pickleの落とし穴:機械学習のpickle対策がすべて同じ手口で突破される理由
シニア脅威リサーチエンジニア機械学習(ML)のエコシステムでは最近、悪意あるモデルファイルへの防御策が相次いで導入されました。PyTorchは、ローダーがデシリアライズできる対象を制限しました。Kerasは、埋め込まれたコードの実行を拒否するセーフモードを追加しました。ベンダー各社は、保存状態のモデルファイルを検査し、
タグ: pickle
Google DevSiteに深刻な脆弱性、認証なしでリモートコード実行が可能に
Googleの開発者向けドキュメント基盤「DevSite」に深刻なセキュリティ脆弱性が存在し、認証なしの攻撃者が、悪意あるPythonのpickleペイロードを埋め込んだFlaskセッションCookieを偽造することで、Google運営のサービス上で任意のコードを実行できた可能性があることが分かりました。 セキュリテ
Google DevSiteに重大な脆弱性、偽造Flaskセッションでリモートコード実行が可能に
Simonkoeck氏によると、Googleはこの問題を2026年10月7日に修正しました。同氏は、本番環境のインフラに対してOSコマンドを実行する代わりに、遅延時間を制御した実行によって攻撃が成立することを実証しました。 ペイロードをデコードして展開すると、CSRFトークンと、google_oauth2_flow_
重大なLMCacheの脆弱性、AIサーバーがRCE攻撃の危険にさらされる
大規模言語モデル向けの高度なアクセラレーションシステム「LMCache」で、深刻な脆弱性が見つかりました。この欠陥を悪用すると、攻撃者はパスワードなしでサーバー上の任意のコマンドを実行できます。特定の構成では、root権限をそのまま奪われる恐れもあります。さらに懸念されるのは、現時点で公式の修正版
Hugging Face LeRobot の脆弱性により、認証なしでのリモートコード実行攻撃が可能に
Hugging Face の LeRobot（AI とリサーチコミュニティで広く採用されているオープンソースのロボティクス機械学習フレームワーク）で、重大なリモートコード実行（RCE）脆弱性が発見されました。 CVE-2026-25874 として追跡されているこの欠陥は、CVSS スコア 9.8 を持っており、認証な
重大なPython PLYライブラリの脆弱性によりリモートコード実行が可能に
Python PLY（Python Lex‑Yacc）ライブラリに重大なセキュリ...