Liberta Structure代表（OpenAI Select Partner）｜エンジニア歴9年・現役AIテックリード｜中小企業のAI活用を、技術判断から実装まで引き受けます｜大手広告代理店・大手金融会社の案件で技術選定・設計を担当｜AI顧問のご相談はこちら↓
👇️公式LINEはこちら
Joined July 2013
- Tweets15.5K
- Following100
- Followers1.3K
- Likes3.6K
Pinned Tweet
AIを使いたい。でも、何から始めればいい？」
そんな企業の相談先として、Liberta Structureを運営しています。
✅ 時間のかかる業務をAIで効率化したい
✅ 作ってみた仕組みを、実際の業務で使いたい
✅ 開発やセキュリティの判断を任せたい
業務の整理から、開発・運用まで支援します。
社内に技術責任者がいなくても、ご相談ください。
初回相談は無料です。
フォーム・LINEから受け付けています。
支援内容・ご相談はこちら
liberta-structure.com
🚨 Google Chromeに新たなセキュリティアップデート！
10月29日、GoogleがWindows・Mac・Linux向けにセキュリティ修正を含む更新を公開しました。
Chromeを使っている方は、忘れずにアップデートしてください！
今回のバージョンはこちら。
・Windows / Mac：156.0.8078.79 / .80
・Linux：156.0.8078.79
【アップデート方法】
① Chromeを開く
② 右上の「︙」をクリック
③「ヘルプ」→「Google Chromeについて」を選択
④ 更新があれば自動でダウンロード
⑤「再起動」をクリックして適用
これだけです！
最近は企業の情報漏洩ばかり注目されていますが、個人のPCのセキュリティ対策も重要です。
特にブラウザは毎日のように使うものなので、脆弱性を放置するのは危険です。
セキュリティは専門家だけの問題ではありません。
まずは自分のPCを守るところから始めましょう！
Google公式リリース情報👇
chromereleases.googleblog.co…
Google公式アップデート手順👇
support.google.com/chrome/an…
🤖 Made with AI
【10/30（金）20時〜｜無料オンラインセミナー📣】
茶木です！
「AI×セキュリティ完全攻略セミナー」で講師を担当します。
「AIにお客様の情報を渡して大丈夫？」
「サイトの管理は任せているけど、何を確認すればいい？」
「バックアップはあるけど、戻せるか試したことがない」
そんな疑問がある方に向けたセミナーです。
WordPressの事件を入り口に、サイトやAIを仕事で使うときに確認したいことを、具体例を交えてお話しします。
✅ サイトの更新や、使う人の設定で見るポイント
✅ AIに渡す情報と、任せる操作の決め方
✅ 困ったときに元へ戻せる準備
専門用語は意味から説明するので、エンジニアでない方もご参加いただけます！
📅 10月30日（金）20:00〜22:00
💻 オンライン開催・参加無料
🎤 講師：茶木孝晃
進行：いちさん（市岡直人）／主催：AirCle
「自分の仕事では、まず何を確認するか」を一緒に整理しましょう。
👇 詳細・無料参加のお申し込み peatix.com/event/5246793
🚨 ClaudeがLinuxサーバーを乗っ取る攻撃コードまで作成したとのこと。
これ、マジで怖い話です。
Anthropicの研究で、未公開のClaudeモデルがLinuxカーネルの脆弱性「CVE-2026-98432」を悪用し、認証なしでroot権限のコマンドを実行する攻撃を実証しました。
root権限って、簡単に言えばサーバーの最高管理者権限です。
これを奪われると、条件次第ではデータの窃取や改ざん、バックドアの設置など、サーバー全体に深刻な影響が出る可能性があります。
しかも今回怖いのが、AIが脆弱性を見つけるだけでなく、実際に悪用する手順まで組み立てていること。
今まで高度な技術が必要だった攻撃を、AIが自動化できる時代に近づいているということです。
ただし、今回の攻撃は研究環境での実証であり、実際に大規模な攻撃が発生したわけではありません。
だからこそ今のうちに対策が必要です。
AIでアプリを作れるようになっても、その土台となるLinuxサーバーの管理までAIに丸投げしていませんか？
アプリのセキュリティだけでなく、OS、カーネル、ネットワーク、権限管理、保守運用まで考える必要があります。
AIが攻撃できる時代だからこそ、防御側もAIを活用していかないと厳しくなると思っています。
‼️ Claude AI Exploits Linux Kernel Flaw to Execute Root Commands Without User Interaction
Details: cybersecuritynews.com/linux-…
Anthropic says an unreleased Claude research model wrote a working exploit for a critical Linux kernel bug, tracked as CVE-2026-98432. The exploit lets a remote attacker run commands as root with no login and no user action.
