この記事は、CYBOZU SUMMER BLOG FES '26の記事です。
はじめに
PSIRTの北村とJJです。2026年4月23日〜24日にシンガポールで開催されたBlack Hat Asia 2026に参加してきました。
昨年に続いて2回目の参加ですが、今回はArsenalセッションでの発表がありました。Arsenalはセキュリティツールをブース形式で発表するコーナーで、Prompt Hardenerというツールについて発表してきました。Prompt Hardenerは昨年のBSides Las Vegasでも発表しましたが、今回はシステムプロンプトの評価・改善ツールからAIエージェントの設計をセキュリティ観点でレビューするツールへと大幅に刷新した上での発表となりました。
Black Hat Asiaとは
Black Hat Asiaは、アジアで開催される国際的なセキュリティカンファレンスです。世界中のセキュリティ研究者やエンジニアが集まり、最新の脆弱性、攻撃手法、防御技術、セキュリティツールなどについて発表します。
毎年4月ごろに開催されており、会場はMarina Bay SandsのExpo & Convention Centreで、有名な船が上に乗っているホテルの隣にある大きなイベント会場です。Black Hat USAやDEFCONといったアメリカでのカンファレンスに比べてフライト時間も短いため、日本時は比較的行きやすいイベントになっています。シンガポールは常夏の国ですが、ご飯も（個人的には）美味しくおすすめです。
Arsenal発表
Arsenalとは
Black Hatには通常の講演形式であるBriefingsに加えて、Arsenalと呼ばれるセキュリティツール発表コーナーがあります。1時間ほどの枠の中で5〜7組の発表者がそれぞれのブース（Station）を持ち、同時並行でツールの紹介・デモを行います。隣のブースの声がガンガン聞こえてくるカオスな空間ですが、ツール作者とその場でインタラクティブに話せるのがArsenalならではの魅力です。
Arsenalへの道のり
実はArsenalへのCFP提出は今回が初めてではありませんでした。昨年もPrompt HardenerについてBlack Hat AsiaへのCFPを提出していましたが、その時は残念ながら落選でした。今回も同様にCFPを提出したのですが、AIセキュリティへの注目が高まっている昨今の状況と、BSides LVでの発表実績が採択につながったのではないかと思っています。
採択を機に開発にも改めて熱が入り、これまでのシステムプロンプトの評価・改善ツールから、AIエージェントの設計をセキュリティ観点でレビューするツールへと大幅に刷新した上で、本番に臨みました。
発表当日
発表は初日（4/23）の13:00〜14:20に行いました。デモは事前収録した動画を流しながら説明し、質問があった際にその場でライブデモを補足する形式を取りました。本番中にデモが動かないリスクへの備えとしての判断でしたが、結果的に練習通りの説明ができ、この選択は正解でした。ツール情報を載せた名刺サイズのカードも用意して配布したところ、立ち止まって話を聞いてくださる方が多く、1回目の発表にはかなりの方が集まってくださいました。
発表は計2回行いました。1回目は多くの方に聴講いただいた分、緊張感もあり、話す内容が飛んでしまう場面もありました。2回目は聴講者が5〜10名程度とこじんまりとした雰囲気で、よりリラックスして臨めたため、説明の言い回しを変えたり補足を加えたりと、自分なりにアレンジしながら話すことができました。
いただいた質問から
質疑応答では「Agent Specはどうやって作るのか」「GitHubで公開されているか」といった発表内容に関する基本的な質問から、「検知ルールは何のガイドラインをベースにしているか」「システムプロンプトは具体的にどのように改善されるのか」といったセキュリティ実務者ならではの踏み込んだ質問まで、幅広くいただきました。
特に印象的だったのは「どうやってマネタイズするつもりか」「他のセキュリティベンダーとコラボレーションする予定はあるか」という質問です。社内での活用を主眼に置いてツール開発をしている身としては新鮮な視点で、海外のセキュリティプロフェッショナルがビジネスの文脈でツールを評価している場面に触れ、視野が広がる気づきになりました。
興味を持ったBriefings
聴講していて興味を持った発表（Briefings）をいくつか紹介します。
The Dark Side of Autonomy: Exploiting DFIR Agents Through Adversarial Manipulation
インシデントレスポンス（DFIR）にAIエージェントを活用する取り組みが広がる中、LLMを使うことで生じる新たなリスクを実証した発表です。
攻撃者があらかじめシステムや端末内に残す痕跡（アクセスログ、タスクスケジューラのエントリなど）に悪意のあるプロンプトを仕込んでおくと、AIエージェントがそれを参照した際に予期しない挙動を引き起こせることがデモで示されました。具体的には、悪意あるイベントを正規のものとして誤認させる、権限昇格を行う、他の端末への横展開を行うといった攻撃がデモとして示されていました。
DFIRエージェントに限らず、任意のデータを参照するAIエージェント全般において、プロンプトインジェクションのリスクは常に考慮・対策が必要だと改めて認識させられる発表でした。
Breaking the Illusion of Key Zeroization: How OS, Libraries, and Hardware Keep Your AES Keys Alive
SSH接続やHTTPS通信、ディスク暗号化などで使われるAES共通鍵は、使用後にメモリから確実に削除（ゼロ化）されると一般に信じられています。この発表では、その認識が必ずしも正しくないことが示されました。
発表者らはFPGAベースのツールを開発し、OS外部から物理メモリ（DRAM）を継続的にスキャンして鍵の残存を観測しました。正常終了時には概ねゼロ化されるものの、SIGKILL・SIGTERMなどによる異常終了時にはOpenSSH・Firefox・Chromium・7-ZipなどでLinux・Windows問わず鍵がメモリに残留することが確認されています。
アプリケーション、ライブラリ、OS、ハードウェアの各レイヤーを横断した対処が必要な問題であり、ソフトウェアの処理を信頼するだけでなく物理メモリレベルまで検証したアプローチが印象的な研究でした。
Discovering React2Shell: JavaScript's Long-Awaited Deserialization Flight-mare
React Server Componentsに存在した脆弱性であるReact2Shellについて、発見者自身がどのように脆弱性を見つけたのかを解説する発表でした。React Server Componentsでは、クライアントとサーバーの間でFlightと呼ばれる内部プロトコルが使われており、発表では、公開仕様が十分に整備されていないこのプロトコルを解析し、データのシリアライズや復元の挙動を追うことで、最終的に攻撃につながるポイントを見つけていく過程が説明されていました。
近年のフレームワークは多くの部分が安全に設計されていますが、独自の内部プロトコルや複雑な抽象化が入ることで、新たな攻撃面が生まれうることを改めて感じました。仕様が公開されていない領域であっても、トップレベルのリサーチャーは実装を読み解いて脆弱性につながる挙動を見つけてくるため、フレームワーク側の設計や実装に対する継続的な検証の重要性を感じました。
おわりに
昨年に続き、今回もBlack Hat Asiaに参加する機会をいただきました。前回は聴講のみでしたが、今回はArsenalでの発表を経験でき、英語での技術的な質疑応答にも多く挑戦することができました。海外カンファレンスでの発表は準備も大変ですが、現地で直接フィードバックをもらえる機会は貴重で、ツールの改善に向けたモチベーションにもつながっています。
サイボウズでは一緒に働くメンバーを募集しています。PSIRTではキャリア採用・新卒採用ともにオープンしていますので、ぜひご応募ください！
