大量の質問をぶつけて最後の最後に問題のある質問をするとAIの倫理観が壊れるという脆弱性を突いた攻撃手法「メニーショット・ジェイルブレイキング」が発見される
「ChatGPT」など広く使われているAIサービスは、通常であればセーフティがかけられていて、「人を殺す方法」「爆弾をつくる方法」といった倫理的に問題のある質問には答えないようになっています。ところが、あまりにも多い質問を一度にぶつけてしまうことによりセーフティが外れ、AIが問題のある回答を行ってしまう可能性があることがわかりました。 Many-shot jailbreaking \ Anthropic https://www.anthropic.com/research/many-shot-jailbreaking 大規模言語モデル(LLM)は、モデルの刷新と共にコンテキストウィンドウ(扱える情報量)も増加しており、記事作成時点では長編小説数冊分(100万トークン以上)を取り扱えるモデルも存在します。 大量の情報を扱えるというのはユーザーにとって利点になりますが、大量の情報を扱うことによ
米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ
米ホワイトハウス「将来のソフトウェアはメモリ安全になるべき」と声明発表。ソフトウェアコミュニティに呼びかけ 米ホワイトハウスの国家サイバー局長室（The White House Office of the National Cyber Director：ONCD）は、サイバー空間における攻撃対象領域を積極的に削減する目的で、テクノロジーコミュニティやソフトウェアコミュニティに対してメモリ安全（Memory Safe）なソフトウェアの実現を積極的に呼びかけるプレスリリース「Future Software Should Be Memory Safe」（将来のソフトウェアはメモリ安全になるべき）を発表しました。 プレスリリースの中で、国家サイバー局長Harry Coker氏は「私たちは国家として、サイバースペースにおける攻撃対象領域を減らし、あらゆる種類のセキュリティバグがデジタルエコシステムに
中国出張でPCは“肌身離さず”でなければいけない、なぜ？
中国出張でPCは“肌身離さず”でなければいけない、なぜ？：世界を読み解くニュース・サロン（1/5 ページ） 2月上旬から、筆者は取材のためにイスラエルとパレスチナ自治区ガザ周辺を訪問した。その取材で知り合った外国人記者が、現場で重そうなバックパックを背負っていたので話しかけると、「海外出張は多いけど、どこに行ってもPCなどデジタルデバイスは怖くてホテルに置いておけないんだ」と言う。 実はサイバーセキュリティやインテリジェンスを取材・研究している筆者も、その「習性」は同じだ。どこへ出張に行ってもPCなどは常に持ち歩いている。 そして最近、そんな習性が正しかったことを改めて確認させられる情報が飛び込んできた。ある日本政府関係者が言う。「まだ公表されていないが、昨年、中国に出張に行った中央省庁の職員3人が情報窃取工作の被害を受けたとして最近話題になっている」 その話を詳しく聞いていくと、手口は非
計算エラーの発生時にSSHの秘密鍵が盗み取られる危険があることを研究者が実証
SSHは暗号や認証技術を利用して安全にリモートコンピュータと通信するためのプロトコルですが、その通信の開始時に行うRSA署名の際に計算エラーが発生するとSSH秘密鍵が解析されてしまうことが実証されました。 (PDF)Passive SSH Key Compromise via Lattices https://eprint.iacr.org/2023/1711.pdf In a first, cryptographic keys protecting SSH connections stolen in new attack | Ars Technica https://arstechnica.com/security/2023/11/hackers-can-steal-ssh-cryptographic-keys-in-new-cutting-edge-attack/ SSHでは接続時にユ
Downfall
Downfall attacks target a critical weakness found in billions of modern processors used in personal and cloud computers. This vulnerability, identified as CVE-2022-40982, enables a user to access and steal data from other users who share the same computer. For instance, a malicious app obtained from an app store could use the Downfall attack to steal sensitive information like passwords, encryptio
Gather Data Sampling
Gather Data Sampling (GDS) is a transient execution side channel vulnerability affecting certain Intel processors. In some situations when a gather instruction performs certain loads from memory, it may be possible for a malicious attacker to use this type of instruction to infer stale data from previously used vector registers1. These entries may correspond to registers previously used by the sa
