質の基準づくりから、実際の車両・空間の設計まで行い、快適さ・安全性・エネルギー効率を両立した、newmoらしい移動体験の土台をゼロからつくっていくことになります。

「社会に受け入れられる移動体験」を、車両からつくる1人目のインダストリアルデザイナーとして、手を動かすことと仕組みをつくることの両方を楽しめる方に、ぜひ見ていただきたいポジションです。

興味を持ってくださった方は、ぜひ詳細をご覧ください👇
https://t.co/NT6V1mC9YN

[ふるさとチョイス｜ふるさと納税総合サイト @furusato_tax]

【重要なお知らせ】
この度、「ふるさとチョイス」において不正アクセスの疑いがある事象を検知したため、被害拡大の防止および安全確保を最優先に、サービスを一時停止し、現在調査を行っております。

ご利用の皆様には、多大なご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

現在、専門チームにおいて、事実関係および影響範囲の確認を進めております。

今後の対応につきましては、調査結果を踏まえ、改めてお知らせいたします。

[Cognition Japan @cognition_jp]

Devin Oncall が発表されました。Devin がアラートやバグを自動で調査し、チームが本番環境のインシデントを診断・解決できるよう支援します。

Devin Oncall は、すでに世界有数の大企業で毎日数千件のアラートに対応しています。今日から Devin をあなたのチームの SRE に。

[tjun @tjun]

Gemini 4が出たので久しぶりにGeminiを試していたけど、分析中と出ているのに返事がないままリクエストがなかったことになったり、お手伝いできませんと言われたりすることがあり、まあ使わなくていいやという気持ちになる

[KOIZUKA Akihiko @koizuka]

生パスワードが漏洩してるらしいってマ？

[tjun @tjun]

インフル予防接種しました💉

[ITmedia AI＋ @itm_aiplus]

NVIDIA「RTX Spark」搭載のノートPC「Surface Laptop Ultra」発売　価格は51万3480円から
https://t.co/Cn0H3iU6x7

[tjun @tjun]

え、来週月曜休み？

[tjun @tjun]

これを参考にGmailのinboxを整理できた、かなり削除したので容量もあきそう

[Tibo @thsottiaux]

I have never in my life achieved inbox zero until I just made it an active goal for my dot to help get it done. Let’s see how long it lasts, but it’s a great feeling.

[Swift Language @SwiftLang]

Google: “[Swift] has matured into a viable systems and cloud language, pairing Rust-like data-race safety with predictable, reference-counted performance.” Announcing their Swift-based cloud SDK for backend services: https://t.co/fGQKYSTKi7

[newmo タクシー&自動運転で地域をカラフルに @newmohq]

【自動運転チームと、車両ガレージでゆるっと話しませんか？🍻】

・newmoの自動運転チーム、どんなメンバーがいるの？
・自動運転の車両、ちょっと見てみたい…！
・開発拠点のガレージって、どんな雰囲気なの？

newmo自動運転チームへの、そんなちょっとした興味や不安をお持ちの方が気軽に参加できる交流イベント「Open Garage（自動運転開発室meetup）」を10/1(木)19:00〜21:00に開催します。CTO曾川はじめ、自動運転開発室のメンバーがたくさん参加する予定です。軽食・飲み物あり、入退出自由なので、ちょっとのぞきに来るのも大歓迎です！

＜こんな話できます🗣️＞

・いまどんな技術課題に向き合っているのか
・研究と実装、実車導入の距離感はどうなっているのか
・タクシー会社発の自動運転開発って何が違うのか
・実車データ収集と開発ループ
・Perception / E2E / Vehicle Control / Closed-Loop Simulation のいま
・車両統合、フィールド運用、社会実装に向けた課題
など

説明会のような堅い形式ではなく、カジュアルに近い距離で話せます。

＜詳細はこちら👇️＞

🗓️10/1(木)19:00〜
📍newmo Autonomy Garage Tokyo（東京流通センター）
🚉東京モノレール 流通センター駅徒歩５分
🔗申し込みフォーム
https://t.co/URDioizBoR
🧭connpass
https://t.co/dsDU6YQX0h

[tjun @tjun]

@sakajunquality わかる

[newmo タクシー&自動運転で地域をカラフルに @newmohq]

【大阪で実証中の、newmoの自動運転タクシー】

無人タクシーをめぐる話題が続いています。昨日、読売テレビ「かんさい情報ネットten.」で、newmoが大阪にて進める自動運転タクシーの実証実験の様子が取り上げられました。

・データ収集専用車両を人が運転し、カメラなどで走行データを収集
・そのデータをAIが学習し、運転技術を身につける
・現在は運転席に人が座りながら、AIが運転する方式で実証実験中

自動運転開発室長の円谷雄人（@u_gene）のインタビューも。

「大阪からスタートしたものを、これから全国にタクシー事業とともに広げていきたい。現状は2028年の商用化を目指しています」

ぜひご覧ください！👇️
https://t.co/ipRcZoJsgp

#newmo #自動運転

[tjun @tjun]

大阪きてます

[tjun @tjun]

Apple Watchを買い換えたかったので新しいやつ買いました

[tjun @tjun]

今日は米を炊くため、炊飯器のせて車で出勤した