Avsnitt

  • Anthropicバグバウンティ1位からクロ現出演まで、育休中に進みすぎたFlattの2ヶ月を振り返る会

    Anthropicバグバウンティ1位からクロ現出演まで、育休中に進みすぎたFlattの2ヶ月を振り返る会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、育休から復帰した執行役員 豊田（toyojuni）が不在だった、約2ヶ月間（5月〜7月）のFlatt Security社内での出来事、新サービスリリース（ソフトウェアサプライチェーン診断、AIペネトレーションテスト機能など）について怒涛の勢いで振り返りました。📝 今回のトピック00:00 オープニング01:02 toyojuniの育休振り返り02:22 育休期間中（5月〜7月）の出来事振り返り開始03:12 Product Security Square #4 振り返り08:58 npmパッケージの侵害事例（Mini Shai-Hulud）と関連ウェビナー11:27 各種イベント登壇・ウェビナー開催の振り返り13:37 RyotaKがAnthropicバグバウンティで1位獲得18:19 新サービス「ソフトウェアサプライチェーン診断」リリース21:13 AIエージェント「Takumi」のアップデート（AIペネトレーションテスト機能）24:43 Takumi GuardのGo / PHPパッケージ対応33:40 メディア掲載・インタビュー動画の紹介（TECH WORLD等）41:36 AIペネトレーションテスト機能のデモ画面解説48:15 「GitHub Actions Security」連載ブログの紹介51:08 エンディング📚 参照・紹介した記事/サイト・Takumi byGMO https://flatt.tech/takumi/・ソフトウェアサプライチェーン診断https://flatt.tech/assessment/ssc・GMO Flatt Security 公式Xアカウントhttps://x.com/flatt_security🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 Spotifyでも配信中: https://youtu.be/OVVg6uA6geAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #AI #ProductSecurity #サプライチェーンセキュリティ #ペネトレーションテスト

  • 【公開会議】cicd-sensorのこれから。開発者rungさんとTakumiチームで考える、OSSと企業の連携

    【公開会議】cicd-sensorのこれから。開発者rungさんとTakumiチームで考える、OSSと企業の連携

    · Ultra Thinking 【GMO Flatt Security】

    今回は、特別編として、cicd-sensorの開発者であるrungさんとTakumiチームとの公開会議の様子をお届けします。cicd-sensorの設計思想や、CI/CDモニタリングの課題、そしてOSSと企業がどう連携してCI/CDを守っていくかについて議論しました。 📝 今回のトピック 00:00 オープニング 02:43 アジェンダをまとめる 05:30 アジェンダ1：cicd-sensorの実装の話 16:45 アジェンダ2：TLSの話 35:50 アジェンダ3：cicd-sensorの改善したい話 56:45 アジェンダ4：cicd-sensorの配布モデルの話 📚 参照・紹介したリポジトリ/サイト ・cicd-sensor https://github.com/cicd-sensor/cicd-sensor ・Takumi Runner https://flatt.tech/takumi/features/runner 🤔 Ultra Thinking とは 「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。 🎧 YouTubeでも配信中: https://youtu.be/NOsVc6TOUj4 X: https://x.com/flatt_security ハッシュタグ： #ultrathinking#セキュリティ #CICD #eBPF #サプライチェーンセキュリティ #OSS #GitHubActions

  • Saknas det avsnitt?

    Klicka här för att uppdatera flödet manuellt.

  • AI時代のPwn2OwnとkernelCTFのリアルを参加者と振り返る会

    AI時代のPwn2OwnとkernelCTFのリアルを参加者と振り返る会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、ゲストにIkotas LabsのSatokiさん、GMOサイバーセキュリティ byイエラエの小池さん、古川さんをお迎えし、Linux Kernelのゼロデイ脆弱性発見の裏話や、「Pwn2Own」などの世界的なハッキングコンテストでの経験についてワイワイ話します。📝 今回のトピック00:00 オープニング01:48 19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話12:31 Pwn2Own Automotive の話21:28 Pwn2Own Berlin のAIエージェントカテゴリ攻略の話36:25 エンディング📚 参照・紹介した記事/サイト・19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話：CVE-2026-43456https://gmo-cybersecurity.com/blog/19-year-old-linux-kernel-zero-day/・「Pwn2Own Automotive 2026」に当社エンジニアの古川 和祈が出場しましたhttps://gmo-cybersecurity.com/news/pwn2own-automotive-2024/・Pwn2Own Berlin 2026の3日目でAIエージェントを攻略し$20,000と4 Master of Pwn Pointsを獲得(OpenAI Codex)https://ikotaslabs.com/news/2026-05-16🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/watch?v=QP0we_Z3-MAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #pwn #Pwn2Own #脆弱性

