AI/ML – Page 10 – IoT OT Security News

TensorFlow CI/CD のミスコンフィグへの対応：サプライチェーン攻撃の要因になり得る

TensorFlow CI/CD Flaw Exposed Supply Chain to Poisoning Attacks

2024/01/18 TheHackerNews — オープンソースの機械学習フレームワーク TensorFlow で発見された CI/CD (integration and continuous delivery ) のミスコンフィグが、サプライチェーン攻撃の組織化のために悪用された可能性があるという。今週のレポートで Praetorian の研究者である Adnan Khan と John Stawinski は、「このミスコンフィグを悪用する攻撃者が、悪意のプルリクエストを通じて TensorFlow のビルド・エージェントを侵害し、GitHub／PyPi 上の TensorFlow リリースのサプライチェーンを侵害した可能性がある」と述べている。

Email の悪夢 2023：ユーザー組織の 94% がメール・フィッシング攻撃に悩まされている

Email Nightmare: 94% of Firms Hit by Phishing Attacks in 2023

2024/01/16 InfoSecurity — セキュリティ・プロバイダ Egress によると、2023年のサイバー・セキュリティの意思決定者の 94％が、フィッシング攻撃への対処が必要であったことで、E メール・セキュリティはセキュリティ専門家にとって最重要課題であったという。Egress の Email Security Risk Report 2024 によると、この数値は前年と比べて 2% 増加しているようだ。2023年を通して使用されたフィッシング手法の Top-3 は、悪意の URL／マルウェアやランサムウェアの添付ファイル／侵害されたアカウントから発信される攻撃である。

ランサムウェア 2023年のトレンドは暴露恐喝：１週間の平均攻撃回数は 1158 回

Ransomware Surge: 1 in 10 Organizations Targeted Globally in 2023

2024/01/16 SecurityOnline — 2023 年において、この世界は、かつてないほどのサイバー脅威の急増に直面した。この年のサイバー攻撃件数は、前年比で１% 増という最高記録に達し、世界全体における平均攻撃回数 (週) は 1158 回に達した。

WordPress AI Engine プラグインの脆弱性 CVE-2023-51409 が FIX：RCE にいたる恐れ

CVE-2023-51409: The Severe Vulnerability Threatening 50,000 WordPress Sites

2024/01/09 SecurityOnline — AI Engine プラグインは、50,000 以上のアクティブなインストールを持つ人気の WordPress プラグインだが、先日に深刻なセキュリティ脆弱性が発見された。この、認証を必要としない任意のファイル・アップロードを許してしまう、脆弱性 CVE-2023-51409 により、このプラグインを使用している Web サイトに深刻なリスクが生じている。

Hugging Face／GitHub で API トークンが流出：AI を活用する企業が危険にさらされる

Major Organizations Using ‘Hugging Face’ AI Tools Put at Risk by Leaked API Tokens

2023/12/05 SecurityWeek — Hugging Face／GitHub などのコード・リポジトリに、誤って公開されている 1,600以上の有効な Hugging Face API トークンを、AI サイバー・セキュリティ・スタートアップである Lasso が発見した。トークンなどの機密情報が流出し悪用されると、きわめて高いリスクにいたることから、コードホスティング・プラットフォームやセキュリティ研究者たちかは、以前から注視し続けている。LLM (Large Language Models) を統合する開発者や企業は、Hugging Face API トークンにより、Hugging Face リポジトリの管理を可能にする。

Google が公表した RETVec：Gmail からスパムや敵対行為を取り除くベクタラーザーとは？

Google Unveils RETVec – Gmail’s New Defense Against Spam and Malicious Emails

2023/11/30 TheHackerNews — Google が公開したのは、RETVec (Resilient and Efficient Text Vectorizer の略) と呼ばれる新たな多言語テキスト・ベクタライザーである。それにより、Gmail 内のスパムや悪意のメールなどの、有害と推定されるコンテンツの検出が推進される。GitHub 上のプロジェクト説明には、RETVec は、挿入／削除／タイプミス／ホモグリフ／ LEET 置換などなどの、文字レベルでの悪意の操作に対して、回復力を持つように訓練されている。RETVec モデルは、すべての UTF-8 文字と単語を効率的に変換するための、新たな文字エンコーダー上で学習される」と記されている。

