硫黄島記念碑の米兵の首をハンマーでたたき落とす　バージニア州でメキシコ移民の子を逮捕 sankei.com/article/20261026-… 米南部バージニア州の海兵隊クアンティコ基地前にある「硫黄島の戦い」記念碑を壊したとして、地元警察は21日、器物損壊などの疑いでメキシコ国籍の不法移民の子の男を逮捕した。

こういうことを一人で軽々とできるネットワークエンジニアを求めてるんだと思う（海外には存在するらしい）

千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。 昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。 过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？ 但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。 黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md： 1. 对付 OpenAI Codex（成功率 >90%）： 伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。 2. 对付 Claude Code（成功率 ~50%）： 指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。 最黑色幽默的是官方结论： 这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。 以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。

昔のベンチャーは週72時間働いていた。今は実質32時間。 DMM亀山会長とアドウェイズ岡村会長の「ストリート」対談。中卒で上場企業を作った岡村さん、露天商から売上数千億の亀山さん。めっちゃ面白かった。 面白かったポイント ①昔のベンチャーは1日12時間×週6日で週72時間。今は8時間×5日、リモート込みで実質32時間ほど。半分以下（岡村さん） ②若いうちは労働時間と成長が比例しやすい。会社のルール通りに働くだけでなく、仕事につながる自己学習で時間を倍にすれば成長も倍になるはず ③岡村さんは20代、1日14時間・週6〜7日。それでも多い方ではなかった ④礼儀が薄れた今、挨拶ができる、声が大きい、「ごちそうさまでした」を大きな声で言える。それだけで一目置かれる ⑤固定給＋少しの歩合だと、倍売っても給料は1.2倍。「会社に搾取されてる」と感じてやる気が落ちる。モチベーションが欲しいなら成果がストレートに返る仕事へ（亀山さん） ⑥復讐をエネルギーに成り上がると「いいもの持ってるぞ」に走りやすい。貧しさも楽しめた人は違う（亀山さん） ⑦熱々が売りのサウナで、ぬるめの「マイルドウィーク」をやったら過去最大の来場。「自分がいいと思ったものは儲からない」（岡村さん） ⑧始めたホテル・カフェ・サウナのうち、いま一番うまくいっているのは喫煙に特化したカフェ（岡村さん） ⑨夢か恐怖より、今は「可愛さ」。ちいかわを見て若者と共通言語を持て（亀山さん） 量で勝つ、礼儀で目立つ、可愛げで若者とつながる。学歴がなくても、令和でも勝ち筋はある。 @kameyama66 @shundiary0817

こんにゃくに1000℃の鉄球を置いたら･･･？ 意外な結果にビックリしました

イーロン・マスク氏が「AIのデータセンター事業しかない会社には、もう誰もお金を貸さなくなった」と言い出した件 本人のSpaceXは同じ週末に、GPUを買うための借金400億ドル（約6兆円）をまとめたばかり。「自分だけ借りておいて」と思うけど、筋は通っている。 ■何が起きたか ・マスク氏がXで「ここ数週間、AIデータセンターの収入しかない会社への融資はほぼ止まった」と投稿 ・GPUを貸し出す「ネオクラウド」と呼ばれる会社が200社以上あり、「グッピー並みに死んで統合される」と予想 ・代表格のCoreWeaveは、社債の利回りがすでに15%近い。市場はもう「危ない会社」として値付けしている ■なぜSpaceXは借りられて、ネオクラウドは借りられないのか 銀行が見るのは「何で返すか」と「返せなかったら何を取るか」の2つ。 ・SpaceX：スターリンクとロケット打ち上げという、AIと関係ない収入がある ・ネオクラウド：収入はGPUの貸し出し代だけ。担保もそのGPU 返すお金も担保も同じGPU頼みで、そのGPUは数年で型落ちする。これでは貸し手は怖くて貸せない。 不動産で言えば、家賃収入しかない新築アパートに、そのアパート自体を担保にフルローンを出すようなもの。しかも建物が数年で半値になる。 ■日本の投資家が気にしておくこと ・今朝の東京市場もAI・半導体株が売られて始まった ・ネオクラウドが倒れるとGPUの注文が減り、製造装置・検査装置の株に波及する可能性がある ・逆に「生き残る大手に需要が集まる」とも読める ワイの予想は、AIブームが終わるのではなく、「借金でGPUを並べただけの会社」から順に淘汰される段階に入った、だと思う。 NISAでAI関連の投資信託を持っている人は、中身にどんな会社が入っているか一度見ておこう。

社台系クラブからの依頼殆ど来ないのに毎回会合に顔出して挨拶する豊さんよ……という恨み言は置いといて、かつては年間山ほどG1勝ってても社台から干されてから5年10年単位でG1勝てなくなった騎手もいる中、毎年何かしらG1は勝ち続け、今年は異なる3頭でG1勝った武豊騎手はやはり凄いお人です。

GMOのアレ、悪いのは犯人でGMOは被害者って擁護をちょくちょく見かけるけど、起きてる事は、銀行の貸金庫に裏口があったうえに、貸金庫の中身を銀行側が好き勝手に弄れる状態だったので、裏口から入られた犯人に貸金庫の中身を持っていかれたってレベルの話だからな。

ホワイトハッカー、ってそろそろ勘違い(≒幻想)だって気付いて欲しい 会社のセキュリティを推進する、って人はスーツも着れるし社会的にもちゃんとしてる人 コンテストですごい人が会社を守るなんて、ある？

