YubiKey買って、OpenAI Daybreak Blueゲットして、vibe脆弱性診断してみた。

YubiKey買って、OpenAI Daybreak Blueゲットして、vibe脆弱性診断してみた。 買ったった!の図 はじめに 自分が作るプログラムから情報が漏れて、会社が吹き飛んだ夢で目覚めることはありますか。 私は年に3回くらいです。 これまでに、OWASP系のツールで診断したり、認証・認可を設計したり、別のお客さんの情報が混ざらないように考えたりしてきました。専門家の脆弱性診断を受けて、指摘された箇所を直した経験もあります。 それでも、自分で作ったシステムにどんな穴が残っているのかは気になります。 最近、情報漏えいのニュースを見かけるたびに、「LLMと脆弱性を探すツールの組み合わせが、攻撃のハードルを下げているのでは」という話も目に入るようになりました。類似手法を知るためにも自分で試そうど考えました。 Keygraphの「Shannon」というツールを試してみることにしました。

[mkusaka]

YubiKeyとDaybreak Blueを準備し、ShannonでローカルWebアプリを診断。13件の候補から、権限不備と入力ログ漏えいの2件を再現した体験記です。