lain

ごめん、PHPの脆弱性は確かに深刻で、日本中の企業が今本気で対応してくれてるんだけど。 個人はこっちの方がほんまに緊急で。驚き屋とかじゃなくて、ガチでヤバいねん。 ちょっと、意訳されることを覚悟で、分かりやすく言うから、全員対応してくれ。 まず、ウェブサイトが信用できるかどうかを判断する「電子証明書」っていうのがあるんだよ。 で、その電子証明書っていうのは。 信用できるサイトにしか発行されないようになってて。 例えばですけど、銀行サイトのフィッシングサイトとかを作ったとしても電子証明書取れないんで、 そういうのを踏んだ時に、ブラウザ側で、これ偽物のサイトっすよ。やばいっすよ。 っていう警告を出してくれるものなんですね。 ※まぁ、ブラウザだけで検証出来ない時代になってはいるから本件とは関係なくすでにわかんないんだけど… この電子証明書が機能してるから、ウェブサイトの安全性が担保されてるんですよ。 で、その電子証明書を認証するっていう組織が何個かあって。 うん、このサイトはちゃんとしたサイトだね。 OK、電子証明書発行しますっていう認証局。 これはたくさんあって、世界中にあるわけ。 そんで、この認証局を運営するインドの会社eMudhraがマジでありえないぐらいのやらかしをしてて。 本来だったら複雑にしておかないといけない。この認証局の秘密鍵。これがびっくら驚き。 秘密鍵8本が4、56、66、115、155、156、230、237だったのよ。 本来は最大約116桁にもなる巨大な範囲からランダムに選ぶ必要があるのに。 つまり、このサイトはOKですよっていうハンコを押すのがめっちゃ簡単に出来るようになっちゃったのよ。 これが何を意味するかっていうと。 詐欺師とかハッカーとかが、訳のわからないフィッシングサイトを完全再現して量産。 銀行サイトとか仮想通貨の取引所とか、株式口座のサイトとかを作ったとするじゃん。 こういうのは本来電子証明書にハンコが押されないから、みんな騙されないんだけど。 インドマンのやらかしで。ハンコを押し放題になったのよ。 ということは、どんなフィッシングサイトでもブラウザ側が安全だって誤解しちゃうようになっちゃってるんだよ。 OSとブラウザを更新すると直るんだけど、ブラウザ以外のアプリケーションも影響するやつあるから。 リプライにもう1個貼るから、そのポストを見て、AIエージェントに自分のパソコンの中とかに脆弱性がないかっていうのをきちんと確認させてほしい。 詳しく言うと、さらにやばいことがいっぱいあるんだけど、もうざっくりそんな感じや。 最新のOSと最新のブラウザに更新してないネットは、もう今完全に魔界です。

たった今、世界のAI覇権のバランスは完全にぶっ壊れました。これほんまにやばいです。 週明けのAI関連株は大暴落どころの騒ぎじゃないかもな…。 何が衝撃的なのか、ガチ解説します。 もう何もかもが変わっちまったんだな...。 ■何がおきたか DeepSeek v4.1-Flash 1017というモデルが公開されました。世界のAI情勢を破壊します。ヤバいモデルです。 このモデル簡単がどういうものなのか説明すると、 フロンティアモデルを一部で越える（SOTA級）のモデルを中華ラボがいきなり出してきた。 問題はその性能、値段とサイズと仕組み どれも本当に破壊的なものだから、1個ずついきます。 ■性能 全分野でOpus5.5を超えたっていうわけじゃないけど。 完全にDeepSeek v4.1-Flash 1017はSOTA級 DeepSWEっていうベンチが一番衝撃的かな。 - 今回のFlash：成功率77%、約0.20ドル／タスク - GPT-6.1 Solの最も高得点の設定：約75%、約0.65ドル／タスク つまり、この比較では約3分の1の費用で、成功率も少し高い。大量に実装・修正を回す用途には大きな差。 というか、成功率でSolを越えてるっていう事実がヤバいんだよ。 ■値段 もう完全に乱暴に言うと。ほぼタダです。