SANS Stormcast Tuesday, May 19th, 2026: New libssh in Malware; Exchange 0-Day; MSFT Authenticator Update isc.sans.edu/podcastdetail/9…

⚡ libssh SFTP initialization ignores CURLOPT_TIMEOUT, hangs indefinitely 👨🏻‍💻 giant_anteater ➟ curl ⬜ None 💰 None 🔗 hackerone.com/reports/373508… #bugbounty #bugbountytips #cybersecurity #infosec

Use both same but difference trap door 🚪 C honeypot is a network security mechanism, implemented using the C programming language, that acts as a decoy system to detect, deflect, and study unauthorized access attempts. By mimicking a vulnerable system or service, it lures attackers away from real production systems, allowing security professionals to gather threat intelligence about their methods and motivations.   Key Aspects of a C Honeypot C is suitable for developing honeypots because it allows for efficient, low-level network programming using sockets, which is essential for creating services that listen on specific ports and emulate various network protocols.   Functionality: A C honeypot typically opens a port (e.g., port 22 for SSH or other common service ports) and waits for incoming connections. When an attacker connects, the honeypot logs the interaction details, such as the source IP address, attempted usernames and passwords, and any commands executed within the emulated environment. Purpose: The data collected helps security teams understand current threats, identify new attack vectors, and improve the defenses of their actual, critical systems. Types: C can be used to build different interaction levels of honeypots: Low-interaction: These simulate only basic service responses and are easier to deploy and maintain. High-interaction: These provide a more extensive, realistic shell environment (often using libraries like libssh) to engage attackers for longer periods, yielding deeper insights into their behavior but requiring more resources and careful isolation. Isolation is Crucial: Honeypots must be properly isolated from the main network, often using a "honeywall" (a dedicated firewall), to prevent attackers from using the compromised honeypot to pivot and attack legitimate internal systems.  Examples and Resources Several open-source projects and code snippets for building honeypots in C/C are available on platforms like GitHub: Simple TCP Honeypots: Basic implementations can be found that simply log connection attempts to a specified port. SSH Honeypots: Projects such as sshpotutilize libraries like libssh to simulate an SSH server, logging login attempts and providing a basic interactive environment. GitHub Repositories: You can explore various C honeypot projects on GitHub, such as HackWidMaddy/HoneyPot or ChrishSec/Honeypot, to see source code examples and build your own.

About to ship a fix for the critical (9.8) CVE-2026-3731 in libssh, in @DeterminateSys secure packages. ref: nvd.nist.gov/vuln/detail/CVE…

openai scanned 1.2 MILLION commits in 30 days they found 10,561 high-severity bugs. 792 criticals. in projects you probably depend on right now openssh. gnutls. chromium. libssh. PHP. these arent hobby repos. these are the foundations your entire stack sits on. and humans missed this stuff for years codex security doesnt just flag noise like your linter having a panic attack. it builds context across the whole project, validates the finding, then proposes the actual fix thats the difference between "here are 4000 warnings you will ignore" and "this specific function in openssh lets an attacker do something you dont want" free for the next month on chatgpt pro/enterprise/business. research preview stage honest question - do you actually trust your current CI pipeline to catch what an agent just found hiding in OPENSSH

AIがソースコードの脆弱性を自動発見し、検証まで行った上で修正案まで提示する――OpenAIが新たに発表した「Codex Security」が公開リポジトリ120万件以上を解析し、数千件の重大バグを発見した。 OpenAIはAIを用いてソフトウェアの脆弱性を検出・修正するセキュリティエージェント「Codex Security」を公開した。ChatGPT Pro、Enterprise、Business、Edu向けに研究プレビューとして提供され、CodexのWeb版から利用できる。今後1か月は無料で利用可能だ。 この機能は2025年10月に非公開ベータとして公開された「Aardvark」の進化版で、AIの推論能力と自動検証を組み合わせて脆弱性を高精度で特定する。誤検知の削減にも重点を置き、従来ツールが見逃す複雑な問題も検出できるという。 過去30日間のベータ期間では、外部リポジトリの120万件以上のコミットを解析し、重大な問題792件と高リスク問題1万561件を発見した。対象にはOpenSSH、GnuTLS、GOGS、Thorium、libssh、PHP、Chromiumなどのオープンソースプロジェクトが含まれる。 具体例としてはGnuPGのCVE-2026-24881、CVE-2026-24882、GnuTLSのCVE-2025-32988、CVE-2025-32989、GOGSのCVE-2025-64175、CVE-2026-25242、ThoriumのCVE-2025-35430〜CVE-2025-35436などがある。 Codex Securityはまずリポジトリ構造を解析して脅威モデルを作成し、その文脈を基に脆弱性を特定する。発見した問題はサンドボックス環境で検証され、実際の影響度を確認した上で提示される。 さらにシステム挙動に適合する修正案も生成し、レビューや導入を容易にする設計となっている。OpenAIによれば、継続的なスキャンにより誤検知率は全リポジトリで50％以上減少したという。 thehackernews.com/2026/03/op…