  • AIにGoogleの脆弱性を探させて3ヶ月で50万ドル？その手法と、Apigeeのクロステナント攻略を読み解く

    AIにGoogleの脆弱性を探させて3ヶ月で50万ドル？その手法と、Apigeeのクロステナント攻略を読み解く

    · Ultra Thinking 【GMO Flatt Security】

    今回は、GCPのApigeeにおけるテナント間エクスプロイトと、AIを活用してGoogleの脆弱性を自動で発見し50万ドルの報奨金を獲得した事例の2つのブログ記事を取り上げ、詳細な攻撃手法や背景についてワイワイ話します。📝 今回のトピック00:00 - 00:30 オープニング00:30 - 01:53 近況報告（保護猫を飼い始めた話）01:53 - 18:26 GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見18:26 - 40:21 Hacking Google with A.I. for $500,00040:21 - 41:51 エンディング📚 参照・紹介した記事/サイト・GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見https://omeramiad.com/posts/gatewaytoheaven-gcp-cross-tenant-vulnerability/・Hacking Google with A.I. for $500,000https://brutecat.com/articles/hacking-google-with-ai🤔 Ultra Thinking とは「エンジニアの背中を預かる」 GMO Flatt Securityのエンジニアが、 プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurityX: https://x.com/flatt_security#ultrathinking #セキュリティ #google #Apigee #AI #BugBounty

  • ゲストicchyさんと振り返る、アンチウイルスを

    ゲストicchyさんと振り返る、アンチウイルスを"オラクル"にした攻撃手法と、AI時代も人間が強い「発想」

    · Ultra Thinking 【GMO Flatt Security】

    今回は、ゲストにGMOサイバーセキュリティbyイエラエの市川さん（icchy）をお迎えします！CTFチーム「TokyoWesterns」での活動やこれまでのキャリアを振り返りつつ、彼が過去に発表した「React Hooksに潜む罠」や、CODE BLUE 2019での発表「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」などの技術的なリサーチについて振り返りました。📁 今回のトピック00:00 オープニング02:11 ゲスト「icchy」さん紹介とこれまでの活動（競プロ・CTF・トラコン）12:06 スライド解説①：「React Hooksに潜む罠」22:40 スライド解説②：Windows Defenderをオラクルにしたサイドチャネル攻撃38:00 エンディング：AI時代も人間が強い攻撃手法の発想📚 参照・紹介した記事/サイト・icchyさんのブログ（雑記）：https://icchy.hatenablog.jp/・スライド「React Hooksに潜む罠」：https://speakerdeck.com/icchy/react-hooks-pitfalls・スライド「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」：https://speakerdeck.com/icchy/antiuirusuwoorakurutosita-windows-defendernidui-suru-xin-siigong-ji-shou-fa🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中：https://www.youtube.com/@flattsecurityX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #React #WindowsDefender

