関 芙美恵 の記事一覧

近年、生成AIの進化はめざましく、OpenAIによる対話型AI ChatGPTのリリースをきっかけに様々な場面でAIがより身近に活用されるようになってきました。GMOインターネットグループでは「AI活用No.1企業グループ」として、いち早くグループ全体でAIの積極的な活用を推進してきました。 しかし、AIに関する専門知識やアーキテクチャは一見複雑で難しそうな印象を受け、ここで躓いて理解をあきらめてしまう方も少なくないはずです。このような背景の中で、今回、任意の集まりとしてAIの基本概念についてわかりやすく解説する部内勉強会「AI foundations in 10 minutes」を開催しました。本記事では、勉強会で取り上げたトピックス、実施方法、登壇者・参加者からのフィードバックなどを紹介します。 活動のきっかけ・目的 GMOインターネットグループでは、以下を軸として日々「AI活用No.1企業グループ」を目指した取り組みを続けています。 時間とコストの節約既存サービスの質向上AI産業への新サービス提供 特に、賞金総額1,000万円の社内公募コンテスト「AI（愛）しあおうぜ！ChatGPT業務活用コンテスト」や、AIに関する最新動向や最新ツールの理解を深めるための専門家による「GMO AIセミナー」の定期開催など、様々なAI活用促進施策があります。 そんな中で今回なぜ部内勉強会を独自で開催しようと考えたかというと、「新しいサービスはたくさん出てきて使ってはいるけど、AIの仕組みについてはあんまり理解できていないな」「中身はどうなっているんだろう？」と気になったのがきっかけで、同じような疑問を抱えているパートナーが一定数いるのではないかと考えたからです。 現在、新しいAIモデルやサービスが日々数多く登場しています。ただのユーザーとしてではなく、AIの裏側の仕組みや基本概念を知ったうえで特性を理解することは、今後AI活用人財として活躍していくために特に重要なポイントだと捉えています。またこれらの知識領域は今後基礎教養として扱われるようになると感じていますが、多くの専門用語の多さや前提知識の必要性が初学者にとってハードルになっていることも事実かと思います。 実際にAI学習を始めてみて私が直面したのは「何から手を付け、どの程度まで理解すべきか」という問題でした。実体験から、深みにハマって挫折する前にまずはざっくりと大枠をとらえる必要があると感じ、AIの仕組みに関する大まかな概念を掴める場の提供があればこのような課題を少しでも解決できるのではないかと感じました。 そこで、AIに関する基礎知識について10分間でわかりやすく解説する「AI foundations in 10 minutes」という社内向け勉強会の企画を行い、5週にわたって開催しました。 この勉強会のゴールは、「AIの裏側について理解するきっかけを作る」「概念をなんとなく説明できる」ことに置き、全体の雰囲気づくりとして、誰でも気軽に参加できるようにとにかく心理的なハードルを下げることを心掛けました。 勉強会のコンセプト 以下は、勉強会開催にあたって周知した内容です。 今さら聞けないAI/機械学習の基本概念について、10分間の短いセッションで理解するライトな勉強会を開催します！目指すのは、「概念を一言で説明できる」程度の理解です。・事前知識/事前準備不要です。（書籍の輪読会ではないので、個人で事前の購入や読み込みも不要です）・高度な計算を解くことはありません。・実装については触れません。・ゆるめにやりますので、カメラオフでラジオ的に聞いていただくだけでも大丈夫です。エンジニアだけでなくCSの方でも十分理解できる内容になっているので、どなたでもぜひご参加ください。 GMOインターネットグループ株式会社ではお客様対応を行うカスタマーサポートのチームもシステム統括本部の仲間として同じ組織に所属しています。そのため、システム構築やコーディングの経験がない人ももちろんいますし、専攻や学歴も様々です。 そのため、職種に関わらず誰でも参加できるように、前提知識を必要とせず、誰でも聞けるように勉強会の難易度を設定することにしました。（もちろん最新のAI動向はグループを上げて開催されているAIセミナーなどで皆さんキャッチできています！） テーマとスケジュール 勉強会のコンテンツと開催スケジュールは以下の通りです。zoomによるオンライン形式で開催しました。また、任意の勉強会という扱いで、希望者のみの自由参加として実施する形としました。 11/22 19:00-19:15「LLMは情報をどのように解釈しているのか：トークン化、Enbedding、Attentionメカニズムについて」11/29 19:00-19:15「LLMの推論と学習・ファインチューニングについて」12/6 19:00-19:15「LLMをベースとしたシステムの構築： Incontext-leaningについて」12/13 19:00-19:15「インフラOJT成果物 LLM-chatbotの紹介」12/21 19:00-19:15「AIとGPU：なぜGPUが求められるのか」 企画の進め方 登壇者あつめ 勉強会のコンセプトを固めた後、コンテンツ作成に協力してくれる仲間を集めました。