【AIセキュリティ・DevSecOps】OpenAI Codex Security、120万コミットをスキャンし10,561件の高深刻度問題を発見 OpenAIは金曜日、AIを活用したセキュリティエージェント「Codex Security」のリサーチプレビューを開始した。脆弱性の発見、検証、修正提案を行う機能で、ChatGPT Pro、Enterprise、Business、Eduユーザー向けに1ヶ月間無料で提供される。 Codex Securityは2025年10月にプライベートベータで公開された「Aardvark」の進化版である。過去30日間のベータ期間中、外部リポジトリの120万件以上のコミットをスキャンし、792件の重大な問題と10,561件の高深刻度の問題を特定した。これにはOpenSSH、GnuTLS、GOGS、Thorium、libssh、PHP、Chromiumなど多数のオープンソースプロジェクトの脆弱性が含まれる。 具体的に発見されたCVEとして、GnuPGのCVE-2026-24881/24882、GnuTLSのCVE-2025-32988/32989、GOGSのCVE-2025-64175/CVE-2026-25242、ThoriumのCVE-2025-35430〜35436などが挙げられている。 同エージェントはフロンティアモデルの推論能力と自動検証を組み合わせ、誤検知を最小化しつつ実用的な修正を提供する。同一リポジトリへの継続スキャンでは、偽陽性率が50%以上低下した。 動作は3段階で構成される。まずリポジトリを分析してプロジェクトのセキュリティ関連構造を把握し、編集可能な脅威モデルを生成する。次に、システムコンテキストを基盤として脆弱性を特定し、実世界への影響に基づいて分類する。最後に、サンドボックス環境で検証を行い、システム動作に最も適合する修正を提案する。AnthropicもClaude Code Securityを発表しており、AIを活用したセキュリティスキャン分野の競争が本格化している。 thehackernews.com/2026/03/op…

