引き続き、X断ちを継続する 私の気配を感じてもそれは幻です👁

千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。 昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。 过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？ 但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。 黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md： 1. 对付 OpenAI Codex（成功率 >90%）： 伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。 2. 对付 Claude Code（成功率 ~50%）： 指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。 最黑色幽默的是官方结论： 这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。 以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。

今回のPHPの脆弱性対応について「PHPのバージョン上げるだけやん！」「サイトが崩れてもまずはセキュリティ優先でしょ」「今まで対応してこなかった企業の自己責任じゃん」という意見も見かけるし言ってることは分かる。自分も技術的な観点でいえば間違ってないと思っているが、ただ、ぶっちゃけ現場はそんな単純な話ではなかったりする。 というのも、現場の担当者が求められているのは「今すぐセキュリティ対策をしろ！」だけではなくて、その裏には「ただし、サイトが表示されなくなったり、業務に支障が出たりしたら責任取ってね♡」というなかなか無茶でハードな要求がセットになっていたりする。言葉にはしないが、そういう意図がひしひしと伝わってくるのである。 セキュリティ上の問題を放置するわけにもいかないし、かといってアップデートしてサイトが止まることも許されない。どちらにしても「何かあれば」責任を問われるわけで、そういうプレッシャーの中で対応している現場の人も多いと思ってる。 もちろん現場からすれば「PHPのバージョンを上げるだけで解決するならとっくにそうしてるわ！」という主張もわかる。実際に古いWordPressやプラグイン、独自に実装された機能なんかが絡んでいるとアップデートして何が起こるかマジで分からないからこそ、事前調査やバックアップ、動作確認、万が一の復旧まで考えなければいけないわけです。ほんと大変だと思います。 ここから本題であり、普段からちゃんと保守やセキュリティ対策に予算と時間をかけて、定期的にアップデートできていれば、今回のような緊急時にもある程度は対応しやすかったはずなんですよね。 でも実際には「今問題なく動いてるんだから別にいいでしょ」「そこにお金かける必要ある？」みたいな感じで、保守やアップデートがずっと後回しにされてきた企業や現場も少なくないと思います。僕が今回いろいろ担当したサイトはまさにそんな感じでした。蓋を開けたら色々とひどいけどまあとりあえず動いちゃってる系のサイト。 それなのにいざ今回のような問題が起きた時ほど「何で対応してないんだ！」「今すぐ何とかしろ！」「でもサイトは絶対止めるなよ！」となるのである。現場からすれば「いやいや、だったら普段からちゃんと対応させてくれよ！」「もっと人増やしてくれよ！」となる。 日本の中小企業の体質というか結構ありがちな話だと思いつつ、普段は予算も出してもらえないし時間も確保してもらえない。さらに現場の担当者にはそこまでの決定権すらないことも多い。上司にも理解されづらい。むしろ上司が営業担当というパターンも多く、緊急事態のときにはなかなか役に立たない。現場を取り仕切れるようなディレクターが本来いればいいのだが、もちろんその人件費を捻出するのは中小企業には難しすぎる。 そして何か問題が起きたときには現場の担当者が責任を問われる。そもそも予算を決める権限もないし、普段から時間もなかなかとってもらえずに、人もアサインしてもらえない。何かあったときの責任だけは負わされるという、なかなか理不尽な構造だったりする。 もちろん担当者側も日頃からリスクを伝えたり必要な対応を提案したりすることは大切だと思いますが、ただ最終的に予算を出すのか、どこまで対応するのかを判断するのは会社側でもあるわけで、何かあったときだけ現場に責任を押し付けられてしまうのが現状一般的になっているのかなと思う。 繰り返しになるけど、そもそも日頃からセキュリティに対する意識が高かったり、必要な予算や時間を確保している企業であれば、こうした問題も起きにくいわけです。逆にこれまで保守やアップデートを後回しにしてきた企業ほど今回のような緊急時に対応が難しくなってしまう。 だから「PHPのバージョンを上げればいいじゃん」という意見も分かるのですが、現場では技術的にできるかどうかだけではなく、誰が判断して何か起きたときに誰が責任を取るのかという問題もあるんですよね。 自分もこれまでいろんなクライアントのサイトを触ってきましたが、古いサイトほど簡単には更新できなかったりするし何かあればお客さまの事業に影響が出てしまうわけで、そんな簡単に割り切れるものでもないと思っています。 「予算がない」「今は必要ない」と後回しにしておきながら、いざ問題が起きたら「今すぐ対応しろ！でも絶対に不具合は出すな！」みたいなのはさすがに現場の人がかわいそうだなと思います。技術的な正論だけではどうにもならない事情もあるし、そういう現場の苦労やプレッシャーにももう少し理解があってもいいんじゃないかなと思った次第であります。

#Yahooメール #ヤフーメール 急にAmazonのセキュリティ認証のメールが届かなくなったんだけど、 同じ状況の方いますか？ 24日時点で注文確認のメールは届いてますが、 配達状況確認したく、ページにアクセスしようとしたらこれです😅 見なかった事にしたいくらいクソだる案件きたなぁ…ｗ

知らん間に謎のアプリ入っててスマホ乗っ取られてました。 PayPayに紐づいてた口座から勝手にPayPayチャージされて知らんやつに送金されてました。 みんなも気をつけような！