Ultra Thinking 【GMO Flatt Security】

GMO Flatt Security

「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最近話題のトピックや、Takumiのサービス開発について考えていることを話す、エンジニアトーク番組です。

  1. 8月6日

    【cicd-sensor公開会議】Takumiとの連携と、これからの脅威検知・遮断を開発者とユーザーで議論

    今回は特別編で、CI/CDのランタイム監視OSS「cicd-sensor」の公開会議 第2回です。開発者のrungさんと、cicd-sensorを社内導入しているcatatsuyさんをゲストにお迎えしました。Takumi Runnerとcicd-sensorをつなぐデモをお見せしつつ、検知の次に来る遮断をどう実現していくかなど議論しています。📝 今回のトピック00:00 オープニング・自己紹介02:08 Takumi専用マネージャーの開発状況04:15 デモ：cicd-sensorのトレースをTakumi Runnerで見る09:13 トレース検索と、次の大きな機能「脅威検知」10:25 ORASを使ったルール配布と、Organization横断の設定14:55 GitHub Actionsのマスクと、クレデンシャルをどこまで送るか18:17 cicd-sensorの開発状況：TLS通信の可視化とghコマンド対応20:25 誤検知を減らすための「検知数だけ共有する」連携案23:45 Renovate経由のnpm侵害を偶然回避していた話24:57 AIエージェントがローカルのファイルを匿名アップローダーに送った社内事例26:33 導入して感じている価値と、ブロックまでやってほしいという要望28:50 OIDC認証とCELによるルール配布への期待30:20 cicd-sensorを作った動機と、ブロッキングを入れる難しさ33:44 CI/CDを狙う攻撃は「宝探し」：アローリストと差分検知で出口を塞ぐ36:48 WAFのようにグローバルな攻撃情報を共有できないか40:21 OIDCサポートの再検討と、リポジトリごとの例外管理45:17 Sigmaのような標準検知ルールフォーマットへの期待47:22 エンディング 📚 参照・紹介したリポジトリ/サイト ・cicd-sensor https://github.com/cicd-sensor/cicd-sensor ・Takumi Runner https://flatt.tech/takumi/features/runner ・八百万のOSS https://yaoyorozu-oss.henteko07.com/ ・Sigma（検知ルールの標準フォーマット） https://github.com/SigmaHQ/sigma 🤔 Ultra Thinking とは 「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。 🎧 YouTubeでも配信中: https://youtu.be/s_xjNcQneGM X: https://x.com/flatt_security ハッシュタグ： #ultrathinking#セキュリティ #CICD #eBPF #サプライチェーンセキュリティ #OSS #GitHubActions

  2. 7月31日

    課金し続ければ脆弱性が見つかる時代？wp2shellと、OpenAIモデルのHugging Face侵害を深堀る会

    今回は、AIがWordPressの脆弱性「wp2shell」の自律的なエクスプロイトに成功した事例や、OpenAIのAIエージェントが評価中にHugging Faceのインフラに侵入したインシデントについて、実際の攻撃タイムラインを読み解きます。📝 今回のトピック00:00 オープニング00:48 GMOインターネットグループとAnthropicの戦略的パートナーシップ契約02:40 WordPressの深刻な脆弱性「wp2shell」の概要11:21 AIモデルによるWordPress脆弱性のエクスプロイト事例19:28 OpenAIモデルによるHugging Faceへの侵害とタイムライン35:00 エンディング📚 参照・紹介した記事/サイト・GMOインターネットグループ、Anthropicと戦略的パートナーシップ契約を締結https://group.gmo/news/article/10120/・WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針https://blog.flatt.tech/entry/wp2shell_wordpress・Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/・Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incidenthttps://huggingface.co/blog/agent-intrusion-technical-timeline・OpenAI と Hugging Face、モデル評価中のセキュリティインシデント対応で連携https://openai.com/ja-JP/index/hugging-face-model-evaluation-security-incident/・Takumi AIペネトレーションテスト機能の提供を拡大https://shisho.dev/docs/ja/r/202607-takumi-pentest🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://youtu.be/mpnsjPud0QkX: https://x.com/flatt_security#ultrathinking #セキュリティ

