Cloudflare の 20% 人員削減が 998 コメント、Canvas への ShinyHunters の攻撃と Linux の新たな LPE「Dirty Frag」が重なったセキュリティの多い日

Reuters の報道で、Cloudflare が 1100 人超、従業員の約 20% を削減すると伝えている。Cloudflare のブログでは「Building for the future」という題で発表された。1356pt / 998 コメントを集めた。

コメントでは、今週 Coinbase に続く 2 件目の大規模削減で、共通の理由があるのか、両社の言うとおり AI による生産性向上なのかという問いが最上位にある。最近の Cloudflare は強い成果を出していたので予想外だという声や、影響を受けた分散システムとロードバランシングの経験を持つシステムエンジニアが連絡先を載せて求職する投稿も続いた。

第 1 四半期に 6 億 3900 万ドルの売上を発表しながら千人を切るのは AI への陶酔だという批判、AI は明らかに口実だという意見、残るエンジニアの AI 費用を人件費で賄っておりこの流れが経済全体に波及するという見方、題名が解雇だと明示していないという不満もあった。

The Verge の記事で、Instructure の学習管理システム Canvas が ShinyHunters の攻撃で停止した後に復旧し、攻撃側が学校のデータの流出を予告していると報じている。TechCrunch は学校のログイン画面が改ざんされたと伝えた。921pt / 648 コメントを集めた。

コメントでは、知人の大学生が学校の Canvas に全くアクセスできないという報告が最上位にあり、近くの大学の Canvas が停止する前に一時的に表示されていた身代金要求のメッセージから、数日前の最初の侵害を無視されたことへの第二波だと読み取る投稿が続いた。

メリーランド州の公立学校やオーストラリアのクイーンズランド州政府も被害を受けたという報告、Canvas の UX のひどさで娘と絆を深めていたのに新たな愚痴の種ができたという声、期末試験の直前を狙うのは残酷だという意見もあった。

Robin Moffatt のブログ記事で、AI 生成の投稿がオンラインコミュニティのノイズを押し上げ、信号を見分けるのがますます難しくなっていると論じている。「愚か者でもスロットマシンに硬貨を入れてレバーを引ける」という一節がある。834pt / 734 コメントを集めた。

コメントでは、文章が良く、この一節が今日の名言だという投稿が最上位にある。Show HN を見なくなった理由を言葉にしてくれたという共感や、エージェントに Reddit でカルマ稼ぎと隠れた広告をさせる実験をしたところ読者には機械の投稿だと全く分からないと気づき、Reddit を見限ったという報告も続いた。

誰も他人の作ったものに興味がないという昔の教訓を皆が学び直しており、AI だと分かる今は提供する価値をはるかに上げる必要があるという意見、良い検索と発見のエンジンの重要性が増すという見方、人間が SNS を離れて現実世界に戻るなら良いことかもしれないという投稿もあった。

Xe Iaso のブログ記事で、サプライチェーン攻撃と脆弱性の禁輸破棄が相次ぐ現状では、しばらく新しいソフトウェアの導入を控えるべきだと述べている。854pt / 470 コメントを集めた。

コメントでは、個人用でない機器やインターネットに接続する機器については、むしろ今こそパッチと新リリースを素早く展開する技術を磨く時だという意見が最上位にある。litellm が侵害されて以来、依存関係の回帰や解決不能な推移的依存のせいで vllm のコンテナを最新の依存で作れないという報告や、更新のたびにサプライチェーン攻撃か Mythos による修正かのくじ引きだという皮肉も続いた。

npm や PyPI や Cargo で公開から数日経ったバージョンだけを入れる設定にすれば最近の攻撃は全て 1 日以内に取り消されたので防げたという提案、責任ある開示の期限が無視されているのに腹が立つという声、セキュリティチームを通す FreeBSD への移行を勧める投稿もあった。

oss-security への投稿で、Linux カーネルの rxrpc の脆弱性を突いて Ubuntu で root 権限を得る権限昇格「Dirty Frag」が公開された。4 月 29 日に security@kernel.org へ詳細と武器化したエクスプロイトを提出し netdev にパッチを送ったが、禁輸が破られたためパッチも CVE も存在しない状態での公開になった。819pt / 332 コメントを集めた。

コメントでは開示の時系列を引用した投稿が最上位にあり、GitHub のリポジトリと詳細な解説へのリンクとともに、Copy Fail がこの研究の動機だったという記述が紹介された。禁輸を破ったのは漏洩なのか第三者の独立発見なのかという疑問も出た。

数年後には LLM で Linux の手近なバグが全て直るのかという問い、Android の termux では動作しないという報告、修正をもっとストレスの少ない形で受け取りたいという嘆きもあった。