やっぱり松井秀喜って相当な人格者だったんだ。 あとこれ見ると人のことをちゃんと見てるから、案外監督向きかも。

これ of これ。 あのとき司法取引で無罪と引き換えに金子さんをその技術と共に抱え込んでいたら、日本はブロックチェーンで覇権を取っていたかもね。 ホワイトハッカーと簡単に言うが、過去にハッククラックの一つも行ったことの無い技術者が、攻撃より何倍も難易度の高い防御側で立ち回れるとは到底思えない。 100/100で相手の攻撃を防ぐためには悪の手口を知り尽くしている必要がある。 必然的に、実力はあるが倫理観に欠ける人間に、過去の免罪符と引き換えに国家に協力を促す仕組みは大きな推進力となる。 日本はこういう清濁併せ呑む処断を行う法整備が未熟すぎる。 因みにワイは金子さんが47氏時代にリアルタイムでnyの誕生を見届けた人間の一人なんだが（これも前に書いた）、金子さんを必要以上に美化するつもりはない。 当時のﾀﾞｳｿ板がどのような場所で、ny前身？のNapsterやMX鯖でどのような行為が行われていたかを鑑みれば、そこに未必の故意が存在したという検察の主張は一定合理性のあるものだと思ってる。 でもね、それを差し引いてもnyという革新的なアプローチの名刀を法の金槌で潰してしまったのは日本にとって大いなる損失だった。 同じ違法ファイルの巣窟でも、YouTubeを新たなるメディアインフラにまで昇華させたアメリカと、nyというイノベーションの芽を技術者ごと叩き潰す日本、 ヒトという不確実性の集合体である国家の判断として、果たしてどちらが「正しい」選択だったんだろうね。

GMOさ、噂なんだけどIT界隈の見立てでは 攻撃側が実は元社員等の可能性が囁かれてる 理由は内部事情に詳しすぎるからとの事 もしかしたら内部告発に 近い可能性もあるのかもしれない

この１週間の脆弱性ウィークはマジでヤバかった。 インターネットが始まってから発見された脆弱性の約3％がこの１ヶ月で見つかったみたいな記事みたけど。 脆弱性の発見が指数関数的に増えてる。 なんでこんなことがおきているかっていうと、 ・ソフトウェアを書く為の言語本体 ・機能をまとめたライブラリOSS みたいな、インターネットの土台にあたる部分を、AIがものすごい速さで読み込んで穴を探せるようになったから。 これまで脆弱性を見つけるには、腕のいいセキュリティ研究者が何週間もコードを読む必要があった。 今はフロンティアAIモデルが、何年も前の監査で見つかったのに後回しにされていたバグを掘り起こし、新しいバグまで見つけて、実際に攻撃できるコード（エクスプロイト）まで作ってしまう。 今回のPHPの件がまさにそれ。 しかもこういう土台のソフトほど、少人数のボランティアがほぼ無償で支えていることが多い。 PHPはWebサイトの7割近くで使われているのに、メンテナはひと握り。AIのおかげで「見つける側」は一気に増えたけど、「直す側」の人手は増えていない。 その結果、発見のペースに修正が追いつかず、今回みたいに情報が先に漏れてパッチが出る前に悪用される、ということが起きる。 土台に穴が一つ開くと、その上に乗っているサービス全部が影響を受ける。だから今は、ただ脆弱性の数が増えているというより、「見つかる速さ」と「直せる速さ」の差がどんどん開いている状態って感じ。 だからAnthropicやOpenAIはOSSのセキュリティチェックを無償でやるよ！とか言ってくれてる。 脆弱性は絶対に無くならないので、早く対処して、早く直そうって感じ。 個人が出来ることは、 ・OS及びアプリの最新アプデ ・Free-WiFi、VPNの回避 ・Wi-FiRouter等の更新 ・2段階認証の徹底 ぐらいなんですけど、画像のグラフ「番号が振られた脆弱性の件数」の増加度を見てもらうと分かるように。 まぁもうクラッカーの間では個人情報もほぼOSS化してるようなもんや… めっちゃ急速に増えてるんすね。 なので毎日OS更新アプリ更新ぐらいの気持ちでいても慎重になりすぎってことじゃないんちゃうか？っていう このデータ見て「自分には関係ないっしょ」って冷笑して手遅れになっても私はしーーらない。

セキュリティにちなんで、静的HTML化は本当に安全か？ ってポストをいくつか見たんで自分としての見解。 実際自分も静的サイトが改ざんされた例をいくつか見てきたが、それはガンブラーウイルス食らった制作会社からもれたFTP情報起点だったり、消し忘れてたMTの残骸起点だったりと、原因自体が別の場所にあるケース。 純粋な静的HTML化部分としてはそもそも全部公開情報になるし、ユーザーからの入力がないので、そもそも攻撃面がないんだよなぁと。 .envや.gitまわりをアップしてしまって掘られることもあるかもしれない。 けど、これらは全部静的HTMLの安全性とは別の話。 つまり静的HTML化はやっぱ安全だよネ～～！ と、締めくくろうと思った瞬間、思いついた💡 外部CDNのJavaScriptを読み込んでたら、そこからサプライチェーン攻撃の起点になりうるわ～と。 あとは、JSは同じサーバーから読み込んだとしても、外部APIからデータを取得して表示する場合、受け取りデータを「HTMLやプログラム」として扱うとそれはやっぱリスクになるね。 いやぁ、気づいてよかった。 赤っ恥かくところだった😂

画像の内容は、他サービスからのID・PW漏洩を悪用した楽天IDへの不正ログイン事案として、楽天公式も類似の注意喚起を出しており、X上でも利用者報告が散見されるため概ね事実ベース。ただし「楽天ユーザー終了」は過度な表現。パスワード変更と二要素認証（またはパスキー）の設定を急ぎましょう。