VirusTotal における AI の活用：マルウェア検出が 70% も向上している

AI Boosts Malware Detection Rates by 70%

2023/11/29 InfoSecurity — 脅威インテリジェンス共有プラットフォーム VirusTotal が発表したのは、マルウェア分析を強化するサイバー防御者たちが、AI を活用する方法を示す新たな調査結果である。VirusTotal が、この調査を通じて明らかにしたのは、AI が悪意のコードの解析に対して極めて有効であり、従来の手法と比較して 70% も多くの、悪意のスクリプトを特定する能力を持っていることだ。

IT 予算の調査：セキュリティ対策に充てられているのは僅か９％ – Vanta

Only 9% of IT budgets are dedicated to security

2023/11/20 HelpNetSecurity — Vanta の調査によると、最善の努力を尽くしているにもかかわらず、企業の 67％がセキュリティとコンプライアンス対策を改善する必要があると回答しており、24％が後手に回っていると評価しているという。ポスト・パンデミックのハイブリッド世界における攻撃対象の拡大／チームや予算の縮小／生産系 AI の急速な台頭などが相まって、企業にとって急務となっているのは、セキュリティ態勢の改善と証明である。

Apache Submarine の脆弱性 CVE-2023-46302 が FIX：RCE にいたる可能性

CVE-2023-46302: Critical Apache Submarine RCE Vulnerability

2023/11/19 SecurityOnline — Apache Submarine で発見された脆弱性 CVE-2023-46302 は、深刻なリモートコード実行 (RCE) を引き起こす可能性のあるものだ。この、End-to-End 機械学習 (ML) プラットフォームの脆弱性は、snakeyaml (CVE-2022-1471) のセキュリティ欠陥に起因しており、脆弱なシステム上での任意のコードを実行するものであり、 Apache Submarine ユーザーに深刻な脅威をもたらす。

CISA による AI セキュリティの取り組み：５つの項目で構成されるフレームワーク

CISA Outlines AI-Related Cybersecurity Efforts

2023/11/15 SecurityWeek — 11月14日に米国の CISA (Cybersecurity and Infrastructure Security Agency) は、セキュリティ向上のための人工知能 (AI) の利用促進や、重要インフラ組織への AI 導入支援に関する取り組みを詳述する、新たなドキュメントを発表した。国家 AI 戦略に沿った CISA の Roadmap to AI (PDF) は、サイバー・セキュリティ能力の強化における AI の有効利用を促進し、AI システムを脅威から守ることに加えて、AI を悪用する脅威アクターから重要インフラを保護する取り組みについても詳述している。

ChatGPT の停止：OpenAI が DDoS 攻撃を認め Anonymous Sudan が犯行を主張

OpenAI confirms DDoS attacks behind ongoing ChatGPT outages

2023/11/09 BleepingComputer — OpenAI の “周期的な停止” だが、この 24時間で発生した API と ChatGPT サービスを標的とする DDoS 攻撃が原因のようだ。このインシデントの根本的な原因について、OpenAI は詳細を提供しなかったが、今日の未明になって、進行中の分散型サービス拒否 (DDoS) 攻撃に関連していることを認めた。OpenAI のインシデント・レポートには、「DDoS 攻撃と思われる異常なトラフィック・パターンによる周期的な停止に対処している。私たちは、この問題を軽減するための作業を続けている」と述べている。

GitHub の AI 拡張：３つの機能のパブリック・プレビューを発表

GitHub Enhances Security Capabilities With AI

2023/11/08 SecurityWeek —

今日、Microsoft 傘下の GitHub が、GitHub Advanced Security の AI を活用しする、３つの機能のパブリック・プレビューを発表した。GitHub Enterprise Cloud および Enterprise Server の顧客向けに提供される Advanced Security により、コードの品質を維持／向上するための一連の機能が提供される。Dependabot などの機能の一部は、公開リポジトリでも利用できる。

UK AI Safety Institute が設立： AI の未来への青写真とは？

UK AI Safety Institute: A Blueprint for the Future of AI?

