今年Anthropicを中心に多くの参加企業の協力のもと行われ発表されたMythos Preview というレポートの内容が衝撃的だったため、レポート自体が非公開になり、代わりにProject Glasswing というものが結成されました。MS、Cisco、Googleなど多くのテック企業からなる有志連合で、1億ドル分のClaude利用クレジットも提供されるという。
Mythosの詳細は公開されていないものの、解説記事などによるとOpenBSD、FreeBSD等Linux系の脆弱性が多数報告されているようです。これらは20年近く前から存在していたバグを悪用したものも多いようで、全部のケースではないが、悪用できるPoCも自動生成しているらしい。
Linux系がなぜ多いのかですが、自分の推測では市場に出回っているインストール数の多さがまず挙げられると思います。全世界で稼働している業務サーバの70%はLinuxで動いており、米国市場だけで見てもほぼ同じです。また、Windows Serverと異なりお金がかからないFreeBSDやCentOSのようなものが広く出回ったことも関係があるでしょう。
FreeBSDは少し前まではPlayStationの中の定番でしたし、安いWiFiルータ、VPN装置にもかなり使われてきました。近年VPNがやられているのはVPN-SSLの根深い問題だけでなく、OS自体の脆弱性に原因があります。
個人情報が大量に漏洩しているのは、物販サイトのインフラで使用されているフレームワーク自体の脆弱性も関係があるでしょう。
生成AIがビジネスの中で当たり前に使われるようになってきましたが、ローカルLLMの使用においては注意も必要だと言われています。Agentic Codingや自動ペネトレのツールで、無料のローカルLLMを利用できますが、どれを選択するかの際には世の中で危険と言われているのもはあえて選択しないのが賢明と思います。