自動分類器が置く統計的な前提を、マルチモーダル・ステガノグラフィで突く研究を紹介します。実稼働システムでの発見からバグバウンティ、修正、そして再度の回避に至る事例をもとに、画像を使ったXSS、ブラインドSSRF、画像への情報の埋め込み、ビジネスロジックの問題をつなげて考察。自動化された仕組みと、その結果を確認する人間が同じ盲点を持つと何が起こるのかを探ります。

対象: AIセキュリティ担当者、バグバウンティハンター、研究者、学生

セッションを盗まれると、パスワードやMFAの再入力なしで侵入されることがあります。Dave Lewisが、インフォスティーラー感染、ログ市場、アクセスブローカー、OAuthの悪用、Adversary-in-the-Middle攻撃まで、トークン窃取の流れを解説します。端末の検証、フィッシング耐性のある認証、セッションの可視化と失効、マシンやAIエージェントの認証情報管理をまとめた、ベンダーに依存しないチェックリストも紹介します。

対象: セキュリティ実務者、組織のアクセス管理に関わる方

ドローンのテレメトリ、即席の指令リンク、センサーデータには、飛行経路以外の情報も含まれています。公開情報と民間研究をもとに、無線信号の特徴、ソフトウェアのサプライチェーン、地図情報、自律システムが前提とする信頼を考察します。記録済みの信号と解析ツールを使い、データの解釈、識別、シミュレーションを紹介。攻撃手法の提供ではなく、分析と防御への理解に焦点を当てます。

対象: ドローンや無線に関心のある方、政府・軍の分析担当者

壁に取り付けられたリモコンの小さな黒い窓をきっかけに、日本の温水洗浄便座の通信を調べるサイドプロジェクトが始まりました。GokuとKalevが、赤外線の送信、浴室やトイレにある素材での反射、不正な形式の信号に対する機器の反応を探ります。身近な家電を調査するなかで得られた、実験結果、予想外の発見、実践的な教訓を紹介します。

対象: ハードウェアや身近な技術に興味のある方

4G・5Gで接続されたロボットを操作する、世界規模の宝探しゲームが、思いがけない研究の舞台になりました。調査で見つかったAPIの欠陥と、その過程で生まれたエピソードを紹介します。金銭的な報酬やLLMの普及がコミュニティに影響する今、好奇心を原動力に試し続け、自分で仕組みを理解する面白さを考え直すセッションです。

対象: 技術に興味のある初心者から経験豊富なハッカーまで

港は、デジタルシステムと現実のサプライチェーンを結ぶ場所です。紛争の圧力と老朽化したOTという観点から、船舶追跡、ターミナル運用システム、衛星通信のリスクを取り上げます。政府や民間の運営者が、海運、穀物輸出、海軍の物流、緊急対応への影響をどうモデル化できるかを考察し、それらを支えるインフラのレジリエンスを探ります。

対象: 政府・軍、海事、インフラ分野の実務者

宇宙システムにも、地上のITと共通するソフトウェア、ネットワーク、プロトコルの欠陥が存在します。ミッション管制や搭載ソフトウェアの弱点をデモで紹介し、ユーザーが触れるシステムから通信に使われるRFリンクまで、攻撃対象領域をたどります。距離や特殊なハードウェア、そして「宇宙にある」という事実そのものが防御になるという思い込みを問い直します。

対象: セキュリティ実務者、ハッカー、宇宙システムに関心のあるエンジニア

Espilonは、新しい機能のたびに再ビルドと書き込みが必要な、一体型のESP32ファームウェアとして始まりました。本セッションでは、署名付きELFモジュールをIRAM・PSRAMへ動的に読み込む構成への再設計を紹介します。ESP32 C6、S3、従来型の実例を通じて、バイナリの再配置、障害の分離、フォレンジックを解説。無線解析やプロトコルのファジングなどを、共有可能な研究基盤で実現する方法を考えます。

対象: 組み込み開発者、セキュリティ研究者、IoTテスター、教育関係者

北朝鮮のIT労働者の工作員と疑われる人物を引き付け、その活動を記録するために構築したハニーポット「Daybreak Technologies」の全体像を紹介します。求人や内部紹介を通じて受け入れた11人を追い、採用ネットワーク、主張された提携関係、OPSEC上の失敗を調査しました。面接や会議の記録を事例として、セキュリティ部門、採用担当者、リモート契約者の確認に関わる方に知見を共有します。

対象: セキュリティ部門、採用担当者、Trust & Safety担当者、契約者の審査担当者

プロンプトインジェクションの基本を解説し、15万ドルを超えるバグバウンティにつながったMeta AIの脆弱性研究を紹介します。入門的な概念や参加型の課題から、Meta.comアカウントの完全な乗っ取りに至る問題の詳細へ進みます。参加者はスマートフォンを含む自分の端末で、用意されたWebベースの課題に取り組めます。

対象: AIセキュリティやプロンプトインジェクションを学びたいセキュリティ実務者

地震の早期警報には、迅速で信頼できる通信が欠かせません。日本のベンダーが開発したシステムについて、RF送信によって地震警報を偽装できた脆弱性を取り上げます。研究の対象は地震そのものの発生ではなく、偽の警報メッセージです。日本に住む私たちに身近なインフラが、どのようなセキュリティ上の前提に支えられているかを考察します。

対象: 日本に住む方、無線や公共の警報システムに関心のある方

Warezの世界は、産業システムの自動化や制御に使われるソフトウェアにも広がっています。そのエコシステムをOSINTで調査し、大手メーカーのソフトウェアを技術的に分析します。関係者の技術力やエンジニアリングワークステーション用ソフトウェアのパスワード保護の変遷を取り上げ、地下市場の活動とICSソフトウェアの安全性を結び付けて考察します。

対象: OT・ICSに関心のある初級〜中級の技術者

「ハッカーを探す」には、攻撃者を追跡することと、ネットワークを守る仲間を見つけることの二つの意味があります。Andrew Struttは、その両方を野生動物の追跡技術と、忍耐強い観察や環境への配慮を重視するマタギの伝統につなげます。米国と日本の狩猟文化を比較し、観察力、コミュニティへの敬意、環境を守る姿勢が、脅威ハンティングやチームづくり、企業の防御にどう生かせるかを考察します。

対象: 脅威ハンター、セキュリティ実務者、チームリーダー、ハッカー