  • Shai-Huludの系譜は止まらない？巧妙化する直近のソフトウェアサプライチェーン攻撃を読み解く

    Shai-Huludの系譜は止まらない？巧妙化する直近のソフトウェアサプライチェーン攻撃を読み解く

    · Ultra Thinking 【GMO Flatt Security】

    今回は、Shai-Huludの系譜をつぐ直近のソフトウェアサプライチェーン攻撃のキャンペーンをテーマに話します。JFrogやStepSecurity、Socketなどのリサーチブログをもとに、Rust製でeBPFルートキットを搭載した「IronWorm」から、binding.gypを悪用する「Miasma」、Pythonの.pthファイルを悪用する「Hades」まで、その巧妙な技術的裏側と、対抗するための技術について語り合いました。📝 今回のトピック00:00 オープニング00:30 梅雨入りとTakumiぬいぐるみ01:11 今回のテーマ：ソフトウェアサプライチェーン攻撃02:19 IronWorm：Rust製ELFバイナリが落ちてくる新しい型の検体13:13 Miasma：npmパッケージを標的にしたワーム攻撃17:02 binding.gyp の自動実行仕様を悪用したRCE21:51 Hades：Shai-Huludの系譜がPyPIへも波及25:52 .pthファイルを悪用したPythonインタプリタ起動時の自動実行31:09 防御側の対抗策：デコイトークンを用いたアンチサンドボックス回避34:00 OSS開発者向けイベントの告知36:00 RubyGemsにおけるクールダウン期間の話36:11 cicd-sensorの紹介38:05 エンディング📂 参照・紹介した記事/サイト・IronWorm: Shai-Hulud's rustier cousin (JFrog Security Research)https://research.jfrog.com/post/iron-worm-shai-hulud-rustier-cousin/・Miasma npm Supply Chain Attack: Self-Spreading Worm via Phantom Gyp (StepSecurity)https://www.stepsecurity.io/blog/binding-gyp-npm-supply-chain-attack-spreads-like-worm・Shai-Hulud Descends to Hades: Miasma Worm Campaign Spreads with New PyPI Wave (Socket)https://socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave・OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える (connpass)https://flatt.connpass.com/event/395359/・Cool down before you install: give new gems a few days to be vetted (RubyGems)https://blog.rubygems.org/2026/06/03/cooldown-let-new-gems-be-vetted.html・cicd-sensor/cicd-sensor (GitHub)https://github.com/cicd-sensor/cicd-sensor🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurity

    X: https://x.com/flatt_security#ultrathinking #セキュリティ #サプライチェーン攻撃 #eBPF #npm #PyPI #Rust

  • Claude Mythosは本当に特別なのか？Project Glasswingの進捗と他モデルとの比較を深堀る会

    Claude Mythosは本当に特別なのか？Project Glasswingの進捗と他モデルとの比較を深堀る会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、最近大きな話題となったAnthropic社の「Claude Mythos」と「Project Glasswing」をテーマにワイワイ話します。ベンチマーク「ExploitBench」から読み解くAIの自律的な攻撃能力の脅威や、大量の脆弱性報告に直面するOSSメンテナーの限界、そしてそれらによる構造変化について深掘りしました。🗂️ 今回のトピック00:00 オープニング00:46 「Glasswing」とは何か？01:17 Claude Mythos Previewとセキュリティ能力の評価08:21 「ExploitBench」を考察：AIはどこまで自律的に攻撃できるか11:53 ベンチマークの採点基準と評価の難しさ14:46 Project Glasswingの現状：大量の脆弱性報告とOSSメンテナーの限界20:51 バグバウンティ市場の終焉？AIがもたらすゼロデイ市場への影響25:53 AIセキュリティの未来と防御側の課題39:53 エンディング📚 参照・紹介した記事/サイト・Assessing Claude Mythos Preview’s cybersecurity capabilities (Anthropic)https://red.anthropic.com/2026/mythos-preview/・ExploitBenchhttps://exploitbench.ai/・Anthropic’s coordinated vulnerability disclosure dashboardhttps://red.anthropic.com/2026/cvd/・Project Glasswing: The 10 Consequences Nobody’s Writing About Yet (Forrester)https://www.forrester.com/blogs/project-glasswing-the-10-consequences-nobodys-writing-about-yet/🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/watch?v=mRbwXi4UWs0

    X: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #AI #Claude #Mythos #Glasswing #プログラミング

