Kenji Kawada retweeted

YONEUCHI, Takashi | GMO Flatt Security@lmt_swallow14h
Japan
JapanConnected via Japan App StoreAccount-level information, not a live location or per-post device.
【PHP脆弱性対応の「後」にむけて】
みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。
一括して、今、世の中の CTOs/CISOs に届いてほしいことを4つ書き残しておきます↓
(まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます)
Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年(体感では GPT-5.6 Sol 以後)が、最も「本当に?」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの?という驚きとともに。
・特に複雑なメモリバグの類(memory safe でない言語製のものを中心に)、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。(僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう)
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です(僕もそうなので)。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多(そもそも自社に影響があるかも分からないものが大半なのに)… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金(・トークン)にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。
Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡(スタンス表明)も有効だと思います。(弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。)
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約(特に金融・医療セグメント)もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。(なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。)
・どうしても止めてはならない(もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心)という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント(WAFなど)と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。
Point 3: もし平時があれば、システムのモダナイズ(Rebuild and Retire)を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント(数年塩漬けのシステム)、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し(Rebuild)と旧システムの廃止(Retire)を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。(他の誰もそれを決められないので。)これは追々自分たちを助けてくれる(ついでにAI-native 開発に移行できて改善しやすくなる)とも思料。
・どのシステムからモダナイズしていくかですが:「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。(僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…)
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。(弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。)
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品(とくに SaaS)を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。
Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を!
Kenji Kawada retweeted
Some stats on #php2shell. In the 10 hours before it was publicly announced, across the @Cloudflare network we saw thousands of attempts to exploit it. That jumped to tens of thousands in the 45 minutes post announcement, hundreds of thousands within 2 hours, and millions now.
Kenji Kawada retweeted
岩井コスモ証券、株の不正取引「AIで総当たり攻撃」 個人で対策取れず
nikkei.com/article/DGXZQOUB2…
Kenji Kawada retweeted
OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites.
Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors.
Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact.
This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare.
openai.com/index/coordinated…
Readers added context they thought people might want to know
OpenAI may claim a role in the coordinated response and patching process. But the initial discovery and exploit development, however, occurred several months earlier by an independent researcher.
x.com/lcfr_hax/statu…
Kenji Kawada retweeted
🚨 UPDATE: PHP 8.5.12 may still be vulnerable to php2shell!
Researchers are reporting a successful double-free trigger on the newly patched release.
⚠️ The official fixes may be incomplete. A crash alone doesn't confirm RCE, but this deserves urgent investigation.
Don't assume you're safe just because you've patched.
#php4shell #php #cybersecurity
xitter.cf/_annieversary/status/2…
annie@_annieversary23hUnited Kingdom
United KingdomConnected via WebAccount-level information, not a live location or per-post device.
chat. chat... its not funny anymore
Readers added context they thought people might want to know
The original post has since been edited to specify that this was about an unrelated vulnerability that the user had discovered, not the recently patched vulnerability.
fedi.katze.sh/@elise/1174793…
Kenji Kawada retweeted
本日 10/21(水) に発生した、LiteLLMパッケージへのソフトウェアサプライチェーン攻撃に関し、速報記事を公開しました。
※2026年3月に発生した事案とは別の再侵害が発生しています。
詳細について引き続き調査中です。記事を随時更新し、概要と対応指針を整理します。
blog.flatt.tech/entry/litell…
Kenji Kawada retweeted
PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。公開しているウェブサイトでPHPを使用しているか確認し、10月21日午後11時(日本時間)に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いいたします。
php.net/archive/2026.php#202…
Kenji Kawada retweeted
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時(日本時間)に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)(@cyber_forecast) / X
Kenji Kawada retweeted
Un investigador de Anthropic acaba de decirle a una sala llena de doctorandos que su plan de carrera ya no existe.
La charla se titula "El fin del Antropoceno" y los datos son brutales:
→ El cómputo para entrenar modelos se multiplicó por 10 millones en la última década
→ La duración de las tareas que una IA completa sola se duplica cada pocos meses
→ Desde hace 7 meses los modelos resuelven problemas abiertos de Erdős que los matemáticos no habían logrado cerrar
→ En San Francisco, tener "timelines largos" significa pensar que la AGI llega en 10 años
Su proyección: el cómputo de 2030 será 10.000 veces mayor que el de 2025.