2023/11/03 InfoSecurity — 英国の Frontier AI Taskforce は、2023年4月にファウンデーション・モデル・タスクフォースとして発足した政府出資のイニシアチブである。しかし同機関は、英国 AI Safety Institute へと進化しつつある。Rishi Sunak 英国首相は、2023年11月2日に英国ブレッチリー・パークで開催された AI Safety Summit の閉会スピーチで、同研究所の設立を発表した。この新組織における英国政府の目的は、新たなタイプのAI の安全性テストを任務とする世界的なハブにすることだと、Sunak 首相は述べている。

AI Safety Summit：OWASP が各国政府に対して AI セキュリティ基準の採用を要求

AI Safety Summit: OWASP Urges Governments to Agree on AI Security Standards

2023/11/02 InfoSecurity — OWASP (Open Worldwide Application Security Project) によると、AI の急速な普及がもたらす危険を軽減するためには、AI を搭載するツールがもたらすセキュリティと倫理的リスクに関する、トップレベルの議論だけでは、もはや不十分だという。2023年11月1日～2日にイギリスのブレッチリー・パークで開催された AI Safety Summit に先立ち、この非営利団体はサミット参加者に対して、実用的な AI セキュリティ標準に合意し採用することを、迅速に推進すべきという行動喚起を促している。

フィッシングと生成 AI：メールを介した攻撃が前年比で 1265% 増

Report Links ChatGPT to 1265% Rise in Phishing Emails

2023/10/30 InfoSecurity —2022年 Q4 以降において、悪質なフィッシングメールが 1265％も急増しているという、サイバー・セキュリティにおける懸念すべき傾向が、SlashNext State of Phishing Report 2023 により明らかにされた。この年次レポートは、2022年Q4〜2023年Q3 の12カ月間において、メール／モバイル／ブラウザなどのチャネルで観測された、脅威の分析を網羅するものだ。そして、このレポートでは、クレデンシャル・フィッシング攻撃が 967% も増加したことが強調されている。

HackerOne の報奨金は累計で $300 million：2023年のレポートからトレンドを探る

HackerOne paid ethical hackers over $300 million in bug bounties

2023/10/28 BleepingComputer — HackerOne が発表したのは、同社のバグバウンティ・プログラムにおいて、倫理的ハッカーや脆弱性研究者に対して提供された報奨金が、累計で $300 million に達したことだ。これまでに、30人のハッカーが $1 million 以上の報酬金を獲得し、その中には $4 million 以上の報酬金を受け取った人もいるという。HackerOne は 10年以上前に設立されたバグバウンティ・プラットフォームであり、脆弱性や弱点を特定／報告する倫理的ハッカーたちに報酬を支払うことで、ソフトウェア・ベンダーとの関係を構築している。

生成 AI とフィッシング・メール：作成時間を 16時間も短縮するが内容に人間バージョンに劣る

Generative AI Can Save Phishers Two Days of Work

2023/10/24 InfoSecurity — IBM の最新研究によると、生成 AI ツールはフィッシングにおける詐欺メール・デザインを 16時間ほど短縮するが、より説得力のあるメッセージの作成に関しては、まだ人間のコツには及ばないという。今日、ソーシャル・エンジニアリングの専門家である Stephanie Carruthers は明らかにした研究プロジェクトの詳細は、人間の心と同じ欺瞞的な力を、生成 AI モデルが理解できるかどうかというものである。

Microsoft の最新 AI アシスタント Security Copilot：スピードを向上させてセキュリティ脅威に対抗

Microsoft announces Security Copilot early access program

2023/10/22 BleepingComputer — 今週に Microsoft が発表したのは、ChatGPT に似た AI アシスタント Security Copilot が、一部の顧客へ向けて早期利用が可能になったことだ。同社の AI 主導型セキュリティ分析ツールである Security Copilot は、Microsoft のグローバルな脅威インテリジェンスの専門知識と、最新の大規模言語モデルを用いることで、セキュリティ・チームが脅威に対抗するスピードを向上させる。

生成 AI 導入の急増：その一方でセキュリティ意識の遅れが懸念される

AI Adoption Surges But Security Awareness Lags Behind

2023/10/20 infosecurity — ChatGPT や Google Bard のような生成 AI ツールの採用と管理に関する新たな洞察が、ExtraHop の新しい調査により得られた。この調査は、グローバルにおける、1,200人以上の Security／IT のリーダーを対象としたものだ。回答者たちが最も懸念しているのは、不正確な回答 (40%) であり、それに続くのが、顧客や従業員の個人を特定できる情報 (PII) の漏洩 (36%)／企業秘密の漏洩 (33%)／財務上の損失 (25%) などである。

