AINews、AI時代の脆弱性開示ラッシュ「Black October」を整理

中心となるのは、短期間に集中した脆弱性と侵害の一覧である。PHP2Shellは認証不要のRCE、GitLabはCVSS 10の欠陥で19.5.1で修正された。Node.jsのBrotliデコーダRCEの修正、LiteLLM 1.107.0へのパスワード窃取コード混入、Zeaburで321,810アカウントが侵害された件も挙がっている。eMudhraのCA鍵が極めて脆弱で、研究者はClaudeが1回のプロンプトで解読したと述べている。

攻撃側のAI利用も報告されている。MicrosoftはConnectWiseのサプライチェーン侵害を中国系のStorm-0940によるものとし、エージェント型ペンテストフレームワークARTEXが2,250以上のMicrosoft 365テナントに使われたとする。CrowdStrikeもAIエージェントを使う4つの攻撃者を記録した。一方でPHPの脆弱性発見の経緯には異論があり、「攻撃優位」という見方を偽情報だと批判する声もある。

防御面では、Anthropic Frontier Red TeamがTheorem Labsと組み、Claudeで100以上のOSSライブラリのセキュリティ特性を証明したとされる。Cognitionは脆弱性修復エージェントのプラグインをオープンソース化した。Anthropicの副CISOは、状況は良くなる前にさらに悪化し、防御側は約18か月耐える必要があるとの見方を示した。

同じ号には、METRとRedwoodによるOpenAI内部監視の評価、MiniMax M3.1 Flash、Carbon-X、AA Coding Agent Index v2.0、Agent SkillsのAAIFへの寄贈も含まれる。Reddit側では、AnthropicのClaude Duet、Kitten-TTS 2、Recursive Flintなどが話題になっている。