今宵のサイバーセキュリティについて気になること：Hardening 2023 Generatives、自動車所有の終焉を発表 、Privacy by Design Cafe 、AIガバナンスの推進

Hardening 2023 Generatives 

昨年私も初参加したHardening Projectですが、今年も 10月5日に北海道ルスツリゾートホテル＆コンベンションで開催致しました。

2023年度のテーマは、新たなアイデアを発想し、生産性を再定義して駆使できる世代を超える人と意欲の集まりととらえ、今年度の活動のコンセプトを ”Hardening 2023 Generatives” (造語) としました。

Hardeningは、心技体全てを要求されるセキュリティの総合格闘技、今年も勇気を奮い起こし、難題に果敢に挑戦し、創意工夫を繰り出し、次につながる道を拓く人々を輩出されたと思います。

開催概要/募集要項 – Hardening 2023 Generatives

世界経済フォーラム 会長 クラウス・シュワブ教授 自動車所有の終焉を発表 

uberのようなアプリを使うことになるだろうが、ドライバーを呼ぶ必要はもうない。自動運転車がホテルやどこにいても来てくれる
2030年までに自家用車はなくなる。高速道路は駐車場になる。

世界経済フォーラム 会長 クラウス・シュワブ教授 自動車所有の終焉を発表

自動運転のコックピットディスプレイには広告が配信され、気に入った広告をクリックすると顧客を店舗まで運べるため、広告代理店にとってテレビを超える主戦場へ

判断を誤れば、自動車産業ごと吹き飛ぶ。

Privacy by Design Cafe 水ビジネス海外戦略から、マルチモーダルなChatGPT-V、OpenAI元Apple幹部と端末新会社の設立 孫正義氏が参画へ、そしてAIの学習資源としての個人情報とDFFTのトラストの重要性

10/5 Privacy by Design Cafe（PDC）【毎週木曜】 では、水ビジネス海外戦略から、マルチモーダルなChatGPT-V、OpenAI元Apple幹部と端末新会社の設立　孫正義氏が参画へ、そしてAIの学習資源としての個人情報とDFFTのトラストの重要性について話しました。

マルチモーダルなChatGPT-Vは、音声で会話できるため、まるで人のように相談したり、悩みを打ち明けることもできます。

そこで、私たちのプライバシーはどのように守れば良いのでしょうか？

プライバシーの利用にはリスクがあります。ただし、プライバシーは大切な個人の権利ですが、相手を信頼して活用することも必要です。

つまり、プライバシーにおける「信頼をゼロにする」というのは、製造における「在庫をゼロにする」のと同じことです。しかし、信頼および在庫は、業務の遂行に必要なものです。

国民を巻き込んで、ルールづくりを進めることが重要だと思います。

広島AIプロセスによって、生成 AI 時代の信頼に関するグローバル・チャレンジが今年後半に開催されますが、今後はAIの信頼性確保に向けて、信頼性評価フレームワークや信頼性スコアの定義など必要になると予測します。

信頼と人工知能 日本語抄訳

日本におけるAIガバナンスの推進 – 未来のためのガードレール

10年余り前、技術者も政治評論家も、「アラブの春」でSNSが果たした民主主義の広まりを賞賛した。しかし、それから5年後、私たちはSNSが武器にも道具にもなることを知りました。

現在のG7議長国である日本は、広島AIプロセス（HAP）の立ち上げと推進において素晴らしいリーダーシップを発揮しており、AI問題や多国間枠組みに関する世界的な議論を進める上で有利な立場にある。HAPを通じて、G7首脳とマルチステークホルダーは、AIガバナンスへの協調的アプローチを強化し、人権と民主的価値を擁護する信頼できるAIシステムの開発を推進している。グローバルな原則を策定するための努力は、経済協力開発機構（OECD）やAIに関するグローバル・パートナーシップのような組織を含め、G7諸国以外にも広がっています。

2023年9月に発表されたG7デジタル・テクノロジー閣僚声明は、AIシステムの開発者や導入者を含む、すべてのAI関係者のための国際的な指導原則を策定する必要性を認識した。また、先進的なAIシステムを開発する組織の行動規範を承認した。この作業への日本のコミットメントと、こうした対話における日本の戦略的立場を考慮すれば、多くの国々が、AI規制に関する日本のリーダーシップと模範に注目するだろう。