Google Play Protect による保護：悪意のアプリに対するスキャンと排除

Google Play Protect Bolsters Security Against Malicious Apps

2023/10/18 InfoSecurity — Google Play Protect の大幅なアップデートにより、Android 端末のセキュリティが強化される。Google によると、今回のアップデートは、モバイル端末を狙ったサイバー脅威の増加に対応するものだという。この Google Play Protect は、約 1250億個のアプリを毎日スキャンし、マルウェアや不要なソフトウェアを検出するために、すでに存在しているセキュリティ機能である。今日のブログ投稿で発表された新たな機能の強化は、コード・レベルのリアルタイム・スキャンを導入するものであり、進化する不正アプリへの対抗を目的とした事前の対策である。

AI ボットの脅威：すでに人間よりも素早く CAPTCHA を解読している

AI-enabled bots can solve CAPTCHAs faster than humans

2023/10/13 HelpNetSecurity — Kasada の調査によると、悪質なボット攻撃との戦いで、多くの企業が収益を失っているという。多くの企業が数百万ドルを費やし、従来からのボット管理ソリューションに取り組んでいるが、ボット攻撃による財務的な影響を受けている。回答者の 38% は、１回のボット攻撃で組織は $500,000 以上の損害を被っていると見積もっており、その数値は昨年の 25% から増加している。さらに、ボットによるアカウント詐欺により、昨年中に 10% 以上の収益を失った組織は 50% に上り、昨年の40%から増加している。

PyTorch Model モデルの脆弱性 ShellTorch が FIX：リモートコード実行の可能性

Warning: PyTorch Models Vulnerable to Remote Code Execution via ShellTorch

2023/10/03 TheHackerNews — PyTorch モデルを提供しスケーリングするための TorchServe ツールに、複数の深刻なセキュリティ上の欠陥があることを、サイバー・セキュリティ研究者たちが公表した。この問題を発見したイスラエルのランタイム・アプリケーション・セキュリティ企業 Oligo は、この脆弱性を ShellTorch と呼んでいる。

AI が作り出すフィッシング・メール：それを見分けることは不可能だ

AI-Generated Phishing Emails Almost Impossible to Detect, Report Finds

2023/10/02 InfoSecurity — AI チャットボットを悪用するサイバー犯罪者たちが、フィッシング・キャンペーンを展開する可能性が懸念されているが、メール・セキュリティ・プロバイダーの Egress によると、AI が作成したフィッシング・メールを検知することは、ほぼ不可能だとのことだ。10月2日に発表された Egress の Phishing Threat Trends Report によると、フィッシング・メールを AI 検知器で分析しても、71.4% の確率で、チャットボットと人間の見分けができないという。

Bing Chat チャットに御用心：マルウェアのダウンロードを推奨されることもある

Bing Chat responses infiltrated by ads pushing malware

2023/09/28 BleepingComputer — OpenAI の GPT-4 エンジンを搭載した Bing Chat が、検索業界における Google の優位性に挑戦するために、2023年2月から Microsoft により展開されている。従来の検索クエリや検索結果の形式ではなく、インタラクティブなチャット・ベースのエクスペリエンスをユーザーに提供することで、オンライン検索をより直感的でユーザー・フレンドリーにすることを、Bing Chat は目指している。そして Microsoft は、この新しいプラットフォームから収入を得るために、2023年3月から Bing Chat に広告を挿入し始めた。

Microsoft AI 研究部門の失敗：38TB のプライベート・データを誤って SAS 共有

Microsoft leaks 38TB of private data via unsecured Azure storage

2023/09/18 BleepingComputer — 2020年7月以降において Microsoft の AI 研究部門は、GitHub パブリック・リポジトリに、オープンソースの AI 学習モデルをコントリビュートする際に、誤って 38TB の機密データを流出させていた。それから約３年後に、クラウド・セキュリティ企業である Wiz が発見したのは、流出した情報を含む Azure Blob ストレージ・バケットの、ミスコンフィグレーションされた URL が、Microsoft の従業員により不用意に共有されていたことだった。

FraudGPT という悪意の生成 AI ツール：月額 $200 で ChatGPT の代替品

New AI Tool ‘FraudGPT’ Emerges, Tailored for Sophisticated Attacks

2023/07/26 TheHackerNews — WormGPT の足跡をたどる脅威アクターたちは、さまざまなダークウェブ・マーケットプレイスや Telegram チャンネルで、FraudGPT と名付けたサイバー犯罪生成 AI ツールを宣伝している。7月25日 (火) に発表されたレポートの中で、Netenrich の Security Researcher である Rakesh Krishnan は、「これは AI ボットであり、スピアフィッシング・メールの作成／クラッキングツールの作成／カーディングなどの攻撃に特化したものだ」と述べている。Netenrich によると、このサービスは遅くとも 2023年7月22日以降において、月額 $200 (半年 $1,000／1年 $1,700) で提供されているという。

