彼はひと眠りして、朝目を覚ますと、請求額が四百ドル増えていた。
コードは一行も書いていない。パソコンも起動していない。その四百ドルは、彼が眠っている間に、誰かが彼のアカウントを使って発生させたものだった。
十月十七日の深夜、オープンソースのプログラミングツールを開発する会社が、そのツールを使ったことのある人たちにメールを送り始めた。件名は短く、「至急対応が必要」。第三者サービスのキーが漏洩した可能性があるという。
二通目は夜明け前に届き、どのサービスかが明記されていた。OpenAI、Anthropic、Google。
影響を受けたのは、同社のオンラインダッシュボードのアカウントの1.4％。数字だけ見れば大きくない。だが、その人たちにとっては、被害のすべてだ。
問題はある場所にあった。攻撃者が侵入したのは、廃止作業中の古いシステムだった。遡れる限りでは十六日の深夜にはすでに侵入されていたのに、彼らが最初のメールを受け取ったのは二十二時間後。二十二時間あれば、何回呼び出しを実行できるだろう。利用枠を使い切るには十分だ。相手があなたの目を覚ます前に、一連の操作をすべて終えるにも十分だ。
何が問題だったのか。誰もがもう停止したと思い込んでいた片隅にあった。なぜそんなことが起きたのか？誰のチェックリストにも載っておらず、何かあっても真っ先に思い出されない場所だったからだ。
多くの人は、キーは推測されたり、総当たりで割り出されたりして漏れると思っている。そうではない。漏洩の大半は、そもそも解読なんて必要ない。誰ももう見ていない場所に置かれていて、しかもドアが開いたままなのだ。主要システムから移し、廃止予定と印をつけて、そのまま動き続けていることを忘れてしまう。
なぜこの古いシステムが、これほど長い間放置されていて誰も気づかなかったのか。会社から明確な説明はない。
ある開発者は、まずAnthropicから利用枠の警告を受け、その後にツールの提供元から通知が来たという。順番が逆だ。料金を請求する側が、請求される側より先に気づいた。Google Cloudで二百ユーロを使われ、悪用を理由にプロジェクトを停止された人もいる。今月分の二十ドルの利用枠を使い切られたという人もいた。
返金されるかどうかについて、会社は三社と協議中だとしか言っていない。少なくとも、約束には聞こえない。他のモデルの訓練に使われたかどうかも、はっきりしない。彼らはこれを「大規模な蒸留攻撃」と呼んでいるが、その説明が妥当かどうかは調査を待つ必要がある。
この一件の構図は、暗号資産界隈にはおなじみだ。
ウォレットには、いくつもの承認が設定されている。二〇二一年、あるサイトに無制限の利用許可があった。ホワイトリスト枠を取るために設定したもので、クリックを済ませたときは「自分は手際がいい」と思った。翌日にはそのサイトの名前も忘れたのに、コントラクトアドレスはあなたのアドレスの下にずっと残り、誰かがノックしに来るのを待っている。その頃は、承認を取り消すなんて考えもしなかった。
プロジェクトの運営者はとっくに逃げた。承認は残ったまま。あなたは忘れている。ブロックチェーンは覚えている。
これは、廃止されたバックエンドにキーを保存しておくのと同じことだ。
去年、広く使われていたウェブ接続コンポーネントが、何者かによって別のバージョンに差し替えられた。数時間のうちに、多くの人のウォレットが空になり、通報する間もなかった。誰もそれを解読したわけではない。ただ、バージョンが差し替えられただけだ。あなたは気づきもしない。署名するとき、画面に表示される説明は、以前と同じままだからだ。
このことを、私はずっと考えてきた。セキュリティの評価は、新しいか古いかで決めるべきではない。新しいものは毎日誰かが見ている。古いものは誰も見ない。それだけのことだ。廃止手順の途中にあるシステムが最も危険だ。保守対象のリストにはなく、まだ完全には停止していない。誰もが、いずれ勝手に消えると思い込んでいる。
では、どうすればいいのか。具体的に言おう。ウォレットを開いて、承認リストを一番古いところまでさかのぼり、見覚えのないものは取り消す。三年前に登録して、今ではパスワードすら忘れた取引所があれば、APIキーをきれいに削除する。特に出金権限のあるものは必ず。シードフレーズは紙に手書きし、スマホの写真フォルダには撮って保存しない。
十分もかからない。
十分で、もう忘れているかもしれない侵入口を一つ塞げる。
本当にやる価値がある。
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #加密