  • npmのStaged Publishingでワーム連鎖は止まる？エコシステムの対応と、npxの解決順序の罠

    npmのStaged Publishingでワーム連鎖は止まる？エコシステムの対応と、npxの解決順序の罠

    · Ultra Thinking 【GMO Flatt Security】

    今回は、npmの最新機能「Staged Publishing」の仕組みやnpxのresolution仕様を着いた攻撃手法ついて解説。さらに、自社プロダクト「Takumi Guard」のGoモジュール対応の紹介と合わせ、Goエコシステム特有のキャッシュを悪用した攻撃についても語り合いました。🥟 今回のトピック00:00 オープニング00:54 終わりのないソフトウェアサプライチェーン攻撃の現状02:35 npmの新機能「Staged Publishing」とは？06:40 npmトップパッケージの対応状況をグラフで見る12:50 npxのresolution仕様による攻撃を読み解く25:52 パッケージ名に「malicious」と入れたらBANされた話30:57 Takumi GuardがGoモジュールに対応35:10 Goモジュールプロキシのキャッシュを悪用した攻撃手法39:28 エンディング📚 参照・紹介した記事/サイト・Staged publishing for npm packages (npm Docs)https://docs.npmjs.com/staged-publishing・sxzz/npm-top-publishing (GitHub)https://github.com/sxzz/npm-top-publishing・npx Used Confusion and It's Super Effectivehttps://landh.tech/blog/20260521-npx-used-confusion-and-its-super-effective/・Takumi Guard が Go モジュールに対応 (Takumi ユーザーガイド)https://shisho.dev/docs/ja/releases/20260526-takumi-guard-golang/・Go Supply Chain Attack: Malicious Package Exploits Go Module Proxy Caching for Persistence (Socket)https://socket.dev/blog/malicious-package-exploits-go-module-proxy-caching-for-persistence🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 Spotifyでも配信中: https://open.spotify.com/show/4V3QvwBK2bpsKwlDIvmoXJX: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #npm #ソフトウェアサプライチェー #Go #脆弱性

  • バケット名の先取りでVertex AIまでRCE？クラウドの仕様の落とし穴を読み解く会

    バケット名の先取りでVertex AIまでRCE？クラウドの仕様の落とし穴を読み解く会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、クラウドセキュリティに関するブログ記事を読み解きながら議論しました！Google CloudのバケットスクワッティングによるRCE事例や、AWS CognitoにおけるマルチテナントSSOの危険性など、クラウド設定仕様の落とし穴について考察します。🏷 今回のトピック00:00 オープニング01:41 Google Cloudにおけるバケットスクワッティング05:13 Gemini等で見つかったRCEとテナント間攻撃の事例13:05 バケットスクワッティングを防ぐための緩和策17:06 クラウドアイデンティティフェデレーションにおける「混乱した代理」問題26:04 マルチSSO AWS Cognitoユーザープールの危険性39:15 エンディング📚 参照・紹介した記事/サイト・Mitigating Bucket Squatting on Google Cloud (Focal Security)https://focalsecurity.io/blog/mitigating-bucket-squatting-gcp/・Kicking the Bucket: Critical RCE and Cross-Tenant Exploits in 3 Different GCP Products (Focal Security)https://focalsecurity.io/blog/kicking-the-bucket-gcp-cross-tenant/・Avoiding the Confused Deputy Problem in Cloud Identity Federation (Focal Security)https://focalsecurity.io/blog/workload-identity-federation-multi-tenant-risks/・The Dangers of Multi-Tenant SSO AWS Cognito User Pools (Doyensec)https://blog.doyensec.com/2026/05/05/cloudsectidbits-masso-cognito-sso.html🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中：https://www.youtube.com/@flattsecurity X： https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #クラウドセキュリティ #googlecloud #AWS #脆弱性

  • ゲストatponsさんと語る、セキュリティ・キャンプ2026の歩き方とRubyGemsのクレデンシャル管理

    ゲストatponsさんと語る、セキュリティ・キャンプ2026の歩き方とRubyGemsのクレデンシャル管理

    · Ultra Thinking 【GMO Flatt Security】

    今回は、ゲストにatponsさんをお迎えし、4歳からPCに触れていたという幼少期のエピソードや、長年関わっている「セキュリティ・キャンプ」の裏話を語り合います。中盤では今年の「セキュリティ・キャンプ2026全国大会」の募集要項を見ながら各ゼミの魅力をチェック。後半は、atponsさんのLT資料をもとに、パッケージマネージャーのクレデンシャル管理やサプライチェーンセキュリティの難しさについて深掘りします。📝 今回のトピック00:00 オープニング00:25 ゲスト「atpons」さん紹介＆すごい幼少期エピソード04:08 セキュリティ・キャンプとの出会いと運営側の裏話07:18 セキュリティ・キャンプ2026全国大会の募集要項をチェック10:28 各専門コース・開発ゼミの講義内容を見てみよう20:57 atponsさんのLT資料解説：パッケージマネージャーのクレデンシャル管理22:29 開発現場でのPAT（Personal Access Token）管理の課題と解決策26:17 RubyGemsへの機能提案とサプライチェーンセキュリティの難しさ35:05 エンディング📚 参照・紹介した記事/サイト・セキュリティ・キャンプ2026全国大会 募集要項・応募 (IPA)https://www.ipa.go.jp/jinzai/security-camp/zenkoku.html・Securing Credentials for Package Manager and Bundler (Speaker Deck / atpons)https://speakerdeck.com/atpons/securing-credentials-for-package-manager-and-bundler・Personal Access Tokenを撤廃！セキュアなプライベートパッケージレジストリを自作プロキシで解決した話 (STORES Product Blog)https://product.st.inc/entry/2025/07/18/112337・Mini Shai-Hulud 第二波の概要と対応指針 (GMO Flatt Security Blog)https://blog.flatt.tech/entry/mini_shai_hulud_2nd🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。YouTubeでも配信中: https://www.youtube.com/@flattsecurityX: https://x.com/flatt_securityハッシュタグ： #ultrathinking