AI を悪用する６つの攻撃パターン：Google による分類と解説とは？

Google Categorizes 6 Real-World AI Attacks to Prepare for Now

2023/07/21 DarkReading — Google の研究者たちは、現実の AI システムに対して起こり得る６つの攻撃スタイルを特定し、それらの一般的な攻撃ベクターが独特の複雑性を示すことを発見した。今週に発表した報告書の中で、Google の AI 専門レッドチームは、この急成長するテクノロジーに対する各種の脅威を、すでに発見していることを明らかにした。その内容は、ChatGPT や Google Bard などの、生成 AI 製品を駆動する LLM (large language models) を、攻撃者が悪用する方法が主体となっている。

AI と Open Source の関係：半数以上のプロジェクトで脆弱なパッケージが使用されている

Half of AI Open Source Projects Reference Buggy Packages

2023/07/20 InfoSecurity — AI テクノロジー・スタック全体で、オープンソースが役割を拡大しているが、大半のプロジェクト (52％) ではマニフェスト・ファイルを用いて、既知の脆弱な依存関係が参照されていると、Endor Labs は指摘している。セキュリティ・ベンダーである Endor Labs の最新レポート State of Dependency Management によると、ChatGPT の API はリリースから僅か５ヶ月で、”多様な問題領域”にまたがる 900件の npm／PyPI パッケージで使用されており、これらのパッケージの 70% は真新しいものだという。しかし、あらゆるオープンソース・プロジェクトと同様に、脆弱な依存関係に伴うセキュリティ・リスクは管理される必要があると、Endor Labs は警告している。

エンタープライズ・セキュリティにおけるマクロ・シフトを探る – Scale 調査

Exploring the macro shifts in enterprise security

2023/07/20 HelpNetSecurity — Scale の 2023 Cybersecurity Perspectives Survey によると、ランサムウェア攻撃とデータ侵害の成功件数は昨年１年間で 30％減少したが、ユーザー組織から報告されたセキュリティ・インシデントの種類は増加した。実際のところ、71％の組織が３種類以上のセキュリティ・インシデントを経験しており、前年比で 51％増となっている。特にクラウドの状況が急速に進化し、人手不足が続いている中で、ネットワークを保護するための困難な戦いに、セキュリティ・チームは直面し続けている。

E コマース調査：59％の決済詐欺の増加を経験し、51％がアカウント乗っ取りを経験

E-commerce Fraud Surges By Over 50% Annually

2023/07/11 InfoSecurity — Ravelin によると、世界の大半の eコマース業者は、過去12ヶ月間において詐欺に悩まされた後に、今年に入ってからは詐欺対策のスペシャリストを雇う予定だという。不正対策ベンダーである同社は、年間売上高 $50m の企業に勤務する世界の不正対策専門家 1,900人を対象に、Global Fraud Trends 2023 調査を実施した。その結果として、59％の回答者がオンライン決済詐欺の増加を経験し、51％がアカウント乗っ取りについても、同様の回答をしていることが明らかになった。

SaaS ポートフォリオ合理化の必要性：企業内の SaaS アプリの 51% がシャドー IT

53% of SaaS licenses remain unused

2023/07/04 HelpNetSecurity — 早急な対策を講じるべきだと Productiv が指摘しているのは、企業における調達／IT／財務部門のリーダーに対するものであり、支出とガバナンスの問題が制御不能に陥るのを防ぐための、SaaS (Software as a Service) ポートフォリオの合理化である。同社は、過去３年間に約１億の SaaS ライセンスが、どのように使用されたかを分析し、1,000億以上のアプリ使用データ・ポイントを含む、SaaS の成長／支出／統合／使用に関する、きわめて重要な SaaS の統計／洞察に関するレポートを提供している。

CISO の最大の懸念：サプライチェーンと API のセキュリティ – Salt Security

Supply Chain and APIs Top Security Concerns, CISO Survey Shows

2023/06/21 InfoSecurity — 最近の CISO (Chief Information Security Officers) 調査により、主要なセキュリティ懸念事項として、サプライチェーンと API が浮上していることが分かった。この調査は、API セキュリティ企業の Salt Security が委託し、Global Surveyz が実施したものであり、グローバルにおける 300人の CISO／CSO からの意見がまとめられている。この調査結果によると、CISO の 89％が、デジタル・サービスの急速な展開から生じ、重要なビジネス・データのセキュリティを脅かす、予期せぬリスクに取り組んでいるという。

