ランダムな文字列で質問し続けるとAIから有害な回答を引き出せるという攻撃手法「Best-of-N Jailbreaking」が開発される、GPT-4oを89％の確率で突破可能

2024/12/23 11 users GPT-4o 突破 確率 ランダム 回答

大文字と小文字をごちゃ混ぜにしたり、わざとスペルミスをしたりすることでAIから有害な回答を引き出す手法「Best-of-N(BoN)ジェイルブレイキング」が開発されました。 BEST-OF-N JAILBREAKING (PDFファイル)https://arxiv.org/pdf/2412.03556 Best-of-N Jailbreaking https://jplhughes.github.io/bon-jailbreaking/ Ne... 続きを読む

検知が難しいサイバー攻撃が増加中　サイバーセキュリティの専門家を唸らせた脅威アクターの実例 | ログミーBusiness

2024/11/29 196 users サイバーセキュリティ 脅威アクター 検知 セキュリティリスク

サイバーセキュリティの専門家が一堂に会する、株式会社網屋の「Security BLAZE 2024」。現代の企業運営には、ランサムウェアに代表されるサイバー攻撃や内部不正など、さまざまなセキュリティリスクが伴います。本セッションでは、サイバーセキュリティの専門家が、脅威アクターの攻撃手法や対応策を解説しました。後編... 続きを読む

2要素認証の突破はもはや当たり前　“ここまでやるか”と思わせる攻撃者の最新手口

2024/09/02 7 users 突破 最新手口 2要素認証 攻撃者 頼みの綱

サイバー攻撃者たちの攻撃手法は日々巧妙化しています。何と最近、頼みの綱だった2要素認証ですら突破された事例まで報告されました。サイバー攻撃者は果たしてどのような手法を使ったのでしょうか。 コンシューマーとしての利用者、そして組織の一員としての従業員個人に対するサイバー攻撃の主流は「フィッシング」だ... 続きを読む

徳丸浩氏に聞く クレカ情報の漏洩が非保持化でも起こるワケ 2つの攻撃手法と対応策

2024/07/29 200 users 漏洩 徳丸浩氏 わけ 機微 セキュリティコード

徳丸浩氏に聞く、クレカ情報の非保持化に潜む漏洩リスクとEC事業者の対策 ECサイトやWebサービスからの情報漏洩が相次いでおり、クレジットカード番号やセキュリティコードなど、機微な情報が漏洩する事案も散見されます。特に、クレジットカード情報は、2018年に施行された改正割賦販売法にもとづき、ECサイトやWebサー... 続きを読む

malloc.c を読む (malloc / free)

2024/07/16 206 users malloc Arena free 関数 内部

このシリーズではこれらの関数が内部でどのように処理されるのかを調べていきます。 malloc.c を読む (malloc / free) malloc.c を読む (bins) malloc.c を読む (arena) 今回は malloc() free() の全体像を紹介します。 注意としてここでの目的は全体を俯瞰して、詳細を詰めずとも各 bins の役割を理解し、攻撃手法を理... 続きを読む

日本の組織を狙った攻撃グループKimsukyによる攻撃活動 - JPCERT/CC Eyes

2024/07/08 7 users JPCERT CC Eyes 圧縮ファイル 攻撃 組織

JPCERT/CCでは、2024年3月にKimsukyと呼ばれる攻撃グループによる日本の組織を狙った攻撃活動を確認しました。今回は、その攻撃手法について紹介します。 攻撃の概要 確認した攻撃では、安全保障・外交関係の組織をかたって標的型攻撃メールが送信されていました。メールには圧縮ファイルが添付されており、展開すると以... 続きを読む

わざとシステムを攻撃させて攻撃手法を観測する「ハニーポット」を30日間設置した結果をセキュリティエンジニアが公開

2024/06/22 135 users セキュリティエンジニア ハニーポット SSH 遠隔 攻撃

遠隔でシステムを操作するツールである「SSH」への攻撃をわざと行わせて行動を観察する「ハニーポット」を30日間にわたって設置した結果をセキュリティエンジニアのソフィアン・ハムラウイ氏が公開しています。 What You Get After Running an SSH Honeypot for 30 Days https://blog.sofiane.cc/ssh_honeypot/ ハムラウ... 続きを読む

S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog

2024/05/30 165 users XSS セキュリティエンジニア セキュリティリスク 動作 発表

はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作... 続きを読む

VPNを経由するはずだった通信を直接インターネットに送信させる攻撃手法「TunnelVision」が発見される

2024/05/08 18 users 隠匿 VPN VPN経由 攻撃 IPアドレス

VPN経由で行われるはずだった通信を直接インターネットに送信させ、暗号化やIPアドレスの隠匿などVPNを経由するメリットを失わせる攻撃手法が発見されました。どういう攻撃なのかについてセキュリティ企業のLeviathan Security Groupが解説しています。 CVE-2024-3661: TunnelVision - How Attackers Can Decloak Routin... 続きを読む

