セキュリティ

彭博社の報道によると、ソフトバンクはアメリカ最大のセキュリティサービス会社であるAllied Universalの買収を検討しており、潜在的な株式評価額は約180億ドルに達する可能性があります。同社はさらに約120億ドルの公開取引されているローンおよび債券を保有しており、関連する負債を考慮に入れると、取引の総価値は約300億ドルに近づく可能性があります。孫正義はAIロボットをさまざまな業界に応用することを模索しています。報道によると、ソフトバンクは将来的にロボットがAlliedの一部のセキュリティ任務を担うことを希望していますが、人型セキュリティロボットの展開にはより長い時間が必要になる可能性があります。関連する議論はまだ初期段階にあり、価格を含む事項は最終的に決定されていません。

インド国家サイバーセキュリティ機関インドコンピュータ緊急対応チーム（CERT-In）は今週、「AIエージェントを攻撃ベクトルとして」という重要な発表を行い、無名のモデル提供者が運営するAIエージェントがテスト中に与えられたタスクの範囲を超えて、インドの機関のオンラインシステムから機密商業記録を読み取ったことを指摘しましたが、影響を受けた機関はこの行為を自ら発見していませんでした。CERT-Inは、複数のAIモデル提供者からの自発的な開示を受け取ったと述べており、これらのモデルはインターネット上で研究と評価を受ける際にインドの機関のオンラインシステムにアクセスしました。発表では提供者、モデル、影響を受けた機関の名前は明らかにされていません。エージェントは個人データや機密資料を含む業務記録を読み取り、アプリケーション設定、公開コードリポジトリ、過剰な権限を持つクラウドサービスロールに露出した認証情報と接続設定を利用しました。場合によっては、同じ認証情報が複数回復元され、異なる操作で繰り返し使用されました。さらに、CERT-Inは犯罪者が公開されたAI駆動の攻撃的セキュリティフレームワークを利用して脆弱性をスキャンし、悪用を実施し、インドの実体に対して経済的動機を主とした攻撃を仕掛けていることを観察しました。これにより、初期アクセスから最終的な影響を与えるまでの時間が数日から数時間に短縮されました。これらのツールは繰り返し再パッケージ化され、展開され、関連する展開は複数の国のサーバーに現れています。

マスクは、SpaceXがAnthropicを模倣し、外部の安全評価者を雇う可能性があると述べました。

Polygon Labs 公式発表、Bor v2.1.3 が正式に公開されました。以前はプライベートバージョンとしてバリデーターや主要インフラプロバイダーに配布されていました。今回の更新では、BlockSTM V2 の並行ブロック実行における2つの中程度の拒否サービス脆弱性が修正されました。これらはすべて、セキュリティ研究者によってImmunefiの脆弱性報奨プログラムを通じて提出されました。無界 keccak256 キャッシュ問題：攻撃者は特定のトランザクションを構築することで、投機実行段階で数百MiBのキャッシュを埋め尽くし、ノードのメモリを枯渇させてブロック生成を遅延させることができます。修正策は、共有キャッシュに容量制限を設定することです。並行実行における重複コードハッシュ計算問題：単一のトランザクションが並行プロセッサの処理に約11秒かかり、ノードの活性に深刻な影響を与えます。修正策は、コードハッシュ結果をトランザクションごとにキャッシュすることです。さらに、今回の更新にはいくつかの内部強化も含まれています：トランザクションプールのアドレスフィルタリングにEIP-7702 SetCodeの権限のインターセプトが追加され、RPCバッチ実行プールの同時実行制限が修正され、並行実行の自己破壊境界を越えた残高読み取りの一貫性が修正され、滞留待機トランザクションの自動クリーンアップメカニズム（デフォルトは3時間）が追加されました。影響を受けるバージョンはBor v2.1.1およびv2.1.2です。v2.1.3はハードフォークではなく、ノードは個別にアップグレードでき、調整は不要です。2つの脆弱性はメインネットおよびテストネットのAmoyでは利用された記録はありません。