ChatGPT のアカウント 10万件がダークウェブで販売されている：侵害されると何が起こる？

Over 100,000 ChatGPT Accounts Found in Dark Web Marketplaces

2023/06/20 InfoSecurity — OpenAI の LLM (Large Language Models) である ChatGPT の、10万件以上の侵害されたアカウントが、ダークウェブ・マーケットプレイスで発見された。それを発見した、シンガポール拠点のサイバー・セキュリティ企業 Group-IB が、6月20日のブログ記事で説明している。Group-IB の Head of Threat Intelligence である Dmitry Shestakov は、「多くの企業が、ChatGPT を業務フローに組み込んでいる。具体的なアクティビティとしては、従業員による機密通信の入力や、ボットを用いたコードを最適化などが挙げられる」とコメントしている。

Google の人工知能フレームワーク SAIF：生成 AI の開発／運用を保護するために

Google Launches Framework to Secure Generative AI

2023/06/09 InfoSecurity — 生成 AI が急速に進歩しているが、その悪意に関する創造的な方法を、人々が見つけることもある。数多くの政府は、AI 悪用のリスクを軽減するための、規制の計画を加速させようとしている。その一方では、一部の生成 AI の開発者たちは、自社のモデルやサービスの安全性を確保するために、どのような方法があるかを検討している。生成 AI チャットボット Bard の所有者であり、AI 研究機関 DeepMind の親会社である Google は、2023年6月8日に Secure AI Framework (SAIF) を発表した。

ChatGPT が推奨する OSS パッケージは安全なのか？ LLM に悪意を埋め込む PoC が公開

New ChatGPT Attack Technique Spreads Malicious Packages

2023/06/06 InfoSecurity — OpenAI の LLM である ChatGPT を悪用し、開発者たちの環境に悪意のパッケージを拡散させるという、新たなサイバー攻撃手法が登場した。Vulcan Cyber の Voyager18 research team は、先ほど発表したアドバイザリで、この問題について述べている。同社の研究者である Bar Lanyado と、コントリビュータである Ortal Keizman と Yair Divinsky は、「実際には存在しない URL やリファレンスを、さらにはコード・ライブラリや関数を、ChatGPT が生成することが確認されている。このような LLM (Large Language Model) モデルがもたらす幻覚は以前にも報告されていたが、古い学習データの結果として生じている可能性もある」と、技術文書で説明している。

高度なフィッシング攻撃が 356％も急増：2023 Annual Report – Perception Point 調査

Advanced Phishing Attacks Surge 356% in 2022

2023/05/25 InfoSecurity — Perception Point の調査により、高度なフィッシング攻撃の件数が、2022年は 356 ％増加したことが判明した。同社の 2023 Annual Report: Cybersecurity Trends & Insights に記されているのは、脅威アクターによる攻撃の総数は 87％増加したという最新データである。この成長の背景には、悪意のアクターが人工知能 (AI) や機械学習 (ML) を搭載した、新たなツールへのアクセスを、広く獲得し続けているという現実がある。

ChatGPT で作成されたポリモーフィックなマルウェア・サンプルを検出 – WithSecure 報告

AI Used to Create Malware, WithSecure Observes

2023/05/25 InfoSecurity — サイバー・セキュリティの世界では、脅威アクターの手に渡った AI がもたらす潜在的な脅威について、警鐘が鳴り続けている。その中でも、ChatGPT で作成されるマルウェアは、現実のものとなっているようだ。WithSecure の CEO である Juhani Hintikka は、ChatGPT により生成されたマルウェアのサンプルを、同社が発見したことを認めている。

GDPR は消費者の信頼を低下させた：IT リーダーの 66% が回答 – Macro 4 調査

Two-Thirds of IT Leaders Say GDPR Has Reduced Consumer Trust

2023/05/22 InfoSecurity — GDPR (General Data Protection Regulation) のあり方により、それぞれの企業に対する消費者の信頼が低下したという、IT リーダーの３分の２ (66％) の捉え方を、Macro 4 の最新調査が示している。2018年5月25日に、GDPR が欧州で施行されてから５年が経過し、個人データ保護の必要性に対する意識が高まった結果が、この調査に現れている。