OpenAI Codex Security：AIが「脆弱性を見つけて、証明して、直す」時代が来た 「脆弱性スキャナー」ではない。リポジトリ（コードの保管場所）を読み込み、脅威モデルを自分で作り、サンドボックス（隔離された検証環境）でPoC（実際に悪用できることを示すデモコード）まで生成して検証するエージェントだ。2026年3月6日、OpenAIがResearch Previewとして公開したCodex Security（旧称Aardvark）と、2週間先行したAnthropic Claude Code Securityを、実践視点で比較解説する。 ━━━━━━━━━━━━━━ 【3行で分かる版】 ・Codex Security：GitHubリポジトリをコミット単位でスキャンし、脅威モデル構築→脆弱性検出→サンドボックス検証→パッチ提案まで自動で行うセキュリティエージェント ・実績：直近30日間で120万コミットをスキャン。OpenSSHやGnuTLSなどOSSで14件のCVE（公開された脆弱性に付与される世界共通のID番号）を発見・報告済み ・競合比較：Anthropic Claude Code Securityが2週間先行で同市場に参入。「パターンマッチではなくコード推論」という設計思想は両社共通だが、アーキテクチャとアクセス方法が異なる ━━━━━━━━━━━━━━ 【なぜ今このタイミングか】 時系列で整理する。 ・2024年：CVEの年間報告数が4万件を突破。AIによるコード生成の急速な普及で、人間によるセキュリティレビューが追いつかなくなった（ボトルネック化） ・2025年10月：OpenAIが「Aardvark」をプライベートベータとして少数の顧客に提供開始。GPT-5を活用したエージェント型セキュリティ研究ツールとして位置付け ・2026年2月5日：GPT-5.3-Codexリリース。OpenAI Preparedness Framework（モデルのリスクレベルを評価・管理するOpenAI独自の安全基準）でサイバーセキュリティ分野「High capability」扱いとなった初のモデル（OpenAIは「決定的な証拠はないが予防的に対応」と説明）。脆弱性発見に特化した訓練が初めて施された ・2026年2月20日：Anthropicが「Claude Code Security」をリサーチプレビューとして発表。Claude Opus 4.6で500件以上の脆弱性を発見したと公表。サイバーセキュリティ株が急落（複数メディア報道：CrowdStrike約-8%、Cloudflare約-8%など） ・2026年3月6日：OpenAIがAardvarkを「Codex Security」にリブランドし、Research Previewとして一般公開 つまり、OpenAIのフロンティアモデルが「脆弱性を見つけるのに十分な能力を持つ」段階に成熟したことと、Anthropicの先行参入への競争圧力が重なったタイミングだ。 ━━━━━━━━━━━━━━ 【ベータ期間の定量データ：120万コミット / 30日】 OpenAI公式ブログが公開したベータ期間の数値（出典：openai.com/index/codex-secur…）： ・スキャン規模：直近30日間で外部リポジトリの120万コミット以上をスキャン ・検出数：792件のクリティカルな発見（findings）、10,561件の高重大度の問題を特定 ・クリティカル出現率：スキャンされたコミットの0.1%未満 ・ノイズ削減：あるリポジトリで84%のノイズ削減（初回スキャンからの累積改善） ・重大度の過大報告：90%以上削減 ・偽陽性率：全リポジトリで50%以上削減（偽陽性＝実際には問題ないのに「脆弱性あり」と誤検出されるケース） これらの数値は「同一リポジトリを時間経過とともにスキャンした結果」として報告されている。公式ブログでは「ユーザーのフィードバックから時間とともに学習し、発見の品質を向上させる。発見の重大度を調整すると、そのフィードバックを使って脅威モデルを洗練し、以降のスキャンの精度を改善する」と説明されている。 （筆者注：「84%ノイズ削減」はベストケース1リポジトリの数値であり、全リポジトリ平均ではない点に注意。公式ブログでも"in one case"と明記されている） OSS向け脆弱性発見の実績として、14件のCVEが割り当てられている。対象プロジェクトはOpenSSH、GnuTLS、GOGS、Thorium、libssh、PHP、Chromiumなど。社内デプロイでは、SSRF（サーバーを騙して内部リソースにアクセスさせる攻撃）や、クロステナント認証バイパス（他の顧客のデータに不正アクセスできてしまう認証の欠陥）を発見し、数時間以内にパッチされた事例がある。 ━━━━━━━━━━━━━━ 【機能解説①：脅威モデルの自動構築】 〈何が起きるか〉 GitHubリポジトリを接続すると、Codex Securityはまずリポジトリのコード全体を読み込み、プロジェクト固有の「脅威モデル」を自動生成する。SiliconANGLEの報道によれば、この処理には数日かかる場合がある（出典：siliconangle.com/2026/03/06/、OpenAI公式では所要時間の明示なし）。 脅威モデルは自然言語で記述された長文のドキュメントで、いわば「このシステムにはどんな攻撃リスクがあるか」を整理した設計書のようなものだ。以下を定義する： 1. システムが何をするか 2. 何を信頼するか（信頼境界 — 例えば「社内ネットワークからのリクエストは信頼するが、外部からのリクエストは信頼しない」といった線引き） 3. どこが最も攻撃に露出しているか 〈既存ツールとの違い〉 従来のSAST（静的解析 — コードを実行せずにテキストとして解析する手法）は、あらかじめ定義されたルールセットに基づいてパターンマッチングを行う。Codex Securityは、プロジェクトごとにコンテキストを構築してから脆弱性を探す。これにより「このプロジェクトではこのパターンは実際にはリスクにならない」という判断が可能になる。 〈実践Tips〉 脅威モデルは編集可能。自動生成された脅威モデルを確認し、自社のアーキテクチャに合わせてカスタマイズすることで、以降のスキャン精度が上がる。セキュリティチームが重要と考えるエンドポイント（外部からアクセスできるURLやAPI）や信頼境界を追記するのが効果的だろう。 ━━━━━━━━━━━━━━ 【機能解説②：サンドボックス検証とPoC生成】 〈内部の動き〉 脆弱性候補が見つかった後の検証フローは以下の通り： 1. 