片田舎のおっさんシステムエンジニア／#SUNABACO のご縁でアプリケーション開発しています／情報処理安全確保支援士資格／3アマ JJ0XFM／器用貧乏
Joined July 2018
- Tweets10.9K
- Following1.8K
- Followers1.8K
- Likes126K
Pinned Tweet
近大発ベンチャー「美肌コネクト」のリードエンジニアを務めさせていただいています。
AI時代に信頼を支えるソフトウェアエンジニアリングについて、ご支援者さまには特別セミナーを開催させていただく予定です🙇♂️
readyfor.jp/projects/bihada-…
クラーク retweeted
例えば、UniPwnという脆弱性を突くことでBluetooth経由で初対面の中華ロボットのroot権限が誰でも簡単に取れてしまう。。。
なので、展示会とかで歩かせるのは危険なはずなんですよね。
いつ攻撃されて暴れてもおかしくない。
これ真剣にヤバいんです。
致命的な脆弱性やバックドアが既に見つかってて、
米国でも輸入禁止になってますが
日本はなぜか進んでみんな使ってる。。。
いずれ大問題になると思ってます。
fabscene.com/new/news/unitre…
クラーク retweeted
これ真剣にヤバいんです。
致命的な脆弱性やバックドアが既に見つかってて、
米国でも輸入禁止になってますが
日本はなぜか進んでみんな使ってる。。。
いずれ大問題になると思ってます。
fabscene.com/new/news/unitre…
クラーク retweeted
こういう素人が集まってベンチャー立ちあげて人工衛星を作るってプロジェクトを色々見てきたけど、大体自分たちで動かずに全部外注なんだよね
そういう人たち、大概自分たちがゼロから始めて苦難を乗り越えやってきた！ってシンデレラストーリーに陶酔してるんですよ。
大体色んなところに出禁になるまでがセット。
別に(そのプロジェクトがどうなろうとどうでも)いいんだけど、裏で色々聞くから他の人が迷惑被るからもう少し知識をつけるなり努力してほしい
クラーク retweeted
windows使ってる人は、メモ帳の「ファイルを開く」でURLを指定すればソースだけ確認できる。
curlになじみがなくてもできるのでお勧め。
※そもそもで言うと、使う必要がありそうなサイトにはアクセスしないほうが良い
やるべきことは地道な信頼回復だと思う昭和オヂサン🤔
ネット受けは良さそうだが
消費されるだけだと思ふ
【速報】GMO、情報提供者に懸賞金総額1億円超
47news.jp/15147035.html?utm_…
なるほど
Download はマメに全消去する派だけど、たぶんワイは少数派なんだろって思う
リソースギリギリ貧乏エンジニア😭
千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。
昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。
过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？
但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。
黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：
1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。
2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。
最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。
以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。
クラーク retweeted
千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。
昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。
过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？
但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。
黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：
1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。
2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。
最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。
以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。
クラーク retweeted
ナカムラ@nakamakokoは、SUNABACOに関わる人が成果を出せるよう、惜しみなく知恵を共有する。
相手の知識や経験、置かれている状況まで考慮しながら、一人ひとりに伝わる形で言葉を選んでいる。
その説明は驚くほどわかりやすい。
複雑なことでも自然と理解できるため、「もともと簡単な話だった」と錯覚してしまう人も少なくない。
けど、そのわかりやすさは誰にでもできることではないし、普通は得られない話。
35年以上にわたりプログラマーとして第一線で手を動かし続け、技術の変化を追い、新しい情報を学び、論文を読み、市場や時代の流れを理解しながら、実際に成果を出してきた。
その膨大な経験と知識の積み重ねがあるからこそ、物事の本質を見抜き、誰にでも伝わる言葉に変換できる。
ナカムラから、私達が聞いているのは、単なる知識ではなく、長い時間をかけて現場で磨き続けた実践知そのもの。
長年かけて蓄積してきた知識と経験を、相手が理解できる言葉へ翻訳して届けているからこそ、多くの人にとって価値のある話になるのだと思う。
難しいことを難しく話す人はたくさんいる。
けれど、本当にすごい人は、難しいことを誰にでもわかるように話せる人。
ナカムラがやっているのは、まさにそれだと思う。
クラーク retweeted
結構多くの人達が「家が倒壊するのに備蓄しても無駄」「発災＝避難所生活」「困ったら自衛隊や災害ボランティアがなんとかしてくれる」「避難所にはカレーライスや風呂がある」みたいに考えているわけだが。
実際の被災地はほとんどの人達が倒壊を免れた自宅をせっせと片付けながら自宅避難生活をしていて。都市インフラと物流破壊により水も食料も手に入らない状態になり。
自衛隊やボランティアは被害の大きな地域に派遣されるので。家屋が無事な地域は発災直後の支援を受け難い状態となる。
そんな理由から「1週間の備蓄」「食料のローリングストック」はもう何年も前から推奨されているわけだが。町内会でも文句ばかり言って防災訓練に参加しない人達はまず備蓄してないのが現状のイメージ。＞RT
クラーク retweeted
中小企業はなあ...従業員年収400万弱の会社の社長が「なんでまともな人間が応募してこないんだよ」って言ってたけど、そりゃ年収300万台で優秀な社員は求めすぎだと思うんだよな。
【退職倒産が最多 中小企業どう対応】
news.yahoo.co.jp/pickup/6600…
使ってたひとは、ホームルータは切っておいたほうがいいかも。。。保険的な意味で。何にもなくてよかったねで済むとよいのだけど。
【重要】「お名前.com デスクトップクラウド」への不正アクセスに関する現在の対応について（第8報）（【続報】お客様をお守りするために現在私たちが行っていること） | GMOインターネットグループ株式会社 group.gmo/info/alert/2026102…
