注目★★★★★Hacker News
YC Startup School の採点システムに脆弱性、本人が発見・報告・招待される
30秒で把握
- 1YC Paxel 採点システムで HMAC 署名欠落、誰でもスコア偽造可能な脆弱性を発見・報告
- 2100 万件以上の応募者採点を改ざん可能、公開後数時間で YC が修正パッチとリリース
- 3クライアント発信の採点・ランキングデータに署名検証を必須化、入力検証設計の教訓
要約
セキュリティ研究者が Y Combinator の Startup School 応募者 100 万人以上を採点する Paxel システムで HMAC 署名欠落の脆弱性を発見した。LLM プロキシから返される nonce は検証されるが、スコアや評価内容の署名がなく、誰でも任意のスコアを偽造して採点データベースに登録可能だった。公開後数時間で YC の Jared Friedman 本人から返信と修正パッチ発表があり、本人は Startup School への招待を受けた。
あなたへの影響
公開型の採点・ランキング機能を実装する際、クライアント側で生成・送信される採点メタデータには必ず HMAC / 署名検証を組み込むべき。
推奨：Y Combinator が迅速に応じた例は報告プロセスが機能する参考ケースだが、日本の SaaS・採用プラットフォームで同じ入力検証漏れが発生している可能性を検査推奨。