Ultra Thinking 【GMO Flatt Security】

GMO Flatt Security

「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最近話題のトピックや、Takumiのサービス開発について考えていることを話す、エンジニアトーク番組です。

  1. 3d ago

    課金し続ければ脆弱性が見つかる時代？wp2shellと、OpenAIモデルのHugging Face侵害を深堀る会

    今回は、AIがWordPressの脆弱性「wp2shell」の自律的なエクスプロイトに成功した事例や、OpenAIのAIエージェントが評価中にHugging Faceのインフラに侵入したインシデントについて、実際の攻撃タイムラインを読み解きます。📝 今回のトピック00:00 オープニング00:48 GMOインターネットグループとAnthropicの戦略的パートナーシップ契約02:40 WordPressの深刻な脆弱性「wp2shell」の概要11:21 AIモデルによるWordPress脆弱性のエクスプロイト事例19:28 OpenAIモデルによるHugging Faceへの侵害とタイムライン35:00 エンディング📚 参照・紹介した記事/サイト・GMOインターネットグループ、Anthropicと戦略的パートナーシップ契約を締結https://group.gmo/news/article/10120/・WordPressの深刻度「緊急」脆弱性 wp2shell の概要と対応指針https://blog.flatt.tech/entry/wp2shell_wordpress・Exploit brokers pay $500,000 for a WordPress RCE. I found one with GPT5.6 Sol Ultra and $25https://slcyber.io/research-center/exploit-brokers-pay-500000-for-a-wordpress-rce-i-found-one-with-gpt5-6/・Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incidenthttps://huggingface.co/blog/agent-intrusion-technical-timeline・OpenAI と Hugging Face、モデル評価中のセキュリティインシデント対応で連携https://openai.com/ja-JP/index/hugging-face-model-evaluation-security-incident/・Takumi AIペネトレーションテスト機能の提供を拡大https://shisho.dev/docs/ja/r/202607-takumi-pentest🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://youtu.be/mpnsjPud0QkX: https://x.com/flatt_security#ultrathinking #セキュリティ

  2. Jul 23

    Anthropicバグバウンティ1位からクロ現出演まで、育休中に進みすぎたFlattの2ヶ月を振り返る会

    今回は、育休から復帰した執行役員 豊田（toyojuni）が不在だった、約2ヶ月間（5月〜7月）のFlatt Security社内での出来事、新サービスリリース（ソフトウェアサプライチェーン診断、AIペネトレーションテスト機能など）について怒涛の勢いで振り返りました。📝 今回のトピック00:00 オープニング01:02 toyojuniの育休振り返り02:22 育休期間中（5月〜7月）の出来事振り返り開始03:12 Product Security Square #4 振り返り08:58 npmパッケージの侵害事例（Mini Shai-Hulud）と関連ウェビナー11:27 各種イベント登壇・ウェビナー開催の振り返り13:37 RyotaKがAnthropicバグバウンティで1位獲得18:19 新サービス「ソフトウェアサプライチェーン診断」リリース21:13 AIエージェント「Takumi」のアップデート（AIペネトレーションテスト機能）24:43 Takumi GuardのGo / PHPパッケージ対応33:40 メディア掲載・インタビュー動画の紹介（TECH WORLD等）41:36 AIペネトレーションテスト機能のデモ画面解説48:15 「GitHub Actions Security」連載ブログの紹介51:08 エンディング📚 参照・紹介した記事/サイト・Takumi byGMO https://flatt.tech/takumi/・ソフトウェアサプライチェーン診断https://flatt.tech/assessment/ssc・GMO Flatt Security 公式Xアカウントhttps://x.com/flatt_security🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 Spotifyでも配信中: https://youtu.be/OVVg6uA6geAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #AI #ProductSecurity #サプライチェーンセキュリティ #ペネトレーションテスト

  3. Jul 17

    【公開会議】cicd-sensorのこれから。開発者rungさんとTakumiチームで考える、OSSと企業の連携

    今回は、特別編として、cicd-sensorの開発者であるrungさんとTakumiチームとの公開会議の様子をお届けします。cicd-sensorの設計思想や、CI/CDモニタリングの課題、そしてOSSと企業がどう連携してCI/CDを守っていくかについて議論しました。 📝 今回のトピック 00:00 オープニング 02:43 アジェンダをまとめる 05:30 アジェンダ1：cicd-sensorの実装の話 16:45 アジェンダ2：TLSの話 35:50 アジェンダ3：cicd-sensorの改善したい話 56:45 アジェンダ4：cicd-sensorの配布モデルの話 📚 参照・紹介したリポジトリ/サイト ・cicd-sensor https://github.com/cicd-sensor/cicd-sensor ・Takumi Runner https://flatt.tech/takumi/features/runner 🤔 Ultra Thinking とは 「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。 🎧 YouTubeでも配信中: https://youtu.be/NOsVc6TOUj4 X: https://x.com/flatt_security ハッシュタグ： #ultrathinking#セキュリティ #CICD #eBPF #サプライチェーンセキュリティ #OSS #GitHubActions

