最新記事一覧
「AIに脆弱性診断を任せれば、人手不足を補いながら効率良くセキュリティを強化できる」。ソフトバンクをはじめ国内でも複数の企業がAIによる脆弱性診断サービスの立ち上げを発表する中、そんな期待を裏切る調査結果が明らかになった。
()
英国のNCSCは、サービスがパスキーをサポートする場合はパスキーを、サポートしない場合は2段階認証を推奨する方針を表明し、個人利用における従来のユーザー認証情報とFIDO2認証情報のセキュリティ特性を比較する論文も公開した。
()
脆弱性を発見するツールは数多く存在するが、その後の対応は依然として人手に頼る場面が多い。こうした課題に対し、オープンソースの新たなセキュリティプラットフォームが登場した。OSINTや脆弱性診断に加え、AIによる分析や修復支援も統合するという。その実力とは。
()
キッカケクリエイションが行ったAI生成コードのレビュワー負担に関する調査で、担当ITエンジニアの約9割が負担増を実感し、「AIに書かせた人がコードを説明できない」といった問題を経験していることが分かった。
()
Apache HTTP Serverに大規模な修正が入った。最新版ではHTTP/2処理をはじめ、プロキシやSSL、認証機能など広範囲に及ぶ脆弱性に対処している。サービス停止やメモリ破壊につながる恐れがある問題も含まれていたため急ぎ修正してほしい。
()
Anthropicは、同社のCLI型AIコーディングツール「Claude Code」のサブエージェントにおけるベストプラクティスやアンチパターンなどを解説したブログ記事を公開した。
()
AIツールによるコード生成が普及する中、生成されたコードのほぼ半数に脆弱性が潜む事実が明らかになった。AI特有の新たな脅威に対し、開発とセキュリティ対策を一体化する「DevSecOps」による防衛策を紹介する。
()
サイバーセキュリティの現場にあふれる理不尽。その背景には構造的に避けられないジレンマが存在する。今回は予算、攻撃者の予測不能さ、組織の結合点という視点から、担当者が直面する板挟みの構造を客観的に分析し、根本的な対処の糸口を探る。
()
AIコーディングが普及した結果、非エンジニアでも手軽にソフトウェア開発に参入できるようになった。しかし、開発の効率化や高速化といったメリットと引き換えに、開発の現場はさまざまな代償に直面しているという。
()
GitHubは自社の「Advisory Database」のデータを基に、2025年のOSSの脆弱性動向に関するレポートを発表した。
()
AIツールにコーディングを任せることで開発プロセスは短縮されたように見える。だが、開発者自身がソースコードの意図を理解しておらず、修正に追われる現場が後を絶たない。保守性が脅かされている実態とは。
()
「AIなんて発明されなければよかった」――最新調査でCIOの半数が本音を漏らすほど、AI導入に伴うセキュリティリスクが深刻化している。Copilotが悪用され既存の脆弱性が自動攻撃の道具と化すなど、情シスは利便性の代償として肥大化する攻撃面とガバナンス不足という、かつてない難題に直面している。
()
ClaudeのChrome拡張機能に、閲覧しただけでAIが不正操作される脆弱性「ShadowPrompt」が見つかった。設計上の不備と外部部品のXSSを突いたものだという。
()
OX SecurityはVS Code用の拡張機能4件に重大な脆弱性を確認した。Live Serverなどに遠隔ファイル流出やRCEの恐れがあり、Cursorなどにも影響する。開発環境の防御は急務であり、審査制度の整備を提言している。
()
AIの急速な進化と普及を概観した上で、3つの観点からAIを取り巻くセキュリティリスクを説明した。
()
サイバーセキュリティ企業のTenzaiは、「Cursor」「Claude Code」「OpenAI Codex」「Replit」「Devin」という5つの主要なコーディングエージェントを取り上げ、セキュアコーディング能力を比較した結果を公開した。
()
MITREはソフトウェアにおける危険な脆弱性タイプをまとめた「CWE Top 25 Most Dangerous Software Weaknesses」の2025年版を発表した。Webアプリケーション関連の脆弱性がTop 3を独占する結果となった。