インフラ部門の新卒1年目のパートナー3名がLLMを用いたチャットボット開発をOJTで経験しており、講師役としての参加を上長に相談して調整しました。GMOインターネットグループでは四半期ごとに個人の目標管理を行っているのですが、その目標の中に含めてもらうことで、勉強会の取り組みが彼らのチャレンジと成長として評価されるよう掛け合いました。 こちらの1年目3名に、2年目1名を加えて合計4名の新卒パートナーと一緒にコンテンツ検討を進めました。 2年目のパートナーには講師役のほかにメンター的な立ち位置で全体運営に協力してもらい、各回の資料レビューや進行のフォローなど様々な面で役割をこなしていただきました。 コンテンツ検討 講師陣として集まった4名で各回のテーマ選定に着手しました。10分間で理解しやすく、前提知識のない聴講者にもアプローチできる内容を目指し、「このキーワードは解説しておいたほうがいいんじゃないか」「この仕組みは知っておいたほうがいいんじゃないか」とディスカッションを重ね、テーマが決まった後はその内容についてどこまで深堀して説明すべきか、主要ポイントの認識合わせを行いました。 メンバーでディスカッションやプレゼン資料のレビューを重ね、全体を通して難易度や説明の粒度が同じようなバランスを保つように注意しました。 コンテンツ作成で最も重点を置いたのは知識整理と骨子作成です。資料の見せ方にこだわるよりも、聞き手の理解の流れを意識したストーリーラインを重視し、各回の資料作成には約1週間を費やしました。事前に主要なポイントを整理していたため、資料レビューでは大きな修正は必要ありませんでした。 開催結果 全5回の勉強会で累計225名、平均45名の方にオンタイム参加いただきました。 開催後に録画を共有しアーカイブ視聴ができるようにしたため、実際にはより多くの方に視聴いただいたと思います。 理解度については、なんと参加者の98％が「向上した」、そのうち41％に「大幅に向上した」と評価いただきました。満足度も高く、97.3％が「満足した」、そのうち64％は「大変満足した」との評価でした。 勉強会の目的である、”AIの裏側の仕組みについて理解を深めるきっかけを作る”というゴールは達成できたと思います。 参加者からのフィードバック アンケート結果のフリーコメントより、勉強会に参加してくださった方々から登壇者に対してたくさんのポジティブな意見をいただきました！その中の一部を抜粋してご紹介します。 ・短時間の開催なので負荷も少なく楽しく参加できました。・貴重なお時間をいただきましてありがとうございました。 サービスとしてAIに関する温度感が非常に高い状況の中、曖昧だった知識を 整理する有意義な時間でした。 ご登壇お疲れ様でしたｍｍ・今回からの参加になりましたが前回の振り返りをやってもらえ入りやすかったです。 難しい概念も図示や例え話が上手くイメージがしやすかったです。 ・短時間かつテーマ1つなので集中して聞きやすいと思いました。 ・また一つAIの技術が言語化されて聞けたような気がします！発表ありがとうございました！m(__)m ・情報量を抑えたおかげで、言葉のインパクトが強く残って非常に良かったです。 子供に教えてあげたいです。 ・要点を絞って短い時間でわかりやすく説明していただき、よい勉強の機会になりました。ありがとうございました。 ・かみ砕いてあり、10～15分サイズということもあり大変わかりやすかったです このくらいのサイズ感だと、知識がない方も頭に入りやすいと思うので ぜひこの形を継続いただければと思います。 ・短時間、ピンポイントで勉強会、ありがとうございます。大変ためになります。          ・貴重なお時間ありがとうございました。 ふわっとしていたLLMの処理についてかみ砕いていただいたことで、 自分の中でイメージが固まった感覚があります。 ご登壇お疲れ様でしたｍｍ 全体的に、テーマを絞った短時間のセッションが参加者にとって効果的だったことがわかります。フリーコメントの多さや内容から、難易度設定や勉強会の雰囲気作りはばっちりだったんだなと思いました。 講師陣にインタビュー 勉強会で講師役として登壇してくれた4名のパートナーの皆さんに、感想をお伺いしました。 多田 善樹（ただ よしき）　運用監視・OPEチーム　新卒2年目西山 太基（にしやま だいき）運用保守チーム　新卒1年目鈴木 亮介（すずき りょうすけ）運用保守チーム　新卒1年目張 明釗（ちょう めいしょう）SREチーム　新卒1年目 Q：実際に取り組んでみていかがでしたか？ 