Pete が、AI が開発者と暗号資産ユーザーのサイバーセキュリティをどう変えているかを解説

Pete Bui は、直近の Learn Cardano の動画で、人工知能がサイバーセキュリティをどう変えているかを探り、ソフトウェアの脆弱性の発見、エクスプロイトの開発、セキュリティチームの対応支援におけるその役割を説明した。

このウェブ開発者は、PHP、Node.js、Fortinet の製品、デジタル証明書、AI ツールに影響する問題を取り上げた。また、AI エージェントを使ってコードをレビューし、セキュリティ更新を監視する方法についても説明した。

ウェブと業務インフラ全体にわたる脆弱性

Pete は、影響を受けるサーバーでリモートコード実行を可能にする二つの PHP の脆弱性に付けられた名称である PHP2Shell から話を始めた。いずれも最大 10 のうち 9.2 の深刻度スコアを付与されたと指摘した。

PHP は、WordPress で構築されたサイトを含む多くのウェブサイトを支えている。Pete は WordPress 開発者として働いており、動画では他にも二つのコンテンツ管理システムである Drupal と Joomla で以前働いていたことにも触れた。

一部の組織が、自社のシステムを評価してパッチを適用する間、ウェブサイトを一時的にオフラインにした経緯を説明した。公開発表前に Amazon が観測した悪用の試みや、その後に Cloudflare が検知した攻撃の試みにも言及した。

議論は、暗号資産関連のウェブサイトや WordPress の決済プラグインにも及んだ。これらのサービスを支えるソフトウェアに脆弱性があると、攻撃者に乗っ取られる機会を生むと Pete は指摘した。

また、データサイズを削減するために用いられる圧縮技術である Brotli に関係する Node.js の脆弱性も取り上げた。この問題は OpenAI’s Codex Security チームによって報告され、悪意をもって細工された圧縮データを処理するアプリケーションに影響し得る。

Pete のレビューには、組織がネットワークを保護し従業員にリモートアクセスを提供するために用いる Fortinet の製品も含まれていた。攻撃者が認証情報を取得し、企業環境内のデバイスにアクセスしたという報告にも触れた。

AI ツール、デジタル証明書、アクセスキー

Pete は、eMudhra の中間認証局の一群に関連する弱い暗号鍵を巡るインシデントを説明した。これらの認証局は、アプリケーションが安全な接続を確立する際にサーバーを検証するために用いる証明書システムの一部を成している。

研究者がその弱い鍵の一つを短時間で復元したこと、そして影響を受けた証明書への対応についても述べた。

別の例は、アプリケーションを AI モデルに接続するツールである LiteLLM に関するものだった。Pete は、クラウドへのアクセス情報や AI サービスの API キーなどの認証情報を狙う悪意あるコードが仕込まれていたインシデントを説明した。

API キーを入手した攻撃者は、その所有者に課金される形でサービスを利用できてしまう可能性がある。さらに Pete は、盗まれたアクセスが、その後の脆弱性探索の試みを支援するために使われる可能性も指摘した。

公表からパッチ適用までの時間は、彼の議論で繰り返し取り上げられた懸念事項だった。AI ツールは欠陥の特定やそれを悪用する手法の開発に役立つ一方で、防御側も同じ技術を用いてコードを調査し修正を準備できると説明した。

Pete は、研究者が PHP の脆弱性を悪用する誘因としてサーバー上に Bitcoin を置いた公開テストに言及した。必要な PHP ファイルが当初は欠けており、後から追加されたことも説明した。Pete の説明によれば、研究者が挑戦を告知してから 19 時間後に資金が引き出されたという。

[NEWSBREAK]

AI エージェントと暗号資産ユーザーのための注意事項

攻撃事例の紹介に加え、Pete は、スクリプトと AI エージェントを用いてコードをレビューし、脆弱性の発表を監視し、ソフトウェア依存関係の更新適用を支援する方法を説明した。

彼は毎朝、夜間に何がパッチ適用されたかを示すレポートを受け取る。変更点を確認した後、自身が保守するプラグインのユーザーに更新内容を伝えることができる。

ウェブサイト運営者に対しては、ソフトウェアのバージョンを確認し、ホスティング事業者に PHP の実行環境が更新されているかどうかを尋ねることを勧めた。開発者には、Node.js、Ruby など自分たちの環境で使っているツールのセキュリティリリースを追うよう促した。

暗号資産ユーザーへの助言は、フィッシングとウェブサイトの確認に焦点を当てていた。頻繁に利用するサービスには保存したブックマークからアクセスし、サインイン前にウェブサイトのアドレスを確認することを勧めた。

また Pete は、架空の問題の解決や至急の更新のインストールを迫るメールにも注意を促した。そのようなメッセージは、パスワードやその他の認証情報を収集する目的で作られた不正なウェブサイトへと誘導することがある。

暗号資産を送金する前には、送付先アドレスをもう一度確認することも勧めた。