()
KELAは、「ディープウェブ」「ダークウェブ」の違いや、主要8フォーラムの特徴を解説する記事を公式ブログで公開した。攻撃者が利用しているフォーラムを把握することは、企業を狙った脅威動向をセキュリティチームが把握するのに役立つという。
()
自律型AIペンテスター「Shannon」が登場した。ソースコード解析に基づきWebアプリの攻撃経路を特定し、実際のWebブラウザ操作で脆弱性を悪用・検証する。評価の結果、人間のテスターより高い成功率を記録したことが分かっている。
()
CISAは2025年版「CWE Top 25」を公表した。攻撃に悪用されやすいソフトウェア弱点を整理し、設計初期からの対策で被害低減と開発コスト抑制を促す狙いと、関係者別の指針を示している。
()
米AppleのPodcastアプリが勝手にポッドキャストを立ち上げて、宗教番組やスピリチュアル番組などを再生してしまう――。そんな奇妙な現象が発生していると、米調査報道メディアの「404 Media」が伝えた。
()
世界中の大手WebサイトやSNSをダウンさせた、CDN大手米Cloudflareの大規模障害。これに関連して、一部のWebサイトが防御が手薄になり、この間に不正侵入された恐れがある。専門家はログなどを確認するよう促している。
()
4年ぶりの「OWASP Top 10 2025」が公開された。できる限り「症状」ではなく「根本原因」に焦点を当てるように刷新したという。
()
OWASPはWebアプリケーションのセキュリティリスクのうち重大なものをリスト化した「OWASP Top 10 2025」を公開した。2025年版のリストでは、幾つかの新たな項目がランクインしている。
()
『攻撃者の目』は、ホワイトハッカーと共に、攻撃の一連の流れとセキュリティ対策の勘所を楽しく学ぶ番組です。今回はいよいよ攻撃段階。Webの脆弱性を突いたSQLインジェクションについて、そのリスクや目的、対処法などを詳細に解説します。
()
XSSは最新のフレームワークやクラウドネイティブアーキテクチャで構築されたアプリケーションでも発見されている。
()
セキュリティエンジニア必見のハッカーイベント「DEF CON 33」が開催されました。たくさんの講演がある中で筆者が注目したのは、守りの要である「パスワード管理ソフト」を標的にした“古くて新しい攻撃”でした。一体どんなものなのでしょうか。
()
Anthropicは2025年8月6日、コーディング支援ツール「Claude Code」にセキュリティレビューを自動化する機能を追加したと発表した。同社は、開発現場におけるコードレビューの負担を軽減し、安全なアプリケーション開発を支援するとしている。
()
システム基盤をクラウドに移行する企業が増加する中、そのDDoS攻撃対策は喫緊の課題だ。本稿では主要3大クラウドサービスであるAWS、Azure、GCPに焦点を当て、DDoS攻撃対策サービスを解説する。
()
研究者らは「Opossum攻撃」と呼ばれる新たな攻撃を発表した。この攻撃は暗黙的TLSと機会的TLSの同期のずれを突き、通信内容の改ざんを可能にする。PoC公開済みのため、脅威アクターが既存のインフラに対し同様の手法を悪用する可能性がある。
()
APIへの攻撃が増加しており、企業に深刻な情報漏えいのリスクをもたらしている。API攻撃の手口と、その対策としてのAPIセキュリティのベストプラクティスを紹介する。
()
クレジットカードの不正利用被害が深刻化する中、EC事業者側としてはどのような対策を取るべきなのでしょうか。改訂された「クレジットカード・セキュリティガイドライン6.0版」からそのポイントをまとめます。
()
VMware製品のサポート体制が激変し、永久ライセンスユーザーは重要なパッチを容易に入手できなくなる可能性に直面している。そのような状況下でも対策の糸口はあるのか。
()
クラウドサービスだけじゃない！ ローカルPCやサーバ、Kubernetesで生成AI（5）：「Visual Studio Code」と「Ollama」で簡単に始められる、安心・安全なローカルAI活用術