Todavía estamos al principio de la exponencial.
Sus 3 consejos para los estudiantes:
1. Usa la IA cada día. Si estás sobre la exponencial, nunca te quedas atrás de ella.
2. Elige proyectos que mejoren cuando el cómputo escala. El resto quedará resuelto antes de que los termines.
3. Deja de planificar tu carrera como si fuera estable. La opción segura ya no compra seguridad, ya no existe.
Y una frase que resume todo:
"Escribir es pensar. Si externalizas tu escritura, externalizas tu pensamiento."
La charla completa aquí ⬇️
Kenji Kawada retweeted
WSJが報じたこの記事、いまシリコンバレーの最前線で起きているリアルが生々しすぎ。
Googleが27億ドル(約4,000億円超)もの巨額を投じて呼び戻した伝説の研究者Noam Shazeer(Transformer論文の共著者)が、わずか2年足らずでライバルのOpenAIに移籍してしまった。
その理由が...
年収や役職の不満ではなく、「自分のチームのGPUの割り当てを削られたから」
4,000億円積んでも、計算リソースが足りなければ天才は一瞬で逃げてしまう。
いまトップ層のAIエンジニアにとって、GPUの割り当て枠は単なる会社のPCではなく酸素そのもの。どれだけ高い給料をもらっても、自分の仮説を高速で実験できない環境にいれば、研究者としての寿命が縮んでしまう。
記事によるとH100のレンタル価格は過去1年で約60%高騰し、かつて対立していたマスクとAnthropicすら水面下で計算資源を融通し合うほど、世界中で奪い合いが起きている。
なので現場の勝敗を真に分けているのは天才たちに何万枚のGPUを割り当てられるか、という泥臭い調達力と配分の決断だったりする。
Kenji Kawada retweeted
‼️🇯🇵Japan - 𝗜𝗗𝗖 𝗙𝗿𝗼𝗻𝘁𝗶𝗲𝗿
Hackers claim responsibility for the cyberattack against IDC Frontier’s IDCF Cloud East Japan Region 1, alleging that it severely damaged the region’s virtualization and storage infrastructure.
Full details and impact assessment on HackRisk.io
🚨Cyber Alert ‼️
🇯🇵Japan - 𝗜𝗗𝗖 𝗙𝗿𝗼𝗻𝘁𝗶𝗲𝗿 𝗜𝗻𝗰.
IDC Frontier disclosed unauthorised third-party access affecting its IDCF Cloud service. According to the company, the incident disrupted part of its cloud infrastructure.
Threat actor: Not specified
Sector: ICT
Data exposure (claimed): Not specified
Data type: Not specified
Observed: Oct 7, 2026
Status: Confirmed
ESIX©: 5.97
Full details and impact assessment on HackRisk.io
Kenji Kawada retweeted
We’re expanding our Cyber Verification Program to give security professionals broader access to our most capable models.
Through this program, verified security professionals can access Claude Mythos 5.1, Opus 5.5, and Sonnet 5.5 with safeguards designed for defensive work.
We’re also opening up new tiers to allow for authorized offensive work, like penetration testing and red-teaming.
anthropic.com/news/cyber-ver…
説明スキルの比較:ELI5、Archify、Explainer
blog.lai.so/eli5-archify-exp…
Kenji Kawada retweeted
Experience gives perspective. Programming is not dead, and never will be.
It's late September 2026. Sometime in September 1976, just after I entered college, I wrote and ran my first serious program. I have now been a programmer for literally 50 years.
And man, I have seen it *all*. Punched cards to glass ttys on minicomputers to workstations to the earliest micros. I've written business software, communication programs, development tools, games, language implementations, kernel device drivers, graphics libraries, a few critical pieces of infrastructure, and all manner of odd programs for which there is no taxonomy. Coded in a score of languages some of which are now forgotten. I've run over 70 open-source projects and contributed to at least as many more.