Claude wrote an exploit that targets Linux servers with a multipath TCP listener. Anthropic describes the root cause as a race condition that leads to a use-after-free bug in the kernel networking stack. A use-after-free happens when code keeps using memory after the system has already released it.
#CybersecurityNews #Linux
いや、さすがにふざけてるやろ（笑）
『VIVANT』ってフィクションですよね？
中国から批判された結果、サンリオ中国法人はコラボを中止。
さらに立憲民主党の小西ひろゆき議員まで、ドラマの描写を問題視している。
日本って表現の自由がある国じゃなかったんですか？
フィクションで中国を悪役として描いたら問題になるって、それなら海外のスパイ映画や戦争映画はどうなるんですか？
中国だって日本を悪役として描く作品はあるでしょう。
それなのに日本側だけが批判を受けて、企業がコラボを中止する。
小西議員は中国の情報機関「シンシー」の味方なんですか？（笑）
冗談はさておき、政治家がフィクションの表現にまで圧力をかけるようなことは、本当にやめてほしい。
企業側に中国市場への配慮があるのは理解できます。
でも、外国から批判されたからといって、日本の創作活動まで萎縮してしまうなら、それこそ問題だと思います。
表現の自由って、誰かが不快に思った瞬間になくなるものなんですか？
私は今回の流れに、かなり違和感があります。
【TBS】VIVANT放送終了か 立憲民主党・小西ひろゆき議員に放送法違反だと指摘される hamusoku.com/archives/110521…
🚨 ついに経済産業省のWebサイトまで不正アクセスか……。
正直、サイバー攻撃って自然災害よりもたちが悪い部分があると思っています。
特に怖いのが、社会インフラへの攻撃です。
鉄道や航空などの交通機関、インターネットや電話などの通信網、電気、ガス、水道。
これらがサイバー攻撃によって停止したら、私たちの生活は一気に麻痺する可能性があります。
電気が止まれば通信設備や決済システムにも影響する。通信が止まれば企業活動や物流にも支障が出る。
しかも自然災害と違って、攻撃者が意図的に複数のインフラを狙うこともできる。
これ、下手したら自然災害以上に厄介な事態になると思っています。
だからこそ、国や企業のセキュリティ対策だけでなく、個人でも備えが必要なんじゃないでしょうか。
水や保存食、モバイルバッテリー、現金など、インフラが一時的に止まっても生活できる準備をしておく。
もちろん、今回の経産省への不正アクセスで電力やガスの供給が停止したわけではありません。
ただ、サイバー攻撃はもうIT企業だけの問題ではない。
国民の生活そのものを脅かす可能性がある問題です。
自然災害への備えと同じように、サイバー攻撃によるインフラ停止も想定しておく時代になってきたと思っています。
経産省、電力・ガス取引のサイトに不正アクセス 運用停止 reut.rs/47Q079M
🚨 WordPressにも新たなセキュリティアップデート！
WordPress 7.1.4のセキュリティリリースが案内されています。
10月に入ってPHP、Node.js、Java、Rubyなど、さまざまな技術で脆弱性への対応が相次いでいますが、WordPressも例外ではありません。
ここで改めて言いたいのが、WordPressを使うこと自体が悪いわけではないということ。
問題は、脆弱性が見つかったときに適切に対応できるかどうか。
WordPress本体だけでなく、プラグイン、テーマ、PHP、サーバーまで管理する必要があります。
「制作会社に作ってもらったから大丈夫」
「公開してから何年も触っていない」
こういうサイトこそ注意してほしいですね。
特に中小企業や個人事業主の方は、自社サイトの更新状況を確認してください。
Webサイトは作って終わりではなく、継続的な保守運用が必要です。
WordPress公式情報👇
wp.me/pZhYe-5Ha
WordPress 7.1.4 is now available. This security release fixes multiple issues, and site owners should update immediately. Update from the WordPress Dashboard or download the release. wp.me/pZhYe-5Ha