脅威モデルをコンテキストとして、コードベースから脆弱性候補を検出 2. 候補をサンドボックス（隔離環境）に持ち込む 3. 実際に攻撃コードを実行して、本当に悪用できるか試す 4. 悪用に成功した場合、PoC（再現手順つきのデモコード）を生成し、検証済みの発見として表示 5. 修正パッチをシステムの文脈に沿って提案 〈何を基準に動くか〉 検出された脆弱性は「期待される実世界でのインパクト」に基づいてランク付けされる。ここが重要で、単なるCVSSスコア（脆弱性の深刻度を0〜10で数値化する業界標準の指標）ではなく、「このプロジェクトの脅威モデルにおいて、この脆弱性がどれだけ危険か」というコンテキスト依存の評価が行われる。 OpenAI公式ブログでは、セキュリティチームが発見の重大度を調整すると、Codex Securityがそのフィードバックを使って脅威モデルを洗練し、以降のスキャンの精度を改善する仕組みが明記されている。つまり、使い込むほど自社のアーキテクチャとリスク傾向に最適化されていく設計だ。 〈制約事項〉 サンドボックス検証のフル機能は、Codex Securityにプロジェクト固有の実行環境が設定されている場合に利用可能。OpenAI公式ブログでは「プロジェクトに合わせた環境を設定すると、より深い検証が可能になり、偽陽性をさらに減らせる」と説明されている（筆者注：逆に言えば、環境が未設定の場合はこの「より深い検証」が使えず、PoC生成の精度が下がる可能性がある。ただしOpenAI公式はその場合の挙動を明示していない）。 ━━━━━━━━━━━━━━ 【機能解説③：パッチ提案とワンクリック適用】 Codex Securityは脆弱性の発見だけでなく、修正パッチの提案まで行う。パッチはシステムの意図と周囲のコードの振る舞いを考慮して生成されるため、OpenAI公式の表現では「レビューと適用がより安全になる（safer to review and land）」設計になっている。 〈ワークフロー〉 1. Findings画面で脆弱性一覧を確認 2. 各発見にはCodexが生成したパッチが添付されている 3. パッチの内容をレビュー 4. 承認すればワンクリックで適用 〈重要な前提〉 パッチは自動適用されない。すべて人間のレビューと承認が必要。OpenAI公式ブログでも「Aardvark integrates with OpenAI Codex to help fix the vulnerabilities it finds. It attaches a Codex-generated and Aardvark-scanned patch to each finding for human review」と明記されている。 ━━━━━━━━━━━━━━ 【Claude Code Securityとの比較】 Anthropicが2026年2月20日にリリースしたClaude Code Securityと、機能・アプローチ・実績を比較する。 〈設計思想の共通点〉 両者とも「パターンマッチではなく、コードを推論する」という設計思想を共有している。従来のSASTがルールベースで既知パターンを検出するのに対し、どちらもLLM（大規模言語モデル）の推論能力でビジネスロジックの欠陥やアクセス制御の問題など、ルールでは捕捉できない脆弱性を見つけようとする。 〈主な違い〉 ■ スキャン対象とアーキテクチャ Codex Security：GitHubリポジトリを接続し、コミット単位で継続スキャン。SiliconANGLEの報道によれば、クラウド側でリポジトリのコピーを作成し隔離コンテナ内で分析する。脅威モデルを最初に構築する点が特徴的。 Claude Code Security：Claude Code（Web版）に統合。コードベース全体をスキャンし、コンポーネント間の相互作用やデータフローを追跡。多段階の検証プロセスで偽陽性をフィルタリング。 ■ 使用モデル Codex Security：公式ブログでは「OpenAIのフロンティアモデル」としか記載されておらず、具体的なモデル名は非公開。ただし、GPT-5.3-Codexのブログでは脆弱性発見のための専用訓練やAardvarkベータの拡大が言及されており、同モデルが使用されている可能性が高い Claude Code Security：Claude Opus 4.6（Anthropicの最上位モデル。GPT-5.3-Codexのようなセキュリティ専用訓練については公式に言及がなく、汎用モデルの推論能力をセキュリティ分析に活用しているものと考えられる） ■ 検証アプローチ Codex Security：サンドボックス環境でPoCを生成・実行し、再現性を確認。「本当に悪用可能か」を実証ベースで判定。 Claude Code Security：多段階検証プロセスで結果を再分析し偽陽性をフィルタリング。各発見に信頼度スコアを付与。Anthropicの公式発表では「ソースコードだけでは評価が難しいニュアンスが多いため」と説明。 ■ 対象プラン・価格 Codex Security：ChatGPT Pro、Enterprise、Business、Edu。初月無料。個人のProプランでも利用可能な点が大きい。 Claude Code Security：Claude Enterprise、Teamのみ（限定リサーチプレビュー）。Anthropic公式は価格について明示していないが、リサーチプレビュー段階のため追加費用は発生していないとみられる。Pro / Max / Free は対象外。ただしOSSメンテナーは無料で優先アクセスを申請可能。 （筆者注：StackHawkが指摘しているように、両製品ともランタイムテスト（実行中のアプリケーションに実際にリクエストを送って脆弱性を探すテスト）はカバーしていない。DAST（動的解析）的なテストは依然として別ツールが必要） ■ OSS実績の比較 Codex Security：14 CVE（OpenSSH、GnuTLS、GOGS、Thorium、libssh、PHP、Chromium等）。Codex for OSSプログラムでメンテナーに無償アクセスを提供。 Claude Code Security：500件以上の脆弱性を発見（Anthropic公式は「vulnerabilities」のみで重大度の修飾なし。具体的なCVE番号の公開リストは公式ブログ時点では未確認）。OSSメンテナー向けの無料アクセス申請を受付中。 （筆者注：「14 CVE」と「500件以上」は単純比較できない。