#supply-chain

SpaceX、Anthropic PBC、OpenAIが米国で大規模な資金調達や株式関連の動きを進めている 投資家は、その資金が次のAI設備投資ラッシュにつながると見ている その恩恵を受ける候補として、アジアのサプライチェーン企業に注目が集まっている 具体的には、サーバー部品、特殊素材、冷却部品、電力設備などを作る会社が狙い目とされている アジア株にとっては、これが“歴史的な上昇相場”の次の一段を後押しする可能性がある Bloombergの記事が伝えているのは、かなりシンプルだけど、投資の世界ではめちゃくちゃ重要な話です。 要するに、「SpaceXやOpenAIのような巨大AI・宇宙系企業が米国で大きな資金を集めるなら、そのお金はどこに流れるのか？」という視点です。 そして市場の答えはこうです。 AI向けの設備投資がさらに増え、その裏方を支えるアジア企業が潤うのではないか——という見方が強まっている、というわけです。 記事によると、投資家は今、アジアのサプライチェーンに強く注目しています。 サプライチェーンというのは、ざっくり言えば「製品ができるまでの部品・材料・製造・

Laravel-Langの複数PHPパッケージで、サプライチェーン攻撃が発生したと報じられた 攻撃者はソースコード本体ではなくgit tagをすり替え、悪性コミットへ向けた 影響は700以上のバージョンに及ぶ可能性がある 悪性コードは`autload.files`経由で自動実行され、PHPアプリ起動時に勝手に動く 盗む対象がかなり広く、クラウド、Kubernetes、CI/CD、パスワードマネージャ、ブラウザ情報、暗号資産まで狙う 実行後に自己削除まで行うので、痕跡を残しにくい The Hacker News が伝えたところによると、Laravel-Lang に属する複数の PHP パッケージが改ざんされ、認証情報を盗むためのマルウェアを配布するために悪用されたそうです。対象になったのは次のパッケージです。 `laravel-lang/lang` `laravel-lang/http-statuses` `laravel-lang/attributes` `laravel-lang/actions` Laravel-Lang は、PHP/

オープンソースプロジェクトは「突然死」するというより、いろいろな形でじわじわ弱っていく 原因は、メンテナ不在だけではない。燃え尽き、資金切れ、組織変更、権限トラブル、依存先の消滅など、かなり多彩 「コードが動いている」ことと「プロジェクトが健全」なことは別物 外から見ると元気そうでも、実はリリースできない・引き継げない・誰も責任を持てない、というケースが多い 特に怖いのは、見た目は健康なのに実は危ない“benevolent zombie”や、権限を乗っ取られる“captured maintainer” オープンソースプロジェクトって、なんとなく「誰かがずっと面倒を見てくれるもの」だと思われがちです。 でも Andrew Nesbitt のこの記事は、その幻想をかなり痛快に、そして少し不穏に壊してくれます。 テーマはシンプルで、オープンソースプロジェクトには“くだらないほどいろいろな死に方がある”という話です。 しかも面白いのは、「死んだ」の定義が1つじゃないこと。 最後のコミットが何年も前なのに誰も気づかないケースもあれば、コードは更新されているのにリリースできないケースもある

Microsoft Exchange Server のゼロデイ脆弱性が、すでに実際の攻撃で悪用されている Cisco Catalyst SD-WAN Controller でも深刻な認証回避の脆弱性が攻撃対象に npm の供給網攻撃が拡大し、開発者向けパッケージ経由で情報窃取型マルウェアが広がっている Hugging Face の偽AIリポジトリが、正規モデルを装って stealer を配布 AppleとGoogle がRCSのエンドツーエンド暗号化をクロスプラットフォームで展開 ShinyHunters と Instructure の件では、身代金支払いらしき“決着”も話題に OpenAI と Microsoft が、AIを使った脆弱性発見・検証の仕組みを強化している 今週のThe Hacker Newsの週次まとめは、かなり“現実の怖さ”が詰まっています。 一言でまとめるなら、「信頼しているものが、攻撃の入口になる週」だった、という感じです。 メールサーバー、ネットワーク機器、オープンソースのパッケージ、AIモデルの置