# 脆弱性を暴くAI！古いシステム崩壊が生む巨大な勝機 あなたの心にハイパーボイスするワールドスピーカー大森武です。 このチャンネルは大森武がお送りすることをお届けしております。 やってくれましたね、AIさん。 世界中大騒ぎですよ。 もうね、そろそろ今週間終わって、さあね、今日も寝ましょうかみたいな。 そんな矢先にPHP、脆弱性発見、通称PHP2シェルというですね、 この問題でみんな、まあみんなじゃねえか、このシステム周りの人はみんな大変だったんじゃないですかね。 本題には毎日こちらさせて。 いま7月29日の無礼歴史を聞く、固形根拠性技術の法と謎をご説明しております。 うち青人さんに刑事が絶賛逮捕所しております。 受け取る際にまた顔しか見えないからどうぞ受け取ってください。 いや私ね、元セキュリティエンジニアでしょ。 懐かしいっていう感じですね。 懐かしい。久しぶりだね。 もうここら辺のなんか保守で。 うちの使ってるシステムでPHP使ってるやつがあるからさ。 あるぞ。このサービスどうするんだ。すぐ対応して。 保守誰に連絡するんだ。 もうバシバシバシバシ。夜中に大騒ぎ。 日本中そうだったじゃないですかね。 あとチャットワークね、うちも普段使っているんですけど、 チャットワークはPHPで作られているから使えないだとか、 ニコニコが動かないだとか、ピクシーが止めただとか、 あとはなんか高市総理が緊急発表したとか。 まあそれもそうなんですね。 ウェブのサイトで行きましたが、 7割方がPHPで作られているものが多いということなんですよね。 だからそこに対して、どういうやつかっていうと、 リクエストを送るわけですね。 このサーバー見たいですとかリクエスト来た時に、 その時にゴミをそのまま残しておくような感じで、 そこに次のやつが来たら処理しきれなくて、 そうしたら、そこの権限なんだけど、 そのアプリケーションを動かしている権限で何でもできちゃうよと。 一番やばいのが、サーバーの大屋さんのマスターキーみたいなやつがあるわけ。 ルートっていうんだけど、 そいつ取れるのかなって思ったら、ルートは直接取れるやつじゃなかったみたいな。 間接的にはできるかもしれないけど、直接は取れないと。 だけどそこのお部屋は出入り自由ですよみたいな感じになっちゃって、 そういう時に悪い人が住んで悪いことやっても隙放題になっちゃうと。 これがですね、すごい問題になったわけなんですよ。 PHPっていうところがね、 私が元気でやってた頃はね、大入りしていたんですよね。 子供の頃は、私はすごい自分がだんだんとジジイになってきたなって感じはするんだけど、 子供の頃って、N88ベーシックとかベーシック言語と、 あとはね、マシン語って呼ばれるものを使ってたんだよね。 マシン語。 16進出の数字ね。 00、01、何ていうか、何ていうか、0F、何ていうか、 ずっと16進出の意味の分かんないやつをひたすらひたすら入力し続けるっていうね。 延々と入力し続けて。 それ何やってるのかなっていうと、 CPUに直接指令を送ることができる。 一番早い形なのね。 最終的にはみんなそうやってさ、 マシン語みたいな状態にするんだよね。 マシン語状態でCPUにやるんだけど、 それ分かんないじゃん、16進出って。 だから、 if○○だったらthen○○ループする、 for○○だったらループ○○。 人間がもうちょっと分かるような言葉でやったのがベーシックだったわけ。 ベーシックの場合は、 人間に分かる言葉なんだけど、 一回それを翻訳しないといけないんだね。 結局、CPUに命令を出さないといけないから、 そこの一回翻訳入れませっていうところでスピードが遅い。 それに対してマシン語は早い。 その後に、 アセンブラーっていうのがあってからC言語っていうのが出てきたんだけど、 もうちょっと分かりやすい、人間が分かりやすい言葉で書けて、 スピードも早い。 C言語はすごい人気だから、 Windowsの一部とかでいまだに使われていますね。 