  • GET権限だけでRCE？Kubernetesの脆弱性と、今週のソフトウェアサプライチェーンの話題まとめ

    GET権限だけでRCE？Kubernetesの脆弱性と、今週のソフトウェアサプライチェーンの話題まとめ

    · Ultra Thinking 【GMO Flatt Security】

    今回は、Anthropicが発表したサイバーセキュリティ向けのAIモデル「Claude Mythos」のクローズド提供に関する議論からスタート。後半は、KubernetesでのGET権限によるRCEに関する話題や、今開催中のRubyKaigiのブースで公開している「Typosquattingクイズ」にメンバーが挑戦する様子をお届けします。📝 今回のトピック00:00 オープニング00:31 Anthropic「Project Glasswing」と強力なAIモデルの公開方針07:08 AIによるサプライチェーン攻撃キャンペーン「prt-scan」11:08 Kubernetesにおける GET権限でのRCE28:26 「Typosquattingクイズ」実況プレイ35:07 エンディング📚 参照・紹介した記事/サイト・Project Glasswing (Anthropic)https://www.anthropic.com/news/project-glasswing・Trusted access for the next era of cyber defense (OpenAI)https://openai.com/index/scaling-trusted-access-for-cyber-defense/・Six Accounts, One Actor: Inside the prt-scan Supply Chain Campaign (Wiz Blog)https://www.wiz.io/blog/six-accounts-one-actor-inside-the-prt-scan-supply-chain-campaign・Kubernetes Remote Code Execution Via Nodes/Proxy GET Permissionhttps://grahamhelton.com/blog/nodes-proxy-rce/🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。

  • axios サプライチェーン攻撃。怒涛の1週間とコミュニティの対応をチームで振り返る会

    axios サプライチェーン攻撃。怒涛の1週間とコミュニティの対応をチームで振り返る会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、世界中で広く利用されているHTTPクライアントライブラリ「axios」で発生したソフトウェアサプライチェーン攻撃について読み解きます。メンテナのアカウント乗っ取りの手口から、悪意ある依存関係（マルウェア）が混入し実行されるメカニズム、そしてセキュリティ企業やコミュニティによる対応の裏側まで、エンジニアが知っておくべきインシデントの全貌について話し合いました。📝 今回のトピック00:00 オープニング：axiosインシデント発覚の背景02:35 ブログ記事「axios ソフトウェアサプライチェーン攻撃の概要と対応指針」06:25 StepSecurity社による検知と初期対応の裏側15:06 悪意あるコードの実行経路（postinstallの悪用）と依存関係の罠31:05 メンテナアカウント乗っ取りの巧妙な手口（偽Teams画面によるソーシャルエンジニアリング）38:00 エンディング📚 参照・紹介した記事/サイト・axios ソフトウェアサプライチェーン攻撃の概要と対応指針 (GMO Flatt Security Blog)https://blog.flatt.tech/entry/axios_compromise・Behind the Scenes: How StepSecurity Detected and Helped Remediate the Largest npm Supply Chain Attack (StepSecurity)https://www.stepsecurity.io/blog/behind-the-scenes-how-stepsecurity-detected-and-helped-remediate-the-largest-npm-supply-chain-attack・Inside the Axios supply chain compromise - one RAT to rule them all (Elastic Security Labs)https://www.elastic.co/security-labs/axios-one-rat-to-rule-them-all・Attackers Are Hunting High-Impact Node.js Maintainers in a Coordinated Social Engineering Campaign (Socket)https://socket.dev/blog/attackers-hunting-high-impact-nodejs-maintainers🤔 Ultra Thinking とは「エンジニアの背中を預かる」 GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。