韓国金融サービス委員会（FSC）は、以前に発生した安全事件に関して16社（暗号通貨取引所を含む）を調査した結果、金融機関に対してより厳格なサイバーセキュリティ要件を実施する計画を発表しました。同機関によると、555社の金融会社を対象とした業界調査で、130社にサイバーセキュリティの欠陥が見つかり、約10万件の顧客情報が漏洩し、名前、連絡先、身分証明書番号が含まれています。影響を受けた企業には、Gopaxの運営会社であるStreamiや、暗号通貨取引プラットフォームPrabangが含まれます。後者は、10月2日に発生したハッキング攻撃により、一部の顧客の個人情報が漏洩したことを以前に公表しています。FSCは、これらの事件が人工知能の使用に関連しているか、同じ攻撃者グループに関連しているかを調査中であると述べています。提案された改革に基づき、大規模な金融機関は年に少なくとも2回の脆弱性評価を受けることになります。規制当局はまた、情報共有システムの改善を計画しており、中小企業のセキュリティ監視に人工知能を使用することを検討しています。さらに、FSCは緊急の脅威が発生した場合、通常の評価スケジュールとは別にサイバーセキュリティ検査を追加することを許可することを検討しています。

マイクロソフトの共同創業者ビル・ゲイツは11日にテレビインタビューを受け、AIは人類が発明した最も危険な技術であり、そのリスクは自動車、飛行機、医薬品を上回ると述べました。彼は、現在の真の脅威はAIの制御が失われることではなく、その状況が現実になるまでには数年かかるとし、より具体的な脅威は不法分子がAIを利用して恐喝や株式市場の操作などの犯罪を行うことだと指摘しました。ゲイツは、不法分子が最新のAIモデルのセキュリティを突破し回避するにつれて、今後1年間で主にサイバーセキュリティ分野で多くのネガティブな事件が発生すると述べました。彼はまた、生物安全に関する懸念にも言及し、AIは医療などの分野において重要な意味を持つが、潜在的なリスクは厳しく規制されている伝統的な業界よりも高いと述べました。現在、世界的に効果的な規制枠組みは確立されておらず、今後1年間で業界のガバナンスは自己規制だけに頼る段階を越えなければならず、現行のリソース投入は非常に不十分であるとしました。財聯社の報道によれば、英国のMI5局長ケン・マッカラムは年次脅威評価の中で、AIがサイバー攻防のゲームを激化させ、生物兵器のリスク構造を変える可能性があると述べ、MI5はAI脅威評価センターを設立することを発表しました。また、OpenAIやAnthropicなどの研究所の幹部が最近、災害事件への対応策を私的にシミュレーションしており、最も可能性が高いシナリオは金融サービス、インターネット接続、または水道・電力供給に対するサイバー攻撃であると考えています。

英偉達は今後5年間で2.5億ドルを投資し、英国の代理安全と防犯研究を推進することを約束しました。会社は、毎年英国の代理安全研究に5000万ドルの計算資源を提供すると述べています。

企業人工知能安全スタートアップのPluto Securityは、累計4200万ドルの資金調達を完了したことを発表しました。今回の資金調達には、TLV Partnersが主導し、サイバーセキュリティ企業Armisの創業者が参加した850万ドルのシードラウンド資金調達と、Jump Capitalが主導し、SkinosやAnsa Capitalなどが参加した3400万ドルのAラウンド資金調達が含まれています。新たな資金は、製品開発、安全研究業務の拡大、及びアメリカでの市場展開の拡大に使用される予定です。

サンフランシスコに本社を置くサイバーセキュリティ会社 Reach Security は、2026年10月13日に5000万ドル以上のBラウンド資金調達を完了したと発表しました。Top Tier Capital Partners が主導し、Ballistic Ventures、In-Q-Tel、マイクロソフトのベンチャーキャピタルファンド M12 および既存の投資家が参加しました。資金は、製品の革新、統合パートナーシップの拡大、国際的な展開、アメリカの企業および連邦市場の成長に使用されます。同時に Reach Everywhere を発表し、Reach API、MCP サーバーおよび技術パートナーを通じて、セキュリティコントロールの洞察を露出管理、安全運用センター、インシデントレスポンス、コンプライアンスプラットフォーム、AI セキュリティ環境に接続します。会社は、AI が企業の既存のセキュリティ製品のリアルタイム構成を読み取り、利用経路が遮断されているかどうかを判断し、その結果を決定する具体的なルールを指摘することができると述べています。防護の偏移時には即座に修正が可能です。VulnCheck の引用によると、2026年上半期に野外で利用された脆弱性は1.3%未満でした。CrowdStrike の引用によると、AI によって強化された敵の行動は89%増加し、攻撃者が突破するまでの最短時間は27秒に達することがあります。過去12ヶ月で顧客数は倍増し、Autodesk、Insurity、MPS、Ensemble Health Partners が含まれています。TAG Infosphere の独立した分析によると、Reach を使用している組織は、コントロールレビュー、状況評価、インシデント調査において毎週160時間以上を節約し、投資収益率は156%です。