AI による音声クローン作成：３秒間のデータがあれば詐欺の成功率は 85% というレベル – McAfee

Your voice could be your biggest vulnerability

2023/05/08 HelpNetSecurity — McAfee によると、オンライン音声詐欺の増加に AI 技術が拍車をかけており、人の声を複製するのに必要な音声は、わずか３秒であることが判明している。７カ国の 7,054人を対象に McAfee が調査したところ、成人の 4分の1 が何らかの AI 音声詐欺を経験したことがあり、10人に 1人が個人的に狙われ、15％が知人に起こったと回答している。結果として、被害者の 77％が騙され、金銭を失ったと回答している。McAfee Labs のセキュリティ研究者たちは、AI 音声クローニング技術と、サイバー犯罪者による悪用に関する、徹底的な調査から得た知見と分析を明らかにした。

BlackBerry 脅威レポート：１位米国／２位ブラジル／３位日本という攻撃頻度が判明

BlackBerry Report Surfaces Increasing Rate of Cyberattacks

2023/05/05 SecurityBoulevard — BlackBerry が発表した脅威インテリジェンス・レポートによると、同社のサイバー・セキュリティ・ソフトウェア／サービスを利用している組織に対して、2022年12月〜2023年2月には１分あたり12件のサイバー攻撃が行われ、そのうち 1.5件は新しいマルウェア・サンプルに基づく攻撃であることが判明した。BlackBerry のレポートでは、これらの攻撃が行われているロケーションの変化についても指摘されている。１位の米国に次いで、２位はブラジル、３位は日本、４位はカナダとなり、シンガポールが初めて Top-10 にランクインしたとのことだ。

フィッシングの 2022年を総括：AI ツールにより高度化／急増しているキャンペーン – Zscaler

AI tools help attackers develop sophisticated phishing campaigns

2023/04/25 HelpNetSecurity — Zscaler のレポートによると、フィッシング詐欺の手法が洗練され、検知やブロックが困難になっていることで、サイバー犯罪の脅威が増大しているとのことだ。このレポートでは、現代のフィッシング攻撃の大半が、盗まれた認証情報に依存していることも明らかにされている。さらに、最近トレンドとして、中間者攻撃 (AitM) や、InterPlanetary File System (IPFS) の利用増加、ブラックマーケットから調達したフィッシング・キット、ChatGPT などの AI ツールへの依存についても概説している。

VirusTotal の新機能 Code Insight：AI を活用してマルウェアを解析する

VirusTotal now has an AI-powered malware analysis feature

2023/04/24 BleepingComputer — 4月24日 (月) に VirusTotal は、Code Insight と命名された AI ベースの新しいコード解析機能の提供について発表した。この新機能は、RSA Conference 2023 で紹介された Google Cloud Security AI Workbench を搭載しており、特にセキュリティのユースケース向けに細かく調整された Sec-PaLM LLM (Large Language Model) を使用している。VirusTotal Code Insight は、潜在的に有害なファイルを解析して、その悪意の挙動を説明し、実際の脅威をもたらすものを特定する能力を向上させるという。

Facebook 上の ChatGPT／Google Bard 偽広告：RedLine スティラーを配布している

Attackers Hide RedLine Stealer Behind ChatGPT, Google Bard Facebook Ads

2023/04/12 DarkReading — サイバー犯罪者たちは、Facebook のビジネスページやコミュニティページを乗っ取り、ChatGPT や Google Bard などの正規のスポンサーを装い、AI チャットボットの無料ダウンロードを宣伝する広告を展開している。それらの広告に誘導されたユーザーは、AI チャットボットではなく、RedLine Stealer と呼ばれる有名な情報スティーラー・マルウェアをダウンロードしていることが、研究者たちの調査により判明した。RedLine Stealer とは、オンライン・ハッカー・フォーラムを通じて販売されている Malware-as-a-Service (MaaS) プラットフォームだ。Web ブラウザを標的にして、認証情報や支払いカードの詳細などの、様々なユーザー情報を収集する。さらに、次の攻撃にむけて攻撃対象領域を評価するために、システムのインベントリを取得する。

