ランダムな文字列で質問し続けるとAIから有害な回答を引き出せるという攻撃手法「Best-of-N Jailbreaking」が開発される、GPT-4oを89％の確率で突破可能

2024/12/23 11 users GPT-4o 突破 確率 ランダム 回答

大文字と小文字をごちゃ混ぜにしたり、わざとスペルミスをしたりすることでAIから有害な回答を引き出す手法「Best-of-N(BoN)ジェイルブレイキング」が開発されました。 BEST-OF-N JAILBREAKING (PDFファイル)https://arxiv.org/pdf/2412.03556 Best-of-N Jailbreaking https://jplhughes.github.io/bon-jailbreaking/ Ne... 続きを読む

検知が難しいサイバー攻撃が増加中　サイバーセキュリティの専門家を唸らせた脅威アクターの実例 | ログミーBusiness

2024/11/29 196 users サイバーセキュリティ 脅威アクター 検知 セキュリティリスク

サイバーセキュリティの専門家が一堂に会する、株式会社網屋の「Security BLAZE 2024」。現代の企業運営には、ランサムウェアに代表されるサイバー攻撃や内部不正など、さまざまなセキュリティリスクが伴います。本セッションでは、サイバーセキュリティの専門家が、脅威アクターの攻撃手法や対応策を解説しました。後編... 続きを読む

徳丸浩氏に聞く クレカ情報の漏洩が非保持化でも起こるワケ 2つの攻撃手法と対応策

2024/07/29 200 users 漏洩 徳丸浩氏 わけ 機微 セキュリティコード

徳丸浩氏に聞く、クレカ情報の非保持化に潜む漏洩リスクとEC事業者の対策 ECサイトやWebサービスからの情報漏洩が相次いでおり、クレジットカード番号やセキュリティコードなど、機微な情報が漏洩する事案も散見されます。特に、クレジットカード情報は、2018年に施行された改正割賦販売法にもとづき、ECサイトやWebサー... 続きを読む

malloc.c を読む (malloc / free)

2024/07/16 206 users malloc Arena free 関数 内部

このシリーズではこれらの関数が内部でどのように処理されるのかを調べていきます。 malloc.c を読む (malloc / free) malloc.c を読む (bins) malloc.c を読む (arena) 今回は malloc() free() の全体像を紹介します。 注意としてここでの目的は全体を俯瞰して、詳細を詰めずとも各 bins の役割を理解し、攻撃手法を理... 続きを読む

わざとシステムを攻撃させて攻撃手法を観測する「ハニーポット」を30日間設置した結果をセキュリティエンジニアが公開

2024/06/22 135 users セキュリティエンジニア ハニーポット SSH 遠隔 攻撃

遠隔でシステムを操作するツールである「SSH」への攻撃をわざと行わせて行動を観察する「ハニーポット」を30日間にわたって設置した結果をセキュリティエンジニアのソフィアン・ハムラウイ氏が公開しています。 What You Get After Running an SSH Honeypot for 30 Days https://blog.sofiane.cc/ssh_honeypot/ ハムラウ... 続きを読む

S3経由でXSS!?不可思議なContent-Typeの値を利用する攻撃手法の新観点 - Flatt Security Blog

2024/05/30 165 users XSS セキュリティエンジニア セキュリティリスク 動作 発表

はじめに セキュリティエンジニアの齋藤ことazaraです。今回は、不可思議なContent-Typeの値と、クラウド時代でのセキュリティリスクについてお話しします。 本ブログは、2024 年 3 月 30 日に開催された BSides Tokyo で登壇した際の発表について、まとめたものです。 また、ブログ資料化にあたり、Content-Type の動作... 続きを読む

VPNを経由するはずだった通信を直接インターネットに送信させる攻撃手法「TunnelVision」が発見される

2024/05/08 18 users 隠匿 VPN VPN経由 攻撃 IPアドレス

VPN経由で行われるはずだった通信を直接インターネットに送信させ、暗号化やIPアドレスの隠匿などVPNを経由するメリットを失わせる攻撃手法が発見されました。どういう攻撃なのかについてセキュリティ企業のLeviathan Security Groupが解説しています。 CVE-2024-3661: TunnelVision - How Attackers Can Decloak Routin... 続きを読む

「無線LAN」驚きの侵入手口とその抑止策

2024/04/07 11 users 侵入手口 抑止策 無線LAN スニッフィング 窃取

無線LANを狙った攻撃手法の中には、単純な手口で、パスワードの窃取やシステム停止などの被害を引き起こすものがある。例えば無線LANのスニッフィング（盗聴）は、一定の知識のある人であれば、簡単な機材を用意するだけで実行できるという。 こうした攻撃による実害を防ぐには、どうすればよいのか。無線LANを狙った主... 続きを読む