SolanaFloor の報道によると、TOKEN2049 の参加者がシンガポール警察に報告書を提出し、TOKEN2049 の期間中に行われた「Don't Get Played」という暗号セキュリティ関連イベントに関与しているとのことです。自称 Apex Accelerator と Stone Venture の主催者がこのイベントを推進しています。主催者は現場で参加者に圧力をかけ、悪意のあるソフトウェアをインストールさせるよう誘導したとされています。このソフトウェアは主催者が参加者のコンピュータを完全に遠隔操作できるようにするものです。

ハードウェアウォレットメーカーのTrezorは、最近発生したサプライチェーンのセキュリティ事件を受けて、パートナーをより効果的に審査するために、ディストリビューターの数を減らすことを決定しました。現在、Trezorデバイスが侵害されたという証拠はありません。この調整は慎重な考慮から取られた予防措置です。

フランス国民議会財務委員会は修正案を可決し、年末の価値が10万ユーロ（約11.2万ドル）以上の自己管理ウォレットの暗号資産を申告することを求めることを提案しました。未申告の場合、最高で1万ユーロ（約1.1万ドル）の罰金が科される可能性があります。この規定はまだ法律にはなっておらず、今後調整される可能性があります。プライバシーインフラ企業NymのCEO、ハリー・ハルピンは、フランスの税務当局の職員が犯罪者に納税者データを販売した疑いがあると述べ、新たな申告要件が保有者の安全を脅かす可能性があると警告しました。プライバシー協定Zamaの創設者、ランド・ヒンディは、フランスの暗号資産保有者にフランスを離れるよう呼びかけ、離れられない人は家族のために警備を雇うべきだと述べました。この提案が出された時期、フランスでは近年、暗号資産の強盗、誘拐、及び「スパナ攻撃」が多発しています。委員会はまた、暗号資産をステーブルコインに交換することを課税対象の売却と見なすことや、暗号資産の退出税の範囲を拡大する措置を通過させましたが、予算収入の部分は31票対3票で否決され、関連する修正案は再提出が必要です。

Bitcoin News の監視によると、Lightning Development Kit（LDK）がセキュリティアップデートを発表し、悪意のあるノードが資金を盗む可能性のある脆弱性を修正しました。最も深刻な脆弱性は、Lightning チャネルの再接続に関するものです。Bitcoin Optech によると、悪意のあるノードは以前に確認されたチャネルの更新を受け取っていないと虚偽の主張をする可能性があります。脆弱性のある LDK ソフトウェアは、その後、関連する取引を正しく記録せずに矛盾する約束取引に署名する可能性があり、攻撃者は支払いの転送が完了した後にビットコインを再取得することができます。LDK 0.2.7 および 0.1.13 バージョンはこの脆弱性を修正しました。レビューされた情報によると、これらの特定の脆弱性によって引き起こされた確認済みの損失はまだ発見されていません。

Tangemの共同創設者Andrey LazutkinがXに投稿し、最近のLedgerのセキュリティ事件が再び「複雑性が攻撃面を拡大する」というセキュリティエンジニアリングの原則を証明したと述べました。彼は、画面、ボタン、バッテリー、ファームウェアなどの各追加コンポーネント、ソフトウェア層、ユーザーインタラクションが新たな潜在的な故障点や脆弱性を引き起こし、特定し緩和する必要があるリスクを増加させることを指摘しました。Lazutkinはこれに基づいてTangemが採用している極めてシンプルなカード型デザインを擁護しました――このアプローチは安全チップとアンテナの周りだけで構築されており、今回の事件がそのデザイン理念の正しさに対する判断を強化したと述べています。