多田AIの情報は見たりすることは多いのですが、インプットしたAIの知識をしっかり資料としてアウトプットすることができたのは良かったと思いました。あと、大勢の前での発表は、かなり緊張しました。 西山今この手の内容の講演会の必要性は承知していたので意欲的に取り組みました。そもそも分野として難しいものを分かりやすくプレゼンに落とし込むのは大変だったし、改めて基礎から振り返って資料を作成することで学びもありました。本発表の際には自分の想像の倍以上の人がzoomに参加しており、正直腰を抜かしました。 鈴木分かりやすく聞き取りやすくを意識した結果、良いフィードバックを得られて安心しました。1人ではハードルが高いことでも、このような機会を提供することでパートナーのAIに対する理解度を上げることができ、とても良かったと感じています。 張プレゼンテーションの準備と登壇を通じて、明瞭で簡潔な表現の重要性を実感しました。複雑な考え方を分かりやすく伝えることに注力し、聞き手に興味を持ってもらうことが私の目標でした。 定時後で任意の勉強会だったのにもかかわらず、Max60名の参加者が集まる回もあり関心の高さがうかがえました。その分講師の皆さんの緊張感も高まりましたね。 Q：企画や準備の中で、難しかったポイントはありますか？ 多田技術的な内容を非エンジニアの方々にも分かりやすく伝えるための、複雑な概念の理解を行い簡潔に、かつ正確に説明することがとても難しかったです。 西山私は今回の勉強会のイントロ部分の担当なので機械学習の歴についてどこまで遡るべきなのか、また内部の処理や理論などをどこまで細かくしゃべるべきなのかを考えるのが非常に難しかったです。簡単のために難しい概念をわかりやすくかみ砕いて説明することも、前提となる知識が多くとても難しかったです。 鈴木私は第2回目の担当でしたので、1回目の講義内容で学習したことを活用しながら、「非エンジニアの方でも理解できるように」という課題が非常に大変でした。 張制限された時間の中で、重要なトピックを網羅しつつ情報の正確さを保つことが、大きな挑戦でした。どのトピックを詳細に説明し、どれを簡潔にするかのバランスを見極める必要がありました。特に、専門家として非専門家に向けて複雑な概念を簡単に説明する「知識の呪い」との戦いは、一つの挑戦でした。 知っていることや学んだことを、相手の立場になって表現し伝えることの難しさがありましたが、結果として満足度・理解度ともには大変高評価でした！ Q：発表をするうえで気を付けたポイントはありますか？ 多田聞き手の理解度を常に意識しながら、用語の選択と説明の仕方に注意しました。また、時間内に要点を絞って伝えることを心がけ、簡潔かつ明瞭なプレゼンテーションを目指しました。 西山自分の発表で誤解を生まないように非常に気を配りました。表現の簡単さと中身の正確さはトレードオフ的な部分があるのでバランスを上手にとりました。個人的な哲学ですがユーモアは各セクションに絶対に入れるようにしました。 鈴木聞き取りやすい発声とスピード、理解しやすい説明、資料の中でも注目してほしいポイントへの誘導、そして笑顔に気を付けました。これらのポイントに重点を置くことで、より効果的な発表ができたと感じています。 張技術的な詳細により聴衆を混乱させないよう、プレゼンテーションの流れや言葉選びに細心の注意を払いました。日本語の発話が得意でないため、TTS技術を利用して「AI君」というキャラクターに説明を代行させ、更にStable Diffusion XLモデルで生成したアバターを使用して、プレゼンテーションに工夫を加えました。 勉強会の特徴である10分という短い時間の中でポイントを絞って伝えることは、登壇者にとって大変なチャレンジでしたね。言葉選びの一つ一つに皆さん頭を悩ませてディスカッションをしていた姿が印象的でした。 Q：最後に、登壇してみて身についたことを教えてください。 多田短時間で内容を効果的に伝える技術、特に複雑な技術的概念を簡潔にまとめる能力が向上しました。また周囲の関連技術など、自分の担当分野以外のAIや技術について学ぶことができました。 西山今回は複雑な理論を短い時間で簡潔に伝えることが要件だったので、複雑な情報の圧縮技術が身についたと思います。それと60人の前で発表することもなかなかないので胆力・度胸が身についた気がします。 鈴木この経験を通じて、理解しやすい資料作成と発表の仕方が身についたと感じます。自分に足りないことを見つめなおす良い機会ともなりました。今後もこのような機会を通じて得た経験を糧に、より良いパフォーマンスが発揮できるよう努めていきたいと思います。 張言語の制約を乗り越え、時間とコンテンツの管理を効率的に行う方法を学びました。今後のいろいろな活動に役立つと思います。また、プレゼンテーションにAIツールをうまく利用する方法も習得しました。 皆さん、ありがとうございました！

