Grok Bot’s X connector is now free, no developer account or X API credits needed! > Ask @bot to sort your bookmarks, go through your DMs or draft an X article > At launch in August it made you a developer account and paid users only got starter credits > Now it comes with Premium, Super and Ultra at no extra cost

pressé reimagines vintage studio equipment as the tune x3 headphones, bringing the tactile details and industrial character of classic audio gear into a contemporary listening device. read more: designboom.com/technology/tu…

The thing with working with ai is that you can keep telling them to do something, tighten this writing, improve the style, make it better... ..and no matter how rounds you do, they will keep doing it until the result is absolute garbage. they never push back that I could but it doesn't seem like a good idea. it's like the opposite of capable human who would just tell you no, you're being dumb, what you actually want is... (i know I could prompt this this way, but the human bias/the tools kind of just expect you to command them what you want, not really trying to understand what the purpose is, and push back on when the task no longer makes sense)

⚠️急ぎ認識&対応必須⚠️ お名前.com VPSのFXサービスの顧客は今すぐPCをネットから外し電源を落とすべき > 被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社の中身を盗み、遠隔操作用のウイルスを仕込んだ」 GMOの顧客のPCがランサムウェアの人質になる💣 <詳細> この投稿は、攻撃者が「これまで隠されていた侵入の全手口（GMO側の技術的落ち度）」を暴露し、さらに「脅迫の標的をGMOから『顧客の自宅PC・個人の私生活』へ切り替える」と宣言した、極めて危険なエスカレーション（脅迫の激化）を意味しています。 書かれている内容を技術的な背景と合わせて噛み砕くと、主に以下の4つの重大な事実とメッセージが浮かび上がります。 1. 侵入の手口：なぜ全VPSが一網打尽にされたのか 犯人は、GMOのシステム構造に「インフラ設計として致命的な初歩的ミス」があったと主張しています。 VPSなのに「Active Directory（社内網の仕組み）」を使っていた 通常、VPS（仮想サーバー）は契約者ごとに完全に隔離（独立）されていなければなりません。 しかし、GMOは社内のパソコンを一括管理するような「Active Directory」という仕組みで全VPSをひとまとめに繋いでいました。 例えるなら: 本来は頑丈な壁で仕切られるべき賃貸マンションなのに、「壁に隣の部屋へ行けるドアがついており、全室共通のマスターキーが存在した」ような状態です。 サポートエンジニアのアカウントからマスターキーを奪取 GMOのサポート担当者がユーザーのサーバーに入って作業した際、その担当者が使った「全サーバー共通の管理者パスワード」の痕跡がサーバー内に残っていました。 攻撃者はそれを拾い上げ、2万7千台すべてのVPSの支配権をいとも簡単に手に入れた（水平移動した）と主張しています。 2. 最大の衝撃：「VPSから自宅PCへの逆流侵入」 これまで被害は「VPSの中（MT4やFX口座）」だけだと思われていましたが、犯人は「顧客が普段使っている自宅や会社のパソコン本体までハッキングした」と明かしています。 原因は配布されていた「RDPファイル」の設定ミス お名前.comでサーバーに接続する際、公式からダウンロードする接続用アイコン（.rdp ファイル）を使います。 このファイルの設定で、「ローカルPCのドライブ共有（リダイレクト）」が最初からONになっていました。 何が起きたのか？ ユーザーが自宅PCからVPSに接続した瞬間、自宅PCのCドライブやデスクトップが、VPS側に丸見えの状態で自動接続されていました。 攻撃者はすでにVPS側を乗っ取っていたため、その接続トンネルを逆走して「自宅PCの中身を盗み、遠隔操作用のウイルス（バックドア）を仕込んだ」と主張しています。 3. 解約したサーバーが「放置」されていた理由 「解約したのに狙われた理由」の種明かしです。 通常、クラウドサービスは解約されると即座にデータが完全消去（初期化）されます。 しかしGMOはコスト削減や再利用の手間を省くため、解約手続き後も次の契約者が現れるまで何ヶ月もサーバーを稼働させたまま放置していたとされています。 そのため、何ヶ月も前に解約して安心していたユーザーのデータがサーバー内に生きたまま残っており、犯人に一括で回収されてしまったということです。 4. 次の行動：脅迫の矛先が「個人への身代金・ばら撒き」へ ここが最も恐ろしい部分です。GMOが要求に応じないため、犯人は「GMOを困らせるために、顧客個人を直接攻撃する」と方針転換しました。 自宅PCのランサムウェア暗号化: 自宅PCを操作不能にし、「GMOが身代金を払わないせいだ」と書いた脅迫状を画面に出す。 極めて悪質な個人情報のばら撒き（ドキシング）:身代金を払わなければ、盗み出した「ブラウザの閲覧履歴（秘密の趣味や検索内容）」「個人データ」を、本人の家族・友人・会社の同僚へ名指しで一斉送信すると予告しています。 送信件名まで指定しており（「○○様がGMOを利用 — セキュリティ不備が招いた恥ずべき事態」）、社会的な尊厳を徹底的に破壊する手法です。 この主張の信憑性と注意点 この犯人の主張（Active Directoryの悪用、RDPドライブ共有によるクライアント逆侵入）は、セキュリティの技術論として「極めて理にかなっており、実際に起こり得る手口」です。単なるハッタリではなく、システムの構造を完全に把握した上での告発・脅迫である可能性が極めて高いと考えられます。 もし過去にお名前.com デスクトップクラウドを利用したことがある場合： 自宅PCの完全スキャン: 配布されたRDPファイル経由で不審なプログラムを埋め込まれていないか、信頼できるセキュリティソフトで自宅PCをフルスキャンする（可能であれば重要データを退避して初期化を検討する）。 ブラウザに保存したパスワードの変更: 自宅PCのブラウザ（Chrome等）に保存されていたクレジットカード、SNS、メール、銀行などのパスワードを別端末（スマホ等）から変更する。 脅迫メールへの無視: 今後、個人宛に「身代金を払え」「家族に閲覧履歴を晒す」といった脅迫メールが届いても、絶対に個人で犯人に連絡・送金せず、警察（サイバー犯罪相談窓口）に相談する。 犯人は現在、「顧客個人を人質にして阿鼻叫喚の地獄絵図を作り、GMOに社会的責任と巨額の支払いを強制させる」という最も凶悪なフェーズに突入しています。