  4. Jul 10

    AI時代のPwn2OwnとkernelCTFのリアルを参加者と振り返る会

    今回は、ゲストにIkotas LabsのSatokiさん、GMOサイバーセキュリティ byイエラエの小池さん、古川さんをお迎えし、Linux Kernelのゼロデイ脆弱性発見の裏話や、「Pwn2Own」などの世界的なハッキングコンテストでの経験についてワイワイ話します。📝 今回のトピック00:00 オープニング01:48 19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話12:31 Pwn2Own Automotive の話21:28 Pwn2Own Berlin のAIエージェントカテゴリ攻略の話36:25 エンディング📚 参照・紹介した記事/サイト・19年以上見過ごされていたLinux kernelのゼロデイ脆弱性を報告した話：CVE-2026-43456https://gmo-cybersecurity.com/blog/19-year-old-linux-kernel-zero-day/・「Pwn2Own Automotive 2026」に当社エンジニアの古川 和祈が出場しましたhttps://gmo-cybersecurity.com/news/pwn2own-automotive-2024/・Pwn2Own Berlin 2026の3日目でAIエージェントを攻略し$20,000と4 Master of Pwn Pointsを獲得(OpenAI Codex)https://ikotaslabs.com/news/2026-05-16🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/watch?v=QP0we_Z3-MAX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #pwn #Pwn2Own #脆弱性

  5. Jul 3

    AIにGoogleの脆弱性を探させて3ヶ月で50万ドル？その手法と、Apigeeのクロステナント攻略を読み解く

    今回は、GCPのApigeeにおけるテナント間エクスプロイトと、AIを活用してGoogleの脆弱性を自動で発見し50万ドルの報奨金を獲得した事例の2つのブログ記事を取り上げ、詳細な攻撃手法や背景についてワイワイ話します。📝 今回のトピック00:00 - 00:30 オープニング00:30 - 01:53 近況報告（保護猫を飼い始めた話）01:53 - 18:26 GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見18:26 - 40:21 Hacking Google with A.I. for $500,00040:21 - 41:51 エンディング📚 参照・紹介した記事/サイト・GatewayToHeaven: GCPのApigeeにおける重大なテナント間エクスプロイトの発見https://omeramiad.com/posts/gatewaytoheaven-gcp-cross-tenant-vulnerability/・Hacking Google with A.I. for $500,000https://brutecat.com/articles/hacking-google-with-ai🤔 Ultra Thinking とは「エンジニアの背中を預かる」 GMO Flatt Securityのエンジニアが、 プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurityX: https://x.com/flatt_security#ultrathinking #セキュリティ #google #Apigee #AI #BugBounty

  6. Jun 25

    ゲストicchyさんと振り返る、アンチウイルスを"オラクル"にした攻撃手法と、AI時代も人間が強い「発想」

    今回は、ゲストにGMOサイバーセキュリティbyイエラエの市川さん（icchy）をお迎えします！CTFチーム「TokyoWesterns」での活動やこれまでのキャリアを振り返りつつ、彼が過去に発表した「React Hooksに潜む罠」や、CODE BLUE 2019での発表「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」などの技術的なリサーチについて振り返りました。📁 今回のトピック00:00 オープニング02:11 ゲスト「icchy」さん紹介とこれまでの活動（競プロ・CTF・トラコン）12:06 スライド解説①：「React Hooksに潜む罠」22:40 スライド解説②：Windows Defenderをオラクルにしたサイドチャネル攻撃38:00 エンディング：AI時代も人間が強い攻撃手法の発想📚 参照・紹介した記事/サイト・icchyさんのブログ（雑記）：https://icchy.hatenablog.jp/・スライド「React Hooksに潜む罠」：https://speakerdeck.com/icchy/react-hooks-pitfalls・スライド「アンチウイルスをオラクルとしたWindows Defenderに対する新しい攻撃手法」：https://speakerdeck.com/icchy/antiuirusuwoorakurutosita-windows-defendernidui-suru-xin-siigong-ji-shou-fa🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中：https://www.youtube.com/@flattsecurityX: https://x.com/flatt_securityハッシュタグ： #ultrathinking #セキュリティ #CTF #React #WindowsDefender