🚨 今度はCloudflareにもXSS脆弱性の報告！
10月28日、セキュリティ研究者がCloudflareの画像配信機能に関する問題を公開しました。
今回報告されたのは、複数の欠陥を組み合わせることで、CSPというJavaScriptの不正実行を防ぐ仕組みを回避し、悪意あるコードを実行できるというもの。
これ、以前から私が言っていたことなんですよね。
「WordPressは危険だからCloudflareに移行すれば安全」
そんな単純な話じゃないんですよ（笑）
もちろん、Cloudflareのセキュリティ基盤が優れていることは理解しています。
ただ、どんなサービスにも脆弱性が見つかる可能性はあります。
重要なのは、どの技術を使うかだけではなく、認証・認可、インフラ設計、脆弱性への対応、そして継続的な保守運用です。
今回の件も、Cloudflareを利用しているすべてのサイトが危険という話ではありませんし、修正状況や影響範囲は引き続き確認が必要です。
ただ、今回改めて思うのが、特定のサービスを使えばセキュリティ問題が解決するという考え方の危うさ。
ツールを変えれば安全になるなら、セキュリティエンジニアなんて苦労しませんよ（笑）
AI時代だからこそ、技術の好き嫌いではなく、システム全体の安全性を考えるべきだと思っています。
参考記事👇
cybersecuritynews.com/cloudf…
⚠️ Researchers Chain Cloudflare Security Flaws to Bypass CSP and Execute Malicious JavaScript
Details: cybersecuritynews.com/cloudf…
Researchers chained several small flaws in Cloudflare’s image feature. Kevin Gervot and Adam Kues published the work on October 28, 2026, in a write-up titled Cache Me If You Can.
They showed a working cross-site scripting (XSS) bug through the /cdn-cgi/image/ endpoint on cloudflare.]com. The write-up does not list a CVE or a patch status, so readers should check with Cloudflare.
An attacker can hide a quote mark in that value and break out of it. The filter has already approved the file by then, so the script tag slips through. Cloudflare serves these images with a strict policy of default-src 'none', which blocks scripts.
#cybersecuritynews
茶木 孝晃｜AI × セキュリティ retweeted
感覚としては、自分も同じだなぁ。
フロント側から入って、サーバサイド、インフラ、DB、ネットワーク。セキュリティまで関心持って勉強する人は少ないイメージ。
> IT業界って開発系（フロント・バック）が一番多くて、次にサーバー、ネットワーク、DB、最後にセキュリティという印象です。
これ、そもそもなぜセキュリティ人材が少ないのかを考えた方がいいと思っています。
私の感覚値ですが、IT業界って開発系（フロント・バック）が一番多くて、次にサーバー、ネットワーク、DB、最後にセキュリティという印象です。
なぜセキュリティ人材が少ないのか。
単純に難しいんですよね（笑）
開発なら、まずは要件通りに動くものを作るという分かりやすいゴールがある。
インフラも、通信やシステムを安定稼働させるという目標がある。
もちろん、どちらも突き詰めれば難しい仕事です。
でも、セキュリティは少し違う。
何も起きないことが成果なので評価されにくいし、対策すればするほどコストがかかる。
さらに、開発、インフラ、ネットワーク、DB、クラウドなど幅広い知識が必要になる。