こんにちは。GMOインターネット セキュリティエンジニアの関です。今回はクロスサイトスクリプティングの手法の一つ、DOM based XSSの検査の手法について、PortSwiggerが公開しているWeb Security Academyのテストページを使って解説していきます。※Web Security Academyはアカウント登録をすれば誰でも無料で使えます。 1.　注意事項 検査により、意図せずにシステムの停止や不具合を引き起こしてしまう可能性があるため、紹介する手順を試してみたい場合は本番に影響を及ぼさない検証環境か、それ専用に作られたテストサイトでの作業をお勧めします。自組織が管理しないWebアプリケーションへの検査は、場合によっては不正アクセスとして違法となる可能性があります。 2.　クロスサイトスクリプティングとは クロスサイトスクリプティングとは、リクエストヘッダやパラメータに含まれる情報を画面に出力する処理にエスケープ不備があり、第三者（攻撃者）が用意した悪意あるスクリプトが埋め込まれた結果、意図しない処理を実行されてしまう脆弱性です。 想定される被害として、偽ページの表示や認証情報の奪取があります。 クロスサイトスクリプティングには以下3つの分類があります。 反射型XSS蓄積型XSSDOM based XSS 上記のうち、DOM based XSSはJavaScriptから動的にHTMLを操作するアプリケーションにおいて動作します。正規のスクリプトの動きを悪用し、不正なスクリプトを実行させることが特徴です。 自動の脆弱性診断などでよくあるパターンでは、対象のWebサーバに対して検査コードを含むリクエストを発行し、そのレスポンスの内容によって脆弱性が存在するかを調べますが、DOM-based XSSではクライアント上でJavaScriptが動作するまではXSSが発生しません。そのため、ツールによっては検知が難しく、手動で検証が必要な脆弱性となります。 3.　検出パターン / 例 今回は「BurpSuite」というローカルプロキシツールを使って検査していきます。セットアップや基本的な使い方について解説している記事などは検索すれば多数ヒットしますので、ここでは解説の対象外とします。※BurpSuite自体は無料でダウンロードできます。 まず、検査の際には以下文字列がレスポンス内にあることをトリガーとします。（ツールによっては下記の文字列がヒットすればDOM based XSSの可能性ありとして検出されるものもあります。） innerHTMLdocument.writejavascriptlocation.hrefevalsetTimeoutsetIntervalFunctionjQuery　他 検査文字列は以下の通りです。 javascript:alert(1)"><svg onload=alert(1)><script>alert(1)</script>　他 ※なお、トリガーとなる文字列や検査文字列は一例となります。 4.　検査手順詳細 ①　検査したい目的の画面まで遷移します。 ②　今回は検索処理なので、適当な文字列を挿入し検索を実行します。　　（SOCtestと検索してみました。） →左側の検索結果画面には、「0 search results for 'SOCtest'」と表示されています。 ③　Burp上で実際のレスポンスrawデータを確認してみます。 →対象のレスポンス内で「SOCtest」と検索してみると、0 matchesとなっています。 ④　レスポンスrawデータの中で、検索結果表示に該当する箇所を探してみます。　　今回は下記のように定義されていました。 ⑤　呼び出されているsearchMessageをもう一段掘り下げて確認してみると、scriptでこのように記載されています。 →innerHTMLとあるため、DOM-based XSSが発生する可能性があります。（トリガーパターン参照） ⑥　XSSの検査コードを挿入してみます。「"><svg onload=alert(1)>」（検査文字列パターン参照） →javascriptのポップアップが表示されたことが分かります。 ⑦　ここで改めて、レスポンスrawデータを確認してみますが、　　"><svg onload=alert(1)>は出力されていないため、ツールによっては自動検知が困難となります。 5.　おわりに 今回は、DOM based XSSの検出方法について紹介してきました。攻撃の特性上、ツールでは検出しにくいという点は説明した通りですが、そのほかにもWAFやブラウザのXSSフィルタでもブロックしにくい厄介な脆弱性です。 まずはこういった攻撃手法があることを認識することが第一歩だと思います。 具体的な対策手法や、もっと深堀して検査したい！という方は、調べてみるとチートシートやより詳細に解説している記事がありますので是非ご参照ください。