  7. Jun 11

    Shai-Huludの系譜は止まらない？巧妙化する直近のソフトウェアサプライチェーン攻撃を読み解く

    今回は、Shai-Huludの系譜をつぐ直近のソフトウェアサプライチェーン攻撃のキャンペーンをテーマに話します。JFrogやStepSecurity、Socketなどのリサーチブログをもとに、Rust製でeBPFルートキットを搭載した「IronWorm」から、binding.gypを悪用する「Miasma」、Pythonの.pthファイルを悪用する「Hades」まで、その巧妙な技術的裏側と、対抗するための技術について語り合いました。📝 今回のトピック00:00 オープニング00:30 梅雨入りとTakumiぬいぐるみ01:11 今回のテーマ：ソフトウェアサプライチェーン攻撃02:19 IronWorm：Rust製ELFバイナリが落ちてくる新しい型の検体13:13 Miasma：npmパッケージを標的にしたワーム攻撃17:02 binding.gyp の自動実行仕様を悪用したRCE21:51 Hades：Shai-Huludの系譜がPyPIへも波及25:52 .pthファイルを悪用したPythonインタプリタ起動時の自動実行31:09 防御側の対抗策：デコイトークンを用いたアンチサンドボックス回避34:00 OSS開発者向けイベントの告知36:00 RubyGemsにおけるクールダウン期間の話36:11 cicd-sensorの紹介38:05 エンディング📂 参照・紹介した記事/サイト・IronWorm: Shai-Hulud's rustier cousin (JFrog Security Research)https://research.jfrog.com/post/iron-worm-shai-hulud-rustier-cousin/・Miasma npm Supply Chain Attack: Self-Spreading Worm via Phantom Gyp (StepSecurity)https://www.stepsecurity.io/blog/binding-gyp-npm-supply-chain-attack-spreads-like-worm・Shai-Hulud Descends to Hades: Miasma Worm Campaign Spreads with New PyPI Wave (Socket)https://socket.dev/blog/shai-hulud-descends-to-hades-miasma-pypi-wave・OSS開発者は今何をするべきか？ソフトウェアサプライチェーン侵害対策を考える (connpass)https://flatt.connpass.com/event/395359/・Cool down before you install: give new gems a few days to be vetted (RubyGems)https://blog.rubygems.org/2026/06/03/cooldown-let-new-gems-be-vetted.html・cicd-sensor/cicd-sensor (GitHub)https://github.com/cicd-sensor/cicd-sensor🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/@flattsecurity X: https://x.com/flatt_security#ultrathinking #セキュリティ #サプライチェーン攻撃 #eBPF #npm #PyPI #Rust

  8. Jun 4

    Claude Mythosは本当に特別なのか？Project Glasswingの進捗と他モデルとの比較を深堀る会

    今回は、最近大きな話題となったAnthropic社の「Claude Mythos」と「Project Glasswing」をテーマにワイワイ話します。ベンチマーク「ExploitBench」から読み解くAIの自律的な攻撃能力の脅威や、大量の脆弱性報告に直面するOSSメンテナーの限界、そしてそれらによる構造変化について深掘りしました。🗂️ 今回のトピック00:00 オープニング00:46 「Glasswing」とは何か？01:17 Claude Mythos Previewとセキュリティ能力の評価08:21 「ExploitBench」を考察：AIはどこまで自律的に攻撃できるか11:53 ベンチマークの採点基準と評価の難しさ14:46 Project Glasswingの現状：大量の脆弱性報告とOSSメンテナーの限界20:51 バグバウンティ市場の終焉？AIがもたらすゼロデイ市場への影響25:53 AIセキュリティの未来と防御側の課題39:53 エンディング📚 参照・紹介した記事/サイト・Assessing Claude Mythos Preview’s cybersecurity capabilities (Anthropic)https://red.anthropic.com/2026/mythos-preview/・ExploitBenchhttps://exploitbench.ai/・Anthropic’s coordinated vulnerability disclosure dashboardhttps://red.anthropic.com/2026/cvd/・Project Glasswing: The 10 Consequences Nobody’s Writing About Yet (Forrester)https://www.forrester.com/blogs/project-glasswing-the-10-consequences-nobodys-writing-about-yet/🤔 Ultra Thinking とは「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最新トピックや、Takumiのサービス開発についてワイワイ話すビデオポッドキャストです。🎧 YouTubeでも配信中: https://www.youtube.com/watch?v=mRbwXi4UWs0 X: https://x.com/flatt_securityハッシュタグ： #ultrathinking#セキュリティ #AI #Claude #Mythos #Glasswing #プログラミング

See All (24)

About

「エンジニアの背中を預かる」GMO Flatt Securityのエンジニアが、プロダクトセキュリティに関する最近話題のトピックや、Takumiのサービス開発について考えていることを話す、エンジニアトーク番組です。

Information