Unityランタイムにおける任意コード実行が可能な脆弱性の技術的解説(CVE-2025-59489) 🔖 23

※ 本記事は Unity と開示タイミングを調整し公開された英語版の第一報記事の翻訳版です。 はじめに こんにちは、GMO Flatt Security株式会社でセキュリティエンジニアをしている RyotaK（@ryotkak）です。 本記事では、2025年5月に開催された Me

Ruby on Rails 6から7に上げただけで情報漏洩？Hash→JSON 変換の挙動変更で実際に生まれた脆弱性 🔖 42

こんにちは、GMO Flatt Security の大崎です。 本記事では、私が作問し弊社の Kaigi on Rails 2025 出展ブースで出題したクイズを解説します。 このクイズは、実際に HackerOne に報告された脆弱性を元ネタとしています。 Ruby on Ra

「Go セキュアコーディングクイズ」in Go Conference 2025 解説

Go Conference 2025 に協賛し、ブースを出展させていただきました！ セキュリティエンジニアの xryuseix です。今回は先日開催された Go Conference 2025 の振り返りと、ブースで出題したセキュアコーディングクイズの解説をお届けしたいと思います

Black Hat USA / DEF CON / BSides Las Vegas 2025年参加記 & 注目セッション紹介 🔖 2

はじめに GMO Flatt Securityセキュリティエンジニアのcanalun、ryotaromosao、mn1、fujitargzです。 本ブログでは、2025年8月上旬に開催されたBSides Las Vegas、Black Hat USA 2025、DEF CON 3

Passkey認証におけるアカウント乗っ取り - Non Discoverable Credentialフローとの混在に起因する脆弱性(CVE-2025-26788)解説 🔖 110

先日公開した記事「Passkey認証の実装ミスに起因する脆弱性・セキュリティリスク」では、「8. Non Discoverable Credentialのフローとの混在」において、StrongKey FIDO Serverのアカウント乗っ取りが可能な脆弱性について言及しました。S

Still X.S.S. - なぜいまだにXSSは生まれてしまうのか？ 🔖 127

XSSこわい 若頭: おいお前ら、なにかおもしろい遊びをしねえか。こんなにみんなで集まる機会もそうねえだろう エンジニア佐藤: そうですねえ、こんなのはどうでしょうか。人間誰しも怖いものが1つはありますから、それをみんなで教えあってみましょうよ 若頭: そりゃあおもしれえな。そう

Passkey認証の実装ミスに起因する脆弱性・セキュリティリスク 🔖 242

こんにちは、GMO Flatt Security株式会社 セキュリティエンジニアの小武です。近年、WebAuthn、特にPasskeyはパスワードレス認証への関心の高まりや利便性の高さから、普及が進んでいます。WebAuthnによるPasskey認証は強固な認証手段ですが

登壇・ハンズオン主催・聴講・ブース出展・運営スタッフ...... それぞれのTSKaigi 2025 🔖 3

こんにちは、"エンジニアの背中を預かる" をミッションに掲げるGMO Flatt Security(以下、Flatt)です。弊社はそのミッションの通り開発組織にとって体験の良いセキュリティサービスを提供しており、その関係で技術コミュニティに協賛・カンファレンスにブースを出展さ

AI「できました！」人間「（…本当に大丈夫か？）」 Devinと探る、AIコードセキュリティ虎の巻 🔖 123

万華鏡のように変化するテクノロジーの世界。かつて専門家が丹精込めて紡ぎ出していた『創造物』――精巧な絵画や心揺さぶる音楽、そして複雑なプログラムコードでさえも――が、今やAIによって驚くほど自然に、そして巧妙に生み出されています。その筆致やロジックのきらめきが、人間の手によるもの

MCPにおけるセキュリティ考慮事項と実装における観点（後編） 🔖 216

本稿は MCP のセキュリティを前後編で解説するものの後編です。前編では MCP のセキュリティを、利用者の視点から考察しました。https://blog.flatt.tech/entry/mcp_security_first後編となる本稿では、攻撃者視点から脅威や攻撃手

RAG(検索拡張生成)を用いるLLMアプリにおける、セキュリティ視点での実装ガイドライン 🔖 172

はじめに こんにちは、GMO Flatt Security株式会社 セキュリティエンジニアの藤田（@fujitargz）です。 昨今のLLM（大規模言語モデル）の急速な進化にともない、LLMを活用したサービスが多数登場しています。しかし、業務改善・ビジネス活用を狙ってLLMを触っ

LLMガードレールの活用法と役割を正しく理解する 🔖 162

TL;DR LLMガードレールはLLMの入出力を監視・制御する技術であり、LLMアプリケーションにおける様々な脅威への対抗策になります。しかし、あくまで役割は脅威の緩和・低減であるため、それぞれの脅威に対する根本的な対策をした上で、万が一の事故に備え文字通りガードレールとして導入