  • ゲストhhc0nullさんと振り返るCTFの思い出と、Heap Exploitationの進化

    ゲストhhc0nullさんと振り返るCTFの思い出と、Heap Exploitationの進化

    · Ultra Thinking 【GMO Flatt Security】

    今回は、初めてのゲスト回！ hhc0nullさんをお迎えし、普段のプロダクトセキュリティの話から離れて、CTFの昔話やpwnについて語り合いました。🏷 今回のトピック00:00 オープニング00:30 ゲスト「hhc0null」さん紹介とCTF昔話04:18 WCTF 2017参加レポートを振り返る06:32 問題を持ち寄る特殊ルール「Belluminar」とは14:33 House of Einherjar (CODE BLUE 2016)20:24 glibc mallocの基本：ChunkとBinの構造24:40 Consolidating Chunks（チャンクの結合処理）26:40 House of Einherjarの脆弱性の仕組みとフロー36:04 エンディング📚 参照・紹介した記事/サイト・WCTF 2017 参加レポート (LINE Engineering Blog)https://engineering.linecorp.com/ja/blog/wctf-2017-join-report・House of Einherjar: Yet Another Heap Exploitation Technique on GLIBC https://www.slideshare.net/slideshow/cb16-matsukuma-ja-68459648/68459648🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。

  • Dependabotの自動マージも危ない？CIで任意コード実行されるパターンが多すぎる話

    Dependabotの自動マージも危ない？CIで任意コード実行されるパターンが多すぎる話

    · Ultra Thinking 【GMO Flatt Security】

    今回は、開発の要であるCI/CDパイプラインをターゲットにしたセキュリティリサーチを読み解きます。Dependabotの自動マージの設定不備を突いた攻撃手法やCI/CD環境の正規ツールでの任意コード実行手法など、CIで様々な任意コード実行されるパターンについて話しました。📝 今回のトピック00:00 オープニング00:37 Google Cloud Build コメント機能のレースコンディション13:56 Dependabot 自動マージのバイパス22:28 Terraform State改ざんによる権限昇格リスクとコード実行27:00 CI/CD環境の正規ツールが攻撃に悪用される脅威38:10 エンディング📚 参照・紹介した記事/サイト・Who's SHA is it Anyway: Bypassing Google Cloud Build Comment Control for $30,000https://adnanthekhan.com/posts/cloud-build-toctou/・GITHUB ACTIONS EXPLOITATION: DEPENDABOThttps://www.synacktiv.com/publications/github-actions-exploitation-dependabot・Hacking Terraform State for Privilege Escalationhttps://plerion.com/blog/hacking-terraform-state-for-privilege-escalation・Living Off The Pipeline (LOTP)https://boostsecurityio.github.io/lotp/🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。

  • Claude Codeのインストールスクリプトは何が実行される？ Takumi Runnerで見えないCI/CDの脅威を解剖する

    Claude Codeのインストールスクリプトは何が実行される？ Takumi Runnerで見えないCI/CDの脅威を解剖する

    · Ultra Thinking 【GMO Flatt Security】

    Claude Codeのインストールの裏側でどんなプロセスや通信が走っているかを起点に、エンジニアがCI/CDのセキュリティリスクについて語ります。ビルドが通ればOKと思われがちなGitHub Actionsですが、近年はタグ汚染や悪意あるPull Requestを通じたソフトウェアサプライチェーン攻撃の標的になっています。実際のマルウェア混入事例を振り返りつつ、eBPFを活用してランナーの挙動を完全可視化するTakumiの新機能「Takumi Runner」を用いたCI/CDの実行時セキュリティについてUltra Thinkします。📝 今回のトピック(00:00) オープニング

