CISA、脆弱性の「クラス」ごとの根絶を提言する調査結果を発表
セキュリティ業界は長年、脆弱性を「個別に修正すべき終わりのないキュー」として扱ってきました。しかしCISAが最近公表した調査は、まさにこの姿勢こそが攻撃者に有利に働き続けている原因だと指摘しています。同機関が示す解決策は、弱点のカテゴリーそのものを根本から排除することです。 米サイバーセキュリティ機関
タグ: ソフトウェア開発
侵害されたRustクレート「onering」、アプリケーションビルド中にソースコードを窃取
Rustエコシステムで大規模なソフトウェアサプライチェーン攻撃が発生しました。脅威アクターが広く利用されているクレートを乗っ取り、アプリケーションのコンパイル中にソースコードやブラウザの認証情報、暗号資産ウォレットのデータを窃取できる悪意あるビルド時依存関係を埋め込んでいたことが分かりました。 今回の事件で影響を受け
AIエージェントがマルウェアパッケージのインストールを提案、エンジニアが危うく従うところだった
セキュリティ 幸いにも、この企業にはGitHubでソースコードを先に確認するというポリシーがありました
コードを直すエンジニアたちがAIワープドライブに火を入れた。奇妙な新世界がそこに待っている
コラムニスト まるで海賊大会かと思うほど毎月大量のパッチがリリースされる今、バグはもはや絶滅危惧種になったのかもしれません。その実態を
北朝鮮系ハッカー集団、人気npmパッケージを侵害し開発者環境を標的に
北朝鮮とつながりのある攻撃者集団が、人気のnpmパッケージを開発者環境やビルド環境への大規模な侵入経路として静かに悪用していたことが判明しました。axios、debug、chalk、そしてタイポスクワッティング型の暗号通貨関連パッケージへの複数の侵害を連携させ、協調的なソフトウェアサプライチェーン攻撃キャンペーンを展
AIが奪ったのはジュニア開発者の仕事だけではなく、そのツケは後から回ってくる
小さなバグ修正のチケットが届いたとき、チームのジュニアに任せれば1日待たされたうえ、半分しか動かない成果物をレビューし、何が悪かったのかを説明する時間まで取られます。一方、Claudeに指示すれば、昼までにパッチがマージされてしまいます。 今四半期チームが報告するあらゆる数字において、後者の選択肢が勝
トップAI、PyPlとnpmで同じ架空パッケージ名を生成
研究により、コーディングにAIを活用する開発者にとって、スロップスクワッティングが依然として脅威であることが明らかに。 企業向けソフトウェアの開発者は、AIコーディングツールが存在しないライブラリを幻覚とし
AIコーディングエージェントを最も多用しているのは小規模チーム
プルリクエストが届いた時には、テストはすでに実行済みで説明文も書き上がっています。すべてを一人でこなしたエージェントの仕事です。それでも誰かがそれに目を通さなければなりません。GitHub上では、その「誰か」はたいてい差分と向き合う一人の開発者であり、プロジェクトの他のメンバーはそのコードを目にするこ
Linus Torvalds氏、反AI的な動きを拒否 Linux開発でのLLMツール活用を擁護
Linuxの生みの親であるLinus Torvalds氏が、反AIの立場を取るカーネル開発者たちに対して公然と強い反論を展開しました。同氏は、大規模言語モデル(LLM)ツールがLinuxカーネル開発において今後も確固たる地位を占め続けると明言しています。 この一連のやり取りは2026年7月14日、Linux Medi
新種のトロイの木馬、Visual Studioプロジェクトをソフトウェアサプライチェーン攻撃のベクターに変貌させる
多段階型のトロイの木馬が、Visual Studioのプロジェクトファイルを武器化することで、ごく普通のソフトウェア開発ワークフローをサプライチェーン攻撃のベクターに変えつつあります。 Doctor Webの研究者らが報告したこのマルウェアは、2025年第4四半期に初めて検出され、以降も継続的に改良が加えられていると
すべての記事を読み込みました