CVEの割り当てには報告・調整・確認のプロセスがあり、発見数＝CVE数ではない。Codex Securityの120万コミットスキャンからの「792クリティカル 10,561高重大度」という数字と、Claude Code Securityの「500件以上の脆弱性」も、スキャン対象・期間・重大度の定義が異なるため直接比較は困難） ━━━━━━━━━━━━━━ 【注意点・ハマりポイント】 ・Research Preview段階：両製品ともリサーチプレビューであり、本番環境の唯一の防御策として使うべきではない。既存のSAST/DASTツールとの併用が前提 ・スキャン時間：SiliconANGLEの報道によれば、Codex Securityは脅威モデルの構築に数日かかる場合がある（OpenAI公式では所要時間の明示なし）。初回スキャンは即時結果を期待しないこと ・環境設定の重要性：サンドボックス検証のフル機能を使うにはプロジェクト固有の環境設定が必要。公式ブログでは「環境を設定するとより深い検証が可能になる」と説明されており、未設定の場合はPoC生成の精度が下がる可能性がある ・ランタイムテストは対象外：どちらの製品も静的なコード分析が主体。実行中のアプリケーションに対するDAST（動的解析）は行えない。APIエンドポイントの認証バイパスなど、実際にアプリを動かさないと発見できない脆弱性は別途テストが必要 ・Dual-Use（防御にも攻撃にも使える両面性）への認識：GPT-5.3-Codexは「High cybersecurity capability」に分類されている。脆弱性を見つける能力は、裏を返せば攻撃者にも悪用されうる。OpenAIは不審なリクエストをGPT-5.2にルーティングする安全策を導入しているが、高度なセキュリティ研究を行う場合はTrusted Access for Cyberプログラムへの登録が必要になる場合がある ・万一スキャン結果が極端に少ない（または多い）場合：脅威モデルの内容を確認するといい。自動生成された脅威モデルがプロジェクトの実態と乖離していると、検出精度に直接影響する ━━━━━━━━━━━━━━ 【何が変わるのか】 Before：セキュリティレビューは「ルールベースのスキャナーでアラートを大量に出す → 人間が一つずつトリアージ（優先度を判断して振り分ける作業）する → 大半が偽陽性で疲弊する」というサイクルだった。 After：AIエージェントが「プロジェクトの文脈を理解した上で脆弱性を探し、サンドボックスで検証し、パッチまで提案する」。人間の仕事は「トリアージ」から「レビューと承認」に変わる。 ただし、これは「セキュリティエンジニアが不要になる」という話ではない。Snykが指摘するように、脆弱性を見つけることは元々「難しい部分」ではなかった。難しいのは修正であり、修正の優先順位付けであり、組織全体のセキュリティ文化の構築だ。AIエージェントが変えるのは「検出→検証→パッチ提案」のスピードと精度であり、「何を優先して直すか」「どのリスクを受容するか」という判断は依然として人間の領域だ。 OpenAIとAnthropicが2週間差で同じ市場に参入したことは、「AIによるコードセキュリティ」が実験段階から製品段階に移行したことを示している。既存のAppSec（アプリケーションセキュリティ）ベンダーにとっては脅威だが、開発チームにとっては選択肢が増えた。 ━━━━━━━━━━━━━━ 【今すぐやること】 1. ChatGPT Pro / Enterprise / Business / Eduプランを契約しているか確認する。該当すればCodex web（chatgpt.com/codex）からCodex Securityにアクセスできる（初月無料）。Proプランでも使える点はClaude側との大きな違い 2. Claude Enterprise / Teamを契約している場合はClaude Code Securityのリサーチプレビューへのアクセスを確認する。Pro / Max / Freeプランでは現時点で利用不可。OSSメンテナーであれば、プランに関係なく無料の優先アクセスを申請できる（Anthropicの申請フォームから） 3. まず小規模なリポジトリで試す。脅威モデルの自動生成結果を確認し、プロジェクトの実態と合っているかを評価するのが最初のステップ 4. 自動生成された脅威モデルを編集する。信頼境界やクリティカルなエンドポイントを追記し、スキャンの方向性をチューニング 5. 既存のSAST/DASTツールとの結果を比較する。AI推論型ツールが従来ツールでは見つけられなかった脆弱性をどれだけ検出できるか、逆に従来ツールが拾ってAIが見逃すパターンはないかを確認し、併用戦略を設計する ━━━━━━━━━━━━━━ 【参照】 ・OpenAI公式ブログ「Codex Security: now in research preview」：openai.com/index/codex-secur… ・OpenAI公式ブログ「Introducing Aardvark」（旧名時代の詳細）：openai.com/index/introducing… ・OpenAI開発者ドキュメント Codex Security（製品のセットアップ・スキャン・脅威モデル改善・FAQなど）：developers.openai.com/codex/… ・SiliconANGLE報道「OpenAI introduces Codex Security」：siliconangle.com/2026/03/06/… ・OpenAI公式ブログ「Introducing GPT-5.3-Codex」：openai.com/index/introducing… ・GPT-5.3-Codex System Card：openai.com/index/gpt-5-3-cod… ・Cyber Safety（Trusted Accessの説明）：developers.openai.com/codex/… ・Anthropic公式ブログ「Claude Code Security」：anthropic.com/news/claude-co… ・Axios報道「OpenAI rolls out Codex Security」：axios.com/2026/03/06/openai-… ・Snykの分析記事：snyk.io/articles/anthropic-l… ・StackHawkの分析記事（ランタイムテストの観点）：stackhawk.com/blog/claude-co…

