Webtagr - テクノロジーニュースダイジェスト

Google、AIサプライチェーンのセキュリティ強化のため、安定版モデル署名ライブラリをリリース

2025-04-05

大規模言語モデル（LLM）の台頭により、AIサプライチェーンのセキュリティへの関心が高まっています。モデル改ざん、データポイズニングなどの脅威がますます懸念されています。これに対処するため、GoogleはNVIDIA、HiddenLayerとのパートナーシップのもと、Open Source Security Foundationの支援を受けて、モデル署名ライブラリの最初の安定版をリリースしました。このライブラリは、Sigstoreなどのデジタル署名を使用して、アプリケーションで使用されているモデルが開発者によって作成されたモデルと完全に一致することをユーザーが検証できるようにします。これにより、モデルの整合性と出自が保証され、トレーニングから展開までのモデルのライフサイクル全体における悪意のある改ざんから保護されます。将来の計画には、この技術をデータセットやその他のMLアーティファクトに拡張し、より堅牢なAI信頼エコシステムを構築することが含まれます。

(security.googleblog.com)

AI モデル署名

Google、Sec-Gemini v1を発表：AIによるサイバーセキュリティの新時代

2025-04-04

Googleは、サイバーセキュリティAIの限界を押し広げることを目的とした実験的なAIモデル、Sec-Gemini v1を発表しました。Geminiの高度な機能とほぼリアルタイムのサイバーセキュリティ知識とツールを組み合わせることで、Sec-Gemini v1は、インシデントの根本原因分析、脅威分析、脆弱性の影響の理解などの主要なワークフローにおいて優れた性能を発揮します。主要なベンチマークで他のモデルを上回り、CTI-MCQでは少なくとも11％、CTI-Root Cause Mappingでは少なくとも10.5％の改善を示しています。Googleは、協力関係を促進し、サイバーセキュリティにおけるAIの進歩を促進するために、Sec-Gemini v1を厳選された組織、機関、専門家、NGOに研究目的で無料で提供します。

(security.googleblog.com)

AI

Chromeルートプログラム、MPICとリンティングの義務化でWeb PKIセキュリティを強化

2025-03-31

Google Chromeチームは、Chromeルートプログラムにおいて、2つの重要なセキュリティ強化策、マルチパースペクティブ発行確認（MPIC）と証明書リンティングを義務化すると発表しました。MPICは、複数の地理的な場所からドメイン制御を確認することで、BGP攻撃による不正な証明書発行のリスクを軽減します。一方、リンティングは、証明書のエラーを自動的に検出し、セキュリティを向上させます。どちらも、2025年3月15日以降、公開で信頼されている証明書に義務付けられ、Web PKIエコシステムのセキュリティと安定性を強化し、証明書の誤発行を削減します。Chromeチームは、脆弱なドメイン検証方法の廃止と、ポスト量子暗号の世界に向けたソリューションの積極的な探求も計画しています。

(security.googleblog.com)

テクノロジーデジタル証明書

メモリ安全性の脆弱性の排除：安全な設計への集団的コミットメント

2025-02-26

数十年にわたり、メモリ安全性の脆弱性はテクノロジー業界を悩ませ、数十億ドルの損失と信頼の低下を引き起こしてきました。従来のアプローチでは不十分でした。この記事は、「安全な設計」の実践への根本的な転換を呼びかけており、これらの脆弱性を排除することを目指しています。メモリセーフ言語（Rustなど）とハードウェア技術（ARMのMTEなど）の最近の進歩により、これが実現可能になっています。著者らは、メモリ安全性の保証を客観的に評価するための標準化されたフレームワークを提案しており、ベンダーの投資を促進し、最終的に顧客がセキュリティを要求し、報いることを可能にし、より安全なシステムの調達を促進します。これには、さまざまなアプローチをサポートし、ニーズに基づいてセキュリティ要件を調整する、テクノロジーニュートラルなフレームワークが必要です。最終的な目標は、安全なデジタル世界を構築することです。

(security.googleblog.com)

開発安全な設計

Google Play 2024年セキュリティレポート：AI搭載の防御で数十億人を保護

2025-02-03

Googleの2024年Google Playセキュリティレポートは、ユーザーと開発者の安全に対する同社の取り組みを強調しています。AIによる脅威検知、強化されたプライバシーポリシー、改良された開発者ツールを活用することで、Google Playはポリシーに違反する236万件のアプリの公開を阻止し、15万8千件以上の悪意のある開発者アカウントを禁止しました。このレポートは、マルウェアの予防的な特定におけるAIの役割、セキュリティとプライバシーの向上のための開発者との連携（機密データへのアクセス制限、データ削除オプションの改善）、そしてGoogle Play Protectによるリアルタイムスキャン（Google Play外部から1300万件以上の悪意のあるアプリを特定）に焦点を当てています。新しい不正防止機能により、ユーザーは詐欺やマルウェアから保護されます。Googleは、政府や業界パートナーと協力して、より安全なアプリエコシステムを構築するための新しいアプリセキュリティ評価基準を策定しています。

(security.googleblog.com)

テクノロジーアプリセキュリティ

Google、強力なソフトウェア構成分析ライブラリOSV-SCALIBRをリリース

2025-01-19

Googleは、インストール済みのパッケージ、スタンドアロンバイナリ、ソースコードの脆弱性をスキャンするための、拡張可能なソフトウェア構成分析（SCA）ライブラリであるOSV-SCALIBRをリリースしました。多くのプログラミング言語とパッケージマネージャーをサポートし、ソフトウェア部品表（SBOM）を生成します。OSV-SCALIBRはGoogle内部で使用されている主要なSCAエンジンであり、現在はオープンソース化され、より堅牢なコマンドラインインターフェースを提供するためにOSV-Scannerに統合される予定です。

(security.googleblog.com)

開発