AIエージェントがマルウェアパッケージのインストールを提案、エンジニアが危うく従うところだった
セキュリティ 幸いにも、この企業にはGitHubでソースコードを先に確認するというポリシーがありました
タグ: スロップスクワッティング
AIのコードを検証するのは誰か――オープンソース取り込みが直面する規模の課題
執筆者: Jonny Rivera（ActiveState プロダクト責任者） 先週のBlack Hatの会場で交わした会話の中で、AppSec担当者やプラットフォームエンジニア、CISOとのほぼすべての議論で共通して浮上した問いがあります。それは「AIが生成したコードを実際に検証しているのは誰なのか」というものです
ロシア発のAIスロップスクワッティング攻撃、npmに悪意あるパッケージを大量投稿し開発者を標的に
ロシア系とみられる脅威アクターが、わずか48時間で700個を超える悪意あるパッケージをnpmレジストリに公開する大規模なサプライチェーン攻撃が確認されました。 opensourcemalwareが「WEL1DROPPER」として追跡しているこのキャンペーンは、現在パッケージ数が1,000個を超える規模にまで拡大してお
AIによる脅威レポート:暴走するエージェントとワークフロー攻撃
AIを悪用した最新の注目すべき攻撃、脅威、リスク、脆弱性をまとめ、サイバー防御にとって何を意味するのかを解説します。 悪意あるAIの利用やAIシステムへの脅威により、サイバーセキュリティチームはセキュリティの基本を改めて徹
Amazon、npmのDebugおよびChalkに対するサプライチェーン攻撃を北朝鮮ハッカーと関連づけ
Amazonは、Node Package Manager(npm)エコシステムを標的とした複数の著名なオープンソースソフトウェアサプライチェーン攻撃について、北朝鮮のハッカーとの関連性を指摘しました。 このクラウドコンピューティング大手企業は、typo-crypto、debug、chalk、axiosの各ライブラリの
スロップスクワッティング、ファントムドメイン、ハルスクワッティングは同一のAI攻撃
3つの攻撃、3つの呼び名、しかし欠陥は1つだけです。AIコーディングエージェントは、幻覚によって生成された識別子を検証済みのコマンドとして扱ってしまいます。 執筆: Shane Warden氏（ActiveState プリンシパルアーキテクト） AIコーディングエージェントにツールの取得を指示すると、時折それらしい名
トップAI、PyPlとnpmで同じ架空パッケージ名を生成
研究により、コーディングにAIを活用する開発者にとって、スロップスクワッティングが依然として脅威であることが明らかに。 企業向けソフトウェアの開発者は、AIコーディングツールが存在しないライブラリを幻覚とし
AIによるコーディング:セキュリティリスクは生産性向上を上回るのか
AIコーディングツールは、わずか数年の間にソフトウェア開発の世界を大きく変えてきました。しかし、AI生成コードに伴うセキュリティリスクとコスト増加を考えると、組織は本格的に導入する前に投資対効果(ROI)を見極めておく必要があります。とはいえ、すでに多くの組織が本格導入に踏み切っています。GitLabが先月発表した20
「HalluSquatting」によるAIコーディングアシスタント乗っ取り、エージェント型ボットネット攻撃が発生
テルアビブ大学とテクニオン工科大学の研究者らが、大規模言語モデルがリソース識別子をハルシネーション(幻覚)する予測可能な傾向を悪用する新たな攻撃手法を公表しました。この手法は「adversarial hallucination squatting(敵対的ハルシネーション・スクワッティング、HalluSquatting
PhantomRaven:見えない依存関係に隠されたNPMマルウェア
126個の悪意あるnpmパッケージ。ダウンロード数は86,000件超。世界中の開発者からnpmトークン、GitHub認証情報、CI/CDシークレットを積極的に窃取していました。しかも、ほとんどのセキュリティツールが依存する依存関係解析からは検知できない形で、悪意あるコードを隠していたのです。私たちはこのキャンペーンを「
すべての記事を読み込みました