  3. 7月23日

    Anthropicバグバウンティ1位からクロ現出演まで、育休中に進みすぎたFlattの2ヶ月を振り返る会

    今回は、育休から復帰した執行役員 豊田（toyojuni）が不在だった、約2ヶ月間（5月〜7月）のFlatt Security社内での出来事、新サービスリリース（ソフトウェアサプライチェーン診断、AIペネトレーションテスト機能など）について怒涛の勢いで振り返りました。📝 今回のトピック00:00 オープニング01:02 toyojuniの育休振り返り02:22 育休期間中（5月〜7月）の出来事振り返り開始03:12 Product Security Square #4 振り返り08:58 npmパッケージの侵害事例（Mini Shai-Hulud）と関連ウェビナー11:27 各種イベント登壇・ウェビナー開催の振り返り13:37 RyotaKがAnthropicバグバウンティで1位獲得18:19 新サービス「ソフトウェアサプライチェーン診断」リリース21:13 AIエージェント「Takumi」のアップデート（AIペネトレーションテスト機能）24:43 Takumi GuardのGo / PHPパッケージ対応33:40 メディア掲載・インタビュー動画の紹介（TECH WORLD等）41:36 AIペネトレーションテスト機能のデモ画面解説48:15 「GitHub Actions Security」連載ブログの紹介51:08 エンディング📚 参照・紹介した記事/サイト・Takumi byGMO https://flatt.tech/takumi/・ソフトウェアサプライチェーン診断https://flatt.tech/assessment/ssc・GMO Flatt Security 公式Xアカウントhttps://x.com/flatt_security🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 Spotifyでも配信中: https://youtu.be/OVVg6uA6geAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #AI #ProductSecurity #サプライチェーンセキュリティ #ペネトレーションテスト

  4. 7月17日

    【公開会議】cicd-sensorのこれから。開発者rungさんとTakumiチームで考える、OSSと企業の連携

    今回は、特別編として、cicd-sensorの開発者であるrungさんとTakumiチームとの公開会議の様子をお届けします。cicd-sensorの設計思想や、CI/CDモニタリングの課題、そしてOSSと企業がどう連携してCI/CDを守っていくかについて議論しました。 📝 今回のトピック 00:00 オープニング 02:43 アジェンダをまとめる 05:30 アジェンダ1：cicd-sensorの実装の話 16:45 アジェンダ2：TLSの話 35:50 アジェンダ3：cicd-sensorの改善したい話 56:45 アジェンダ4：cicd-sensorの配布モデルの話 📚 参照・紹介したリポジトリ/サイト ・cicd-sensor https://github.com/cicd-sensor/cicd-sensor ・Takumi Runner https://flatt.tech/takumi/features/runner 🤔 Ultra Thinking とは 「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。 🎧 YouTubeでも配信中: https://youtu.be/NOsVc6TOUj4 X: https://x.com/flatt_security ハッシュタグ： #ultrathinking#セキュリティ #CICD #eBPF #サプライチェーンセキュリティ #OSS #GitHubActions

  5. 7月10日

    AI時代のPwn2OwnとkernelCTFのリアルを参加者と振り返る会

    今回は、ゲストにIkotas LabsのSatokiさん、GMOサイバーセキュリティ byイエラエの小池さん、古川さんをお迎えし、Linux Kernelのゼロデイ脆弱性発見の裏話や、「Pwn2Own」などの世界的なハッキングコンテストでの経験についてワイワイ話します。📝 今回のトピック00:00 オープニング01:48 19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話12:31 Pwn2Own Automotive の話21:28 Pwn2Own Berlin のAIエージェントカテゴリ攻略の話36:25 エンディング📚 参照・紹介した記事/サイト・19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話：CVE-2026-43456https://gmo-cybersecurity.com/blog/19-year-old-linux-kernel-zero-day/・「Pwn2Own Automotive 2026」に当社エンジニアの古川 和祈が出場しましたhttps://gmo-cybersecurity.com/news/pwn2own-automotive-2024/・Pwn2Own Berlin 2026の3日目でAIエージェントを攻略し$20,000と4 Master of Pwn Pointsを獲得(OpenAI Codex)https://ikotaslabs.com/news/2026-05-16🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/watch?v=QP0we_Z3-MAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #pwn #Pwn2Own #脆弱性

  6. 7月3日

    AIにGoogleの脆弱性を探させて3ヶ月で50万ドル？その手法と、Apigeeのクロステナント攻略を読み解く

    今回は、GCPのApigeeにおけるテナント間エクスプロイトと、AIを活用してGoogleの脆弱性を自動で発見し50万ドルの報奨金を獲得した事例の2つのブログ記事を取り上げ、詳細な攻撃手法や背景についてワイワイ話します。📝 今回のトピック00:00 - 00:30 オープニング00:30 - 01:53 近況報告（保護猫を飼い始めた話）01:53 - 18:26 GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見18:26 - 40:21 Hacking Google with A.I. for $500,00040:21 - 41:51 エンディング📚 参照・紹介した記事/サイト・GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見https://omeramiad.com/posts/gatewaytoheaven-gcp-cross-tenant-vulnerability/・Hacking Google with A.I. for $500,000https://brutecat.com/articles/hacking-google-with-ai🤔 Ultra Thinking とは「エンジニアの背中を預かる」 GMO Flatt Securityのエンジニアが、 プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurityX: https://x.com/flatt_security#ultrathinking #セキュリティ #google #Apigee #AI #BugBounty