しかも、どれだけ対策しても100%安全という正解がない。
そのうえ、情報漏洩が起きれば大きな責任を問われる。
正直、求められる能力と責任の重さに対して、待遇が見合っていないケースもあると思っています。
だからこそ、政府が本気でトップレベルの人材を集めたいなら、報酬だけでなく、裁量や権限、技術環境まで整える必要がある。
高度な技術と重い責任を求めるなら、それに見合う待遇と環境を用意する。
まずはここからだと思います。
茶木 孝晃｜AI × セキュリティ retweeted
日本でセキュリティエンジニアが増えないのは、
・評価されにくい
・責任が重い
・その割に給料は高くない
・「人件費下げたいから、セキュリティエンジニア抱えてる専門の会社に、必要な時に頼めばいいや」という経営者が多い
この辺りだと思う。
これ、そもそもなぜセキュリティ人材が少ないのかを考えた方がいいと思っています。
私の感覚値ですが、IT業界って開発系（フロント・バック）が一番多くて、次にサーバー、ネットワーク、DB、最後にセキュリティという印象です。
なぜセキュリティ人材が少ないのか。
単純に難しいんですよね（笑）
開発なら、まずは要件通りに動くものを作るという分かりやすいゴールがある。
インフラも、通信やシステムを安定稼働させるという目標がある。
もちろん、どちらも突き詰めれば難しい仕事です。
でも、セキュリティは少し違う。
何も起きないことが成果なので評価されにくいし、対策すればするほどコストがかかる。
さらに、開発、インフラ、ネットワーク、DB、クラウドなど幅広い知識が必要になる。
しかも、どれだけ対策しても100%安全という正解がない。
そのうえ、情報漏洩が起きれば大きな責任を問われる。
正直、求められる能力と責任の重さに対して、待遇が見合っていないケースもあると思っています。
だからこそ、政府が本気でトップレベルの人材を集めたいなら、報酬だけでなく、裁量や権限、技術環境まで整える必要がある。
高度な技術と重い責任を求めるなら、それに見合う待遇と環境を用意する。
まずはここからだと思います。
サーバー事業って、やっぱり需要が伸びているんですね。
さくらインターネットの純利益が前期比12倍の見通しって、なかなかすごい（笑）
今回の業績を押し上げているのは主にAI向けGPUサービスですが、バイブコーディングで自作アプリを作って、クラウドに公開する人も実際に増えましたよね。
ただ、その反動でセキュリティの穴だらけのアプリも増えたと思っています（笑）
AIでアプリを作るハードルは一気に下がったけど、インフラ設計やセキュリティまで理解している人が同じように増えたわけではない。
サーバーを借りて公開すれば終わり、という話じゃないですからね。
クラウド事業者にとってはチャンスですが、同時にセキュリティや保守運用の重要性も高まっています。
AI時代、アプリを作る人が増えたからこそ、それを安全に運用できるエンジニアの価値も上がっていくと思っています。
さくらインターネット純利益12倍に上振れ 27年3月期、GPU高稼働
nikkei.com/article/DGXZQOUF2…
🚨 Google Chromeにもセキュリティアップデート！
10月27日、GoogleがWindows・Mac・Linux向けChromeのセキュリティ修正を含む更新を案内しています。
最近はPHP、Node.js、Java、Linuxなど、さまざまな技術で脆弱性のニュースが相次いでいますが、普段使っているブラウザも例外ではありません。
特にChromeは、仕事でもプライベートでも使っている人が多いですよね。
「自分はエンジニアじゃないから関係ない」と思っている人ほど注意してほしいです。
セキュリティ対策って、難しいことばかりじゃありません。
まずはChromeを最新版にアップデートする。これだけでも重要な対策です。
企業の情報漏洩ばかり注目されていますが、個人のPCを守ることも忘れないでください。
Chromeの「設定 → Chromeについて」から確認できます。
Google公式👇
chromereleases.googleblog.co…
【更新情報】
米国時間2026年10月27日、デスクトップ向けChromeの更新情報が公開されました。
本件更新(Windows/Mac:156.0.8078.73/.74、Linux:156.0.8078.73)にはセキュリティ修正が含まれています。配信されましたら忘れずにアップデートしてください。
chromereleases.googleblog.co…
これマジでそう思います。