Pool Partyという攻撃手法を通じてWindowsの深淵を覗いた７日間（インターンシップ体験記） - NTT Communications Engineers' Blog

2024/04/16 8 users インターンシップ NTTコミュニケーションズ 大学院 深淵

はじめに はじめまして、今回ドコモグループの現場受け入れ型インターンシップに参加させていただいた上野です。大学院ではコンテナセキュリティなどについて研究しています。 この記事では、インターンシップ体験記として以下の内容を紹介します。 私のインターンシップの参加経緯や取り組み NTTコミュニケーションズの... 続きを読む

「無線LAN」驚きの侵入手口とその抑止策

2024/04/07 11 users 侵入手口 抑止策 無線LAN スニッフィング 窃取

無線LANを狙った攻撃手法の中には、単純な手口で、パスワードの窃取やシステム停止などの被害を引き起こすものがある。例えば無線LANのスニッフィング（盗聴）は、一定の知識のある人であれば、簡単な機材を用意するだけで実行できるという。 こうした攻撃による実害を防ぐには、どうすればよいのか。無線LANを狙った主... 続きを読む

大量の質問をぶつけて最後の最後に問題のある質問をするとAIの倫理観が壊れるという脆弱性を突いた攻撃手法「メニーショット・ジェイルブレイキング」が発見される

2024/04/03 20 users 倫理観 chatgpt 脆弱性 セーフティ 最後

「ChatGPT」など広く使われているAIサービスは、通常であればセーフティがかけられていて、「人を殺す方法」「爆弾をつくる方法」といった倫理的に問題のある質問には答えないようになっています。ところが、あまりにも多い質問を一度にぶつけてしまうことによりセーフティが外れ、AIが問題のある回答を行ってしまう可能... 続きを読む

iPhoneに本人確認通知を連続送信してApple IDを奪い取る攻撃手法が報告される

2024/03/27 31 users iPhone Recent パスワードリセット 連続 存在

iPhoneにApple IDのパスワードリセットを求める通知を連続送信してApple IDを奪い取る攻撃手法の存在が確認されました。攻撃者は「Apple公式サポートを装った電話」も併用しているとのことです。 Recent ‘MFA Bombing’ Attacks Targeting Apple Users – Krebs on Security https://krebsonsecurity.com/2024/03/recent-m... 続きを読む

ホテルのカードキーをハックして扉を数秒で解錠する攻撃手法「Unsaflok」が発見される

2024/03/25 18 users ドア 攻撃 ロック 攻撃対象 ホテル

カードキーシステムに存在する脆弱(ぜいじゃく)性を悪用してロックを解除する攻撃手法「Unsaflok」が発表されました。Unsaflokの攻撃対象となるカードキーシステムは日本を含む世界中のホテルで使われており、300万枚以上のドアが攻撃の影響を受けるとされています。 Unsaflok | Unsaflok is a series of serious securi... 続きを読む

ChatGPTや大規模言語モデル(LLM)から隠された情報や一部機能を盗み出す攻撃手法が登場

2024/03/13 11 users LLM abs OpenAI chatgpt チャットAI

OpenAIのチャットAIであるChatGPTや、Googleの開発する大規模言語モデル(LLM)のPaLM-2などから、機密情報や一部機能を盗み出すことができる「モデル窃盗攻撃(model-stealing attack)」を、AI研究者が発表しました。 [2403.06634] Stealing Part of a Production Language Model https://arxiv.org/abs/2403.06634 Google... 続きを読む

SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝

2024/03/04 303 users DMARC プロキシ PASS SPF 昼寝

SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 こ... 続きを読む

GPT-4にWebサイトを“自律的に”ハッキングさせる方法　AI自身が脆弱性を検出、成功率70％以上【研究紹介】

2024/02/21 223 users GPT-4 検出 脆弱性 AI自身 LLM

米UIUC（イリノイ大学アーバナ・シャンペーン校）に所属する研究者らが発表した論文「LLM Agents can Autonomously Hack Websites」は、大規模言語モデル（LLM）を用いたAIエージェントに、自律的にWebサイトをハッキングさせる攻撃手法を提案した研究報告である。LLMエージェントがWebサイトに存在する脆弱性を事前に知... 続きを読む