During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a widely-deployed compression library included in many pieces of software such as Node.js, Bun, and Envoy. The flaw could let an attacker run their own code on affected systems by sending or replying with malicious compressed data, without any need to create a user account. That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl --compressed”) could be taken over by a malicious server. This root cause issue was actually fixed in the Brotli source code in February, but it wasn’t known at the time that it gave rise to a security vulnerability and there was no more recent release of Brotli. Since Brotli is built into other software, any software which includes this library needs to take the update too, followed by the users of that software. We disclosed the vulnerability to Brotli and other downstream projects such as Node.js, which released or are currently releasing security updates, and Brotli cut new release versions and published a CVE. More details on the patch and mitigations below: patchtheplanet.org/brotli

【速報】佐川急便、個人情報最大5323万件流出か 47news.jp/15126865.html?utm_…

１０月入ってから毎日のようにどこかで情報漏洩でさすがに一般人もヤバくない？とざわつき始めた所に、サプライチェーンのパッケージ侵害、認証局のガバガバパスワードがバレて MiTM し放題、そして PHP 使ってるだけで細工した POST 投げたら即アウト、一瞬で LLM に攻撃されるとか、なあ… 認証局の件含め今回の問題も十数年見逃されてきたという意味では「突然生えてきたものではなく人間が長年見逃していた」だけではあるんだけど、今後もこういうのがどんどん出てくるんだろうな

Anthropicもdotに似たプロアクティブエージェントリリースしてきたな。OpusベースだからEQ高めと予測できるし安心感はありそう。 しかし、まだ日本では触れず。

We’re opening a research preview of Claude Duet, a new app where Claude works as a proactive agent. It comes to you with what needs your attention, completes tasks you ask of it, keeps working when you step away, and checks with you before it acts on your behalf.

OpenAI models helped researchers—operating as part of our Patch the Planet initiative—discover critical security flaws in PHP, an open-source programming language used to run an estimated 70% of websites. Over the past two months, we led a coalition of maintainers, researchers, and security providers to prepare fixes and protections ahead of disclosure. This duration was necessary because the fix was quite intricate and required a major change to the PHP engine. Every site using PHP can now safely upgrade their version to stay secure, in addition to applying mitigations from various security vendors. Due to the severity of these flaws and PHP’s widespread use, we consider this bug to be one of the most impactful vulnerabilities in recent memory. It also marks a new phase, where AI can find security bugs with internet-scale impact. This is an example of the Defender’s Window in action: to our knowledge, frontier AI was able to find this vulnerability ahead of attackers, giving defenders time to prepare. openai.com/index/coordinated…

PHPとは別件ですが、とにかく全員今すぐ引用元のとこに貼ってるサイトにアクセスしてみて、赤文字が出たらマズいと思ってください(画像の通り、私はマズかったです) 事の発端とかは全部省略して何がマズいのかを簡単に言うと、「悪意ある攻撃者が、自分が所有していないgoogleや銀行のドメインとかについて、暗号学的に正しい署名を持つ偽証明書が作れちゃう」ってこと。 これができると何がマズいのかといえば、DNSの改ざんとか経路の乗っ取りとかで接続先をすり替えることが出来た瞬間に ・HTTPS通信の盗聴と改ざん ・ログイン情報、Cookie、APIトークンの窃取 ・正規サイトを装った偽コンテンツの配信 ・ソフトウェアのダウンロード内容やAPI応答の改ざん が全部できちゃうって感じ つまり「偽サイトが、暗号学的に正しい証明書を使用して、正規の手順で、本当のサイトになりすませる」ってこと 実際に攻撃が行われたかってのは分かってないけど、とりあえず赤文字が出たら非常に脆弱な状態にあるってことは確かなので、まず確認し、赤文字が出たらOSとかBrowserとか全部更新してください それこそAI Agentに聞いてもOKです PHPは企業とかに対する問題だったのであれば、こっちは個人で対処しないとダメな問題なので、今すぐ更新とかによる確認を！(特にEdgeユーザーは要チェック)

SuicaとPayPayじゃダメなの？ JR東日本「teppay」でできること、残念なところ gizmodo.jp/article/2610-jr-e…

There were reports of usage draining faster than anticipated for some users over the weekend. We've identified approximately 40,000 accounts that had an inconsistency on which usage limits where the actual usage that was applied did not correspond to their actual selected plan. We are reaching out individually to all these users and have corrected the issue. If this affected you, we'll add credits to your account. Sorry we got this wrong.

作る前に「自分の哲学」と「システム」を接続させることが大事。