セキュリティラボ

Learn about cybersecurity trends, best practices, and third-party threats to secure your code and digital infrastructure.

特集記事

AIコーディングエージェントDeepSeek-Reasonixに設定ファイル汚染によるコマンド実行の脆弱性

GitLabの脅威リサーチグループは、ファイルの差分を表示しただけで攻撃者のコードが動く脆弱性ConfigPoisoningをDeepSeek-Reasonixで発見しました。

記事を読む

最近の投稿

セキュリティラボ

Node.jsサンドボックスライブラリvm2に、CVSS 10.0のリモートコード実行の脆弱性

GitLabの脅威リサーチグループは、Node.jsサンドボックスライブラリvm2に深刻なサンドボックス脱出の脆弱性を発見しました。公式ドキュメント記載の設定のまま、攻撃者のコードが実行されます。

セキュリティラボ

MCPコーディングエージェントSerenaに重大なリモートコード実行の脆弱性

リポジトリを開いた瞬間に攻撃者のコードが動く。GitLabの脅威リサーチグループが、AIコーディングエージェントSerenaに重大なテンプレートインジェクションの脆弱性を発見しました。

セキュリティラボ

サンドボックスの閉鎖性は、AIエージェントが到達できる範囲で決まる

社内評価で行き詰まったAIエージェントは、許可リストに載っていた唯一のサービスの脆弱性を突き、わずか1時間でサンドボックスを脱出しました。エージェント時代の許可リスト設計に生じた死角と、テスト環境で到達範囲を絞るための4つの対策を解説します。

セキュリティラボ

PyPIタイポスクワッティングを悪用したShai-Hulud模倣攻撃、Python開発者を狙う

GitLabの脆弱性リサーチチームが、PyPIを標的とした新たなPythonサプライチェーン攻撃を発見しました。悪意あるパッケージがShai-Huludワームを展開し、主要なクラウドプロバイダーのCI/CDシステムから認証情報を窃取します。

セキュリティラボ

GitLab CI/CDとDuoで自動検知テストフレームワークを構築する

GitLabのSignals Engineeringチームが構築したWATCHフレームワークを通じて、セキュリティ監視パイプラインを継続的に検証する方法をご紹介します。

セキュリティラボ

3月のサプライチェーン攻撃から学ぶパイプラインセキュリティ

2026年3月、Trivy・Checkmarx KICS・LiteLLM・axiosが次々と侵害されました。GitLabの集中管理されたパイプライン実行ポリシーが、これらのサプライチェーン攻撃パターンをどのように検出・ブロックできるかをご紹介します。

セキュリティラボ

GitLabがnpmサプライチェーンへの大規模攻撃を発見

攻撃を引き起こすマルウェアには、ユーザーデータを破壊する「デッドマンスイッチ」が含まれています。