jono

Programmer

[Matthew Prince 🌥 @eastdakota]

Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[総務省 @MIC_JAPAN]

スマホアプリを解析した情報を悪用し、アプリの接続先サーバを攻撃する手法が確認されました。
事業者の皆様におかれましては、アプリ側の制御に依存せず、サーバ側での適切な認証や入力値の検証、不審なアクセスや脆弱性の確認など、セキュリティ対策の徹底をお願いします。
https://t.co/ibNqsqDM9y

[てきとう @tkito]

情報出てますね

https://t.co/QC5GSeq0ow

[佐藤 竜馬 / Ryoma Sato @joisino_]

思考の連鎖 (Chain of Thought; CoT) はいわば「喋りながら考えている」ことに相当しますが、最近の LLM は「黙って」考えられるようになってきているんですね

https://t.co/snYUqQifnY

[Yusuke Wada @yusukebe]

宮本佳林さんのブログ、今どきエンジニアも書かないようなガチガチの技術ブログでわろた

https://t.co/EtQnRpSwKs

[yoh @yohhoy]

まだ一部の章しか読んでないけど 言語仕様「C++コンセプト入門」章でConcept-basedオーバーロード解決Subsumption Rulesを省略無しに解説したり 全ての標準提供conceptを説明したりと なかなかヤバい内容だった（褒めてる

[Takuto Wada @t_wada]

私の最近の講演テーマの一つです

[情報の灯台 @joho_no_todai]

C++の構文解析はプログラミング言語の中でも屈指の難しさで知られる。テンプレート、名前解決、オーバーロード。
https://t.co/nKuVCPIVwR

言語仕様の隅々まで正確に扱えるフロントエンドを書くこと自体が途方もない仕事になる。

その仕事を38年間続けてきたのが従業員6人のEDG。
Intel、NVIDIA、Microsoftのコンパイラ製品に組み込まれてきた。

会社は閉じコードはオープンソースへ。

[Phoronix @phoronix]

EDG C/C++ Front-End Open-Sourced

Wow! After 30+ years!

https://t.co/Q0TbkFHIYB

[プロ太@C#・博士(工学)・Microsoft MVP(.NET) @prota_csharp]

昨日の発表資料を公開しました。
「動作中のプログラムの中身をリアルタイムに覗く — 実行を止めないデバッガのコンセプトとRoslyn計装によるC#実装」
https://t.co/42wBwre98N

#csharpkaigi

[Daiki Matsudate @d_date]

Xcode 27.2からXcodeのプロジェクト設定をJSONにできるようになりました。これはすごいことなのでどうやって移行できるのかまとめてみました。
https://t.co/eE7wEU5wuJ

[情報の灯台 @joho_no_todai]

Appleがサーバーを外部に売るのは2011年のXserve廃止以来。
https://t.co/vuswlfqQ8o

M8 Ultraを2基または4基搭載したAI推論サーバーを開発中で、チップ間接続にはNVIDIAのNVLink Fusionも検討しているという。投入目標は2029年。

Appleは自社クラウド用にApple Siliconサーバーをすでに運用し、Broadcomとの専用チップ開発も並行している。外販サーバーは「3つ目の層」にあたる。

すべてを自分で作りたいAppleが、NVIDIAの独自技術を借りるかどうか。
その判断がまだ揺れている。

[Phoenix Yin @Phoenixyin13]

在机器学习和信息论中，有一个著名的直觉叫流形假说。

现实世界产生的数据，在名义上往往拥有极高维度：一张高清图片可能对应数百万个像素维度，自然语言、声音、蛋白质序列、行为轨迹也都存在于极其庞大的状态空间中。

但有意义的数据并不会均匀散落在这些空间里，它会被压缩在一个极小、极其特殊的结构区域中。
一张随机生成的百万像素图片几乎不可能恰好构成一张真实人脸，因为自然图像同时受到身份、姿态、光照、透视、物体结构和物理规律等大量约束。
流形，只是这种低复杂度结构的一种几何表达，更一般地说，机器学习真正能够成立，是因为现实世界的数据根本不是随机噪声。

这也是理解智能最重要的起点。
智能存在的第一条件，在于这个世界必须具有可预测结构。
假如一个宇宙中的未来和过去完全独立，那么无论是人脑、Transformer还是无限大的超级计算机，都无法通过观察过去提高对未来的预测，因为这个世界根本没有留下任何可以学习的规律。
白噪声无法被理解，也无法被预测。
因此，智能能够存在，本身就意味着宇宙不是最大随机性的混沌，而包含大量跨尺度稳定的统计依赖、几何约束、组合结构、动力学规律和因果关系。

