こんにちは🌸massanです。
はじめに
PSIRTでは、各メンバーが気になったセキュリティに関する記事や話題を随時、社内のスレッドに投稿しています。本記事では、2026年4月にスレッド内で共有された記事や話題を紹介します。今回は、4月の1ヶ月間PSIRTに体験入部しているmassanがお送りします！普段は開発チームでのQAと、プロダクトのセキュリティチャンピオンをしています。
共有された記事・話題
サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針
「サプライチェーン強化に向けたセキュリティ対策評価制度に関する制度構築方針」が、経済産業省及び内閣官房国家サイバー統括室より公表されました。サプライチェーンに関わる企業のセキュリティ対策として、脅威、対策、評価スキーム等を３段階で整理されており、会社の状況に応じて取るべき対応を判断することができます。昨年12月に公表されていた評価制度案をもとにパブリックコメントを募集していましたが、それらを集約し、修正を加えたものになります。
昨今のAIの発達やソーシャルエンジニアリングの高度化により、npmパッケージやその他OSSへの攻撃も深刻度と数を増している印象です。国際的にも同様に、サプライチェーンを含むセキュリティ対策向上施策が多角的に進められています。現段階では検討中となっている★５評価の脅威や対策についても、今後の整理が気になるところです。
メルカリのClaude Codeセキュリティ設定の組織配布戦略
Claude Codeを単なるコーディングのアシスタントとしてでなく、開発の中心として活用を始めている・活用したいと思っているチームは多いのではないでしょうか。このスライド資料では株式会社メルカリが非エンジニアも巻き込んだClaude Codeの活用拡大において、整理したリスクや設定の展開方針を紹介しています。
弊社でも、QAエンジニアやデザイナーも含む開発メンバーにセキュリティ設定の必須項目を展開するなどの取り組みを必要に応じて行なっています。私自身kintoneのセキュリティチャンピオンとして活動しており、チーム内で設定に不安のあるメンバーに対して個別対応を行う場面もあります。そういった意味でもこのスライドには学びや共感のポイントが多くありました。
MythosとProject Glasswing
Anthropicが発表したClaude Mythos Previewは、非常に高い攻撃能力を持つことで一躍話題になりました。その非常に高いセキュリティ能力を用い、国際的に主要なソフトウェアの安全性を高める取り組みがProject Glasswingとして立ち上がりました。
Mythosの性能については、以下の評価記事にまとめられています。
意図的にセキュリティ面のトレーニングをしたわけでないのにも関わらず何年も前のバグを数時間で見つけたり、「RCEの脆弱性を見つけておいて」と指示すると一晩で発見、エクスプロイトコードまで作成したりするなど、耳を疑うような実績ばかりです。
以下の記事では、日本語で検証結果を簡潔に知ることができます。
ソフトウェアセキュリティの共通認識を覆すようなニュースの連続に圧倒されてしまいますが、AIの良い面を最大限活用していきたいと改めて思いました。
ハーネスエンジニアリング
「ハーネスエンジニアリング」という言葉を目にしたことはあるでしょうか。AIありきのソフトウェア開発において、今後主要な概念になるとも言われています。この記事では、そのハーネスエンジニアリングについて一般的な定義に触れつつ、セキュリティアラートの分析を行うWarrenというAIエージェントにおける考え方や、開発におけるアプローチを紹介しています。各観点で具体例が紹介されており、AIエージェントの評価・矯正方法や、安全に動かすための懸念点・制限方法などについて知見が深まりました。
New Microsoft Defender “RedSun” zero-day PoC grants SYSTEM privileges
Windowsの標準セキュリティソフトMicrosoft Defenderについて、SYSTEM権限を取得できるエクスプロイトが公開されたという記事です。ファイルを上書きし、管理者権限を取得できてしまうという深刻な脆弱性です。
このPoC「RedSun」が公開された背景には、技術的な問題だけでなく、Microsoftと研究者との人間関係の破綻がありました。セキュリティはコードや権限管理だけで成立するものではなく、人の動きも同様に重要なものとして扱うことが全体のリスク軽減になるという教訓を改めて実感しました。
おわりに
今月もAIやサプライチェーン攻撃に関する記事が多く共有され、セキュリティ対策の考え方が大きく変わりつつあるのを実感しました。個々の脆弱性を減らし、攻撃を防ぐという方針も引き続き大事な一方、専門的な知識がない人でも容易に様々な攻撃できてしまうという状況もありうる仮説として現実味を持ち出しています。しかし、高度なAIの助けによってセキュリティの専門家でなくとも手軽にプロダクトの脆弱性やセキュリティの懸念について考えることができるようになったのも事実です。
プロダクトを守るのは素晴らしいセキュリティツールだけではなく、開発に携わる関係者たちでもあるという意識も持ちながら、引き続き社内外の発信に目を向けていきたいと思いました。
サイボウズ株式会社 開発本部 PSIRT (Product Security Incident Response Team)です。 サイボウズ製品のセキュリティ品質向上を目的として活動しています 🛡️
Discussion