コードは一行も書いていない。パソコンも起動していない。その四百ドルは、彼が眠っている間に、誰かが彼のアカウントを使って発生させたものだった。
十月十七日の深夜、オープンソースのプログラミングツールを開発する会社が、そのツールを使ったことのある人たちにメールを送り始めた。件名は短く、「至急対応が必要」。第三者サービスのキーが漏洩した可能性があるという。
二通目は夜明け前に届き、どのサービスかが明記されていた。OpenAI、Anthropic、Google。
影響を受けたのは、同社のオンラインダッシュボードのアカウントの1.4％。数字だけ見れば大きくない。だが、その人たちにとっては、被害のすべてだ。
問題はある場所にあった。攻撃者が侵入したのは、廃止作業中の古いシステムだった。遡れる限りでは十六日の深夜にはすでに侵入されていたのに、彼らが最初のメールを受け取ったのは二十二時間後。二十二時間あれば、何回呼び出しを実行できるだろう。利用枠を使い切るには十分だ。相手があなたの目を覚ます前に、一連の操作をすべて終えるにも十分だ。
何が問題だったのか。誰もがもう停止したと思い込んでいた片隅にあった。なぜそんなことが起きたのか？誰のチェックリストにも載っておらず、何かあっても真っ先に思い出されない場所だったからだ。
多くの人は、キーは推測されたり、総当たりで割り出されたりして漏れると思っている。そうではない。漏洩の大半は、そもそも解読なんて必要ない。誰ももう見ていない場所に置かれていて、しかもドアが開いたままなのだ。主要システムから移し、廃止予定と印をつけて、そのまま動き続けていることを忘れてしまう。
なぜこの古いシステムが、これほど長い間放置されていて誰も気づかなかったのか。会社から明確な説明はない。
ある開発者は、まずAnthropicから利用枠の警告を受け、その後にツールの提供元から通知が来たという。順番が逆だ。料金を請求する側が、請求される側より先に気づいた。Google Cloudで二百ユーロを使われ、悪用を理由にプロジェクトを停止された人もいる。今月分の二十ドルの利用枠を使い切られたという人もいた。
返金されるかどうかについて、会社は三社と協議中だとしか言っていない。少なくとも、約束には聞こえない。他のモデルの訓練に使われたかどうかも、はっきりしない。彼らはこれを「大規模な蒸留攻撃」と呼んでいるが、その説明が妥当かどうかは調査を待つ必要がある。
この一件の構図は、暗号資産界隈にはおなじみだ。
ウォレットには、いくつもの承認が設定されている。二〇二一年、あるサイトに無制限の利用許可があった。ホワイトリスト枠を取るために設定したもので、クリックを済ませたときは「自分は手際がいい」と思った。翌日にはそのサイトの名前も忘れたのに、コントラクトアドレスはあなたのアドレスの下にずっと残り、誰かがノックしに来るのを待っている。その頃は、承認を取り消すなんて考えもしなかった。
プロジェクトの運営者はとっくに逃げた。承認は残ったまま。あなたは忘れている。ブロックチェーンは覚えている。
これは、廃止されたバックエンドにキーを保存しておくのと同じことだ。
去年、広く使われていたウェブ接続コンポーネントが、何者かによって別のバージョンに差し替えられた。数時間のうちに、多くの人のウォレットが空になり、通報する間もなかった。誰もそれを解読したわけではない。ただ、バージョンが差し替えられただけだ。あなたは気づきもしない。署名するとき、画面に表示される説明は、以前と同じままだからだ。
このことを、私はずっと考えてきた。セキュリティの評価は、新しいか古いかで決めるべきではない。新しいものは毎日誰かが見ている。古いものは誰も見ない。それだけのことだ。廃止手順の途中にあるシステムが最も危険だ。保守対象のリストにはなく、まだ完全には停止していない。誰もが、いずれ勝手に消えると思い込んでいる。
では、どうすればいいのか。具体的に言おう。ウォレットを開いて、承認リストを一番古いところまでさかのぼり、見覚えのないものは取り消す。三年前に登録して、今ではパスワードすら忘れた取引所があれば、APIキーをきれいに削除する。特に出金権限のあるものは必ず。シードフレーズは紙に手書きし、スマホの写真フォルダには撮って保存しない。
十分もかからない。
十分で、もう忘れているかもしれない侵入口を一つ塞げる。
本当にやる価値がある。
$BTC $ETH $BNB
#OpenCode #API密钥 #账户安全 #加密