AI システムを本番に載せるとき、その影響範囲まで引き受けてしまわないよう支援しています。 ポリシーレビューではなく、攻撃者の前で成立するエージェント型セキュリティのパターンです。
ここまで 20 年。セキュアコードレビューのリード、Nintendo Switch eShop の可用性 99.99% を支えたサイトリライアビリティ、そしてグローバルアカウントに forward-deployed で入る クラウドセキュリティ。現在は東京でセキュリティ組織を率い、日本語と英語でデリバリーしています。
今もコードを書いています。検知とアプリケーションセキュリティのツールは BlueSquadron にあり、 このサイトはその論拠を公開する場です — トレードオフと、助言が当てはまらない場面も含めて。
詳細な経歴は LinkedIn に。
プラグインアーキテクチャを備えた Web アプリケーションスキャナー。Kali Linux と BlackArch に収録され、612 スター、115 フォーク。サーバー、フレームワーク、WAF、CDN を フィンガープリントし、指定したリスクレベルが許すモジュールを実行します。コードは私が選び、 到達範囲はディストリビューションのメンテナーが選びました — 「作ること」と「使われること」の 隔たりについて、これ以上明確な教材はありません。Python 3.11 以降、GPL-3.0。
OWASP ASVS を実際に「回せる」ようにした成果物。4.0.2 に対応し、入力に応じてカバレッジを 描画します。218 スター、53 フォーク。10 年経って、私が書いたもののうち最も使われているのは この表計算シートでした — プラットフォームを作りたくなったとき、思い出す価値のある事実です。MIT。
インシデントについて報告する人ではなく、キューを回すアナリストのためのケース管理。 マルチテナント、リアルタイム、OCSF ネイティブで、ATT&CK マッピング、オブザーバブル、証跡、 ノートに対応。bootstrap.sh 一つで 60 秒でデータ入りの UI に到達します。評価に到達するまでの 時間が、そもそも誰にツールを評価する資格があるかを決めるからです。Python 3.12 と React 18、 Apache-2.0、alpha。
単一の Rust プロセスで動くリアルタイム セキュリティイベント相関エンジン。Sigma ルールを書き、OCSF イベントを流し込むとアラートが出ます — クラスタも JVM もブローカーも 不要。Flink のイベント時刻・keyed state・ウィンドウの考え方は正しく必要ですが、そこに束ねられた 運用の重さは別売りで、多くのチームには不要です。ワーカー構成は設定するものではなく、コンパイル 済みルールから導出されます。
PHP 向けのセキュリティ指向ユニット／機能テストライブラリ。論点はセキュリティの アサーションがどこに住むかです — 四半期に一度届くレポートの中ではなく、他のテストと同じスイートで、 毎コミット実行される場所に。GPL-3.0。
クラウドペネトレーションテスト用のツールボックス。案件ごとに手で書き直していたチェックを 集約したものです。3 回打ち直したものはリポジトリに置くべきだという方針で公開しています。GPL-3.0。
Web 2.0 とともに現れた攻撃面のサーベイ — クライアントサイドの信頼境界、マッシュアップ、 そして「ブラウザは判断を下しても安全な場所である」という前提について。SAR-SSI にて発表。 プラットフォームが可能にすることと安全にできることの隔たりを追い続けるキャリアの出発点でした。 その隔たりは埋まっていません。場所が移動しただけです。
モバイルクライアント上で信頼できないサードパーティコンポーネントを合成しつつ、その権限を 継承しない方法。各コンポーネントの善意に頼るのではなく、境界でケーパビリティを媒介します。 誰も「エージェント」と言っていなかった時代に書いたもので、同じ問いに対する同じ答えです — だからエージェント型セキュリティを前例のないものとして語る話には懐疑的です。
設立・運営し、公式 AWS スピーカーとして全 8 回で 150 名から 600 名へ拡大。 クラウドセキュリティアーキテクチャ、大規模な ID 設計、規制対象ワークロードの運用実態を扱い、 製品名を挙げる講演よりトレードオフを名指しする講演を一貫して優先しました。
