20260521_security_any_AI_is_ray_trusted_loved

Security.anyにてお話しさせていただいた資料の公開版です。
オリジナル版を見たい方は，お手数ですが，Xにてyuri_snowwhiteを見てください

Transcript

1. ～そのAI，セキュリティ侵害してませんか？～ 2026/06/21 白"雪姫" a.k.a Yuki Sunaoka
2. ～お断り～ 本スライドには 著作権に触れるところが出てきます。 お写真・SNSへのアップは おやめください。 公開版の登壇資料は そちらを差替や削除したものを公開します。
3. 自己紹介 • Name ◦ 白"雪姫"（しらゆき） a.k.a Yuki Sunaoka • Company ◦ 某コンサルファーム ▪ 本勉強会主催の方にお聞き下さい。 • Jobs ◦ SRE/Infrastructure Architect • Community ◦ JAWS-UG クラウド女子会運営 ◦ AWS Global Community Gatherings 共同運営 ◦ AWS Community Builders as Security Category • SNS ID ◦ yuri_snowwhite
4. 質問1 ご来場の皆様は， セキュリティ対策をAIに任せてませんか？ セキュリティは私に任せてくださ い！！！
5. 本当に，わかってやって貰ってますか？ • IaCコード ◦ SAST（静的ファイルセキュリティ）の基準 • 構築基準 ◦ NIST，IPA，CISなどなど • アプリケーション基準 ◦ FISC，IPA，OAWSPなどなど こんなの覚えてられる わけないじゃん！！ 最近は,AIのセキュリティ侵害も 増えてるし！！！
6. 質問2 ご来場の皆様は， CTFをやったことありますか？
7. CTFとは？ • Catch The Flagの略称 • セキュリティの専門知識や技術を用いて，Flag（答え)を導き出 すハッキングコンテストのこと by Google先生より
8. CTFをAIに解かせたらどうなるか？ 先日（2025/5/17)にJAWS5/17)にSecruity-JAWSでCTFが開催されましたので実際に AIで解かせてみました。 https://s-jaws.connpass.com/event/383752/
9. 先に結果 現地参加組で優勝してきました（左上はオンライン優勝の方です）
10. 実際には・・・・ • チュートリアルや初級問題と呼ばれてる部分は業務でやっていると ころもあったので手動 • 中級・上級・エクストラあたりは勘所つかいつつ，AIを利用しました。 ◦ AIはKiro・ClaudeCodeを利用してスクレイピングさせたりして解かせてます。 ◦ 主催もAI利用可ということで実施しています。
11. AIの答えはどうだったか？（タイトル回収） • 1つの問題で複数の回答を見つけてきたりしてる。 ◦ 結果，答えが合ってるかは人の判断に委ねないといけない ※この画像では1つの問題に対して フラグ: TVAULT{hardcoded_secret_in_js} フラグ: TVAULT{curl_headers_revealed} と2つ出てきてます
12. 実際は役に立ったか？ 実際，答えを出してくれているので役 には立っている。 だけど，必ずしもも正しい答えを持っ てきているとは限らないので余計に時 間がかかる場合もある。
13. 個人的結論 • AIは万能ではない。 ◦ 指示の仕方や自分好みの学習 をさせる必要がある • 基準値の公式MCP等もこれに関し ては有用 • 指示の仕方で全く違う物が出ていく る ◦ なんなら違うところの答えを当て てきちゃう
14. 真偽をきちんと見極めるために 基礎知識は持った上でAIを使いましょう でなければ飛んでもない 答えをだしてきて　痛い目を見ます
15. 宣伝 自己紹介でお話ししたJAWS-UGでは，9月に24時間ぶっ通しイベントやります！ オンラインなので参加してくれると嬉しいな！
16. ご静聴ありがとうございました