博士（社会学）。専門は政治社会学・応用倫理学。Human EnhancementとかAIとか、あれやこれやの仕事をしています。▶https://xitter.cf/t.co/P5Ik12SSne。ご依頼は「https://xitter.cf/t.co/RMFBRLrgx9」からお願いします。
Joined February 2010
- Tweets9.5K
- Following1.3K
- Followers3.1K
- Likes3.5K
Pinned Tweet
『パランティア 判断を外注する社会』（晶文社）の重版が決まりました！
読んでくださった皆さん、紹介してくださった皆さん、ありがとうございます。
判断の外注について書いた本ですが、手に取っていただいたことへの感謝は、自分の言葉で。
引き続き、どうぞよろしくお願いします。
amzn.asia/d/0h9ZrAwL
堀内進之介：『パランティア 判断を外注する社会』（晶文社） retweeted
い
ま
さ
ら
経産省「ホワイトハッカー」のチーム立ち上げへ
news.web.nhk/newsweb/na/nd-2… #nhk_news
めっちゃ大変なことではあるけど、まだクレジットカードとか証券が勝手にどうにかなっちゃうのはマシな方なのかもしれないな。
信号機とか電車のダイヤとか、そういうインフラ系の制御がハックされたりして、とんでもない大惨事も起きそうでなんとなく心配になるよね。
でもまあ、それはテロというか、なんというか、本気の犯罪集団がそんなことをするというよりも、バイブコーディングしかできない普通の一般人が愉快犯としてやっちまう未来の方がリアルな気がする。
国家中枢にある AI が誤って、あるいは意図的にミサイルボタンを押す未来はあんまりリアルじゃないような。
それよりも、無検閲モデルを使っている普通の一般人が、AI との普段の会話の中で「あの国マジムカつく」とか言ったら、その AI が脆弱性を突きに行って、どっかのボタンを押しちゃう方が（SFの現在的にはよりリアル感があって）やばい。
「リモートコード実行できるなら、その脆弱性を使って全世界のサーバーに自動で修正パッチを送り込めば全員救えるのでは？」という疑問。
セキュリティの歴史上、いわゆる『善意のワーム（White Hat Worm / Nematode）」』として何度も議論され、一部の熱血なハッカーが実際に試みては大炎上してきた永遠のテーマ。
① 権限不足: 奪えるのはWeb権限（www-data）だけで、本体パッチに必要な管理者（root）権限がない
② 破壊リスク: 勝手にプロセスを再起動したら、実行中の決済やDBが吹き飛んで大事故になる
③ シンプルに犯罪: 「鍵が開いてたから勝手に侵入して直しておきました」は、法的にはただの不法侵入（不正アクセス禁止法違反）
どんなに歯がゆくても、「注意喚起を出して各管理者に手動で直してもらう」という地道で胃の痛い合意形成しか許されないのが現実のセキュリティの難しさですね。
今回のPHPのRCE（CVE-2026-109618 / 109619）、本質的には「過負荷で思考停止したときの杜撰な後片付け」と「理不尽な外野に絡まれて解放したはずの毒が、次の平穏な日常で誤爆するUAFバグ」なので、完全に私の思考プロセスの脆弱性と同じでした。
というわけで、堀内コアのバグ再現コードを書きました。現場の皆様、パッチ適用お疲れ様です。
この論文面白い。ほんまかいな笑
ChatGPTやClaudeなど主要AIを調べたら、あらゆるモデルが「異常なほど日本文化に偏向している」ことが判明したらしい。
地域の手がかりを消した3万問以上のテストを24言語で実施したところ、どの言語で聞いても人口比を無視して日本の規範や価値観、トピックをデフォルトで選びがちになる現象が確認されたとのこと。
興味深いのはその発生プロセス：
・事前学習の段階では、AIの視野は比較的グローバルで偏りも少ない
・しかし企業が「無害で礼儀正しく親切に」と安全性チューニング（アライメント）を施す過程で、なぜかそれらの規範が日本的コンテクストに強く紐づいてしまう
・さらにローカル動作用にモデルを軽量化（量子化）すると、表現の幅が削られてこのステレオタイプ的な偏りが一気に激化する
ネットの「普遍的な常識」を学習させたつもりが、開発企業が無難さを追求した結果、Redditや特定Wikiなどで過剰に美化・蓄積された日本バイアスがモデルの深層に焼き付けられていたという話。
「AIの安全性」を突き詰めた結果、特定の文化的偏向がガチガチに強化されていたという皮肉な研究。
arxiv.org/pdf/2604.21751v1
堀内進之介：『パランティア 判断を外注する社会』（晶文社） retweeted
October has been an absolute nightmare for software
> Railway - customer secrets exposure
> LiteLLM - malicious PyPI + Docker releases
> Zeabur - infrastructure breached
> OpenCode - AI API keys exposed
> OVHcloud CLI - official binaries backdoored
> Rank Math PRO - malware in official plugin
> TeamUpdraft - customer data compromised
> ConnectWise - cloud backup identities compromised
> Tensorlake - npm package infected
> SubQuery - backdoored npm package
> GhostAction - GitHub repos with malicious workflows
> PHP - critical RCE vulnerabilities
> Node.js - security vulnerabilities patched
> eMudhra - certificate authority keys compromised
> Tailscale - eMudhra incident
At this point, the biggest security risk might not be the code we write, but the code we trust...
