AnthropicのAIがLinuxカーネルのMultipath TCP周りの欠陥を見つけ、ログインなしで管理者権限を得る攻撃を実証したと報じられた。Red Hatの評価は9.8と最高クラスだが、スレでは既に修正パッチが出ており、MPTCPが有効な環境は限られるという冷静な指摘も多く、Android・IoT機器・Go製サーバーへの影響や、AIによる攻撃と防御の行方が議論された。
AIがLinux脆弱性を実証へのネットの反応
最終防衛ライン、突破されました！
ログインせずに、サーバーを管理者として操作できてしまいました。攻撃を実証したのは、Anthropic（アンソロピック）のAIです。
10月27日の同社の公式発表では、AIがLinux（リナックス）の弱点を見つけ、ログインせずに管理者としてサーバーを操作できる攻撃コードを作成・実証したと報告しました。
Linuxはわたしたちが使うPCではあまり使われていませんが、サーバーやネットワーク機器、産業・研究用途でよく利用されているOSで、影響範囲は広いです。
今回使ったのは、社内で研究している未公開のAIです。「ここに問題があります」と教えるだけでなく、本当に攻撃できるかまで確かめています。
攻撃まで実証できるとなると、頼もしいような、怖いような…。
ログインしていないのに、なぜ操作できた？
問題が見つかったのは、Linuxの中核部分「カーネル」です。メモリや機器の管理など、OSの基本的な働きを支えています。
Anthropicが攻撃を実証した対象は、複数の通信経路を使う「Multipath TCP」の接続を受け付けるサーバーでした。
通信を処理するときの不具合を悪用すると、ログインなしで管理者権限の操作ができたといいます。利用者が怪しいリンクを開く操作も不要でした。
攻撃への対処には、サーバー側の修正が必要というのもネックです。
Red Hatの評価では、この問題の深刻さを表すスコアは10点満点中9.8で、最も深刻なランクに分類されています。
管理者として勝手に操作されれば、保存された個人情報などの盗難や書き換えにつながるおそれがあります。
詳細はソース先 2026/11/3
https://news.yahoo.co.jp/articles/57bf60c797b754f7462e741779cdde6a8e430d7e
前スレ
https://asahi.5ch.io/test/read.cgi/newsplus/1793716399/
まあこれ以前に怪しいAPKを入れないに越したことはない
自宅サーバーとかLinuxベースのブロードバンドルーターの人が危険だね。お前のスマホは無事
そもそも対策されてないサーバーがヤバイんだからクライアントがなんだろうが危険だろｗ
• 多くの主要なLinuxディストリビューション（AlmaLinuxやRHELなど）では、デフォルトでMPTCP自体がオフになっているか、カーネルが対応していてもアプリケーション側で明示的に有効にしない限り機能しません。
• 直近の「Go 1.24」以降でビルドされた一部のサーバーアプリなどではデフォルト有効化の動きがあり注意喚起されましたが、それでもインターネットに公開されているすべてのLinuxサーバーが対象になるわけではなく、対象はかなり「限定的」です。
2. 「タイミング」の難しさとAIの力
この攻撃が難しい最大の理由は、カーネル内でのミリ秒・マイクロ秒単位の「競合状態（レースコンディション）」を意図的に引き起こし、勝利しなければならない点にあります。
ただしC言語より安全な言語としてGoogleが開発したGo言語を使っている場合は
Multipath TCPがデフォルトで有効になっているから危険らしい
Multipath TCPがOS側で有効になっていてもソフト側で有効になっていなければ攻撃は成功しないらしい
通常Multipath TCPがデフォルトで有効になっていることはないから
デフォルトでMultipath TCPが有効になるGo言語を使っている場合のみ危険
linuxはあっちこっちで使われまくってるけど
＞Multipath TCP
これを有効にしてるのが滅多にない
Multipath TCPを使ってるソフトがほとんどないからだよ
OS側に脆弱性があってもソフト側が有効にしていなければ攻撃は成功しないらしい
Go言語を使っている場合のみデフォルトで有効になっているから危険
前段にIPS入れてるところは割とアッサリ防御できそう
攻撃にはipv4オプション付きのTCPパケットが必要なのでそれ全部落とせばいいっぽいね
https://dnobori.cyber.ipa.go.jp/ppt/download/20261031/261031-HowToProtect-Linux-Kernel-CVE-2026-98432.pdf
まー既にパッチ出てるんだからアップデートしろよって話だが
CVE-2026-98432
修正パッチは10/11に出てるから修正パッチのリリースコメントを読んでたらその時にわかったはず
サーバーはアップデートされるけど、IOT機器はほったらかしが多いし
大丈夫じゃないよ
そもそも2年以上まえにサポート切れてるから論外
ＡＩ「パスワードなんぞ関係ない」
それは人間がボケ
AIない時からパスワード関係ない
8割がた人類の敗北だな
AIに聞いてみた
1.そもそも利便性の高さと安全性はトレードオフで、便利であるほど穴が発生する確率は高まる
2.AIが穴を見つけてるとは言え、何十年も安全と信じられてきたLinuxカーネルやPHPのコードがOS製造の知識ベースにあるから、まだ発見されてない脆弱性が潜んでいるなら、必然的にその脆弱性も混入することになる
3.安全なOSを製造するAIの特性を攻撃側のAIも学習して穴を見つけ出そうとしてくるから、結局はいたちごっこになる
つまり完璧はありえない
アンソロはそこで何を訴えたいんだろうか？
リリース前の作業にひと手間追加しなさいってことなのか、企業向けに能動防御のAIを入れなさいってことなのか
今は非公開の最上位モデルでしかやれないけど
それもそのうち公開版のAIが追いつくから
公開版がこのやり方を使って攻撃してきますよって警鐘なんじゃないの
破壊もできない
見つけて報告しただけ
しない
AIはできない
するのはAIではなくAIに命令受けたエージェント
それはAIじゃない
サーバー管理者の給料なんてたかだか知れてる。
それに対してハッカーは全財産奪っていく
だから資金力で言えば防衛側の１万倍以上、攻撃側が資金力を持つようになる。
資金力はそのまま戦力に直結する。ゆえに多勢に無勢になり勝負にもならない
つまりより複雑化した侵入方法が残されている可能性が存在しているということ
結局は利用者が少ないから穴を突かれなかっただけ
派手な見出しとは裏腹に、パッチ済みで条件も限定的という落ち着いた意見が多かった。とはいえ放置されがちなIoT機器や古いサーバーは心配で、あなたの家のルーターは更新されていますか？
引用元：【速報】 Linux、最終防衛ライン突破され、AIサイバー攻撃でパスワード不要。ログインせずにサーバー管理者として操作される不具合
元記事：https://news.yahoo.co.jp/articles/57bf60c797b754f7462e741779cdde6a8e430d7e
コメント