世界中で使われています。 C言語からいろいろと発生していくんですね。 C++ってのが出てきまして、 オブジェクト思考って時代に動いていきます。 ジャバっていうのが出てきました。 そうすると、業務システムがなんだったら、 ジャバとかで使われることが多くなっていったんですよね。 何言っちゃったか全然分かんないですか? 他にもいろんなメーカーごとの言語があったのが、 だんだんと統一されていった時代があったんです。 ベーシックってね。 昔は東芝のベーシックがあったりとか、 富士通も自分の特殊な言語。 当時分かんなかったわけね。 CPUに対してどうやって命令かけたらいいのかなって言った時に、 ベーシック、こういうのできるぞって。 だいたい似たような言葉なんだけど、 みんな方言でやるみたいな。 それがMSXベーシックが出てきてから、 それはパナソニックであったいろんな大きな会社たちが みんな一緒に組んでやったから、 事実上のこれがスタンダードってことになって、 そこで一個統一されて。 今はビジュアルベーシックがなんだって、 いろいろ残ってますね。 それでいろんな言語が出てきましたよって。 PHPって結構後構だったんだけど、 古いか90年代。 流行ったんですよ。 簡単につけれるのね。 それでPHPでいろいろ作る。 私たち、いまだにやってる人いるけど、 ランプ開発と言いまして、 Linuxっていうサーバーを使って、 Apacheっていうウェブを動かすためのサーバーのプログラムがあって、 PHPで書いて、 データベースはMySQLっていうのを使う。 これ全部ね、 要はジェネリックみたいなもんなんだよね。 本当はそのUNIX使ってさ、 UNIXのウェブサーバーがあってさって、 Javaで書きましたね、基本書。 それぞれライセンスゲルがあったものなんだよね。 それをOracle使ってってやってたやつが、 高くて、 他の企業は使えませんねと。 だからお金持ちしか使えないんですね。 UNIXなんての高すぎるわけなんですよ。 それがコピーして作っちゃったんですね。 クローンした。クローンですね。 しましたと。 っていうやつなんですよね、もともとの発達って。 だからPHPっていうのは別に誰が責任取ってくれるもんじゃなくて、 みんなのなんかさ、みんなで作ってったものなんだよね。 で、それに問題があるよって話なんですけど。 まあちょっと言い方変えると、 これね、レガシーコードとかって呼ばれてる、 レガシーシステムって呼ばれてるんだよね。 何十年間と動いてるか、もう伝説的に動いてますよね。 そしてエンジニアの中である言葉が、 動いてるんだったら理事るなっていう言葉があったんですよ。 誰もそれについてさ、手を出せなかった。 だって下手いさあると止まっちゃうんだもんね。 で、しかもそれがもうシステムに上乗せになっちゃってるから、 単純じゃないんだよね。 逆に言うと単純じゃないゆえに、 そんなのハッカーが攻撃しないだろと。 20年間放置されてたんでね。 で、昔から言われたんだけど、 そこの問題実はあるっていうのは分かってたんだけど、 誰もやんねえだろこんなの攻撃なんてって思ったら、 AIだったらやれちゃったんだよね。 だから今解けなかった数学の問題片っ端から解きまくってるっていうのを AIがやってるんだけどさ。 それがその、このプログラム世界でも怒られちゃっていて、 AIだってもう解けちゃうってことが分かった。 この瞬間何が起こったかって言うと、 今回PHP to SHELLっていう問題で、 SHELLっていう会議守られてる中身なんですけど、 これだけじゃないんです。 つまりこの瞬間何が起こったかって言うと、 レガシーのシステム全部危ないぞって話になったわけ。 だからちょっと歴史が動いた一晩だったんだな。 こっから先明らかに、 主導はAIが握ってるってことが決定したわけだ。 で、皆さんね、 セキュリティに携わってなかったらご存知なかったかもしれないですけど、 セキュリティやってた人間からいたしますとですね、 もうね、毎時間毎分ね、 しょっちゅういろんな攻撃の通信が送られてくるんですよ。 