Zenbleed
If you remove the first word from the string "hello world", what should the result be? This is the story of how we discovered that the answer could be your root password! Introduction All x86-64 CPUs have a set of 128-bit vector registers called the XMM registers. You can never have enough bits, so recent CPUs have extended the width of those registers up to 256-bit and even 512-bits. The 256-bit
パスワードなしでの認証を可能にする「パスキー」技術にはわなが潜んでいる、YubiKeyなどのハードウェア認証デバイスを利用している場合は注意
「パスキー」は各種ウェブサイトにパスワード不要でログインできるようにする仕組みで、AppleやGoogle、Microsoftといった大手テクノロジー企業が利用を推進しています。しかし、使い方を誤るとYubiKeyなどのハードウェア認証デバイスが使い物にならなくなってしまうとして、RustのWebAuthnライブラリを作成しているウィリアム・ブラウンさんが注意を促しています。 Firstyear's blog-a-log https://fy.blackhats.net.au/blog/2023-02-02-how-hype-will-turn-your-security-key-into-junk/ パスキーの認証の仕組みには、クライアント側に鍵を保存しない方法と、クライアント側に鍵を保存する方法の2種類が存在しています。クライアント側に鍵を保存しない場合、あらかじめ認証に利用する鍵を生
Low-Level Software Security for Compiler Developers
1 Introduction Compilers, assemblers and similar tools generate all the binary code that processors execute. It is no surprise then that these tools play a major role in security analysis and hardening of relevant binary code. Often the only practical way to protect all binaries with a particular security hardening method is to have the compiler do it. And, with software security becoming more and
How to Yubikey: a configuration cheatsheet
This post shows different use cases for a Yubikey. There are also command line examples in a cheatsheet like manner. I’m using a Yubikey 5C on Arch Linux. If you run into issues, try to use a newer version of ykman (part of yubikey-manager package on Arch). Some features depend on the firmware version of the Yubikey. The tooling (like the wording) around the Yubikey is sometimes a bit confusing. I
QEMUでゲストをSecure Bootする - Qiita
qemu-system-x86-64 ならびに qemu-system-i386 でゲストOSをセキュアブートする手順です。 QEMUでUEFI起動するときに使うBIOS ROMであるOVMFで、セキュアブート対応になっているものをどこかから入手する。手っ取り早い方法は Fedora 33 などから抜いてくることで、例えば https://github.com/emojifreak/qemu-arm-image-builder/tree/main/OVMF-Fedora にある。Debian/Ubuntuのパッケージはダメダメで以下の手順では動かないからお勧めしない。自分でOVMFをコンパイルしなおす場合は セキュアブートできるOVMFをソースからコンパイルする を参照。 上記のgithubフォルダにあるOVMF_VARS.secboot.fdはゲストごとにコピーを取って使う前提なのでコピ
Linuxの新しいsandbox機構「Landlock」 - Qiita