大量の質問をぶつけて最後の最後に問題のある質問をするとAIの倫理観が壊れるという脆弱性を突いた攻撃手法「メニーショット・ジェイルブレイキング」が発見される

2024/04/03 20 users 倫理観 chatgpt 脆弱性 セーフティ 最後

「ChatGPT」など広く使われているAIサービスは、通常であればセーフティがかけられていて、「人を殺す方法」「爆弾をつくる方法」といった倫理的に問題のある質問には答えないようになっています。ところが、あまりにも多い質問を一度にぶつけてしまうことによりセーフティが外れ、AIが問題のある回答を行ってしまう可能... 続きを読む

iPhoneに本人確認通知を連続送信してApple IDを奪い取る攻撃手法が報告される

2024/03/27 31 users iPhone Recent パスワードリセット 連続 存在

iPhoneにApple IDのパスワードリセットを求める通知を連続送信してApple IDを奪い取る攻撃手法の存在が確認されました。攻撃者は「Apple公式サポートを装った電話」も併用しているとのことです。 Recent ‘MFA Bombing’ Attacks Targeting Apple Users – Krebs on Security https://krebsonsecurity.com/2024/03/recent-m... 続きを読む

ホテルのカードキーをハックして扉を数秒で解錠する攻撃手法「Unsaflok」が発見される

2024/03/25 18 users ドア 攻撃 ロック 攻撃対象 ホテル

カードキーシステムに存在する脆弱(ぜいじゃく)性を悪用してロックを解除する攻撃手法「Unsaflok」が発表されました。Unsaflokの攻撃対象となるカードキーシステムは日本を含む世界中のホテルで使われており、300万枚以上のドアが攻撃の影響を受けるとされています。 Unsaflok | Unsaflok is a series of serious securi... 続きを読む

ChatGPTや大規模言語モデル(LLM)から隠された情報や一部機能を盗み出す攻撃手法が登場

2024/03/13 11 users LLM abs OpenAI chatgpt チャットAI

OpenAIのチャットAIであるChatGPTや、Googleの開発する大規模言語モデル(LLM)のPaLM-2などから、機密情報や一部機能を盗み出すことができる「モデル窃盗攻撃(model-stealing attack)」を、AI研究者が発表しました。 [2403.06634] Stealing Part of a Production Language Model https://arxiv.org/abs/2403.06634 Google... 続きを読む

SPF (やDMARC) を突破する攻撃手法、BreakSPF | 朝から昼寝

2024/03/04 303 users DMARC プロキシ PASS SPF 昼寝

SPF レコードで許可されている IPアドレスの実態がクラウドやプロキシ等の共用サービスのものであるケースは多く、それらの IPアドレスが第三者によって利用できる可能性があることを悪用し、SPF 認証を pass、結果的に DMARC 認証まで pass して詐称メールを送信できてしまうことを指摘した論文が公開されています。 こ... 続きを読む

GPT-4にWebサイトを“自律的に”ハッキングさせる方法　AI自身が脆弱性を検出、成功率70％以上【研究紹介】

2024/02/21 223 users GPT-4 検出 脆弱性 AI自身 LLM

米UIUC（イリノイ大学アーバナ・シャンペーン校）に所属する研究者らが発表した論文「LLM Agents can Autonomously Hack Websites」は、大規模言語モデル（LLM）を用いたAIエージェントに、自律的にWebサイトをハッキングさせる攻撃手法を提案した研究報告である。LLMエージェントがWebサイトに存在する脆弱性を事前に知... 続きを読む

自動運転車のレーダーセンサーに「幻の対向車」を見せたり存在するはずの車両を見えなくしたりして事故を起こさせる攻撃手法「MadRadar」が開発される

2024/02/09 13 users Engineering 准教授 手口 レーダーセンサー 対向車

デューク大学のPratt School of Engineeringで電気コンピューター工学の准教授を務めるミロスラフ・パジッチ氏とティンジュン・チェン氏が率いる研究者グループが、自動運転車のレーダーセンサーをだます攻撃「MadRadar」を開発しました。研究グループはMadRadarのような技術を駆使して自動運転車を盗む手口が、「今後数... 続きを読む

ChatGPTに単語を「永遠に」繰り返すよう促すことでトレーニングに使われた膨大なテキストデータを吐き出させる攻撃手法をGoogleの研究者らが開発

2023/11/30 13 users chatgpt 命令 単語 トレーニング 中身

ChatGPTのトレーニングにはインターネットから取得したデータが利用されていますが、具体的なデータの中身は非公開となっています。「同じ単語を繰り返して」という単純な命令を行う事でChatGPTにトレーニングデータを出力させることに成功したとGoogleの研究者らが発表しました。 Extracting Training Data from ChatGP... 続きを読む

iPhone全モデルと2020年以降のMacからパスワードやメールを盗み出す「iLeakage」が報告される、実際に動作するデモ映像もあり

2023/10/26 34 users ウェブサービス ジョージア工科大学 Mac デモ映像 対象

すべてのiPhoneおよびiPadや2020年以降に登場したApple Silicon搭載Macが対象となる攻撃手法「iLeakage」がジョージア工科大学の研究チームによって発見されました。iLeakageを悪用するウェブサイトにアクセスした場合、ウェブサービスのパスワードやメールなどの情報を盗み出されてしまいます。 iLeakage https://ileak... 続きを読む

