Immuta CISO、18カ月以内に大手企業で深刻なAIインシデントが発生すると予測
Help Net Securityのインタビューに応じたのは、ImmutaのCISO、Michael Scott氏です。AIエージェントの権限をどう扱うべきかについて語りました。同氏は、エージェントはユーザーがアクセスできるものをすべて引き継ぐのではなく、信頼度の低いIDとして扱うべきだと主張していま
タグ: 認可
MFA では防げないOAuth同意悪用
OPINION攻撃者は、説得力のある同意プロンプトを1回提示するだけで、パスワードもマルウェアも使わずにSaaS（software-as-a-service）への持続的なアクセス権を得ることができます。セキュリティチームは長年、多要素認証（MFA）をアカウント保護の強力な指標として扱ってきました。その考え方自体は理解で
新たなNIST・CISAトークンセキュリティ指針、AIエージェントの認可リスクは依然として空白のまま
AIエージェントが企業システム内で誰・何を信頼すべきかという問題を複雑化させる中、より強固な監視体制、有効期限の短いトークン、そして認証後のトークン利用に対するより厳格な統制が求められています。 AIエージェントの
Apache Syncopeの脆弱性、SQLインジェクションやJWTトークン乗っ取り、コードインジェクションを許す恐れ
Apache Syncopeは、特権を持つ管理者が任意のSQLコマンドを実行したり、Groovyサンドボックスの保護を回避してコードを注入したり、露出したJWTアクセストークンを通じてより高い権限を持つユーザーセッションを乗っ取ったりできる、3件の重要な脆弱性を公表しました。 CVE-2026-82232、CVE-2
AIワークフローが生み出す危険な新たな認可の盲点
研究者らは、ユーザー権限が下流で適切に適用されない場合、信頼されたAIエージェントが特権アカウントの代理として悪用され得ると警告しています。 Noma Labsの調査によると、新たに特定されたAI攻撃手法により、認
Anthropicが企業向けID管理機能を追加し、Claude MCPのセキュリティを強化
Anthropicは、企業のIDプロバイダー(IdP)を通じてコネクタへのアクセスを一元的にプロビジョニング・管理できる「エンタープライズ管理型認可」機能を追加し、Claude EnterpriseのModel Context Protocol(MCP)セキュリティ機能を拡張しました。SocialSecurity p
AWSがAIエージェントのデータアクセスを制限、操作された場合でも安全性を確保
AWSは、AIエージェントを通じてユーザーの認可コンテキストを伝播させる手法について詳細を公表しました。この手法により、アクセス制御をエージェント自身に依存させるのではなく、インフラや下流のサービス側で強制できるようになります。 Amazon Bedrock AgentCoreを利用する顧客は、Ama
ゼロトラスト2年目：誰も予想していなかったこと
このHelp Net Securityのビデオで、OleriaのCEOであるジム・アルコーヴが、ゼロトラストプログラムが1～2年後に典型的にどこに位置するかについて説明しています。ほとんどの組織がエンドポイント・セキュリティとネットワーク・セグメンテーションで進展を遂げていますが、アイデンティティは依然として厄介な
アクセス決定がアイデンティティセキュリティの最も弱いリンクになっている理由
アイデンティティ環境が複雑化する中、アクセス障害の多くは十分なコンテキストなしに...
OpenSSF、ソフトウェアリポジトリのセキュリティ強化のための原則を発表
Open Source Security Foundation (OpenSSF)のSecuring Software Repositories Working Groupは、パッケージリポジトリのセキュリティを強化するためのフレームワークを発表しました。このフレームワークはセキュリティ成熟度を評価し、改善のロードマップを支援します。-パッケージリポジトリのセキュリティ能力を評価するためのフレームワークとは？