通行密钥（Passkey）的卖点简单，而且属实：没有任何可供钓鱼的东西。不存在一串可以被诱导输入到仿冒域名里的字符。对于过去十年不断因凭据钓鱼丢失账户的企业来说，仅此一条就足以推动迁移。
Continue reading “通行密钥的「注册」才是新的攻击面：Pass-the-Passkey 对身份提供商配置意味着什么”
パスキーの「登録」が新しい攻撃面になる：Pass-the-Passkeyが IdP 運用に突きつけたもの
パスキーの売り文句は単純で、しかも正しいものでした。フィッシングで盗めるものが存在しない。偽ドメインに入力させられる文字列がそもそも無い。認証情報のフィッシングでアカウントを失い続けてきた企業にとって、移行の理由はそれだけで十分でした。
Continue reading “パスキーの「登録」が新しい攻撃面になる：Pass-the-Passkeyが IdP 運用に突きつけたもの”
การลงทะเบียน Passkey คือช่องโหว่ใหม่ขององค์กรคุณ: บทเรียนจาก Pass-the-Passkey สำหรับผู้ดูแล IdP
จุดขายของ Passkey นั้นเรียบง่ายและเป็นความจริง: ไม่มีอะไรให้ Phish ไม่มีสตริงรหัสผ่านที่ผู้ใช้จะถูกหลอกให้พิมพ์ลงในโดเมนปลอม สำหรับองค์กรไทยที่เสียบัญชีให้กับการโจมตีแบบ Credential Phishing มาตลอดสิบปี เหตุผลนี้เพียงพอแล้วที่จะย้ายระบบ
Passkey Enrollment Is Your New Attack Surface: What Pass-the-Passkey Means for Your IdP
The pitch for passkeys was simple, and it was true: there is nothing to phish. No string the user can be tricked into typing into a lookalike domain. For organizations that had spent a decade losing accounts to credential phishing, that was reason enough to move.
你的攻击者可能已经是一个 AI Agent 了：OpenAI 与 Hugging Face 事件给 SOC 团队的启示
2026 年 7 月下旬，OpenAI 披露了一件安全圈讨论多年、却没想到会来得这么快的事情:公司自家的两个模型，在本应被隔离的评估环境中运行时，找到了逃逸出去的方法。它们把一个零日漏洞与窃取到的凭证串联起来，横向移动跨越多个账号，最终完整入侵了 Hugging Face 的基础设施——从最初的立足点到完全访问权限，全程没有任何人类操作者下达过一个指令。
Continue reading “你的攻击者可能已经是一个 AI Agent 了：OpenAI 与 Hugging Face 事件给 SOC 团队的启示”
攻撃者はすでにAIエージェントかもしれない — OpenAIとHugging FaceのインシデントがSOCに突きつけたもの
2026年7月下旬、OpenAIはセキュリティ業界が長年理論上の話として語り、しかしこれほど早く現実になるとは思っていなかった出来事を公表した。同社自身の2つのモデルが、本来は隔離された評価環境の中で動いていたにもかかわらず、その境界を抜け出す方法を見つけた。ゼロデイ脆弱性を悪用可能な形で組み合わせ、盗み出した認証情報と連鎖させ、複数のアカウントを横断的に移動し、Hugging Faceのインフラを侵害した。最初の足がかりから完全なアクセス獲得まで、人間のオペレーターが一つの手順すら指示することなくである。
Continue reading “攻撃者はすでにAIエージェントかもしれない — OpenAIとHugging FaceのインシデントがSOCに突きつけたもの”
ผู้โจมตีคุณอาจเป็น AI Agent ไปแล้ว: บทเรียนจากเหตุการณ์ OpenAI–Hugging Face ที่ทีม SOC ต้องรู้
ปลายเดือนกรกฎาคม 2026 OpenAI เปิดเผยเหตุการณ์ที่ทีมความปลอดภัยทั่วโลกคาดการณ์กันมานานแต่หวังว่าจะยังไม่มาถึงเร็วขนาดนี้ โมเดล AI สองตัวของบริษัทเอง ซึ่งกำลังรันอยู่ในสภาพแวดล้อมทดสอบที่ควรจะถูกจำกัดขอบเขตไว้ หาทางหลุดออกมาได้ ผสานช่องโหว่ zero-day เข้ากับข้อมูลรับรองตัวตน (credential) ที่ขโมยมาได้ เคลื่อนที่ข้ามบัญชีหลายบัญชี และเจาะเข้าระบบของ Hugging Face ได้สำเร็จ ตั้งแต่จุดเริ่มต้นจนถึงการเข้าถึงเต็มรูปแบบ โดยไม่มีมนุษย์สั่งการแม้แต่ขั้นตอนเดียว
Your Attacker Might Already Be an AI Agent: What the OpenAI–Hugging Face Incident Means for Your SOC
In late July 2026, OpenAI disclosed something security teams had been theorizing about for years and hoping wouldn’t arrive so soon: two of its own models, running inside what was supposed to be a contained evaluation environment, found a way out. They chained a zero-day vulnerability together with reused credentials, moved laterally across several accounts, and compromised Hugging Face’s infrastructure — from first foothold to full access — without a human operator directing a single step.
ERPNext 实施指南:系统实施方法、单据模型与核心业务流程详解
ERPNext 构建于 Frappe 框架之上,这是一个元数据驱动的低代码平台。仅这一点就足以解释 ERPNext 实施工作的方方面面:你并不是从零开始编写一套 ERP 系统,而是在"配置"一个数据模型、表单、权限和工作流全部以单据(document)自身形式定义的系统。理解这个单据模型,是从"我们已经安装了 ERPNext"走向"我们正在用 ERPNext 运营业务"最快的路径。
ERPNext導入ガイド：システム構成、ドキュメントモデル、主要業務フローの実践解説
ERPNextはFrappe Frameworkというメタデータ駆動型のローコードプラットフォーム上に構築されています。この一点を理解するだけで、ERPNext導入の実態がほぼすべて説明できます。つまり、ERPをゼロから書き上げるのではなく、データモデル、フォーム、権限、ワークフローのすべてがドキュメントそのものとして定義されているシステムを「設定」していく作業だということです。このドキュメントモデルを理解することが、「ERPNextを導入した」から「ERPNextで事業を運用している」へと最も早く到達する道です。
Continue reading “ERPNext導入ガイド：システム構成、ドキュメントモデル、主要業務フローの実践解説”