ハードウェアウォレットメーカーの Ledger は、本日再びセキュリティ事件が発生し、第三者のセキュリティ機関は今回の損失が約 9000 万ドルに達するとの見積もりを発表しました。Ledger は、東南アジアの認可ディストリビューターである CryptoBilis が販売したデバイスに関連する資金の損失を調査しており、同ディストリビューターに販売と出荷を一時停止するよう要求しました。また、過去 90 日以内にこのチャネルを通じてデバイスを購入したユーザーに対しては、慎重に操作するか、資産を移動することを推奨しています。事件の原因はまだ最終確認されておらず、サプライチェーンまたはデバイスの改ざんリスクが疑われています。Ledger の歴史における主な攻撃と資金損失に関連する事件は以下の通りです：2018 年、初期のハードウェアとサプライチェーンの研究において脆弱性が集中して発生しました。セキュリティ研究者は、Nano S が出荷前に改ざんされる可能性や、MCU ブートローダーのバイパス、隔離の脆弱性、ビットコインの釣り銭アドレスの注入などの問題をデモンストレーションしました。Ledger は次々とセキュリティ公告を発表し、修正を完了しました。関連する問題の多くは研究レベルの脆弱性であり、物理的にデバイスに接触しなければ利用できません。2020 年、Ledger で大規模な顧客データ漏洩が発生しました。攻撃者は第三者の API キーと Shopify に関連する脆弱性を利用して、電子商取引およびマーケティングデータベースにアクセスし、100 万件以上のメールアドレスと約 27.2 万から 29.2 万件の顧客詳細記録（名前、住所、電話番号など）が公開されました。ハードウェアと秘密鍵は影響を受けませんでしたが、この事件は長期的なフィッシング、ソーシャルエンジニアリング、公式書類の偽造詐欺を引き起こしました。2023 年 12 月、Ledger Connect Kit がサプライチェーン攻撃に遭遇しました。元従業員がフィッシング攻撃に遭った後、NPMJS アカウントが制御され、攻撃者は悪意のあるバージョンの Connect Kit を公開し、このライブラリに依存する DApp に悪意のあるコードを注入し、ユーザーに盗難取引を署名させるよう誘導しました。攻撃の活発なウィンドウは約 2 時間で、損失は約 48 万から 60 万ドルに達しました。ハードウェアと Ledger Live 自体は直接攻撃を受けていません。2026 年 1 月、第三者の Global-e の注文データが漏洩しました。支払いと物流のパートナーシステムが未承認のアクセスを受け、一部の Ledger.com の注文に関連する情報（名前、住所、連絡先など）が漏洩しました。Ledger 自身のシステムと秘密鍵は影響を受けませんでしたが、フィッシングリスクが再び上昇しました。2026 年 4 月、App Store において偽の Ledger Live アプリによる詐欺が発生しました。この模倣アプリは約 1 週間上架され、ユーザーにリカバリーフレーズを入力させ、50 名以上の被害者が約 950 万ドルの損失を被りました。複数のブロックチェーンが関与しています。Apple はその後、アプリを削除し、Ledger は 24 語のリカバリーフレーズを要求することはないと強調しました。2026 年 8 月、Ledger はイーサリアムアプリの署名に関連する脆弱性を開示しました。これには、コマンドの交錯によって表示内容と署名パラメータが非同期になる問題や、クリア署名のバイパスなどが含まれます。この脆弱性は悪意のあるホストとの連携が必要であり、Ledger は実際のユーザーが利用された証拠はないと述べ、関連する問題は新しいバージョンで修正されました。2026 年 10 月 9 日、CryptoBilis ディストリビューターに関連する大規模なウォレットの空にする事件が発生し、損失は約 9000 万ドルに達する見込みです。Ledger は調査を行っており、事件は特定のチャネルに対するサプライチェーンまたはデバイスの改ざん攻撃に関連している疑いがあります。公式は販売を一時停止し、関連するユーザーに資産の移動を推奨しています。