从这个角度看，机器学习做的事情是在巨量观测中寻找可以压缩的规律。
模型看过十亿张人脸，并不需要在参数里存储十亿份像素副本，它需要形成的是关于身份、轮廓、姿态、光照、空间关系等潜在变量的生成结构，最终用一个远短于全部训练数据本身的模型去近似。
因此，Learning在很深的意义上就是Compression。
如果一个庞大的数据集合能够被一个更短的生成程序描述，那么模型获得的就是规律。这与Kolmogorov Complexity的直觉高度一致。
生成或描述这些数据所需的最短程序究竟有多长，是一个重要的问题。

但是，数据不均匀本身仍然不足以产生智能。一个变量即使99%的概率取0、1%的概率取1，它的分布极度不均匀，却未必具有任何复杂结构。
重要的是变量之间存在可以利用的依赖。知道 (X) 之后，是否能够减少对 (Y) 的不确定性，这才是信息。
Mutual Information (I(X;Y)) 所度量的，本质上正是这种关系。
所以，智能依赖的是世界内部存在稳定的dependency；
统计规律、几何结构、层级结构、因果关系以及时间上的连续性共同构成了学习能够发生的基础。

这也给出了理解大模型的一种更准确方式。
一个随机初始化的神经网络最初只是一个巨大的、没有意义的函数族，而梯度下降不断利用数据排除那些与现实分布不一致的函数。
经过海量训练之后，原本随机的参数逐渐形成高度结构化的内部表征。
语言结构、空间关系、人物与概念关系、程序结构和部分物理规律也进入其中。

这里，我们不能简单说神经网络与现实世界同构。因为同构是一个过于严格的数学概念。
其实，模型是在自己的计算介质中形成了一套能够保存现实世界部分稳定关系的内部表示。
它是世界结构在另一种介质中的压缩投影。

于是，所谓智能涌现也没有那么神秘。
如果模型只能捕捉局部统计相关性时，它表现为模式匹配；
当它能够形成更长程、更抽象、更稳定的表示时，就出现泛化；
当不同领域的内部结构能够被重新组合，就表现为类比和联想；
当模型能够利用已有结构，对训练数据中没有直接出现过的状态进行推断，就表现为推理。

记忆、泛化、类比和推理，只是同一种机制在不同尺度上的表现：利用一个内部世界模型，在未观测区域重建结构。
模型规模之所以重要，是因为复杂世界需要足够大的函数空间才能被表示。
而某些能力的突然涌现，有时只是评价指标造成的阈值效应，有时也可能对应grokking或内部表示重组这样的真实非线性变化。
我想，我们需要更多地去关注参数空间在学习过程中发生了什么结构重组，使新的计算能力成为可能。

如果继续把这个问题推到信息论和统计物理层面，会得到更加统一的图景。
生命，依靠持续消耗自由能维持自身远离热平衡，而大脑和机器同样需要消耗能量进行信息处理。
由于Shannon entropy和热力学熵并不是同一个概念，我们可以更准确地定义，智能系统不断丢弃与任务无关的变化，同时保存对于预测和行动有价值的信息。

这与Information Bottleneck极其接近。
内部表示并不需要保存输入的一切，而只需要保留足够多能够预测未来、指导行为的结构。高级智能的标志，是知道什么必须留下，什么可以被遗忘。

由此，智能可以粗略地被写成Compression、Prediction、Control。
Compression意味着从海量观察中提取规律，Prediction意味着利用这些规律推断尚未看到的世界，Control意味着利用预测去改变未来。
一个有限的系统面对一个远比自身复杂的宇宙，通过观察世界、压缩世界、建立内部模型，再依靠这个模型预测并干预世界，这就是智能最一般的形式。

[やまち｜yamachi @yamapiya_]

知らなかった。意図負債という概念は覚えておきたい。

>「技術的負債」に対比して近年論じられるようになった「認知負債」「意図負債」の概念

>意図負債： 「そもそも何を実現したかったのか」「なぜこの方針を選んだのか」という意図・目的レベルの情報が失われていく負債 https://t.co/xvYOW6WHQE

[V @voluntas]

アイドルがAIと配信のシステムを全部作った話
https://t.co/UDVgPFdRAx

HANAKIN配信システムの技術構成
https://t.co/ouiGhckwgD

スゴイので読むのお勧め。

[GIGAZINE(ギガジン) @gigazine]

コンパイラ「GCC」の開発チームがAI生成コードの受け入れポリシーを公開、15行以上のAI生成コードは受け入れ拒否

[ゆたか @tmyt]

すげぇ https://t.co/6HzuaKhy3K

[VWC / Void戦士ちゃん @voidwarriorchan]

ここ、情報リテラシーのテストに出ます

[jono @y_jono]

@sumoa_meiwaku 起きられてえらい