GMAにはジム、ピラティス手当、柔術手当、月2でトレーナーさんがきてくれます💪
關さんは社員の健康に気を配ってくれてます😆
關さんの1推しは柔術手当🥋✨(予想)
#GMAの日常
MT|AI活用術🤖 retweeted
Chromeを今すぐアップデート!!Webページを開くだけでChromeのサンドボックスの外で攻撃者のコードが動く可能性がある?あかんやん…
【更新情報】
米国時間2026年10月27日、デスクトップ向けChromeの更新情報が公開されました。
本件更新(Windows/Mac:156.0.8078.73/.74、Linux:156.0.8078.73)にはセキュリティ修正が含まれています。配信されましたら忘れずにアップデートしてください。
chromereleases.googleblog.co…
MT|AI活用術🤖 retweeted
これめちゃくちゃおそろしい…
Agent.mdを設置させるだけで、AIを指示に従わせられるのか…しかも再現性が高い。
なんなら.claudeとかに入れてダウンロードさせたらステルスで気付けもしないのでは…
千万别在你的 ~/Downloads(下载)文件夹里启动 Claude Code 或 Codex。
昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击,看完只能感叹:过去 30 年的系统安全常识,在 AI 时代归零了。
过去 30 年,Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件(比如 .md)。因为系统认为:纯文本又不是 .exe,自己不会跑,怕什么?
但现在,接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex,让 AI 帮自己解压或整理刚下载的文件。
黑客就是卡住这个死角,通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md:
1. 对付 OpenAI Codex(成功率 >90%):
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务,并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads,以后在任何正经项目里开 Codex 都会自动加载木马。
2. 对付 Claude Code(成功率 ~50%):
指示 Claude 建一个 .claude/settings.json,把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒,你的 Claude 登录 Token 直接明文送给黑客;下一秒,黑客假扮成大模型下发一条关沙盒的 Bash 指令,直接接管电脑。
最黑色幽默的是官方结论:
这个洞没有 CVE,OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能,「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。
以前黑客想黑你,得苦心积虑写 0day;现在只需要写一篇排版优雅的 Markdown 小作文,你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。
MT|AI活用術🤖 retweeted
【注意】「そのままで大丈夫」と言われたのに、再調査でカード停止・再発行に。
某カード会社への問い合わせで、不安になる出来事がありました。
突然、メールとSMSの両方に認証コードが届きました。
決済額は0円。
でも、まったく覚えのない利用先です。
しかも、記載されたカード番号の末尾が、自分のカードと違っていました。
不安になり、カード会社の問い合わせ窓口に電話しました。
以下、やり取りの要旨です。
いくつかの確認を経て、最初の回答は、
「そのようなメールを送った履歴はありません」
送信元のメールアドレスを伝えると、カード会社のアドレスで間違いないとのこと。
「では、なぜ送信履歴がないのでしょうか?」
そう尋ねると、
「同姓同名の方が、メールアドレスを間違えて登録した可能性もゼロではありません。お客様のカード番号で調べた限り、履歴はありません」
との説明でした。
でも、届いたのはメールだけではありません。SMSも届いています。
「メールアドレスと携帯電話番号の両方を間違えて、私の連絡先に登録したということでしょうか?」
と聞いても、回答は「可能性はゼロではありません」。
さらに、通知に記載されたカード番号の末尾で、私と同じ名前の登録があるか尋ねても、「ありません」とのことでした。
説明が腑に落ちず、
「では、どうしたらよいですか?」
と聞くと、
「決済金額も0円なので、そのままにしておいて大丈夫です。送信元のメールアドレスを偽装することもできます。何かあれば、あらためてご連絡ください」
と言われました。
それでも、疑問は解消されません。
「メールとSMSの両方に認証コードが届いています。もう一度、調べていただけませんか」
と、再調査をお願いしました。
しばらく待ったあと、説明が一変しました。
「申し訳ありません。メールの送信が確認できました。外部からの不正アクセスがあったようです。すぐにカードを停止し、再発行の手続きをお願いします」
そして、別の担当窓口に引き継がれました。
そこで何が起きているのか尋ねると、不正なアクセスが繰り返されているとの説明が。
カード番号が違う理由については、過去に私に割り当てられた番号から、今後割り当てられる未来の番号を類推して使っている、という趣旨の説明を受けました。
ただ、この仕組みについては、私も十分に理解できていません。
最終的には、不正取引につながる可能性があるとのことで、カードの停止・再発行の手続きを終えました。
最初は「送信履歴はない。そのままで大丈夫」。再調査後は「送信を確認。すぐに停止・再発行を」。
なぜ、最初と再調査後で、ここまで説明が変わったのか。
私が再調査をお願いせず、そのまま電話を切っていたら、どうなっていたのか。
不正アクセスそのものはもちろんですが、問い合わせの対応にも不安が残りました。
今回感じたのは、窓口で「大丈夫」と言われても、疑問が解消されなければ、具体的に伝えて再確認をお願いすることの大切さです。