はじめに この記事ではLinuxの新しいsandbox機構であるLandlockのサンプルの使い方を概説します。 詳細で正確な情報は公式のページ https://landlock.io/ やLinux kernelのソースコード中にありますので、必要な場合はそちらを参照してください。 サンドボックスが欲しいわけ 一般的なLinuxディストリビューションとスマートフォンOSの両方を使い、それぞれで様々なアプリを使っている方は大きな違いに気付くと思いますが、前者はユーザーのデータはホームディレクトリと呼ばれる共通のディレクトリに格納され、他のアプリのためのデータを自由に参照できます。それに対し、スマートフォンの場合は各アプリが独自のデータ領域を持ち、他のアプリのデータを参照するには手間のかかるプログラミングとユーザーの同意が必要になります(バイパスできてしまう場合は脆弱性とみなされます)。 L
第743回 Ubuntuの標準ブートローダーであるGRUBを改めて見直す | gihyo.jp
Ubuntuは、標準のブートローダーとしてGRUBを採用しています。ほとんどの利用者は、インストール時に自動設定されるGRUBをそのまま利用し続けていることでしょう。今回は初心者向けに、このGRUBがどう動いているのか、そしてどのように設定可能なのかを紹介します。 図1 Ubuntuインストール時の無骨なGRUB セキュアブート時代のGRUB GNU GRUB（GRand Unified Bootloader）は、言わずとしれたLinuxをはじめとする各種OSを起動するための「ブートローダー」です。一般的なコンピューターは電源が入ると、CPUを含む最低限のデバイスのリセットが解除され、ROM上にある小さなプログラムが実行されることによりRAM上に大きなプログラムがロードされ、さらにいくつかのデバイスのリセットが解除されて最終的に必要なプログラムが実行されるという、「ブートストラップ」な方
Fireタブレット端末のソフトウェアセキュリティアップデート - Amazonカスタマーサービス
Fireタブレットは、Amazonウェブサイトで端末が最後に購入可能になった時から少なくとも4年までは、ソフトウェアセキュリティアップデートが保証されます。 端末のセキュリティは最優先事項です。お客様のタブレットは、Amazonウェブサイトで端末が最後に購入可能になった時から少なくとも4年までは、ソフトウェアセキュリティアップデートが保証されます。技術的およびその他の制限はありますが、そのあとも可能な限り長期間、ソフトウェアセキュリティアップデートを提供できるよう努めていきます。 以下の表に、現在Amazonのウェブサイトで購入できるFireタブレット端末のソフトウェアセキュリティアップデート期間を掲載しています。Fireタブレットをすでにお持ちの場合、ご利用の端末についての具体的な情報は端末の管理 https://amazon.com/mydevicesからご覧ください。
先週の私のMac: macOSの耳の痛い真実
THE ECLECTIC LIGHT COMPANYより。 macOSをアップグレードするかどうか、またいつアップグレードするかの決めるのは、私たちが直面するより最も難しい選択の1つです。お使いのMacが最新リリースのmacOSを実行できない場合、または互換性のない主要なハードウェアやソフトウェアに依存している場合、その判断はあなた次第です。しかし、私たちの多くは、誤った希望や思い込みではなく、事実に基づいた判断をする以外に、私たちを妨げているものは何もありません。ここで、一般的な認識について少し考えてみたいと思います。 AppleはmacOSを3年間サポートする 数年間から、私はAppleがこの一般的な前提を述べたと思われる文書を探していますが、見つけることができませんでした。ちょうど1年前、私はこれを詳しく調べ、「8年間にわたり、AppleはmacOSのサポートについて、多くの人が信じ
PASAN: Detecting Peripheral Access Concurrency Bugs within Bare-Metal Embedded Applications | USENIX
Google、RustとseL4マイクロカーネルを活用したセキュリティ重視のOSとして「KataOS」を発表
Phoronixより。 Googleは今週、アンビエントな機械学習ワークロードを実行する組み込みデバイスに焦点を当てた最新のオペレーティング・システムの取り組みとして、KataOSのリリースを発表しました。KataOSはセキュリティを重視し、Rustプログラミング言語のみを使用し、その基盤としてseL4マイクロカーネルの上に構築されています。 KataOSは、増え続けるスマート デバイスでの使用を想定としており、特に、機械学習アプリケーションを実行する組み込みハードウェアに重点を置いています。業界ではRISC-Vへの関心が高まっていることを考えると、このCPUアーキテクチャはKataOSの主要なサポート対象になっています。Googleのオープンソース・ブログは次のように発表しました。 「この新しいオペレーティング・システムの基盤として、セキュリティを最前線と中心に置いているマイクロカーネル
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
MastodonやMisskeyのダイレクトメッセージの仕組み - 🐾 Nekonote
悪意あるパッケージの注意喚起
Ubuntu 22.04 LTS : AppArmor : Enable / Disable : Server World