著者
Sohaib Harraoui
Sohaib Harraoui is a Security Engineer at Ostorlab, where he focuses on application security, attack surface discovery, and offensive vulnerability research. With a background in software engineering and systems, he investigates web and mobile ecosystems, analyzes how software assumptions break, and develops reproducible proof-of-concept exploits. His writing helps engineering and security teams understand real-world attack vectors, evaluate emerging threats, and build more resilient systems.
誤検知の真のコスト:ノイズの多いスキャナーが課すエンジニアリング税を計算する
誤検知は、スキャナーの品質だけの問題ではなく、エンジニアリングのキャパシティの問題です。そのコストを計測し、実証エクスプロイトテストのROIを評価する方法を学びましょう。
2026年9月28日
SOC 2コンプライアンス向けに監査対応のペンテストレポートを最速で入手する方法
B2B SaaSスタートアップが、コンサルティング会社による4週間の待ち時間を回避し、監査対応のSOC 2ペンテストレポートと証明書(Letter of Attestation)を数週間ではなく...
2026年9月16日
UC Berkeley CyberGymにおけるOstorlab Neutron:97.1%の検証済みエクスプロイト(1,463/1,507タスク)
UC BerkeleyのCyberGymベンチマークにおいて、Ostorlab Neutronが純粋なソースコードのリバースエンジニアリングと決定論的なプロトコルモデリングを組み合わせ、全1,5...
2026年9月15日
自律型ペンテスト対従来型ペンテスト
従来型ペンテスト、PTaaS、自律型AIテストを比較します。エージェントがカバレッジとエビデンスで勝る領域、人間が依然として主導する領域、そしてそれらを組み合わせる方法を解説します。
2026年9月8日
Sohaib Harraouiのその他の記事
GoPhish最新版を徹底分析:Ostorlab Agentic Deep Scanによるソースコード評価
GoPhish最新版が信頼をどのように扱っているか(アイデンティティ、信頼できないコンテンツ、オブジェクトの所有権、認証情報のライフサイクル、外向きリクエスト)を検証した技術評価です。Ostorlab Agentic Deep Scanによるソースコード解析で、レポートレベルの8件の検出結果、PoC、修復の優先順位を確定しました。
2026年7月16日
CVE-2026-42208の悪用:Bearerトークンを介したLiteLLMの認証不要SQLインジェクション
LiteLLM Proxy APIに存在するCVSS 9.3のクリティカルな認証不要SQLインジェクション脆弱性、CVE-2026-42208の技術的な解説。複数テーブルの複雑な結合に使われる生のSQLクエリ内でBearerトークンが適切にパラメーター化されていないため、ブラインドのブールベースのタイミング攻撃が可能となり、認証されていない攻撃者が仮想APIキー、ユーザー情報、LLMの利用料金ログなどの機密データをデータベースから直接窃取できます。
2026年5月22日