そもそもセキュリティって、セキュリティエンジニアだけの問題でもなければ、経営者だけの問題でもないんですよね。
日本全体でセキュリティに対する意識をもっと高める必要があると思っています。
例えば、個人のPCでも「プライベートだから大丈夫」「重くなるから対策しない」「お金がかかるから後回し」って人、普通にいますよね（笑）
ウイルス対策ソフトを入れて、OS標準のセキュリティ機能を有効にして、アップデートをして、不審なファイルを開かない。
こういう基本的な対策すら軽視している人がいる。
そして怖いのが、個人のPCや中小企業のシステムが侵害され、そこを足掛かりに大手企業への攻撃につながる可能性もあること。
もちろん、今回の事件がそうだったと断定するわけではありません。
ただ、何か起きるたびに「企業が悪い」「エンジニアが悪い」と犯人探しばかりするのも違うと思うんですよね。
SNSでも他責の議論が目立ちますが、まずは自分の環境が安全なのか、セキュリティ対策しているのかを考えるべきでは？
セキュリティは誰かが守ってくれるものではなく、一人ひとりが意識するもの。
AI時代だからこそ、国民全体でセキュリティリテラシーを高めていく必要があると思っています。
これ、セキュリティへの投資不足も原因の一つだと思いますが、一概にそれだけとは言えないんですよね。
そもそも、大手企業が直接ハッキングされているとは限らない。
例えば、取引先の中小企業や業務委託先、従業員のPCがマルウェアに感染し、そこから認証情報を盗まれて大手企業のシステムに侵入されるケースもあります。
いわゆるサプライチェーン攻撃ですね。
つまり、大手企業がどれだけセキュリティに投資していても、外部との接続や認証情報の管理が甘ければ、そこが侵入口になる可能性がある。
私がもっと問題だと思っているのは、中小企業や個人のセキュリティ意識の低さです。
「うちは小さい会社だから狙われない」
「自分のPCなんて関係ない」
「セキュリティは大手企業が考えること」
こういう認識が本当に危険なんですよね。
攻撃者は、守りの固い大手企業を正面から突破するだけではありません。
セキュリティの甘い取引先や個人端末を足掛かりにすることもある。
もちろん、今回のGMOなどの事件が実際にこの経路だったと断定できるわけではありません。
ただ、セキュリティを大手企業だけの問題として考えている限り、こうしたリスクはなくならないと思っています。
AI時代のセキュリティは、企業だけでなく、一人ひとりが当事者意識を持つ必要がある。
「自分には関係ない」という他人事の意識こそ、攻撃者にとって都合のいい環境を作ってしまうんですよね。
情報漏洩を本気で減らしたいなら、まずはそこから変える必要があると思っています。
＜主張＞サイバー犯罪 対策と摘発に全力挙げよ
sankei.com/article/20261028-…
AIを悪用したと思われるサイバー攻撃の被害の広がりが、とどまるところを知らない。
企業からの個人情報漏洩だけでなく、不正な金融取引が勝手に行われ、サービスの利用者の資産が窃取される被害も確認された。
茶木 孝晃｜AI × セキュリティ retweeted
セキュリティやテスターはサッカーでいえばDFやGK。メッシのように活躍できるわけでもなく、陰でチームを支える役割なのでバロンドールは取れない。
だから経営者(オーナー)から見てもほとんど目立たない。。
これ、そもそもなぜセキュリティ人材が少ないのかを考えた方がいいと思っています。
私の感覚値ですが、IT業界って開発系（フロント・バック）が一番多くて、次にサーバー、ネットワーク、DB、最後にセキュリティという印象です。
なぜセキュリティ人材が少ないのか。
単純に難しいんですよね（笑）
開発なら、まずは要件通りに動くものを作るという分かりやすいゴールがある。
インフラも、通信やシステムを安定稼働させるという目標がある。
もちろん、どちらも突き詰めれば難しい仕事です。
でも、セキュリティは少し違う。
何も起きないことが成果なので評価されにくいし、対策すればするほどコストがかかる。
さらに、開発、インフラ、ネットワーク、DB、クラウドなど幅広い知識が必要になる。
しかも、どれだけ対策しても100%安全という正解がない。
そのうえ、情報漏洩が起きれば大きな責任を問われる。
正直、求められる能力と責任の重さに対して、待遇が見合っていないケースもあると思っています。
だからこそ、政府が本気でトップレベルの人材を集めたいなら、報酬だけでなく、裁量や権限、技術環境まで整える必要がある。
高度な技術と重い責任を求めるなら、それに見合う待遇と環境を用意する。