身に覚えのない認証コードが届いた際は、皆さんもお気をつけください。
RT @sekibilly: 【ご報告】
2026年10月21日に公表されたPHPの重大な脆弱性につきまして、弊社の対応状況をご報告いたします。
各社様よりお預かりしているWEBサイトを収容しているサーバーにおきまして、脆弱性に対応した修正版PHPの適用を確認いたしました。…
MT|AI活用術🤖 retweeted
高市総理、サイバーセキュリティの本を出していた しかも“PHP”から
itmedia.co.jp/news/article/2…
MT|AI活用術🤖 retweeted
【メンテナンス状況について】
10月21日23時頃に公開された修正版をもとに、必要な対応を進めております。
公式サイトや各種管理画面等の利用再開まで、今しばらくお待ちください。
お客様のご利用サーバーについても、公式修正版が提供されたPHPバージョン(8.2~8.5)から順次、修正の適用を開始しております。
また、公式修正版が提供されていない古いPHPバージョンについては、弊社独自の修正を進めております。
こちらは対応までにお時間をいただく見込みですが、引き続き対応を進めてまいります。
今後の対応状況や再開の見込みについては、2時間ごとを目安にお知らせいたします。
【重要なお知らせ】
現在、予防的な安全対策のため、当社アカウント管理画面等へのアクセスを一時停止しております。
本対応は不正アクセスの発生によるものではございません。
なお、お客様のご利用サーバーに影響はなく、Webサイトの表示やメールソフトでの送受信も引き続きご利用いただけます。
また、お客様のご利用サーバーについても、稼働を継続しながら、安全対策を進めております。
■再開の見込み
10月22日(木)未明
※対応状況により前後する場合がございます。
詳細は以下メンテナンスページをご確認ください。
■メンテナンスページ
xserver.ne.jp/
急なご案内となり、ご不便をおかけし申し訳ございません。
何とぞご理解を賜りますようお願い申し上げます。
PHPに続いてNode.jsもsecurity release。
nodejs.org/en/blog/vulnerabi…
MT|AI活用術🤖 retweeted
皆様に、今夜に対応して頂きたい大至急のお願いです。
多くのウェブサイトで使用されているPHPに関し、PHPのセキュリティチームが、重大な2件の脆弱性に関する注意喚起を行っています。
公開しているウェブサイトでPHPを使用しているか確認し、今夜、10月21日午後11時(日本時間)に公開される修正パッチについて、可及的速やかに適用できるよう準備をお願いします。
修正パッチを速やかに適用することが困難な場合は、例えばウェブサイト等を一時的に停止させることも、リスクを低減させるための有効策の一つと考えられます。
国家サイバー統括室のXアカウントでも関係する情報を発信していますので、そちらも参考にして下さい。
国家サイバー統括室(注意・警戒情報)(@cyber_forecast) / X
MT|AI活用術🤖 retweeted
【IPAが緊急の呼びかけ】
幅広い業種で不正アクセスによる情報漏えいが相次ぎ、IPAが「速やかに実施すべき対策」を公表しました。
狙われているのは、大量の個人情報を扱うWebサービスやアカウント基盤です。
具体的に何をすればいいか、まとめました↓
■ 自社で公開しているアプリ・サービス
・管理画面、API、検証環境など、外からアクセスできるものを一覧にする
・直近のログで、大量のログイン失敗、見慣れないIPからの管理者ログイン、普段ない大量ダウンロードがないか確認
・OS・ミドルウェア・ライブラリ・CMSプラグインのバージョンを確認し、未適用のパッチを当てる
■ 使っているSaaS・クラウド
・Google Workspace、Slack、CRM、決済、ストレージなど、契約中のサービスを全部書き出す
・各管理画面のログイン履歴・監査ログで、不審なアクセスがないか確認
・退職者や外注先のアカウント、使っていない連携アプリやAPIキーが残っていないか確認
■ 持っているデータ
・個人情報が「どこに・どれだけ」あるかを洗い出す
・使い終わった顧客リストや、古いバックアップ・CSVは削除する
・共有リンクが「リンクを知っている全員」になっていないか確認
■ そのあと固めること
・すべてのアカウントで多要素認証を必須にする
・管理者権限は、本当に必要な人だけに絞る
・侵入に気づくまでには時間がかかる前提で、ログの保持期間を延ばす
・重要なデータは暗号化して保管する
IPAの発表はリプ欄に↓
MT|AI活用術🤖 retweeted
ゼロクリック検索が増えれば増えるほど、消費者の情報収集や意思決定の場が、自社サイトからAIが生成する回答へと移っていきます。
今後は「自社サイトで何を言うか」より「AIの回答に何を言わせるか」が重要に。AIは人々の声から学び代弁しますので、これからはクチコミやパブリシティの勝負ですね。
AI検索普及、ゼロクリック率68%に上昇 揺らぐサイト集客
nikkei.com/article/DGXZQOUC0…
逆にどこならおもらししてないのか気になる
デジタル庁でさえ漏れてるんだから😂
【重要】不正アクセスによる情報流出に関するお詫びとお願い
弊社が利用するクラウド環境に第三者による不正アクセスがあり、お客様の情報が外部に流出した可能性があります。
お客様ならびに関係する皆様に多大なるご迷惑とご心配をおかけしますことを、深くお詫び申し上げます。
経緯とお願いしたいご対応、お問い合わせ窓口についてはこちらをご確認ください。
studio.design/ja/whats-new/u…
すべてのお客様へのお願い
1. メールアドレスとパスワードでログインされている場合は、Studioのパスワードを変更してください
2. ライブプレビューのURLを発行されている場合は、URLを削除してください
3. 弊社を装った不審なメールやメッセージにご注意ください
不正アクセスに利用された経路は塞いでおり、外部の専門家の助言を得ながら、再発防止に取り組んでおります。 詳細や続報については、上記の記事をご覧ください。






















