自分のコードをAIに攻撃させたら"守り"が全部ザルだった

「セキュリティ、ちゃんとやってる？」 この質問、正直めちゃくちゃ怖い。 SQLインジェクション対策？ やってる。XSS対策？ エスケープしてる。CSRF？ トークン入れてる。 ——でも、「ちゃんと」って何だ？ OWASPのチェックリストを上から順に潰して、ESLintのセキュリティプラグインを入れて、dependabotのアラートを処理して。やることはやっている。はずだった。 自分のコードに自律型AIハッカーをけしかけるまでは。 はじめに セキュリティは「そこそこ意識している」つもりだった。 でも今は、コードを書くときの思考回路がまるっきり変わった。守る側の視点だけでコードを書いていた頃には、絶対に気づけなかったことがある。 きっかけは、GitHub Trendingで爆発的に伸びていた「shannon」という自律型AIハッキングツールだった。1日で+3,000スター以上。AIエージェント

[beejaga]

このレベルだとAI関係なく、単に認証と認可の違いとかセキュリティの基本を分かってなかっただけの素人でした、としか読めないので、最新の攻撃に耐えられなかったとかエモな感じが欲しい

[hogeaegxa]

AIエージェントに自分のサービス攻撃させよう！っていう結論自体は、これからはむしろ公開前の最低ラインになると思うのでいいと思う／shannonのリンク先404だけどKeygraphHQな奴に移動したのかね

[ockeghem]

IDORは攻撃手法っぽい名前なので、OWASP API Top 10ばりにBroken Object Level Authorization(BOLA)と言いたいところですが、これがTop 1なのは、プロでもやりがだからですよ!

[enikumax]

これはとても良い反省。偉い。

[nguyen-oi]

IDORはマジで「分かっちゃいるけど忘れる」の典型。人間が飽きる全件チェックをAIが黙々とやってくれるのは普通に有用だな

[himanahitodesukun]

セキリュリティはそこそこ意識してると言いつつ、データの所有権が適当とのお笑いコンテンツが出てきて話が入ってこない

[harumomo2006]

抜け道を指摘されてそのときに提案されたプランにこっちが穴を見つけて指摘するとドヤ顔で「いい質問です」とか言われると腹が立つ

[noonworks]

本筋と外れるけど、PostgreSQLのRow Level Securityがあるとこの手のミスがDBレベルで防げるから好き。

[Soraneko]

しょ、初歩すぎる、、

[chintaro3]

良い使い方だと思う

[misshiki]

AIハッカー「shannon」に自作アプリを攻撃させたところ、標準的なセキュリティ対策でも認証やアクセス制御の問題が多数露呈。守る視点だけでは見えない脆弱性に気づかされる衝撃の実験。

[circled]

これ、昔のPHPとかRailsでバックエンドやってた人達からすると、フロントエンドの奴らは素人も大概か？みたいな気分になる事例だから参考にならない気がする

[door-s-dev]

自分で作った穴には気づきづらいので第3者（AI）によるチェックが有効

[umakoya]

他ユーザーのデータを見れるかというのは基本のような。URLのパラメータ変えてみたり。古くはmixiで他ユーザーの画像が見放題だったり。

[urtz]

小規模サイト中心に自律的にハック、ランサムを繰り返すAIとかも出てくるやろな。サイト運営者は人ごとではない

[uzusayuu]

素人から見るとこの程度やっておけよとおもうけど、それこそ素人意見なのだろうな。実際には無数にある中の見落としなわけだし。

[a96neko]

見てる

[rryu]

アプリケーションの要件として自分で実装しなければならないものの初手が権限チェックで、ノーチェックでも普通に動作するので意図してテストしないと漏れがちである。

[masatotoro]

試してみるか

[naggg]

“第三の道——「攻撃をAIに委ねる」という発想”

[puruhime]

きをつけよう

[kekera]

自分の知識が浅いとことをAIに補強してもらったという話だよね。使い方としてはとても良いと思う

[vegnpomn]

実際の所手あたり次第にこのAIエージェントを向けるだけで相当数のWebサービスは落ちるだろう。逮捕はされるだろうが、元々無敵だったらお手軽にスーパーハッカーとして称えられてセキュリティ職を貰えるかもよ？

[taruhachi]

自分の所有するデータにアクセスするという要件から考えて実装したら最初に自動的に潰れる脆弱性だと思うんだけど、逆にそんな脆弱性作り込んでしまうのは脆弱性対策がフレームワークの仕事になってるから？

[hatebu_admin]

そうはならんやろ（なっとるやろがい）

[dalmacija]

こういう記事にマウントしても仕方がない。

[jintrick]

「自分のコードを攻撃するAIエージェントを、開発プロセスに組み込む」

[dorapon2000]

“これ、SQLインジェクションでもXSSでもない。OWASPのチェックリストで真っ先に出てくる「Broken Access Control」なのに、僕は完全に見落としていた。”

[mr_mayama]

この基本的な技術力の無さを見抜ける人事・外注選定が必要なんだけど難しいんだろうなぁ。中身は他の人が言ってるのでもう言わないけど、これをネットの海に公開して人的危険を周知してくれたことには感謝

[suka6411144]

このレベルの知識の人が実務に携わってると流石に思いたくないけど個人開発とかだよね…？

[natu3kan]

北朝鮮もソーシャルエンジニアリングにAIを活用してるご時世

[dgen]

セキュリティー詳しくない私でも、最初の「ログインしたら誰にでもちょっかい出せる」のところで察した。

[TakayukiN627]

「shannon」という自律型AIハッキングツール、Snyk入れろ、SonarQube入れろ

[sakidatsumono]

試したい

[Angelfish3578]

OWASPのチェックリストを上から順に潰したと言ってるけど、知識だけで実践が身についてない（もしくは元々無い）の良い例。こういうのをshannonみたいな自動AIで潰せるのは良いと思う。