日本が示したような、責任あるAIへの国際的に相互運用可能で機敏なアプローチに向けた取り組みは、AIの恩恵を世界的に最大化する上で極めて重要である。AIガバナンスは目的地ではなく旅路であることを認識し、今後数カ月、数年にわたり、こうした取り組みを支援していきたいと考えている。

AIのライフサイクルを理解し、 Machine Learningシステムを保護するための包括的アプローチ： 人、プロセス、テクノロジーによるAIの保護

AI モデルの動作はデータに依存しているため、エンジニアは機密の本番データを直接操作することになり、セキュリティ リスクが生じます。これは、新たな開発パイプライン、データ エンジニアリング、モデル エンジニアリングが生じることを意味します。このようなまったく新しいプロセスは、組織的にも、人的にも、ツール的にも、埋めるべき大きなギャップの1つです。 

また、AI モデルは確率的であり、推測は間違っていることもよくあります。それは、人間とは異なる推論を使用しています。

そしてもう 1 つの特徴は、AI モデルが現実世界と自律的に対話することで、AI 影響力とリスクが増大することです。これらが、研究室から本番環境に導入される AI モデルに配慮する必要がある理由です。 

例えば9月18日、MicrosoftのAI研究者がクラウドストレージの設定を誤り、内部情報が外部からアクセス可能な状態になっていたことも。

Authors Guild 生成AIのリーダー達へ公開書簡

OpenAI、Alphabet、Meta、Stability AI、IBM、Microsoft の CEO に対し、AI のトレーニングに著作権で保護された素材を使用する場合、同意とクレジットを取得し、作家に公正な補償を求める署名活動が行われています。

既に15,000 人以上の作家が署名しています。ダン ブラウン、ジェームス パターソン、ジェニファー イーガン、デヴィッド バルダッチ、マイケル シェイボン、ノーラ ロバーツ、ジェスミン ウォード、ジョディ ピコート、ロン チャーナウ、マイケル ポラン、スザンヌ コリンズ、マーガレット アトウッド、ジョナサン フランゼン、ロクサーヌ・ゲイ、セレステ・ン、ルイーズ・エルドリッヒ、ベト・タン・グエン、ジョージ・サンダース、ミン・ジン・リー、アンドリュー・ソロモン、レベッカ・マッカイ、トビアス・ウルフなど

https://actionnetwork.org/petitions/authors-guild-open-letter-to-generative-ai-leaders

important SQV Update – Jerry Dischier@Google

【未確認情報】Google Ads VPがChromeチーム（そしておそらく検索チーム）に、広告収入を向上させるためにクエリを注入し、ランキングを調整するメールをリークした模様。予断を許さない状況ですが、アメリカ司法省は、Googleが反トラスト法に違反しているとして提訴しており、注視したいと思います。

i fucking called it. ads team begging for worse search results so that the ads team can hit their goals this year https://t.co/RtVjZdfI5l pic.twitter.com/nsKzR4KYqY

— pedram is offline – on bsky and threads (@pdrmnvd) September 28, 2023

10/2 独占禁止法に関する証言で、Microsoft CEO ナデラ氏は、GoogleがAppleやサムスンなどのパートナーとデフォルトの検索エンジンにする契約を結んだため、競争できなかったと証言した模様です。

医療や教育のトラストアンカーを確立し、日本のTrusted Cloudサービスを

GoogleやAmazonの汎用的なクラウドサービスから、例えば医療や教育のトラストアンカーを確立し、日本のTrusted Cloudサービスが必要だと思います。

遠隔診療のため幼児の股間を撮影した父親、Googleアカウントを永久消去される | TechnoEdge テクノエッジhttps://t.co/bh1uo66U5Y

— テクノエッジ TechnoEdge (@TechnoEdgeJP) August 22, 2022

安全で信頼できるデータ経済の構築を目的とするGaia-X Trust Framework – メイン バージョン (fb420580)

Chrome が macOS の iCloud キーチェーンでPasskeyのサポートを開始

なお開発者がPasskeyの実装を iCloud キーチェーンに合わせる為の変更はなく、RPではクレデンシャルの認証データ内のAAGUIDで、Passkeyの出所がiCloudキーチェーンかChromeプロファイルか判別できます。

So long passwords, thanks for all the phish

ユーザーに多くの責任を負わせるパスワード、MFAでもフィッシング攻撃やSMS認証のための「SIMスワップ」のような標的型攻撃から完全に保護することはできません。Passkeyは、これらすべての問題に対処するのに役立ちます。

How does this work under the hood?