しょっちゅうくるんですよ。 ずーっとゾンビがやってきて叩くみたいな。 マンションのドアで行ったらガチャガチャガチャガチャさん、 扉を一個一個ひねりが歩いていくようなポートスキャンみたいなやつがあったりとか、 このタイプの人にはこれが有効だっていう、 得意不得意があると。 そのプログラムが延々と回ってるのがネット上世界だったわけ。 で、一般の私たちはあんまりそこについては知らなかった。 で、住んでたと思うんですけどね。 エンジニア時代はこればっかりですよ。 私もね、国のね、某長のサーバーセキュリティ守っておりましたんですね。 ちょっとNDAがあって言えないんですけど、 やってました。しょっちゅう攻撃きてましたよ。 で、ちなみにそのハッキング的な話でいきますと、 IPアドレスがあるじゃないですか。 どこのIPから来たんですかっていうのが結構重要なポイントで、 やっぱり海外多いですよね。 で、日本人もわざわざ中国にね、 学生とかを連れて中国行って、中国から日本にやると。 日本から中国に情報開示を求めても応じないと。 みたいなところがあったりとか。 よくわからない。英国圏だったらまだ英語でメッセージ送ってたけど、 当時中国語なんてわからないからね。 うーんと、辞書調べようかどうやって書けばいいんだろうとかね。 今時だったらAIで中国語がパッと出ちゃうけど、前はそうもいかなかったわけですよね。 また国同士の関係もありますんで、そんなところは無法地帯な。 で、またそこに中国のハッカーたちがどんどん腕をつけてきて、 実際に中国人を雇っていろいろハッキングしたりとかっていう感じで。 実はね、見えてなかっただけで、ネットの世界って悪意の倉屈なんですよ。 悪意のパケットがバンバンバンバンです。 飛びまくってるんです。 だから私がオープンクローっていうサーバー立ち上げてきて、 うわーって思ったのが、もうまたパッチ当ての日々かっていうね。 で、パッチを自動で当てる運用に変えてやってるけど、今回してるけれど。 これ何言ってるかっていうとね、世界中のこのレガシーでできてたりとか、 いろいろなサーバーがあるわけなんだけど、 PHPだけじゃないじゃん。 別にパールだっていいし、ルビーだっていいし、ベーシックだって構わないしさ。 世界中の外に開いてるプログラムだとかシステムがあるんだったら、 それって侵入できる対象だよね。 どれも全部似たようなものがあるんだよ。 そんなパズルが誰が解くんだよっていうやつを映画が解きますけど、 世界になっちゃったから、PHPっていうのはただ一個。 しかもPHPはここのバージョンはこれだけの話だって、 別のPHPにだけでもいろんなPHPがあるからさ。 まだまだこれから、これが海戦ののろしですよね。 世界中のシステムは今からいけちゃうよって話。 そうすると、例えばそのドアをガチャガチャ引っ張って歩いて回るってやつが、 いろんな国からいろんな人たちがやってるってことじゃない。 相手、この部屋攻めるじゃんと思ったらそこに住み着いて、 そいつを踏み台にするのね。 そこから他のサーバーを攻撃させるわけ。 そうすると、例えば1万件くらいの部屋が見つかったとか、 10万件くらいの部屋が見つかったとするじゃないですか。 そうしたら10万個の部屋とか、100万個でもいいんだけど、 そこの乗っ取ったところから一斉に攻撃をしたりとかできるわけなんですよ。 これはDDoSと呼ばれるアタックなんだけど、 ちょっとあんまりセキュリティの細かい話しててもしょうがないから。 そんなわけで変わっちゃったな、世界がと。 表面上はハッカーと防御のエンジニアに見えるけど、実際は違うんだよ。 これ何が起こってるかっていうと、構造的には、 人間が設計した過去のレガシーなインフラ、 これはもうこれはやらないだろうとかっていう思いで作っても、 それに対してAIの高速演算能力がぶつかってきたってことだから、 これは技術構造が今もう変わってきちゃった。 