  7. 6月25日

    ゲストicchyさんと振り返る、アンチウイルスを"オラクル"にした攻撃手法と、AI時代も人間が強い「発想」

    今回は、ゲストにGMOサイバーセキュリティbyイエラエの市川さん（icchy）をお迎えします！CTFチーム「TokyoWesterns」での活動やこれまでのキャリアを振り返りつつ、彼が過去に発表した「React Hooksに潜む罠」や、CODE BLUE 2019での発表「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」などの技術的なリサーチについて振り返りました。📁 今回のトピック00:00 オープニング02:11 ゲスト「icchy」さん紹介とこれまでの活動（競プロ・CTF・トラコン）12:06 スライド解説①：「React Hooksに潜む罠」22:40 スライド解説②：Windows Defenderをオラクルにしたサイドチャネル攻撃38:00 エンディング：AI時代も人間が強い攻撃手法の発想📚 参照・紹介した記事/サイト・icchyさんのブログ（雑記）：https://icchy.hatenablog.jp/・スライド「React Hooksに潜む罠」：https://speakerdeck.com/icchy/react-hooks-pitfalls・スライド「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」：https://speakerdeck.com/icchy/antiuirusuwoorakurutosita-windows-defendernidui-suru-xin-siigong-ji-shou-fa🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中：https://www.youtube.com/@flattsecurityX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #React #WindowsDefender

  8. 6月11日

    Shai-Huludの系譜は止まらない？巧妙化する直近のソフトウェアサプライチェーン攻撃を読み解く

    今回は、Shai-Huludの系譜をつぐ直近のソフトウェアサプライチェーン攻撃のキャンペーンをテーマに話します。JFrogやStepSecurity、Socketなどのリサーチブログをもとに、Rust製でeBPFルートキットを搭載した「IronWorm」から、binding.gypを悪用する「Miasma」、Pythonの.pthファイルを悪用する「Hades」まで、その巧妙な技術的裏側と、対抗するための技術について語り合いました。📝 今回のトピック00:00 オープニング00:30 梅雨入りとTakumiぬいぐるみ01:11 今回のテーマ：ソフトウェアサプライチェーン攻撃02:19 IronWorm：Rust製ELFバイナリが落ちてくる新しい型の検体13:13 Miasma：npmパッケージを標的にしたワーム攻撃17:02 binding.gyp の自動実行仕様を悪用したRCE21:51 Hades：Shai-Huludの系譜がPyPIへも波及25:52 .pthファイルを悪用したPythonインタプリタ起動時の自動実行31:09 防御側の対抗策：デコイトークンを用いたアンチサンドボックス回避34:00 OSS開発者向けイベントの告知36:00 RubyGemsにおけるクールダウン期間の話36:11 cicd-sensorの紹介38:05 エンディング📂 参照・紹介した記事/サイト・IronWorm: Shai-Hulud's rustier cousin (JFrog Security Research)https://research.jfrog.com/post/iron-worm-shai-hulud-rustier-cousin/・Miasma npm Supply Chain Attack: Self-Spreading Worm via Phantom Gyp (StepSecurity)https://www.stepsecurity.io/blog/binding-gyp-npm-supply-chain-attack-spreads-like-worm・Shai-Hulud Descends to Hades: Miasma Worm Campaign Spreads with New PyPI Wave (Socket)https://socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave・OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える (connpass)https://flatt.connpass.com/event/395359/・Cool down before you install: give new gems a few days to be vetted (RubyGems)https://blog.rubygems.org/2026/06/03/cooldown-let-new-gems-be-vetted.html・cicd-sensor/cicd-sensor (GitHub)https://github.com/cicd-sensor/cicd-sensor🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurity X: https://x.com/flatt_security#ultrathinking #セキュリティ #サプライチェーン攻撃 #eBPF #npm #PyPI #Rust

すべて見る（25）

番組について

「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最近話題のトピックや、Takumiのサービス開発について考えていることを話す、エンジニアトーク番組です。

情報

  • クリエイター
    GMO Flatt Security
  • 配信期間
    26年
  • エピソード
    25
  • 制限指定
    不適切な内容を含まない
  • Copyright
    © GMO Flatt Security
  • 番組のWebサイト
    Ultra Thinking 【GMO Flatt Security】

その他のおすすめ