CAMMY

"思い出" とか "記録" とか "記憶" とかそういった類のものに興味があります。画像処理/CV/MLをやっています。I truly love life logs and life memories. Image Processing and ML.
PredNext, Inc.｜株式会社PredNex

[CAMMY @yuukicammy]

Anthropic、日本に納税し始めてた（ので今月から若干経理処理が変わります）
https://t.co/N5aHxrbTkV

[CAMMY @yuukicammy]

4/1に発生したUPSIDERの障害、利用OSSに混入した悪意あるコードが起点で不正アクセスが起きたとのこと。
これは怖い...。最近発生していたOSSサプライチェーン攻撃に関係するのだろうか。
SBOMの整備・運用・監査はいよいよ当たり前になりそう。
https://t.co/zXoILnvu1h

[CAMMY @yuukicammy]

正常バージョン0.69.3だった...。危なかった。

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

オープンソースの脆弱性スキャナ「Trivy」へのサプライチェーン攻撃が拡大を続けており、Docker Hubに公開されている公式イメージにまで被害が及んでいます。3月19日にGitHub Actionsのタグが改ざんされてCI/CD環境の認証情報を窃取するマルウェアが仕込まれた件の続報で、盗まれた認証情報を足がかりにした攻撃が連鎖的に広がっている状況。

Docker Hub上のTrivyイメージは0.69.3までが正常で、0.69.4〜0.69.6が不正なバージョン。0.69.5と0.69.6はGitHubリリースが存在しないまま3月22日にpushされており、TeamPCPのインフォスティーラーと同じ痕跡が含まれていたと報告されています。
窃取された認証情報を使って数十のnpmパッケージにCanisterWormと呼ばれる自己拡散型のワームも配布されており、被害の範囲が広がり続けています。

【攻撃の全体像】

・Trivyの開発元Aqua Securityが管理するGitHub Actions「aquasecurity/trivy-action」と「aquasecurity/setup-trivy」が侵害され、75のバージョンタグが書き換えられたのが起点。CI/CDランナー上のSSH鍵やクラウド認証情報、GitHubトークンなどを窃取するペイロードが仕込まれていた

・窃取された認証情報の中に、Aqua Security内部のGitHub org「aquasec-com」と公開org「aquasecurity」の両方に管理者権限を持つサービスアカウント（Argon-DevOps-Mgt）のトークンが含まれていたと高い確度で見られている

・攻撃者はこのトークンを使い、aquasec-comの内部リポジトリ44件を一斉に改ざん。全リポジトリのリネームと説明文の書き換えが約2分間で自動実行され、内部リポジトリが公開状態に露出した格好

・TeamPCPに帰属する新たなワイパーマルウェアも確認されている。イランのシステムと判定された場合はKubernetesのDaemonSetで全ノードをワイプして強制リブート、非Kubernetes環境ではファイルシステムの強制削除を実行。イラン以外のシステムにはCanisterWormのバックドアをsystemdサービスとして永続化する分岐型の設計

・このワイパーの最新版は、盗まれたSSH鍵を使った拡散とDocker APIの探索（ポート2375）によるサブネット内への横展開機能も備えており、Kubernetes環境に限らず被害が拡大しうる

Trivyを利用している場合はCI/CDパイプラインでの利用状況を点検し、影響のあるバージョンの使用を避け、最近の実行結果は侵害されている前提も視野に確認が推奨。
長寿命のサービスアカウントトークン一つが2つのGitHub orgを橋渡ししていたことが侵害拡大の起点になっており、CI/CD環境におけるトークンの権限範囲と有効期間の見直しが急務。

https://t.co/B2WSoQeXJ8
https://t.co/BEJ63xkzMB
https://t.co/efmyVZ3cOm

[CAMMY @yuukicammy]

pip installにどれだけのライセンスが関わっているか？
pip-licensesで依存ライセンスを管理する方法をまとめました。禁止ライセンスのブロックとCIへの組み込み、syft/trivyとの比較にも触れています。
https://t.co/xktkZ4RNpE

[CAMMY @yuukicammy]

Modal、ローカルでビルドしたwheelをそのままコンテナイメージに組み込めるのが良い。

.add_local_file(wheelパス)
.run_commands("pip install パス")

をImage定義に書くだけで、 ローカルで作った状態をそのままリモート実行できる。
手元でいじってるパッケージを試すときの体験が軽すぎる。

[CAMMY @yuukicammy]

AIへのリクエスト量が “コスト” として意識されるようになると、少ないやり取りで的確なアウトプットを出せる“コスパのいい” 人が評価される時代が来るのかもしれない。

[CAMMY @yuukicammy]

新しい所属先の PredNext でブログを書きました。
https://t.co/QgMJXE5ZrI

推移的依存まで含めると、ライブラリが100個を超えることも珍しくありません。
そんな中でライセンス管理を真面目にやろうとすると本当に大変ですよね。

そんな現実を直視しつつ、SPDX 入門記事としてまとめています。

[TOKUNAGA Hiroyuki @tkng]

最近流行のMuonに関するあれやこれやについて書きました
https://t.co/Q8wYMVnYVY

[TOKUNAGA Hiroyuki @tkng]

拡散言語モデルについて少し発展的な話題を紹介する記事を書きました。自己回帰モデルのデータ枯渇問題についての話もあるよ！
https://t.co/aEohVy9Qno

[TOKUNAGA Hiroyuki @tkng]

拡散言語モデルがなぜ注目されているのかを解説するブログ記事を書きました
https://t.co/VeTF60PWIR

[CAMMY @yuukicammy]

現在のコーディング支援における主流は、トークン逐次生成型の言語モデルだからでも、ひたすらにマークダウンや箇条書きで仕様を記述している。でも仮に画像ベースに親和性の高いアーキテクチャが主流だったなら、図解ベースになり、コーディングのためにもっと絵を描いていたんだろう。

[TOKUNAGA Hiroyuki @tkng]

ModalというGPUクラウドを紹介する記事を書きました！ https://t.co/SwGDkKLsyr

[CAMMY @yuukicammy]

お祝いを飾らせていただきました💐

[CAMMY @yuukicammy]

@yuno_yuno そうなの！ありがとう、頑張ります！

[CAMMY @yuukicammy]

長年お世話になったKDDIを退職し、社会人になって初めて（社会的な）無職になりました！初めての経験に緊張しつつも、これからの挑戦を楽しみにしています。今後ともよろしくお願いします！

[CAMMY @yuukicammy]

@negi_kenim ありがとう！

[CAMMY @yuukicammy]

@takmin ありがとうございます！頑張ってゆきます！

[CAMMY @yuukicammy]

ヴィクトル・ニキフォロフ、久堂清霞、壬氏さまといった女性漫画の王道の男性主人公好きが憧れる3次元、それが羽生結弦なのです。
#そろそろ復帰します

[CAMMY @yuukicammy]

今日の午前中、関西の某空港で、知っている方を見た気がします

[CAMMY @yuukicammy]

我が家にもサンタクロースさんもう来てくれたようです🎅🎄
Merry Christmas! 全ての人に幸あれ✳︎