人間には解けないだろうっていう計算での壁、 こいつを安全神話をもう数時間突破できるっていうことになってきたってことです。 そしてもう一個は経済構造がぶつかってる。 つまり利便性があるとか、コストが安いとかっていうことで今まで作ってきた巨大な経済圏があったんだよね。 今もそうなんだけど。 それよりも少数の開発者と現場のエンジニアたち、 ここのバトルになってきますね。 Webの7割をオープンソースでやってた人たちと、 そうじゃないですよっていったこの回収コストの付けを、 いよいよここで緊急対応で支払わされるっていう現場の労働者ですね。 そして情報管理の衝突ということで、 秩序があるような、開示したいような体制側と抜けがけしてルールを破りたいっていう人のバトルになってきますから。 いち早く政府の情報だとか企業の情報だとか、これを労働者に拡散させて有意的に混乱したいっていう、 こういう人たちとのぶつかりになってきますね。 攻めた守りがどっちが主導権を握ってるかっていうと、 攻める側が今持っちゃってるってことだ。 AIを使って脆弱性を探してますとか攻撃しますとか。 バルネラビリティって英語で言うんだけどさ、 懐かしいなあ、その英語のレポート見てやってたよね、英語苦手って言いながらね。 っていうことはPHPの開発人だけじゃなくて、日本企業とか政府とか現場のエンジニアって、 みんなさ、AIのこの解析速度に引っ張り回される守備側に回らざるを得ないわけだよね。 今回は予防的なシャットダウンということで、 チャットワークとかも、そのセキュリティの盲点につかれる前に、 一回サービス止めますねってやって、パッチは絶対上げますねってやった。 それから海外からのIPを下出しますみたいなこと。 これはもう完全に防戦一方じゃないですか。 ただの路上なんですよね。これからじゃあどうなんですかっていうことですね。 もう世界が変わりましたと、世界のインフラの大部分が、 人間の手作業と認知の限界を前提に作られたわけだ。 だけどこれからAIに自動化と超高速演算で移行したっていう、 これが逆転したのが、世界中にバレたっていうかな。 バレちゃった日、ということなんですよ。世界変わりました。 これまで私たちがやってた、サーバー運用をやってた人間が、 パッチやってるのいたちごっこだったんです、今までね。 セキュリティホールが出るとパッチプログラムを変えて、 人間が手動でサーバーを止めて運用するっていう。 今から止めますとかメール送ってやってたの。 それがもうダメだね。人間の防御というよりも、 AIが探索して攻撃する速度が明らかに速いよね。 人間は人為的に睡眠時間を取らなきゃいけないから限界じゃん。 となるとどうなります? 今後の予測としましては、AIによって自動防御、 自動更新システムしないといけないということになりますよね。 となると、こういう資金力があるのはどこ? 大手のクラウドのマネジメント環境を持っている。 そこに膨大なお金をかけられるのは大企業でしょうね。 それとバーサス、コストが払えない古いPHPもやった、 踏み台となるような中小レーサーサイト。 こうやってね、なるんじゃないかなと。 スラム化していっちゃうわけなんですね。 あらあらあら。 じゃあ私たちどうするんですかっていうと、 じゃあもう大企業でここの、いやあの進撃研究所じゃないけど、 ここの壁の内側大丈夫だからって言って、 大企業が守ってくれたところの中に住まわさせていただいて、 そこのシステムを使うということになっていくでしょうね。 一部の人がそう思うとおりすると。 重要なインフラはみんなそこです。 ちなみにですよ、危ないのはレーガシーシステム動いてるのはどこって言ったら、 例えば重要なインフラ関係、みんなレーガシーシステムですよ。 電力とか水道とか原発とか石油パイプラインとか、 鉄道の信号とか工場の精査内とか、 これ全部24時間止められないとかっていうことで、 90年代から20年代古い組み込みのまま、 未だに動いてますからね。 