tag

セキュリティ

同じトピックのミニクラスをまとめて読み、最新記事から文脈を補えます。

11

lessons

タグ導読

セキュリティ

このタグは同じ細かな主題のミニクラスを集めています。まず最新の記事を読み、カテゴリーと関連リンクで文脈を補えます。

暖色の修理工房で、技術者が開いた機械を点検している。作業台に並ぶ三つの浅いトレーには、探針、保護バイザー、手工具が収められている。
セキュリティ

脆弱性の優先順位は点数だけで決めず、まず実行経路と外部からの入力を調べる

スキャンの点数が測っているのは脆弱性そのものの深刻さで、自分のシステムでの緊急度ではない。順位を決めるときは、外ですでに悪用されているか、自分のサービスがそのコードを実行するか、外部からの入力がそこに届くかを順に問う。AI は警告ごとに証拠をまとめられるが、警告を閉じるのは人が決める。

約7分で読めます ·
温かな手描き風イラスト。財務担当者が資料室の入口で赤い境界を越えようとする AI アシスタントを制止し、壁には人間用と機械用の識別札が別々に掛かり、右側の引き出しは施錠されたままである。
セキュリティ

ERP の AI agent には自分の ID が要る。そうすればログで人がやったか AI がやったかを見分けられる

AI agent が社員のアカウントのまま ERP の請求書や支払いの例外を扱うと、ログには社員の名前しか残らず、あとで誰が直したのかわからず、AI だけを止めることもできない。agent に自分の ID を持たせ、すべての操作を既定で拒否し、金額の基準を超えたら人に渡すようにして、初めて責任をたどれる。

約6分で読めます ·
AI ワークフローの地図をチームが点検し、空白の鍵カード、ログブック、安全な箱がそばにある温かい手描き風の机上イラスト。文字なし。
セキュリティ

AI ワークフローツールに問題が起きたら、まず流れの中にどの鍵があるかを調べる

AI ワークフローツールが露出したとき、危ないのはツールそのものだけではない。それぞれの流れに保存され、呼び出せる認証情報だ。まず入口を閉じ、ログを保全し、「どの流れがどの鍵を持っていたか」で入れ替えの順番を決め、再発行のときに権限も絞る。

約7分で読めます ·
検査トレイに置かれた AI agent skill の小箱と、サンドボックス、ネットワーク、鍵権限のアイコンを描いた温かい手描き風の机上イラスト。文字なし。
セキュリティ

AI agent の拡張機能はスキャンを通っても入れてはいけない。危険は動き出した後に現れる

悪意ある AI agent の拡張機能は、危険な部分を隠しておき実行時に元に戻すことで、導入前スキャンの 9 割以上をすり抜けられるという研究がある。だから導入前には、本物のデータもネットワークも書き込み権限もない環境で一度動かし、実際に何に触れたかを確かめる。

約7分で読めます ·
チームが温かい机を囲み、空白の色カードでクラウドモデル、責任境界、戻し先を話し合う手描き水彩イラスト。
セキュリティ

Microsoft Foundry で Claude を有効にしても、データの処理者は Anthropic のまま

Claude はマイクロソフトの Foundry で有効にでき、管理画面も見慣れたものだ。だがマイクロソフトの公式文書によれば、プロンプトと回答を処理するのは Anthropic のままで、印が付いた内容は人の審査に回ることがあり、一部の配置ではデータが指定した地域にとどまる保証もない。本物のデータをつなぐ前に、文書に沿って三つに答える。誰が処理するか、どこで処理するか、例外のとき誰が見られるか。

約6分で読めます ·
玄関のドアチェーンを掛けたまま、女性が封蝋付きの荷物を虫眼鏡で確認し、脇の台に閉じたノートパソコンが置かれている暖かな手描きイラスト。
セキュリティ

Mac にパスワードを求められたら、見た目では本物か偽物か見分けられない。直前に何をしたかで考える

クリップボードのツールになりすます Mac のマルウェア PamStealer は、「Maccy が変更を加えようとしています。許可するにはパスワードを入力してください」という画面を出し、間違えると正しいパスワードを得るまで何度も求める。見た目では見分けられない。判断の手がかりは状況だ。直前にパスワードの要ることをしたか、この App はどこから来たか。説明できないなら、まずキャンセルを押す。

約6分で読めます ·
チームと AI アシスタントが脆弱性カードを分類し、最終的に人がリリース確認を行って安全に展開する手描きイラスト。
AIツールと活用

AI は脆弱性の修正を書ける。本番に出せるかは、問題が起きたとき戻せるかで決まる

AI のセキュリティツールは、脆弱性を自動で見つけ、修正を作り、テストまで回せるようになった。速くなった後に問うべきは、直せるかではなく、どの修正を人の承認なしに出してよいかだ。決め手は問題が起きたとき戻せるかどうか。戻せてテスト済みの小さな更新は速く通してよいが、ログイン、決済、顧客データ、デプロイに触れる修正は必ず人が承認する。

約7分で読めます ·
手描き風のオフィス風景。チームメンバーが机でデータ境界を確認し、横にいるAIアシスタントは透明なガードレールと外部接続によって分離されている。
AIツールと活用

AI 検索がメールボックスを読めるとき、人に見えるものを AI が扱ってよいとは限らない

セキュリティの研究者が、マイクロソフトのドメインへのリンクを一回押すだけで、Microsoft 365 Copilot がメールボックスの認証コードを画像の URL に入れて外に送りうることを示した。仕事用の AI は利用者の読み取り権限をすべて引き継ぐ。導入する前に、人には見えても AI の検索範囲に入れるべきでないものを決めておく。

約5分で読めます ·
三つの書類トレー、保護された AI 文書、鍵のかかった外部ツール入口で、ChatGPT Lockdown Mode の前に敏感データを分類する様子を示す編集イラスト
AIツールと活用

ChatGPT の Lockdown Mode はデータの出口を閉じる。それでも AI はだまされうる

データの流出には、たいてい三つの条件がそろう必要がある。AI が機密を見られること、信頼できない内容を読むこと、外に何かを送る手段があることだ。ChatGPT の Lockdown Mode が取り除くのは三つめで、ウェブページやファイルに隠された指示は、それでも回答を狂わせうる。機密を扱う前に、その対話で三つがそろっていないかを確かめる。

約7分で読めます ·