セキュリティ– tag –

公式サイトの「この1行を貼るだけ」というインストール手順は、ダウンロードと実行を同時にやっています。危険度を4段階で色分けするbashkaを題材に、直流しの何が危ないのか、実行前に中身を検める手順、そして静的検査でも防げない部分を整理しました。

.envに書いたAPIキーは、読み込んだAIエージェントがそのまま握ります。外から指示を仕込まれれば、AIは鍵を持ち出す「内通者」になりかねません。シークレットマネージャーとトークンボールトの違いを軸に、生の鍵をAIに見せない3つの層を整理しました。

サーバのアクセスログには、毎日おびただしい数の404が並びます。ただ、本当に手遅れなのは404ではなく、/.env や /.git に200が返っている行のほうです。攻撃されている状態と、すでに中を取られた状態を、awkの集計で分ける手順をまとめました。

ファイルを消される、一晩で数十万円の課金、秘密鍵の流出。AIエージェントの事故はどれも「権限を渡しすぎた」ことが引き金です。隔離・ツール分離・人の承認・通信制御という4つの層で、被害の範囲をあらかじめ小さくしておく考え方を整理しました。

人の目には見えない文字でAIに命令を出す「プロンプトインジェクション」。米国の裁判所で実際に制裁が下された事件をもとに、仕組みと、新社会人エンジニアが今日からできる備えをやさしく解説します。

会社が承認していないAIを仕事で使ってしまう「シャドーAI」。悪気がなくても起きるこの問題を、危険度を分けるのはツールの名前ではなく「AIに何をさせるか」だという視点で整理し、情シスに怒られない持ち込み方の手順まで紹介します。

指紋をかざすだけでログインできるパスキーを、公開鍵の考え方から新社会人エンジニア向けにかみくだいて解説します。強さの理由は「秘密をサーバーに置かない」という設計にあり、弱点は秘密鍵の置き場所にあります。