Security & Misuse

マシンスピードで進化するサイバー攻撃に対し、事後対応ではなく攻撃の前工程を制する「先制的サイバーセキュリティ」の重要性をフォーティネットが提唱している。

• •人的対応に限界がある現代の攻撃環境において、経営層による戦略的なセキュリティ投資判断が求められている
• •境界防御や事後対応のみの体制では事業停止リスクを回避できず、組織体制の抜本的な見直しが必要となる
• •脅威に対抗するための組織作りと、経営視点でのリスク管理アプローチをフォーティネットの幹部が解説している

情報漏えいリスクを回避するためウェザーニューズが独自AIを開発し、全社員の8割以上が利用する社内基盤として実務に組み込んでいる実態を詳述する

• •社外サービス利用に伴うデータ漏えいリスクを懸念し、セキュリティを重視した自社開発AIの構築を選択した
• •全社員の8割以上が日常的に利用しており、業務プロセスへの定着が進んでいる
• •実務に組み込みやすい操作性と、機密情報を社内ネットワーク内で処理できる安全性を両立させている

DNPとKeypascoが協業し、AIエージェントを含むデジタルサービスの安全利用を支える「DNPマルチトラスト認証」を11月から金融向けに提供する。

• •本人確認やデバイス認証、リスクベース認証を統合した認証基盤を構築する
• •AIエージェントによるデジタルサービスの利用増を見据えたセキュリティ対策として位置づけられる
• •金融サービス事業者向けに11月よりサービスの提供を開始する

中小企業向けに設計された統合型クラウド管理プラットフォーム「FortiManagement Cloud」が紹介され、ネットワーク管理の複雑さ軽減が訴求されている。

• •マネージドサービスプロバイダー（MSP）と中小企業が共通して利用可能な単一プラットフォームを提供する
• •ビジネスの成長に伴う拡張性を確保しつつ、運用負荷を低減することを目的としている
• •クラウドベースのネットワーク管理と分析機能を統合し、可視化と制御の効率化を図る

イランからの攻撃を受けた中東地域のデータセンター施設において、AWSが一部データの復元が困難であると明かした

• •物理的なインフラへの攻撃により、冗長化されたシステムでも完全なデータ復旧が困難な状況が生じている
• •クラウドプロバイダーの障害対応において、地政学的リスクがデータ永続性や可用性に与える影響が浮き彫りになった
• •ユーザーはマルチリージョン構成やオフサイトバックアップの重要性を再認識し、BCP（事業継続計画）の見直しを迫られている

ドイツの防衛企業ラインメタルが、同社のネットワーク接続型兵器システム「Battlesuite」のAPIプロトコル文書を公開し、技術の透明性を高めた

• •公開されたのは9.10.0版のオンボードAPI文書であり、兵器システム間の通信規格が詳細に記述されている
• •防衛分野におけるオープンソース化の動きとして注目され、互換性のある周辺機器やソフトウェア開発を促進する可能性がある
• •Hacker News上で142ポイントを獲得し、軍事技術のオープン化とセキュリティへの影響について活発な議論が交わされている

IPAがSCS評価制度の上位等級取得を支援する新実証事業を開始し、15事業者のサービスが無償で利用可能になった

• •独立行政法人情報処理推進機構（IPA）が、SCS評価制度の★3・★4取得を支援する実証事業を9月15日に開始した
• •15事業者がサービスを提供しており、希望する企業は費用を負担することなく無償で参加できる
• •本事業はサイバーセキュリティの専門能力を証明する評価制度の普及と、組織のセキュリティ強化を目的としている

AIエージェントの普及に伴い認証情報の管理が複雑化し、従来の.envファイルへの保存では防げない「内通者化」リスクへの対策が議論されている

• •AIエージェントの活用拡大により、APIキーやトークンなどの認証情報が急増し、セキュリティリスクが高まっている
• •従来の「APIキーを.envファイルに保存する」手法では、AIエージェントが意図せず情報を漏洩させるリスクを完全に防げない
• •AIエージェントが認証情報を悪用する「内通者化」を防ぐための、より高度な認証情報管理手法の必要性が指摘されている

セキュリティ企業Strixが、AIインフラベンチャーBasetenの本番環境GitHubリポジトリに、Personal Access Token（PAT）の権限設定ミスを利用し、わずか25分で完全な管理者アクセスを取得した脆弱性を公開した

• •Basetenの開発チームが意図せず公開範囲が広かったGitHub PATを発見し、これを悪用してリポジトリの完全な制御権限を得た
• •この攻撃により、ソースコードの改ざんや機密情報の漏洩、さらにはAIモデルの悪用といった重大なリスクが生じる可能性があった
• •Strixは、AI企業におけるサプライチェーンセキュリティの重要性を強調し、CI/CDパイプラインや認証情報の管理に関する具体的な改善策を提案している

Internet ArchiveがWayback Machineのアクセス制限や利用可能なスナップショット範囲に関する最新方針を公表し、大規模なクローリングやAPI利用時のレート制限強化について説明している

• •特定のIPアドレスやAPIキーからの大量アクセスに対して、より厳格なレート制限が導入された
• •アーカイブされたウェブページの保存期間や削除ポリシーに関する透明性が向上し、ユーザーへの通知方法が変更された
• •研究目的や学術的な利用に対しては、特別なアクセス枠や優先的なサポートが提供されるようになった