Along the way I noticed a few things, and wrote about them, and that made me famous. But I'm not here to write about that today. I'm here to write about what it means to be a programmer and a technologist with the Singularity upon us.
I have lost count of the number of times I have been told "programming is over". You kids may think this is a new claim that came into the world with LLMs. Hah! There's been that kind of talk at every step function in the quality of our programming tools. I first heard it when compilers were replacing hand-hacked assembler in the early 1980s, and I wouldn't be a bit surprised if somebody said it earlier when in-memory code replaced plugboards.
One constant amidst all this change is that the intentions in a user's head do not magically turn into executable instructions that a computer can run. Another constant is the mindset of the people who specialize in bridging the gap between wish and algorithm. A programmer is a programmer is a programmer - the tools are secondary.
"But it's different this time!" some people will say, "AIs are superhuman now!" So? What did you think the optimization stage of a compiler was, chopped liver? We've been relying on tools that exceeded human capabilities all along - we built them precisely because our meatbrains could not otherwise keep up with the demands of the job.
It's been a hell of a ride, that 50 years. I've succeeded and failed and succeeded again. Done a lot of work I'm proud of. Built at least a few things that look like they're going to last. None of that goes away because, hypothetically, an AI might have made me faster.
The work is never done, even if the tools can talk to us now. Because intentions still have to be communicated; people who specialize in that and develop right mindset to do it still have a major advantage over people who don't.
If you're feeling depressed because you spent years or decades developing hand-coding skills that are obsolete now? Buck up. You still have the most important asset - a mind that knows how to think that way.
I'm facing the winds of the Singularity with a smile. Because 50 years and I'm still standing - still shipping code that people can use, still learning, still refusing to be paralyzed by the pace of change.
The best therapy for your uncertainty? Get to work on something.
Kenji Kawada retweeted

Marcus Lowe@marcus_loweSep 20
United States
United StatesConnected via United States App StoreAccount-level information, not a live location or per-post device.
what if copy/paste was smart?
powered by @typesafeai jev
it feels like every computer interaction will get rewritten
Kenji Kawada retweeted
この外側のループがすべて。いかに内側が高速回転していても、外に波及しなければ顧客価値につながらない。
speakerdeck.com/rkaga/can-bu…
Kenji Kawada retweeted
Go from idea to a working agent faster with the Agents API.
Build and run cloud agents with the Codex harness, fully managed by OpenAI.
We handle orchestration, long-running sessions, and context management. You focus on what makes your agent unique.
Available in public beta.
最近取り組んでいる意欲的なプロジェクトについて書きました
なぜエージェントハーネスで開発パイプラインを作っているのか|laiso zenn.dev/xtm_blog/articles/6… #zenn
フルタイムでコーディングエージェントの開発をする仕事が存在するとは・・
Kenji Kawada retweeted
A/Bテストの結果を、本物のユーザーに見せる前にLLMだけで7〜9割当てられるようになったという報告です。
Amazonの研究者らによるもの。
やり方は、
1. 実際のユーザーの行動履歴(閲覧パターンなど)を集める
2. LLMに約1000人分の「仮想の顧客」を作らせる
3. 仮想顧客たちにデザイン案AとBを見せて「1〜10点でどちらが好きか」を答えさせる
4. その集計で実際のテスト結果の方向を予測
40件の実際のA/Bテストで検証したところ、クリック率の予測は75%、登録率の予測は80〜90%の精度で当たったそうです。
※ただし得意なのは「どちらのデザインが良いですか」と2案を並べて聞く形式でした(重要)。
なお、自社の顧客データがなくても、公開データから作った仮想顧客で同等以上の成績が出たと報告しています。
一方で、年齢や性別などの属性情報だけで作った仮想顧客は精度が大きく下がり、行動の記録があるかどうかが決め手になっています。
研究者らは、これは本物のテストの代わりではなく、明らかに見込みのない案を事前にふるい落として実験の順番を決めるためのツールだと位置づけています。