🚨💡🧠AIがコードの脆弱性を発見し修正まで提案：Codex Securityの衝撃 AIが「セキュリティ監査官」になる時代が始まった。 OpenAIが、新しいアプリケーションセキュリティAI 「Codex Security」 を発表した。 これは単なるコードチェックツールではない。 AIがプロジェクト全体の構造を理解し、実際の攻撃リスクを評価しながら脆弱性を発見し、修正案まで提案するセキュリティエージェントだ。 ■ なぜ重要なのか 従来のAIセキュリティツールの最大の問題は ノイズ（誤検知や低リスク警告）が多すぎることだった。 結果として ・セキュリティチームは大量の誤警告を処理 ・本当に危険な問題の発見が遅れる という本末転倒が起きていた。 Codex Securityはここを根本から変える。 AIが ・システム構造 ・信頼関係 ・攻撃面 を理解して脅威モデル（Threat Model）を自動構築し、 実際の影響度ベースで脆弱性を判断する。 つまり 「危険そうなコード」ではなく 「実際に攻撃可能な問題」を見つける。 ■ さらに大きいポイント Codex Securityは 脆弱性発見 → 検証 → 修正提案 までを一体化している。 流れはこうだ。 ① リポジトリを解析してシステム構造を理解 ② プロジェクト固有の脅威モデルを作成 ③ AIが脆弱性を探索 ④ サンドボックスで実際に検証 ⑤ 修正コードを提案 つまり AIがセキュリティ研究者のように行動する。 ■ すでに実際の脆弱性を発見 ベータ期間中、Codex Securityは ・SSRF ・クロステナント認証脆弱性 ・複数の重大バグ を発見し、数時間で修正されたという。 さらに ・誤警告を84%削減 ・過剰な重大度判定を90%以上削減 ・False Positiveを50%以上削減 と精度も大幅改善。 ■ オープンソースにも影響 Codex Securityはすでに ・OpenSSH ・GnuTLS ・PHP ・Chromium ・libssh などの主要OSSで 複数の重大脆弱性（CVE）を発見している。 オープンソースの開発者がよく言う問題は 「脆弱性報告が多すぎて質が低い」 ということだ。 Codex Securityは 量ではなく高確度の問題だけを提示する設計になっている。 ■ なぜ今この技術が重要なのか AIエージェントによって ソフトウェア開発速度は急激に上がっている。 だがその一方で セキュリティレビューが最大のボトルネックになっていた。 Codex Securityは そのボトルネックをAIで解消する試みだ。 もしこれが普及すれば ・AIがコードを書く ・AIがセキュリティ監査する という 「AI開発 AI監査」モデル が標準になる可能性がある。 ■ 現在の状況 Codex Securityは現在 ・ChatGPT Enterprise ・Business ・Edu 向けに研究プレビューとして公開された。 最初の1か月は無料で利用可能。 ソフトウェア開発は 「AIがコードを書く時代」から 「AIがコードの安全性まで保証する時代」 に入りつつある。