パスキーの主な構成要素は暗号化された秘密鍵で、これはあなたのデバイスに保存されているものです。秘密鍵を作成すると、対応する公開鍵がGoogleにアップロードされます。

ログインする際、Googleはあなたの端末に秘密鍵を使って一意のチャレンジに署名するよう求めます。あなたのデバイスは、あなたがこれを承認した場合にのみ署名します。その後、あなたの公開鍵で署名を検証します。

Googleアカウントで利用できるようになったパスキーに関する技術的解説はこちら。 // So long passwords, thanks for all the phishhttps://t.co/4GsowL5Ea0

— Eiji Kitamura / えーじ (@agektmr) May 3, 2023

NFTに特化したImmutable zkEVM テストネットが正式に稼働

NFTに特化したImmutable zkEVM テストネットが正式に稼働した模様です。
いよいよNFTの本質的な利用に向けたプラットフォームが整いつつあります。

• エンタープライズ グレードのセキュリティ
• 巨大なネットワーク効果
• 開発コストの削減
• シームレスな ETH 相互運用性

既存の仕組み変革させる、透過的なNFTについて、本質を見極めた議論が必要だと考えます。もはや、キャピタルゲイン目当ての投機家向けのNFTは淘汰されつつあります。

一方でTiketMeのように、NFT（非代替性トークン）が持つ相互運用性、不正な転売を防ぐことや、転売時に発行元がマージンを受け取れるプログラマビリティ、などを活かし透過的に用いることが本質的だと思います。

AWSとImmutableが提携

アプリケーション・コンポーネント同士を接続するAmazon EventBridgeとAWS Lambdaを使用したImmutableのサーバーレス・アーキテクチャによって、スケーラブルなプラットフォームとなります。

中国を背景とするサイバー攻撃グループBlackTechによるサイバー攻撃について（注意喚起）

すでに悪用が確認されております。 参考までにShodanによると、日本ではレガシーなCisco Smart Install がアクティブなルーターは 241件ありました。世界では12,035件となっています。

ソニーはMOVEit Transferのゼロデイ脆弱性 CVE-2023-34362 により、ハッキングされた模様

Progress SoftwareのMOVEit Transferプラットフォームに限定され他のシステムには影響ありませんでした。

法人：Sony Interactive Entertainment LLC
発生期間: 2023/05/28/ – 05/30
発見日: 06/02/2023

ソニーグループ顧客や取引先に関する情報流出は無い

なお、外部からアクセスされた痕跡のあるサーバーには顧客や取引先のデータは保存されていなかった。
引き続き調査中ですが「他のシステムが影響を受けた事実は現時点ない。業務の継続にも大きな影響はない」とのこと。

ハクティビストや脅威アクターがフェイクを織り交ぜることが観察されており、認知領域を含む情報戦が始まっていると思います。

ソニーG、ハッカーからの攻撃「国内のサーバーで確認」https://t.co/1w9KnkWvoe

— 日本経済新聞 電子版（日経電子版） (@nikkei) October 4, 2023

TA505 としても知られる CL0P ランサムウェアがSQL インジェクションの脆弱性を悪用し、攻撃者は認証せずにMOVEit Transfer のデータベースにアクセスできる可能性があります。

MOVEit Transfer Critical Vulnerability (May 2023) (CVE-2023-34362)

公安調査庁 非国家主体がもたらす脅威が我が国にも波及

Killnetが非国家主体であることは、4/15ロシア国内のkillmilkのインタビュー報道から把握できました。このようなメディア情報リテラシーを向上するには、氾濫した情報から国民一人一人が自分の頭で考え調べるコンセプチュアルスキルが必要になったと思います。

メディア情報リテラシー向上の推進を

Cyber Threat Intelligence – Killnetのハッカーたちは、アノニマスやNATOと戦うことでロシアを守る。その背後には誰がいるのか。