<言い過ぎ INPUT$0.15Output$0.3 入力10万＋出力1万トークンの例だと Solより約86〜93%安く、Opusより約93〜97%安い DeepSeekハーネスを使えば、自分の利用では、入力のキャッシュヒット率が99%になることもあったので。 実際はもっと安い。 過去に湯水のように使えるAstra,Opus,Fableをくれとは言ったが。ここまでやれとは言ってない。 本当に、なんだろう、マジで安いんだよ。 実際の感覚だと200倍ぐらい安いね。 ■サイズ これだけヤバいモデルのオープンウェイトが同時に無料公開されました。 そのサイズは763B。重みだけで約510.3GB 例えば米国のフロンティアモデルのサイズは10Tとか言われてるんですね、公開情報じゃないからわからん無いけど。Kimi K3とかが2.8T 要するに、めちゃくちゃサイズが小さいんですよ。 このパラメータ数って多ければ多いほど計算に計算資源と電力がかかるんで、コストかかるんですよ。 アメリカのAIモデルって、バカみたいに計算資源を保有してるからゴリ押しでそれを解決してるんですけど。 こんだけ軽かったら、もう普通に家で使えるレベルなんですよ。 実際、DGXSpark × 4台とかMacStudio 512GBで動かせると思います。 バカみたいなデータセンターがなくても、フロンティアモデルが動くようになっちゃったってわけ。 ■仕組み ここがかなり驚き度の高いポイントなんですけど。 DeepSeek-V4.1-Flash自体はもともと存在していて。 まあそこそこ人気だったんですけど。本当に安くてそこそこ性能いいから、結構人気あるよね、ぐらいの賢さだったんですよ。 そのもともとあったモデルを自己フィードバックを使うRLで強化した。って公式は言ってて。 まあ詳しい説明は省きますけど。要するに、既に存在していたモデルを後から調整していくようなやり方で、とんでもなく性能をあげた。 驚くのは、既存モデルの後学習で、開発タスクの成功率を上げながら、処理時間や出力量まで減らしたところです。性能を上げたうえで、使う側の費用まで下げてきた。その性能の上り方が半端じゃないんだよ…意味わかんねぇよ… DeepSeekのラボが今世界で最もAI、優れたAIラボであるということを認めなきゃいけない。

⚠️今すぐセキュリティ対策を実施してください⚠️ 危機感煽る投稿は好きではないのですが、本当に危険度が上がっているので、AIによるサイバー攻撃の実態と個人の防衛策について書きます。 過去には個人の株式を勝手に売買されたり、高額電子決済を勝手にされてる事例もあるので他人事にしてると本当に危ないです。 ■何が使われている？ ハッカー達に使われている主なAIモデルは 【無検閲化されたGLM-5.3】※画像参照 であるという見立てを立てる専門家が多いです。 GLM-5.3は中国のZhipu(Z. ai)が開発したモデルで、Claude Mythosに追随するサイバー性能を持っており、実際に使われていると思われるのはこのGLM-5.3をさらに改造したモデルです。 重みが公開されており、世界中だれでも無料でDL出来るAIモデルです。ローカルで稼働するので、24時間365日継続的にサイバー攻撃を仕掛け続ける事ができます。 GLM-5.3自体に悪意はなく、無検閲=悪ではないので詳細は後記します。 ■なぜ急に日本で漏洩事件が増えた？ あんまり言いたくないけど、 日系企業のセキュリティーは主要先進国の中でもかなり脆弱です。もちろん全ての企業ではないですが。 Xのセキュリティクラスタの方が再三注意喚起をされている通りですが…。 理由としては、 ・日本のSIerは多重下請け構造の場合が多く、「委託が重なり、責任分担や管理範囲が曖昧になると、対策漏れが生じる」という現象が起こりにくい ・親会社のセキュリティは強固でも、グループ会社などのデータ共有先やネットワーク接続先の対策が不十分なら、そこから漏えいや侵入が起こることがある。 ※大和証券の事例がそれ ・米国などの賠償国家に比べ、個人情報漏洩対する個人への賠償金支払いが少なく、企業のセキュリティ強化意識が他国に比べて低い傾向がある。※詳細リプ3 ・日本語は難しい言語なので、言語ファイヤーウォールとして長年機能してきた などなど枚挙にいとまがないです。 言語難易度、攻撃コスト、日系企業特有の脆弱性 これをAIに一気に突破されてるような印象です。 ■無検閲AIモデルに関する詳細 検閲化というのは、簡単にいうと、 AIが危険な依頼を断る仕組みを弱めたり、取り除いたりするコトです。 通常のAIには、有害な依頼を拒否するための安全対策があります。 ただ、重みが公開されているモデルは、利用者側でその仕組みを改変できます。 AnthropicがGLM-5.3を改変した実験では、 有害な依頼への拒否率が約95％→約6％に低下。※画像参照 一方で、サイバー課題を解く能力の大部分は残りました。 これは、能力を落とさずに「危険な依頼を断りにくくする」ことができた、という話です。 ただし、無検閲化自体が犯罪を意味するわけではありません。研究や創作、セキュリティの検証など、合法的な用途もあります。 問題は、悪意のある人間も同じ道具を使える点です。 公開されたモデルは世界中で保存・改変できます。 提供元がAPIを止めても、すでに手元で動いているコピーまで止められるわけではありません。 つまり、今後とも多数のサイバー攻撃がとめどなく降り注ぐネット世界にすでになっているのです。 ■今後、個人も狙われる？ 「自分は有名人でも、大企業の経営者でもないから関係ない」と思っている方もいると思います。 でも、狙われるのは企業の機密情報だけではありません。証券口座、銀行口座、暗号資産、メール、SNSのアカウントも対象です。 さらに厄介なのは、漏えいした情報を使った“もっともらしい連絡”です。いわゆる、フィッシング詐欺に引っかかった場合、壊滅的なダメージがあります。 ・自分の名前を知っている。 ・利用しているサービスを知っている。 ・過去の問い合わせ内容まで知っている。 ・しかも、日本語が自然。 フィッシングに引っかかって、通常秘匿されてる、セキュリティコードや秘密鍵等を抜かれると終わりです。 紐づきで全てのアカウント情報や資産をぶっこ抜かれる可能性があります。 ■個人が今やるべき対策 最低限、以下は確認してほしいです。 ①メール・金融口座・SNSの認証設定を見直す 対応しているならパスキーを利用。 未対応なら多要素認証を設定してください。 特にメールは、他のサービスのパスワード再設定にも使われるので優先して守りたいです。 ②パスワードを使い回さない 1つ漏れたことで、別のサービスまで入られる状態を避ける。管理ツールを使って、サービスごとに違うものにしてください。面倒でもやってください。マジで。 ③ログインは公式アプリか、登録済みのブックマーク メール、SMS、DMに届いたリンクから、そのままログインしない。 「緊急」「利用停止」と言われても、いったん自分で公式アプリを開いて確認してください。フィッシング詐欺はマジでかかったときダメージがデカいです。 ④OS・ブラウザ・アプリを更新する 更新通知を放置しない。 修正済みの弱点を残したまま使う状態を減らすためです。 ⑤認証コードや、ウォレットの秘密鍵・復元フレーズを他人に渡さない サポート担当を名乗る相手にも教えない。 「資産を守るために必要」と言われても、渡したことで資産を失う可能性があります。 ⑥ログイン・取引通知を有効にする 身に覚えのない操作があったら、届いた連絡に返信するのではなく、自分で公式窓口に連絡してください。 以上、大変長い文章になりましたが。 日本の国家、企業の対策は今のサイバー攻撃のスピード感に絶対に追いつかないので、個人対策を徹底して、ご自身の資産を守ってください。 他人が攻撃されてるのを見て冷笑してる場合じゃないです。 2段階認証を入れるだけでも圧倒的に強固になります。