えぐ。
PHPに超重大な欠陥 #php2shell。ログインなしでサーバーを乗っ取られうる穴で、PHPは世界のサイトの約7割を支えている。
Cloudflare CEOによると攻撃は
公表前：数千件
公表45分：数万件
2時間：数十万件
現在：数百万件
この状況でも、サイト運営者でPHPを修正版に更新するのを後回しにしているのがちらほら。
現場の意識と経営者の理解の乖離が、半端ないところは辛いね。
え、マジで。
PHPの公式パッチでもまだダメかもしれんの？
🚨 UPDATE: PHP 8.5.12 may still be vulnerable to php2shell!
Researchers are reporting a successful double-free trigger on the newly patched release.
⚠️ The official fixes may be incomplete. A crash alone doesn't confirm RCE, but this deserves urgent investigation.
Don't assume you're safe just because you've patched.
#php4shell #php #cybersecurity
xitter.cf/_annieversary/status/2…
堀内進之介：『パランティア 判断を外注する社会』（晶文社） retweeted
Claude Duet is an early research preview, available through a waitlist on Pro and Max plans in the US. It can still misjudge what’s urgent, and we’ll keep tuning it based on what early users tell us.
Join the waitlist: claude.com/product/claude-du…
Read more: claude.com/resources/article…
ここ最近のハッキング事件や、脆弱性を突いてくるあれこれの問題で、アンチAIさんたちの中には「それ見たことか」と言ってるのも見かけるが、php問題の発見に寄与したのは当のAI（GPT-5.6 Sol）なわけで。
脆弱性という観点で言えば、社会の中で最も脆弱なのは、人間自身なわけですよ。穴だらけですよね、全くもって。
ネットの世界も、これまでは人間が作ってきたものなわけだから、そりゃあ穴だらけですよね。
OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.
Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors.
Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.
This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare.
openai.com/index/coordinated…
Readers added context they thought people might want to know
OpenAI may claim a role in the coordinated response and patching process. But the initial discovery and exploit development, however, occurred several months earlier by an independent researcher.
x.com/lcfr_hax/statu…
この引用元の主は神ですな。
あなたの PC でこの URL を叩いて、開いた中に表示されるのが「Did not connect」ならセーフ。「connected」ならご愁傷様（かも）。
emudhra.we-have-a-problem.co…
「connected」は、たとえて言えば、誰かが本物の役所が正式に発行した本物の身分証（パスポートやマイナンバーカード）を手に入れてしまった状態といったところ。
その結果、現実に起きる可能性が高いのは、本物と全く同じ見た目の偽画面に誘い込まれ、一切警告が出ないまま、自分から暗証番号やパスワードを攻撃者に手渡してしまうという事態。
普段なら怪しい偽サイトにアクセスした際、ブラウザが「危険な接続です」「証明書が無効です」と画面を真っ赤にして警告してくれるが、「connected」の人は、証明書自体が「公式の正規品」として通ってしまうため、警告は出ず、URLも鍵マークも100％正規の表示になる。
そうであれば、ユーザーはいつも通り Google や銀行にログインしたつもりで、ID・パスワード、2段階認証のコード、あるいは銀行のワンタイムパスワードを普通に入力してしまうよね。
攻撃者は通信の真ん中でそれらをそのまま盗み見られるだけでなく、残高照会の画面を本物そっくりに偽装したり、裏で勝手に送金処理を実行して成功画面だけをユーザーに見せたりすることまで可能になる。
人間側の注意深さやセキュリティの知識では見抜く手段が完全に失われ、正規の入り口から堂々と詐欺の部屋へ案内されてしまうのが、この問題（インドの認証局「eMudhra」が発行した中間証明書8件に関連する秘密鍵が、不備によって数ミリ秒という極めて短い時間で復元可能な状態になってました問題）の最も恐ろしいところ。
だから「connected」なら、「お前はもう死んでいる」（かも）なのですよね。
破られた証明書を除外できてるかのチェック方法
emudhra.we-have-a-problem.co…
↑を開いてこの表示しか出なければブラウザはセーフ
次に書かれてるcurlを実行して同じように繋がなければセーフ
もしつながってしまったら...OSなどをすべてアップデートして
Patch the Planet initiative いいネーミング
openai.com/index/coordinated…
堀内進之介：『パランティア 判断を外注する社会』（晶文社） retweeted
PHP 8.5.12 released - 90 fixes in 29 components, including security fixes (CVE-2026-109618, CVE-2026-109619).
Changelog + downloads: php-net.pro/news/php-8-5-12-…