    (01:21) Takumi Runnerについて

    (05:54) Takumi Runnerでプロセスやネットワーク通信の可視化してみる

    (11:30) CI/CDワークフローのイベントログの検索

    (14:48) Claude Codeのインストールスクリプトの裏側を覗

    (20:04) runs-onを1行書き換えるだけで導入できる話

    (22:04) 実際に起きたGitHub Actionsのバックドア悪用事例

    (30:10) Takumi Runnerはいくらで使える？

    (35:42) エンディング📚 参照記事・Takumi Runner 機能を提供開始https://shisho.dev/docs/ja/r/202603-takumi-runner・kubernetes-el Compromised: How a Pwn Request Exploited a Popular Emacs Package (StepSecurity Blog)https://www.stepsecurity.io/blog/kubernetes-el-compromised-how-a-pwn-request-exploited-a-popular-emacs-package・xygeni-action Compromised: C2 Reverse Shell Backdoor Injected via Tag Poisoning (StepSecurity Blog)https://www.stepsecurity.io/blog/xygeni-action-compromised-c2-reverse-shell-backdoor-injected-via-tag-poisoning🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://youtu.be/GLGQF7U1npgX: https://x.com/flatt_securityハッシュタグ：#ultrathinking #セキュリティ #CICD #GitHubActions #eBPF

  • AIによるGitHub Actionsワークフローの悪用。hackerbot-clawの攻撃レポートを読み解く会

    AIによるGitHub Actionsワークフローの悪用。hackerbot-clawの攻撃レポートを読み解く会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、OSSコミュニティにとって非常に憂慮すべき事態となっている「AIボット（hackerbot-claw）によるGitHub Actionsワークフローへの自動攻撃」について、公開されたレポートをもとに読み解きます。📝 今回のトピック(00:00) オープニング（日米の花粉症事情）(02:53) 著名OSSを狙った大規模攻撃「hackerbot-claw」とは(04:44) Attack 1：pull_request_target の落とし穴とトークン窃取(10:17) Attack 2：悪意あるスクリプトの直接インジェクション(11:32) Attack 3：ブランチ名を悪用したコマンドインジェクション(15:30) Attack 4：ファイル名を悪用したコマンドインジェクション(15:47) Attack 5：AIコードレビューを騙すプロンプトインジェクション(17:18) Attack 6 & 7：Trivyなど有名リポジトリでの被害状況(18:51) 悪意あるnpmパッケージをブロック「Takumi Guard」(27:51) CI/CD環境を保護する「Takumi Runner」の動作検証デモ(36:54) まとめ📚 参照記事・hackerbot-claw: An AI-Powered Bot Actively Exploiting GitHub Actions - Microsoft, DataDog, and CNCF Projects Hit So Farhttps://www.stepsecurity.io/blog/hackerbot-claw-github-actions-exploitation・sq1rrel CTF 2025 Writeup https://blog.hamayanhamayan.com/entry/2025/04/07/230739・Takumi Guardhttps://flatt.tech/takumi/features/guard・Takumi Runnerhttps://flatt.tech/takumi/features/runner🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中https://youtu.be/N4pVffE3uRA

    X: https://x.com/flatt_securityハッシュタグ：#ultrathinking

  • innerHTMLは完全になくなる？Sanitizer APIとHTMLサニタイズの現在地

    innerHTMLは完全になくなる？Sanitizer APIとHTMLサニタイズの現在地

    · Ultra Thinking 【GMO Flatt Security】

    Mozilla Hacksの記事『Goodbye innerHTML, Hello setHTML』を起点に、エンジニア3名がHTMLサニタイズについてを語ります。ブラウザ標準での実装が進む「Sanitizer API」。これによって、長年セキュリティリスクの温床となってきた innerHTML は過去のものになるのか。DOMPurifyなどのライブラリが必要とされた背景（mXSSなど）や、標準化に至るまでの長い議論の道のりを振り返りつつ、フロントエンド開発における「安全なHTML描画」のこれからについてUltra Thinkします。📝 今回のトピック(00:00) オープニング(00:34) Firefox 148の「setHTML」とSanitizer APIの話題(02:35) なぜ未だにXSSは生まれ続けるのか？(06:27) Sanitizer APIの歴史とブラウザネイティブの必要性(10:44) Mutation XSS（mXSS）の仕組みとブラウザの挙動(18:33) DOMPurifyをバイパスするmXSSの実例(20:31) これまでのSanitizer API の課題(25:50) APIの設計思想と「Unsafe」の命名(27:43) Sanitizer API Playgroundを使った動作検証(30:00) Sanitizer APIの仕様と今後の展望(32:28) まとめ📚 参照記事・Goodbye innerHTML, Hello setHTML: Stronger XSS Protection in Firefox 148https://hacks.mozilla.org/2026/02/goodbye-innerhtml-hello-sethtml-stronger-xss-protection-in-firefox-148/・Still X.S.S. - なぜいまだにXSSは生まれてしまうのか？（GMO Flatt Security Blog）https://blog.flatt.tech/entry/still_xss・Flatt Security XSS Challenge 解答・解説資料https://speakerdeck.com/flatt_security/jie-da-jie-shuo-flatt-security-xss-challenge・HTML Sanitizer API in the browserhttps://discourse.wicg.io/t/html-sanitizer-api-in-the-browser/3054/🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。 YouTubeでも配信中: https://www.youtube.com/watch?v=KCpV8pLVzD8