Unraid 7.2.4 is out! 🚀 This one's got critical security patches for libssh, a Samba fix for Time Machine users, and a couple of other bug fixes. We strongly recommend everyone upgrade: unraid.net/blog/unraid-7-2-4

⭐️PS5 payload daemons 0.32 released by John Törnblom 🔸elfldr 0.22.1🔸websrv 0.29🔸ftpsrv 0.18.2 🔸shsrv 0.18🔸klogsrv 0.7.1🔸gdbsrv 0.7.3 🔹lib: version bump 🔹llvm: fix compilation with sdk 0.37 🔹libssh: version bump 🔹curl: version bump 📥github.com/ps5-payload-dev/p…

New LibSSH connection plug-in for Ansible replaces Paramiko: developers.redhat.com/articl…

Upgrade your #Ansible Playbooks with LibSSH. Switch from Paramiko to the more performant ansible.netcommon.libssh connection plug-in. Boost security, meet FIPS requirements, and improve network automation. red.ht/4kDjo3O

投稿しました。割と最近の ansible.netcommon コレクションの機能みたいです。 [Ansible] network_cli で libssh を利用する場合 KexAlgorithms などを変数でも指定できる - てくなべ (tekunabe) tekunabe.hatenablog.jp/entry… #ansible

My first CVE of 2026 will be in `libssh`. Fix is in the pipeline, release is "pending".

⚡ CVE-2025-15224: libssh key passphrase bypass without agent set 👨🏻‍💻 nyymi ➟ curl 🟨 Low 💰 None 🔗 hackerone.com/reports/348092… #bugbounty #bugbountytips #cybersecurity #infosec

⚡ CVE-2025-15079: libssh global knownhost override 👨🏻‍💻 nyymi ➟ curl 🟨 Low 💰 None 🔗 hackerone.com/reports/347711… #bugbounty #bugbountytips #cybersecurity #infosec

And for the technically curious - here's what you'll find inside: - Custom ECC cryptographic constructs built from the ground up - Massive improvements to Mongoose networking library - LibSSH hardened and made 0-day resilient - WebRTC swarm protocols with formal TLA specifications - Decentralized file system with full ACL support - Onion routing implementation - And so much more... All the goodies are in there. Dive in.

They might be using something like libssh and just need a stable username to connect. Their backend probably doesn’t actually start up a shell, so that’s why you get a message. supertxt.net does a similar thing using a Go library for ssh.

Fedora 43: libssh Important Fix for Memory Leak CVE 2025 8114 CVE 2025 8277 New upstream release fixing the following security weaknesses (CVE 2025 8114, CVE 2025 8277) Fedora Update Notification FEDORA 2025 5... #Fedora #Linux #infosec... tinyurl.com/28upxrja