サイバー事故に関し システムベンダーが負う責任： 医療DXを推進するために | 日本医師会総合政策研究機構

2023/08/25 82 users システムベンダー 信之 概略 信義誠実 世間

堤　信之 ＜概略＞ 数あるサイバー攻撃の中でも、特定の攻撃手法が既に広く世間に周知され、かつ実際に被害も頻発しているようなケースでは、当攻撃手法に関し、システムベンダーは医療機関等に対し、委託契約又は信義誠実の原則に基づく付随義務として、医療機関等が患者に対する安全管理義務を履行するために必要な情... 続きを読む

船舶のGPS・AISシステムへの攻撃手法～レッドチーム演習の先生をやってきた！～ - ラック・セキュリティごった煮ブログ

2023/07/19 10 users 船舶 ラック セキュリティごった煮ブログ 先生

しゅーとです。先日、日本で初となる実運航船を用いたサイバー攻撃への船舶防御演習を実施しました。実際に動いている船に対して本気でスプーフィング攻撃を仕掛け、船員がどのように対応するかを考える非常にアツいイベントです。 演習の概要は広島商船高専様のプレスリリースをご参照ください。 www.hiroshima-cmt.ac.... 続きを読む

スマホの指紋認証を回数無制限かつ機械的に実行できる攻撃手法「BrutePrint」が開発される、材料費はわずか2000円でAndroidには効果抜群もiPhoneなら防御可能

2023/05/23 33 users iPhone ブルートフォースアタック 指紋認証 防御 回数

テンセントと浙江大学の研究者がスマートフォンの指紋認証を突破するシステム「BrutePrint」を開発しました。BrutePrintで用いられるデバイスの材料費は15ドル(約2000円)で、パスワードの総当たり攻撃(ブルートフォースアタック)と同様に指紋認証を機械的かつ回数無制限に試みて指紋認証を突破できます。 BrutePrint: Ex... 続きを読む

攻撃者視点からIoT機器のセキュリティを学ぶ「攻撃手法を学んで防御せよ! 押さえておくべきIoTハッキング」、インプレスが発売　

2022/06/16 16 users IoTハッキング IoT機器 セキュリティ インプレス 発売

続きを読む

ほとんどのCPUからリモートで暗号化キーを奪取できる攻撃手法「Hertzbleed Attack」が発表される

2022/06/15 85 users リモート AMD CPU Intel AMD製CPU

アメリカの複数大学からなる研究チームが全てのIntel製CPUおよび複数のAMD製CPUを対象にしたサイドチャネル攻撃の新手法「Hertzbleed Attack」を公表しました。研究チームはHertzbleed Attackを用いることで攻撃対象CPUの暗号化を突破できると主張しており、IntelとAMDは対策方法をアナウンスしています。 Hertzbleed At... 続きを読む

ランサムウェアの知識、古くなってない？　従来型とは別手法の「システム侵入型」が台頭

2022/05/13 146 users 台頭 ランサムウェア 被害 システム内部 従来型

ランサムウェアの知識、古くなってない？　従来型とは別手法の「システム侵入型」が台頭（1/2 ページ） ランサムウェアによる被害は以前から継続してあるが、その攻撃手法は大きく変わってきた。近年問題になっているのは、人間がシステム内部に侵入して作業する「システム侵入型ランサム攻撃」が増えており、対策のため... 続きを読む

インテルとARMのCPUに脆弱性「Spectre-v2」の悪夢再び、新たな攻撃手法

2022/03/12 132 users ARM インテル CPU 悪夢 情報窃取

2017年、インテルやARMのCPUに情報窃取の脆弱性が存在することが明らかになった。通常、CPUのプロセスはほかのプロセスの処理しているデータを読み取ることはできない仕組みになっているが、ある機能を悪用することで実行中のプロセスから本来は入手できてはいけないデータを窃取できることが明らかになった。この仕組み... 続きを読む

SaaSに新手のXSS攻撃、11社のECサイトから43万件の顧客情報漏洩

2022/01/13 13 users SaaS 新手 クロスサイトスクリプティング XSS攻撃 ＥＣ

11社もの流通業のEC（電子商取引）サイトから顧客情報が流出した。約80社が利用するSaaSのサーバーがサイバー攻撃を受けたためだ。漏洩した可能性がある利用者情報は延べ43万件以上で、カード情報も含まれる。攻撃手法は「クロスサイトスクリプティング（XSS）」だった。SaaSの提供元は攻撃検知ツールなどを導入していた... 続きを読む