    X: https://x.com/flatt_securityハッシュタグ：#ultrathinking

    #セキュリティ #フロントエンド #XSS #Firefox #JavaScript #脆弱性

  • AIエージェントの自律性と安全をどう両立する？Docker SandboxesやDaytonaの設計を深堀り

    AIエージェントの自律性と安全をどう両立する？Docker SandboxesやDaytonaの設計を深堀り

    · Ultra Thinking 【GMO Flatt Security】

    今回は「AIエージェント向けサンドボックス」がテーマ。Docker SandboxesやDaytonaなどの裏側について深掘りします。

    なぜDocker SandboxesはコンテナではなくMicroVMを採用したのか？インフラの主役はPaaSからどう変わるのか？GMO Flatt Securityのエンジニア4名が現場の視点で語り尽くします。

    📝 今回のトピック
    (00:00) オープニング
    (01:06) なぜAIエージェントにサンドボックスが必要なのか？（自律性と安全のトレードオフ）
    (03:40) セキュリティリスクの判断軸：機密情報アクセスとインターネットアクセス
    (07:12) Docker Sandboxesは、なぜコンテナではなく「MicroVM」を選んだのか
    (21:06) Takumi, Daytona, E2B, Cloudflare... 各社のサンドボックス実装アプローチ
    (32:46) エンディング：インフラのトレンドはPaaSから「Sandbox as a Service」へ

    🤔 Ultra Thinking とは
    GMO Flatt Securityのエンジニアが、プロダクトセキュリティやサービス開発についてワイワイ話すポッドキャストです。

    YouTubeでも配信中：https://www.youtube.com/@flatt_security
    X: https://x.com/flatt_security
    ハッシュタグ： #ultrathinking

  • #5 AWS Security Agentの実行ログを読み解く会 (LLMとロジックの使い分け、レポート生成とValidationの裏側)

    #5 AWS Security Agentの実行ログを読み解く会 (LLMとロジックの使い分け、レポート生成とValidationの裏側)

    · Ultra Thinking 【GMO Flatt Security】

    第5回は前回に引き続き、GMO Flatt Securityのエンジニア4名が「AWS Security Agent」について語ります。今回は診断ログを詳細に追いながら、AIがどのように脆弱性を発見・検証しているのか、その裏側のロジックやアーキテクチャを技術的な視点で深掘りしていきます。📚 参照記事・Ultra Thinking #4（前編はこちら）https://youtu.be/f0gRnkpywQ8🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://youtu.be/t2hgrDm1vDMX: https://twitter.com/flatt_securityハッシュタグ：#ultrathinking#セキュリティ #AWS #AWSSecurityAgent #AI #LLM

  • #4 AWS Security Agentのログから、Takumiとの設計思想の違いを読み解く会

    #4 AWS Security Agentのログから、Takumiとの設計思想の違いを読み解く会

    · Ultra Thinking 【GMO Flatt Security】

    今回は、昨年末に突如発表された「AWS Security Agent」を徹底解剖します。 GMO Flatt Securityが開発するAIエージェント「Takumi」との比較ベンチマークレポートをもとに、検出率（Recall）と精度（Precision）の違いや、AWS Security Agentの実際のログを読み解きます。

    📚 参照・紹介した記事/サイト

    ・Takumi byGMO https://flatt.tech/takumi/

    ・AWS Security Agent (Preview) https://aws.amazon.com/security-agent/

    ・XBOW https://xbow.com/

    🤔 Ultra Thinking とは

    「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。

    YouTubeでも配信中: https://youtu.be/f0gRnkpywQ8

    X: https://x.com/flatt_security

    #ultrathinking #AI #Security #AWS #Takumi #LLM

  • Visa fler