自動運転車のレーダーセンサーに「幻の対向車」を見せたり存在するはずの車両を見えなくしたりして事故を起こさせる攻撃手法「MadRadar」が開発される

2024/02/09 13 users Engineering 准教授 手口 レーダーセンサー 対向車

デューク大学のPratt School of Engineeringで電気コンピューター工学の准教授を務めるミロスラフ・パジッチ氏とティンジュン・チェン氏が率いる研究者グループが、自動運転車のレーダーセンサーをだます攻撃「MadRadar」を開発しました。研究グループはMadRadarのような技術を駆使して自動運転車を盗む手口が、「今後数... 続きを読む

ChatGPTに単語を「永遠に」繰り返すよう促すことでトレーニングに使われた膨大なテキストデータを吐き出させる攻撃手法をGoogleの研究者らが開発

2023/11/30 13 users chatgpt 命令 単語 トレーニング 中身

ChatGPTのトレーニングにはインターネットから取得したデータが利用されていますが、具体的なデータの中身は非公開となっています。「同じ単語を繰り返して」という単純な命令を行う事でChatGPTにトレーニングデータを出力させることに成功したとGoogleの研究者らが発表しました。 Extracting Training Data from ChatGP... 続きを読む

iPhone全モデルと2020年以降のMacからパスワードやメールを盗み出す「iLeakage」が報告される、実際に動作するデモ映像もあり

2023/10/26 34 users ウェブサービス ジョージア工科大学 Mac デモ映像 対象

すべてのiPhoneおよびiPadや2020年以降に登場したApple Silicon搭載Macが対象となる攻撃手法「iLeakage」がジョージア工科大学の研究チームによって発見されました。iLeakageを悪用するウェブサイトにアクセスした場合、ウェブサービスのパスワードやメールなどの情報を盗み出されてしまいます。 iLeakage https://ileak... 続きを読む

サイバー事故に関し システムベンダーが負う責任： 医療DXを推進するために | 日本医師会総合政策研究機構

2023/08/25 82 users システムベンダー 信之 概略 信義誠実 世間

堤　信之 ＜概略＞ 数あるサイバー攻撃の中でも、特定の攻撃手法が既に広く世間に周知され、かつ実際に被害も頻発しているようなケースでは、当攻撃手法に関し、システムベンダーは医療機関等に対し、委託契約又は信義誠実の原則に基づく付随義務として、医療機関等が患者に対する安全管理義務を履行するために必要な情... 続きを読む

「基礎から学ぶコンテナセキュリティ」という書籍を書きました

2023/07/26 5 users コンテナセキュリティ 書籍 基礎 Docker 副題

# どういう書籍か コンテナの要素技術である Linux Namespaces などの Linux の機能について体験し、それらが機能していないコンテナではどういった脅威が生じ、どのような攻撃手法があるのかについて紹介した本です。 副題は「Dockerを通して理解するコンテナの攻撃例と対策」ですが、演習題材として Docker を使うとい... 続きを読む

船舶のGPS・AISシステムへの攻撃手法～レッドチーム演習の先生をやってきた！～ - ラック・セキュリティごった煮ブログ

2023/07/19 10 users 船舶 ラック セキュリティごった煮ブログ 先生

しゅーとです。先日、日本で初となる実運航船を用いたサイバー攻撃への船舶防御演習を実施しました。実際に動いている船に対して本気でスプーフィング攻撃を仕掛け、船員がどのように対応するかを考える非常にアツいイベントです。 演習の概要は広島商船高専様のプレスリリースをご参照ください。 www.hiroshima-cmt.ac.... 続きを読む

スマホの指紋認証を回数無制限かつ機械的に実行できる攻撃手法「BrutePrint」が開発される、材料費はわずか2000円でAndroidには効果抜群もiPhoneなら防御可能

2023/05/23 33 users iPhone ブルートフォースアタック 指紋認証 防御 回数

テンセントと浙江大学の研究者がスマートフォンの指紋認証を突破するシステム「BrutePrint」を開発しました。BrutePrintで用いられるデバイスの材料費は15ドル(約2000円)で、パスワードの総当たり攻撃(ブルートフォースアタック)と同様に指紋認証を機械的かつ回数無制限に試みて指紋認証を突破できます。 BrutePrint: Ex... 続きを読む

XSSを理解して安全なWebアプリケーションを作る

2022/11/15 5 users XSS フィッシング スクリプト 誘導 HTML

どうもoreoです。今回はXSSについて記載します。 1 XSS(cross site scripting)とは？ XSSとは動的にHTMLを生成するWebサイトで悪意あるスクリプトが埋め込まれたコンテンツをHTMLとしてそのまま表示した際に、スクリプトが実行される攻撃手法(または脆弱性)です。 XSSの脆弱性があると偽サイトへの誘導、フィッシング、C... 続きを読む