こいつはちょっと危険。 あとね、病院とか医療のネットワークね、 MRIとかCTIとかのね、 大型医療機器とか放射線治療とか、 電子カルテルとか、 そうそう、電子カルテルシステムね。 これ、ここにもう何億円もしたやつでサポート切れちゃってる、 サポート切れちゃってるWindowsとかDXとか、 未だに古いWindowsが平気で動いてますからね。 こういうのはもうやられちゃうね。 それから行政もちょっと危ないなということになっていきますね。 金融ももちろん、メガバンクとか古いのばっかり、 クレジットカードとかね、 私の知り合いがクレジットカードのビザのシステム作ってたんだけど、 ああいうやつね、やばいね。 特にコボロとかね、メインフレーム使ってるとか、 増改築を無理やりつなげてるみたいなやつですね。 ここに複雑なパックがいっぱいありますからね。 CとかC++、今英語やってるSS5部分ね、 これも危険だし、 航空機、海運、物流、これも全部危ないですね。 これもNEDで言えないんだけど、 航空管制システムとかね、 国防のシステムとかね、 驚くくらい古いのが実は動いていますので、 言えないけど、これはやばいですね。 それからインターネット自体もそうですね、 私はプロバイダーのセキュリティとかもやってたんだけど、 これも危ないね、これもC++だとね、 古いやつが動いてますから、 オープンエンセスルとかも動いてますね、 バインドとかDNSとかやってましたね。 やばいな、これは80年代か90年代C言語で書かれてるんですよ。 メモリー管理すごく大変なのね。 これをみんなボランティアでやってるんだよね。 これを触れちゃったら世界中が壊れるって恐れながらやってるんですよね。 うーん、これはやばい。 暗号化する、これ意外とボランティアで作られてる世界なんですよ。 今言ったやつらは、これは善意の人達だし、 よく使っていきたいって言ってた人達に対して、 ここからですよね、これが攻撃対象として慣れちゃうってことが 今回のPHP 2CLで分かっちゃった。 ただニコニコは見れないとかね、ピクチューは見れないとかっていう、 今回単なるデジタル空間の極利用者の一部に進んだ話じゃないですか。 だけど、さっき言ったような領域について言ったら、 ATMからお金出てこないとか、飛行機が飛ばないとかね、 非常に恐ろしいパニックですよね。 今この世の中をぶっ壊したいって思ってる人たちが、 仕掛けていったらどうなんですか。 これ国家規模でやっていかないとまずいですよね。 民間の自主アップデートレベルではちょっとやばいんじゃないかな。 さあ、一応これね、それだけやって世界がちょっと まずい状態になったよっていうところなんだけど、 こんな中ね、結局儲ける奴は儲けるなよ。 ちょっと考えてみましたよ。どういう奴らが儲けるかなと。 何が伸びるかなっていうと、 そうするとさ、これだね。レガシーM&A、どうですか。 資本とか金融がめちゃめちゃでかいブローシャンなのかなと。 何かっていうと、顧客の基盤とか独自のビジネス、 医療とか物資とか地方のインプラとか商社とか一般じゃない。 優秀なんだが、システムが20年前のレガシーで さっき言ってみたやつで作られている型。 今回のAIショックで、P2P2シェルによって セキュリティの回収費用が払えなくなるんじゃないかなと。 これ普通に見積もったらすごく数字多く、 普通に飛ぶはずなんですよね。 これが払えなくて、もう倒産するのか、 大量生産を終えない中堅企業。 これが今後数年で大量に発生していくはずなんですよ。 そうしたら、これらの企業を二足三門でバイアウトすると。 バイアウトって買うってことなんだけどね。 Exitは売るね。 だから安くバイアウトできんじゃないか。 オタクこれシステムやばいでしょ。 回収費用払えないでしょ。どうするの?止めちゃうの? だって売らない。こんな感じですね。 