【海外の反応】Northflank侵害で「結局ハイパースケーラーが安全」論争に
姉妹サイトの新着
クラウド基盤サービスのNorthflankが侵害を受けたという報告が、Hacker Newsで議論を呼んだ。同種のPaaS企業Railwayも先に侵害されていたことから、話はすぐに「新興のPaaS企業はAWSやAzureのようなハイパースケーラーより本当に安全なのか」という論争に広がった。さらに、Anthropicが大規模言語モデルGLM 5.3の安全対策を外す「アブリエーション」手法を解説したブログ記事が、10月に相次いだセキュリティ侵害(スレでは「Black October」と呼ばれる)を加速させたのではという指摘も出て、賛否が分かれていた。
Northflankが侵害を受けた
出典: status.northflank.com / 元記事はこちら
『使いやすさはセキュリティの代わりにはならない、特に企業向けなら』って言うけど、Azureに言ってみてよ(笑)
https://news.ycombinator.com/item?id=50301854
でもハイパースケーラーって実際もっと安全なの? 『IBMを選んでクビになった人はいない』的な、根拠のない話しか聞いたことない。
オープンなAIモデルの終わりの始まりにもなると思う。米中の政府が、反社会的な用途にモデルが使われるのを黒字で許容すると思ってるなら、売りたいデータセンターがあるよ(笑)
それ30日前の話でしょ。こういうのはもう何ヶ月も起きてる。『Black October』の話の多くは単なる脆弱性研究で、CalifはPHP2Shellを見つけるためにGLM 5.3をアブリエーションしたわけじゃない。
確かにCalifのphp2shell研究はそれより前からあったと思うけど、それでもAnthropicは『安全性と人間の尊厳』を口では言いつつ、実際は業界で一番アクセラレーショニズムなAI企業だと思ってる。
彼らが使ってるのはmythos-5.5で、アブリエーションされたGLM-5.3よりまだ性能がいいよ。
数ヶ月前にProduct Huntの統計を取ったら、2020年と比べて1日あたりのSaaSローンチ数が22倍になってた。AIが業界に与えてる影響は正直計り知れない。興味あれば自分で書いた記事(AI補助で執筆)もあるよ: https://www.mahl.me/blog/product-hunt-is-swamped-now/
Northflankはそんなに新しくなくて、2019年創業。クラウドプラットフォームだよ、詳しくはググれば出てくる。
ここYC系スタートアップのフォーラムなのに、テック系スタートアップが存在することに驚いてるの?
『とにかく早く動いて壊す』は、AI時代にはもう通用しないね。
なぜAIの進歩でセルフホスティングが大変になると思うの? ハードウェアコストが上がる分はあるけど、それはPaaSを使っても結局払うことになるものだし。むしろAIのおかげでLinuxサーバーの運用は4年前よりずっと簡単になった。正しいCLIコマンドを調べたりログを掘ったりする学習の壁がほぼ無くなったから。
どういう意味? もし使ってるなら、Sentryのサブプロセッサー一覧に載ってるはずだから、そこを見てみて。
なるほど。でもhttps://sentry.io/legal/subprocessors/ にはNorthflankが載ってないみたい。Wayback Machineで数日前のページを見ると、Sentryの名前が出てる: https://web.archive.org/web/20261026032756/https://northflan…
Northflankの公式サイトには、Sentryが顧客として載ってるよ。
Azure? 本当に?
シードボックス業者(違法データのホスティング業者)の需要は常にある。ハイパースケーラーは常に『綺麗な手袋』をはめた側で、こういう市場を可能にしてる。
馬鹿でもAzureより良いUXとDevXは作れるでしょ。
Azureのチーム全員が『馬鹿未満』だと思ってるなら、売りたい橋があるよ(笑)。インフラのセキュリティは難しい問題で、GCPやAWSも完璧な実績があるわけじゃない。AWSはまだマシな方だとは思うけど、それも議論の余地がある。
結局同じことだよ。MicrosoftやAWSがハッキングされたとしたら、自分だけがやられたわけじゃなくなる。『うちのせいじゃない、Microsoft/AWSのせいだ、みんなやられてる』って言えるから、自分のキャリアは安全なまま。
『IBMを選んでクビになった人はいない』理論そのものだね。
そう、Exchangeが落ちたら1日休みになるけど、小さなブティック系メールプロバイダーを選んでたら、みんなに怒鳴られながら電話対応する1日になる。
言い訳が欲しいだけならそれでいいけど、本当にセキュリティが必要なら、それは選択肢になり得ない。
Microsoftにいた頃、セキュリティを死ぬほど真剣に扱ってたせいで、機能を出せないことがあった。競合は(セキュリティを軽視して)出せてたのに。うちの審査プロセスは複雑で、何重にもレビューと承認が必要だった。
2000年代半ばから後半にかけて、国内のセキュリティ企業のほぼ全部がMicrosoftのベンダーだった時期があって、その頃のMicrosoftのことは分かる。でも最近聞く感じだと、今はもう違うみたいだね。
『Windowsチームにいたことを言わずにWindowsチームにいたことを伝える』感じのコメントだね(笑)
他サイトの新着
『クビになった人はいない』がまさに核心。給料のために働いてるのか、真実のために働いてるのか。両方あり得るけど、『自分が正しかった』という話は大抵『みんなに間違ってると言われた』から始まる。
自分は真実のためだな。一番安全なプロバイダーを使いたい。でもそれってどこなんだろう?
2026年にもなってまだそれを手作業でやってるなら、重要なものや商用のものをセルフホストするべきじゃないと思う。
『それ』って何を指してる? 自前のハードウェアを使うこと? CLIでサーバー管理すること? それともアプリケーション層より下に触ること?
プラットフォーム側の方が攻撃者からの防御には向いてる。
確かにそうだけど、その分狙われやすい大きな標的になるよね。
Anthropic全般についての意見は特に無いよ。あのブログ記事自体は良い出来だった。でもあのブログ記事が10月のセキュリティ大惨事を引き起こしたわけじゃない。
いいブログ記事だったのは認める。でも、AnthropicがGLM 5.3のサイバー攻撃性能をあれだけ堂々と(間接的に)認めたことの『呼び水効果』を、あなたは過小評価してると思う。
この話題の背景と論点
Northflankは2019年創業のPaaS(アプリ開発・運用基盤)で、監視ツールのSentryも顧客に名を連ねる。スレは単発の侵害報告から始まったが、議論の軸は大きく二つに分かれた。一つは「新興のPaaS企業は大手クラウド(AWSやAzureなど)に比べて本当に安全なのか」という論争で、擁護派は大手は審査体制が厳重だと主張し、反対派は「IBMを選んでクビになった人はいない」式の責任回避に過ぎないと反論した。もう一つは本題から外れた脇道で、AnthropicがオープンモデルGLM 5.3の安全対策を外す「アブリエーション」手法を紹介したブログ記事が、10月に相次いだ侵害事件(スレ内で「Black October」と呼ばれる)を誘発したのではという指摘。これに対しtptacek氏は、侵害の原因となった脆弱性調査はブログ公開前から進んでいたとして否定しており、因果関係は確定していない。読者はNorthflank単体の技術的な被害範囲よりも、この二つの論点が並走している点を押さえておくとよい。
※本記事は海外掲示板 Hacker News のスレッド「Northflank Breached」から抜粋し、編集部で日本語に意訳したものです。訳文の責任は当サイトにあります。
まだコメントはありません。