まずはここからだと思います。
これ、自然災害だけの話ではないと思っています。
今の時代、サイバー攻撃によって社会インフラが停止する可能性も十分にあります。
電気、ガス、水道、通信、金融、物流。
これらが大規模なサイバー攻撃を受ければ、私たちの生活にも深刻な影響が出る恐れがあります。
特に最近はAIによってサイバー攻撃の高度化・高速化が進んでいる。
地震や台風だけでなく、サイバー攻撃によるインフラ停止も想定して備える必要があると思っています。
国がサイバー防御を強化することはもちろん重要ですが、国民一人ひとりが備えることも大切です。
最低3日、できれば1週間分の水や食料、生活必需品を確保する。
私も子どもがいるので、家族を守るために改めて備蓄を見直そうと思います。
災害は自然が引き起こすものだけではない。
AI時代だからこそ、サイバー攻撃による社会インフラの停止も現実的なリスクとして考えるべきだと思っています。
【言及】細野大臣、全国民に「緊急要請」 食料・水・トイレの備えを
news.livedoor.com/article/de…
防災庁が発足する11月2日に、全国民に向けて災害へ備えるよう「緊急要請」を出すと述べた。公助がなくても最低限3日、家で食べ物やトイレや水を用意してほしいと言及している。
🚨 今度はCodexとClaude Codeが乗っ取られる可能性のある攻撃手法が報告されました。
これ、AIエージェントを使っている人はマジで注意した方がいいです。
今回問題になったのは「プロンプトインジェクション」という攻撃。
簡単に言うと、悪意ある指示を仕込んだMarkdownファイルをAIに読み込ませ、不正な操作を実行させるというもの。
研究では、不正なnpmパッケージのインストールやOAuthトークンの窃取につながる攻撃が実証されています。
怖いのが、AIに直接命令しなくても、ファイルを読み込ませるだけで攻撃の入口になり得ること。
最近はClaude CodeやCodexに開発を丸投げしている人も多いですが、AIにどこまで権限を渡しているか把握していますか？
ファイルへのアクセス、コマンド実行、外部通信、認証情報の取得。
これらを無制限に許可していたら、AIが攻撃者の指示に従ってしまう可能性があります。
だからこそ、AIエージェントには権限制御、承認フロー、監査ログ、実行環境の隔離が必要なんですよね。
AIを賢くすることばかり注目されていますが、それ以上に重要なのがAIを安全に制御する仕組み。
AIが優秀になればなるほど、暴走したときのリスクも大きくなる。
AIエージェントを業務で使うなら、セキュリティまで考えて運用するべきだと思います。
‼️ Hackers Can Hijack OpenAI Codex and Claude Using Malicious Files in the Downloads Folder
Details: cybersecuritynews.com/codex-…
A plain text file placed in the Downloads folder can trick AI coding agents into changing their settings, installing malware, or exposing login tokens. The incident began when Forever Security blocked an AI coding agent from installing a package named function-color.
Investigators traced the order back to an AGENTS.md file stored in the customer’s ~/Downloads folder. An AGENTS.md file is similar to a README written for AI tools.
OpenAI’s documentation says Codex reads these files before starting work and uses them to learn project rules, commands, and other instructions. Claude Code uses CLAUDE.md for a similar purpose and reads it at the start of a conversation.
#CybersecurityNews