NTT の新たな MDR サービス：Microsoft Sentinel をベースに展開される

NTT Taps Microsoft to Provide MDR Service

3023/04/03 SecurityBoulevard — NTT Ltd が提供を開始した MDR (Managed Detection and Response) セキュリティ・サービスは、Azure クラウド・サービスにホストされている SIEM (Security Information Event Management) プラットフォーム Microsoft Sentinel をベースにしたものとなる。この NTT MDR サービスは、オンプレミス／クラウド環境における、あらゆるユーザー／デバイス／アプリケーション／インフラ・プラットフォームからデータを収集する。そして、このアプローチにより、NTT は高度な分析と機械学習アルゴリズムを適用して、効果的に攻撃を特定し阻止することが可能になるという。

ChatGPT／GPT-4 を止めろ：Musk／Wozniak などの著名人グループが申し立て

Musk, Scientists Call for Halt to AI Race Sparked by ChatGPT

2023/03/29 SecurityWeek — いつかは人間を凌駕するかもしれない、パワフルなな人工知能技術の展開において、テック企業の動きは速すぎるのだろうか。著名なコンピューター科学者や、Elon Musk、Apple の創業者 Steve Wozniak といったテック業界の著名人たちのグループは、リスクを考慮するために、６ヶ月間の一時停止を要求している。この申立は、サンフランシスコのスタートアップ OpenAI が、先日に発表した GPT-4 に対するものだ。広く使われている AI チャットボット ChatGPT を、さらに進化させた GPT-4 は、ビッグテックである Microsoft と Google のアプリケーション開発競争に火をつけるきっかけにもなっている。

Microsoft の AI セキュリティ：GPT-4 を搭載する Copilot のプレビューが始まった

Microsoft Introduces GPT-4 AI-Powered Security Copilot Tool to Empower Defenders

2023/03/28 TheHackerNews — 2023年3月28日 (火) に Microsoft は、Security Copilot のプレビュー版を発表した。それは、マシンのスピードとスケールで End−to-End 防御を提供するために、AI 指向の機能を組み込むことを、継続的に推進していくことを示すものだ。この、OpenAI の GPT-4 AI と、独自のセキュリティ専用モデルを搭載した製品は、サイバー・セキュリティ・アナリストによる、脅威への迅速な対応／シグナルの処理／リスク露出の評価を可能にする、セキュリティ分析ツールだとされている。

ChatGPT に企業データを投げ込むという行為：潜在的なリスクについて考えよう

The risk of pasting confidential company data into ChatGPT

2023/03/13 SecurityAffairs — Cyberhaven Labs の研究者たちが、各企業で働く 160万人の従業員による ChatGPT の利用状況を分析した。その結果として、発売以来人気のチャットボット・モデルを、彼らの 5.6％が職場で使用し、4.9％が企業データを提供していることが判明した。この種のデータを用いて、ChatGPT のナレッジベースは構築され、さらに、構築された情報は一般に公開されていく。

Brave Search が Summarizer を搭載：検索結果を AI で処理／表示するサービスを開始

Brave Search launches AI-powered summarizer in search results

2023/03/03 BleepingComputer — ユーザーが入力した質問に対して、要約された回答を検索結果よりも優先して提供する、新しい AI 搭載のツール Summarizer が、Brave Search に導入された。Brave Search は、ユーザーを追跡することなく匿名で Web 検索ができる、急成長中のプライバシー重視のインターネット検索エンジンである。いま、検索機能に AI 革命が起こっている。すでに Microsoft は、ChatGPT のアップグレード版を Bing 検索エンジンに組み込み、近い将来には Google も、Bard という独自の AI モデルで同様の機能を実装する予定だという。

ChatGPT とセキュリティの関係：ポジティブ？ネガティブ？判断は時期尚早？

ChatGPT Subs In as Security Analyst, Hallucinates Only Occasionally

2023/02/16 DarkReading — 今週に発表された調査結果によると、人気の Large Language Model (LLM) である ChatGPT は、その AI モデルが特定のアクティビティのために訓練されていなくても、潜在的なセキュリティ・インシデントのトリアージや、コード内のセキュリティ脆弱性を見つける防御者にとって、有益であると示唆される。

GitHub CoPilot への評価：AI モデルのトレーニングに開発者を利用して良いのか？

GitHub Copilot update stops AI model from revealing secrets

2023/02/15 BleepingComputer — GitHub の発表は、Visual Studio 上でソースコードや関数のレコメンドをリアルタイムに生成する、プログラミング・アシスタント Copilot の AI モデルを更新し、より安全で強力になったというものだ。今週からユーザーに展開される新しい AI モデルは、より質の高い提案を短時間で提供し、受け入れ率を高めることで、ソフトウェア開発者の効率をさらに向上させるという。