気軽に試せるラップトップ環境で、チャットbotを提供するオールインワンの生成AI環境構築から始め、Kubernetesを活用した本格的なGPUクラスタの構築やモデルのファインチューニングまで解説する本連載。今回は、「Visual Studio Code」と「Ollama」を活用し、Visual Studio Codeでローカルモデルに対してコードの生成や修正、レビューを指示したり、AIエージェントモードでコーディングさせたりする方法を解説します。
()
人気のパスワード管理製品BitwardenにPDFファイルを通じて悪意あるJavaScriptを実行できるXSSの脆弱性が見つかった。PoCが公開されており、サイバー攻撃者による悪用リスクが高まっているため注意が必要だ。
()
Webアプリケーションの利用が広がる中で、セキュリティ対策も重要となっている。Webを守るツールである「WAF」と「RASP」はどのような仕組みで動くのか。
()
セキュリティ研究者がAI駆動型WAFの回避手法とその脆弱性を解説した。悪意のある命令文をAIに入力することで、WAFを誤認識させられるという。
()
EGセキュアソリューションズは「SiteGuard セキュリティレポート（2025.1Q）」を発表した。それによると、特定の攻撃手法が突出して増加傾向にあり、特に教育機関で被害が出ていることが分かった。
()
Googleは2024年のゼロデイ脆弱性の悪用状況を分析した年次レポートを公開した。同年では75件のゼロデイ脆弱性の悪用が確認されたが、この流れは今後、拡大するとみられている。
()
スポットワークや暗号資産など、事業の幅を急速に広げるメルカリ。こうした機動的な事業展開を支えるのは、包括的で強固なプロダクトセキュリティだ。ゲーミフィケーションも取り入れた同社の取り組みにつき、責任者が語った。
()
セキュリティ研究者はWindowsのFile Explorerに存在する脆弱性のPoCエクスプロイトを公開した。この脆弱性（CVE-2025-24071）はNTLMハッシュの漏えいを引き起こす。
()
Webサーバを運用していて、HTTPレスポンスヘッダをデフォルトの値から変更したいと思ったことはないだろうか？ Front Doorなど有料のクラウドサービスを追加することなく、Azure App Service on Linuxでレスポンスヘッダの改変を実現する方法を紹介する。
()
TechTargetは2024年12月12日、「『Django』と『Flask』の比較」に関する記事を公開した。さまざまな機能を盛り込むDjangoのアプローチは小さなプロジェクトには過剰かもしれない。一方、Flaskは軽量だが、組み込みツールが不足しており、開発時間が長くなる可能性がある。
()
Akamaiは「Defenders’ Guide 2025: Fortify the Future of Your Defense」を発表した。新しいリスクスコアリングモデルやVPNの不正利用、高度なマルウェア技術を含む最新の脅威と防御手法に焦点が当てられている。
()
Zscalerは暗号化攻撃の最新動向をまとめたレポートを公開し、AIの進化が暗号化攻撃を促進させていると警鐘を鳴らした。暗号化されたチャネルを悪用する攻撃は前年比で10％増加している。最も狙われている業界はどこだろうか。
()
サイリーグホールディングスが開催した記者説明会で、セキュリティ業界のご意見番である徳丸 浩氏が個人的に気になった2024年のセキュリティ事件を振り返り、2025年の脅威予測を発表した。
()
Apache Tomcatに複数の脆弱性が存在することが分かった。CVSSスコア9.8の脆弱性も見つかっているため、急ぎ対処が求められる。
()
Palo Alto NetworksはCortex XDRを狙ったサイバー攻撃の詳細を発表した。脅威アクターがエンドポイントセキュリティ製品の検知をどのように回避しようとしているのかが詳細に解説されている。
()
Protect AIはAI脅威インテリジェンスツール「Vulnhuntr」がGitHubのPythonプロジェクトから複数の重大なゼロデイ脆弱性を発見したと発表した。このツールはLLMを活用してコードを分析し、複雑な脆弱性を効率的に検出する。
()