現場のAI活用希望 vs セキュリティ - 板挟みコーポレートエンジニアのためのセキュリティ・ガバナンス実践録 🔖 44

はじめに こんにちは。GMO Flatt Security株式会社でコーポレートセキュリティエンジニアをしています、hamayanhamayanです。 様々な企業で生成AIの活用が進んでいることと思います。その流れは当社も例外ではなく、今年に入ってから、生成AIの全社的な利用、生

Amazon Bedrockを活用した生成AIアプリケーションにおけるセキュリティリスクと対策 🔖 62

本稿では、Amazon Bedrock を活用して生成 AI アプリケーションを開発する際に気をつけるべきセキュリティリスクや対策について紹介します。

AI破産を防ぐために - LLM API利用におけるEconomic DoSのリスクと対策 🔖 53

はじめに こんにちは、GMO Flatt Security株式会社セキュリティエンジニアの松井（@ryotaromosao）です。 近年、LLM（大規模言語モデル）が目覚ましい進化を遂げており、それを利用したLLMアプリケーションが急速に増加しています。特に、AIチャット機能やエ

プロンプトインジェクション対策: 様々な攻撃パターンから学ぶセキュリティのリスク 🔖 205

はじめに こんにちは、GMO Flatt Security株式会社セキュリティエンジニアの石川(@ryusei_ishika)です。 近年、ChatGPT や Gemini などの大規模言語モデル（LLM）をはじめとする生成 AI の活用が急速に進んでいます。その一方で、これらの

AI 時代の認可制御入門:「AI でつくる人」「AI をつくる人」のための実践ガイド 🔖 103

はじめに こんにちは。GMO Flatt Security株式会社 ソフトウェアエンジニアの梅内(@Sz4rny)です。 一つ前の記事である「MCPにおけるセキュリティ考慮事項と実装における観点（前編）」では、MCP Server / Client のリスクについて紹介しました。

MCPにおけるセキュリティ考慮事項と実装における観点（前編） 🔖 192

MCP logo ©︎ 2024–2025 Anthropic, PBC and contributors | MIT license はじめに 本記事は、セキュリティエンジニアのAzaraこと齋藤とコーポレートセキュリティエンジニアのhamayanhamayanが、社内で行った

MCPやAIエージェントに必須の「LLMの外部通信・連携」におけるセキュリティ観点 🔖 187

はじめに こんにちは。GMO Flatt Security株式会社 セキュリティエンジニアの山川(@dai_shopper3)です。 LLMはテキスト生成、要約、質問応答といった多様な用途に高い能力を発揮しますが、単体での活用にはいくつかの制約があります。そもそもモデル単体には、

LLMフレームワークのセキュリティリスク - LangChain, Haystack, LlamaIndex等の脆弱性事例に学ぶ 🔖 169

はじめに こんにちは。GMO Flatt Security株式会社セキュリティエンジニアの森(@ei01241)です。 近年、大規模言語モデル（LLM）の進化により、チャットボット、データ分析・要約、自律型エージェントなど、多岐にわたるAIアプリケーション開発が進んでいます。La

LLM / 生成AIを活用するアプリケーション開発におけるセキュリティリスクと対策 🔖 59

はじめに こんにちは、GMO Flatt Security株式会社セキュリティエンジニアの佐藤(@Nick_nick310)です。 近年、大規模言語モデル(LLM、 Large Language Models)の進化と普及は目覚ましく、多くのサービスや業務プロセスで生成AIとして

JAWS DAYS 2025で180人に聞いた！AWSのセキュリティ課題ランキング 🔖 3

こんにちは。GMO Flatt Securityの@toyojuniです。 昨年に引き続き、今年もGMO Flatt Securityは3月1日(土)に池袋サンシャインシティにて開催されたJAWS DAYS 2025にPlatinum Supporterとして協賛し、ブースを出展

【RubyKaigi 2025クイズ解説】GitLabの事例に学ぶ、Webアプリケーションの重大な脆弱性 🔖 23

GMO Flatt Securityの大崎です。RubyKaigi 2025の弊社ブースで「バグバウンティクイズ」に回答いただいた皆様ありがとうございました。 私はブースには立ちませんでしたが、今回作問を担当しました。各脆弱性の解説ブログとして本記事を執筆させていただきます。 ブ

アプリケーションロジック固有の脆弱性を防ぐ、開発者のためのセキュリティ観点をまとめたスライド（全59ページ）を無償公開しました 🔖 197

はじめに こんにちは、GMO Flatt Security の小島です。 先週、GMO Flatt Securityでは日本初のセキュリティ診断AIエージェントである「Takumi」をリリースしました。Takumiは高度なセキュリティレビューを自律的に行えるAIです。 今回はこの