そしてバイアウトした後に、最新のAIのシステムで組み替えちゃうわけです。 数ヶ月で例えば最新クラウドに強制完走する。 企業価値はまた上がる。 高値で今度はExitするか、ロールアップで統合させるか。 事業再生ファンド。 これが爆弾キャピタルゲインを叩き出すというのが一層でですね。 このファンドやばくないですか。 あとはね、今これでかい話で、 自立型のAI、さっき言ったんだけどね、 攻撃AIシミュレーター、この辺りが伸びると思うんですよね。 今までは人間が攻撃コードを書いて、サーバーを直したってやったんだけど、 サーバー環境そのものを自動で作り出すわけ。 これエフェメレルカって言うんだけどさ。 陣地が毎回変わるみたいなもんで、 そうすると攻撃のAIと防御AIを自社内で常に戦わせて穴を塞ぎ続ける。 こんな感じのシステムだね。 あとはそうだな。 今この動的に変わっててかなりでかいのかなっていうふうに思うんだよね。 AIによって毎日何千個のCVEっていうのが、脆弱性が発見されるんだけど、 これから今そうなっていくわけですね、時代が。 10月に来てから急に発表が増えた、9月から10月に急にそういうCVEの脆弱性が増えたでしょ。 こんなの手始めなんで、これがブワーッとなりますから、 どのバグの、自社の製品のどの部分があって、 どうやって破棄をされるのか。 これをディアルタイムで主役していくという感じかな。 なんで自分のシステムの中で攻撃AIが狙うルートを予測して防いでいくような、 そういう領域ですね。これインフラを作っていくとかね。 あとは一番分かりやすいのは、レガシーコードを自動翻訳して浄化する。 例えばCとかコボルとかで使う。コボルなんて技術者、今もうみんな辞めちゃってるからね、書ける人少ないと。 だけど分かる人に仕事行くしかなかったんだけど、コボル書き換えましょう、フルスクラッチしましょうっていうときに、 そんな恐ろしいことができないと、もうこれ細かく細かく細かくいろんなのがあって、誰が書き換えするんだよ、に対して、 PHPもそうね、今習うんですよ、物膨大な数だよね。 これらを、例えばラストとか新しいモダンな環境へという風に移る。 GOとかありますけどね。メモリーが安全な言語とかあるんですよ。それに自動的に書き換える。 こういうサービス伸びますよね。 すでにアンソロピックがコボルのモダナリゼーションっていうのを公開し始めてるわけなんだけど、 AIが見つけたバグを人間一つずつ成すのは不可能じゃん。だから根本解決は、そもそもバグが起きづらい構造の言語に変えましょうということだね。 もうコボルやめようと、Cやめようと、PHPやめようと、ということだね。 ただし、AIにそのまま丸投げしちゃったら業務のロジックがぶっ壊れちゃうんですよね。 だから、ガバナンスをセットする。AIの変換ツールとガバナンスをセット。 これを提供する企業っていうのは、相当これって何兆という単位の予算が見込まれるじゃないですか。 てな感じかな。 フォーブスジャパンもさっきメッセ行きまして、サイト買いパッチ当てたんであげましたね。 パッチ当てたってね、穴塞ぎましたみたいな。穴開けられちゃうんだよというとかね。 こういう感じで世の中が動いていくと思いますので、ここら辺から発想していただきまして、 時代が変わるという時に問題が起こったら必ず改善が出てきます。 そこに乗っかっても儲けるやつがいるというところになります。 私はこのファウンドのあたりちょっと興味あるかな。 このあたりに蘇生したり、蘇生した人たち、膨大死期を持っている人たちのあたりに うまく乗っかる方法がないかなとね、小規模事業をしながら考えるわけでございました。 はい、ということでちょっと長くなりましたけど、これがね、 やはり時代が一個変わったんだぞという記念の日というところで記録のために残しておきます。 何言ってるかほとんど分からなかった方は、世界が変わったぞ、また一つと覚えていてください。 ではまた次回もお楽しみに。アウトスタンディングな人生を。