アプリケーションセキュリティ & 安全な開発

「SQLインジェクション」は怖くない！あなたのプログラムを「最強の金庫」に変える魔法の呪文こんにちは！セキュリティの世界へようこそ。日々、開発の現場でコードを書いていると、「セキュリティ対策をしなさい」と口うるさく言われることはありませんか...

CORSは「ブラウザの善意」に依存した砂上の楼閣か：設計者が直視すべき境界線のプロトコル多くの開発者が、CORS（Cross-Origin Resource Sharing）を単なる「APIの通信許可設定」だと誤解している。しかし、現場でイ...

CORSは「ブラウザの善意」に頼るな。防御の最前線で語る実務的なポリシー設計現場でインシデント対応をしていると、必ずと言っていいほど遭遇するのが「CORS（Cross-Origin Resource Sharing）の設定不備」だ。「とりあ...

「とりあえず `` にしてない？」CORS設定の落とし穴と、泥棒に入られないための正しい鍵の管理術こんにちは！セキュリティの世界へようこそ。日々、コードを書いていると「あれ、ブラウザからAPIを叩いたらエラーが出る…面倒だからとりあえず A...

こんにちは。セキュリティの世界へようこそ。現場で泥臭くインシデントと戦い続けていると、「なぜこんな単純なミスで、これほど大きな穴が開いてしまうのか」と頭を抱えることがよくあります。今日は、あなたのWebサイトを「偽物」から守るための強力な盾...

玄関の鍵をかけたはずが、なぜか泥棒が入ってくる？「CSP」で最強の防犯を実装しようこんにちは！セキュリティの世界へようこそ。今日は、Web開発の現場で必ずと言っていいほど耳にする「CSP（Content Security Policy）」に...

LLMは「記憶」の悪夢を見るか？ ― 生成AIにおける学習データ抽出攻撃の深層と防衛アーキテクチャ現場の最前線でインシデント対応をしていると、経営層から「AIを使いたい」という魔法の杖が飛んでくる。だが、セキュリティアーキテクトとしての我々...

LLMの「記憶」を剥ぎ取る：学習データ抽出攻撃（Training Data Extraction）の現実と防御策こんにちは。現場で泥をすすりながらインシデント対応をしていると、最近は「LLMを組み込んだアプリをリリースしたい」という相談が後...

AIが秘密をしゃべってしまう？LLMの「学習データ漏洩」を防ぐ防犯の知恵こんにちは。セキュリティの現場で日々、複雑な攻撃と対峙しているエンジニアです。最近、ChatGPTのようなAI（LLM：大規模言語モデル）を業務に取り入れる企業が急増し...

AIモデルの「毒」をどう見抜くか：Data Poisoningに対するアーキテクトの矜持AIの時代において、我々セキュリティアーキテクトが直面している最大の悪夢は、もはや「SQLインジェクションでDBが抜かれること」だけではない。学習データ...