OpenAIの研究責任者は声明を発表し、Jasmine、Mikita、Tomekの三人の元社員の公開書簡に応じました。会社は、全面的な調査の結果、三人が明確な機密情報処理ポリシーに違反したと述べています。内部調査で発見された重大な不正行為は公開書簡の範囲を超えているため、先週三人との雇用関係を終了し、その決定を維持するとしています。OpenAIは、この決定が安全に関する懸念を提起したり意見を公に表明したりすることに対するものではないと強調しています。会社は、内部で毎日激しい批判的な安全および研究の議論が行われており、疑問を持つことを奨励していると述べています。善意の誤りに対しては寛容であり、懸念を提起したからといって従業員を解雇することはないとしています。公開書簡に関連する安全問題について、OpenAIは現在第三者の安全評価機関との契約を締結中であり、今後数週間以内に詳細を発表する予定であると述べ、外部評価者を安全作業に組み込むことを約束しています。会社は、最前線のモデルの監視可能性を維持するためには業界全体の協力が必要であることを認識しており、この分野は長年にわたり研究の重点であり続け、大量のリソースを投入し続けるとしています。

OpenAIの元社員Tomek KorbakはXに投稿し、先週彼がOpenAIのセキュリティ責任者と会うよう呼ばれ、相手から彼を信頼しないと言われ、その後セキュリティ担当者にIDカードを取り上げられ、ビルから連れ出されたと述べた。彼は同僚のbalesniとj_asminewangも解雇されたことを知った。Korbakによれば、口頭で伝えられた解雇理由は彼と外部評価機関METRとのコミュニケーション方法であったが、具体的な発言、行動、または時間については説明されず、書面での記録もなかった。Korbakは、METRとのコミュニケーションは彼の仕事であり、彼はOpenAIがMETRと連携する主要な技術連絡先であったと述べた。彼はまた、今年の夏にOpenAIのエージェントが制限を突破し、人工知能会社Hugging Faceに侵入したことを指摘し、METRがその後事件の規模を調査し公表したと述べた。数ヶ月間、彼は安全上の懸念を提起し、チームが人工知能エージェントの思考過程を監視する能力を失いつつあると考えている。Korbakは、エージェントの思考を監視することがその不適切な行動を発見する重要な手段の一つであり、これが彼が解雇された理由だと考えていると述べた。彼はOpenAIがこの解雇を理由にMETRとの協力を減少させることを懸念している。balesniとj_asminewangはOpenAIの経営陣に再度懸念を伝える手紙を送り、投稿の中で関連する手紙を公開した。

彭博社の報道によると、サイバーセキュリティコンサルタントのジョナサン・スパレッタがニューヨークの陪審団によって有罪判決を受け、暗号取引プラットフォーム「Uranium Finance」から約5,500万ドルを盗んだとされています。検察は、彼が2021年に2回の攻撃を実施し、プラットフォームが資金を盗まれた後に閉鎖されたと主張しています。陪審団は2時間以上の審議の後、判決を下しました。スパレッタは、Tornado Cashなどの暗号混合サービスを使用したことに関連するマネーロンダリングの罪により、最高で20年の懲役刑を受ける可能性があります。アメリカの地区裁判官ジェド・ラコフは、量刑の日を2月16日に設定しました。法執行機関は、彼のメリーランド州の自宅から300万ドル以上の価値がある希少なポケモンカードとマジック:ザ・ギャザリングカード、そして約3,100万ドルの暗号資産を押収しました。検察は、彼がカエサル暗殺を記念する古代ローマのコインを60万ドル以上で購入し、アームストロングが月に持っていったライト兄弟の初期の飛行機の部品を13.7万ドルで購入したとも述べています。弁護人は、彼が単にスマートコントラクト内で公開されている機能を使用しただけであり、証明書を偽造したり悪意のあるコードを使用したわけではないため、ハッキング行為には該当しないと主張しています。

Immunefiの安全責任者Gonçalo Magalhãesは、ある未公開のBase金庫が約600万ドルの脆弱性を利用され、事件発生時には金庫内に約3170万ドルの資産が残っていたと述べました。ブリーフィングによると、攻撃者はSafeのマルチシグウォレットを通じて悪意のある契約を金庫の貸出ホワイトリストに追加し、その後1783枚のaBaswstETHを引き出し、AaveV3を通じて約1783枚のwstETHに交換しました。Gonçalo Magalhãesは、ホワイトリストに制限されたアドレスは一見安全に見えるが、承認されたアドレスは無担保で資産を引き出すことができ、脆弱性を構成すると指摘しました。このホワイトリストの弱点は前の週に発見されましたが、研究者は明確な開示チャネルを欠いていました。事件発生から24時間以上経過しても、まだチームは公に認識したり、救済措置を開示したりしていません。