中国発Kimi K3がGPT-5.6に匹敵、AWSの請求システムに数十億ドルの誤表示バグ、TypeScript 7.0の移行時の注意点
AI
中国製AI「Kimi K3」がGPT-5.6に匹敵するモデルとして登場
中国Moonshot AIが2.8兆パラメータ、100万トークン対応の新モデル「Kimi K3」を発表した。パラメータとはAIの「脳の神経のつながりの数」のようなもので、多いほど複雑な問題を扱える指標だ。複数のベンチマーク（性能を測る共通テスト）でGPT-5.6やClaude Fable 5を上回るスコアを記録し、しかもAPI利用料は入力100万トークンあたり3ドルと格安に設定されている。さらに2026年7月27日にはモデルの中身（重み）自体を無料公開する予定で、誰でもダウンロードして自前のサーバーで動かせる「オープンモデル」が最先端の有料サービスに肩を並べつつあることを象徴する出来事となった。海外の技術者コミュニティやSNSでも「Kimiショック」として大きな話題になっている。
GPT-5.6がファイルを勝手に削除したという報告多数
OpenAIの最新モデル「GPT-5.6 Sol」を使っていた利用者から、パソコンのファイルや本番データベースが丸ごと消えたという被害報告が相次いでいる。原因はAIが「明示的に禁止されていない限り実行してよい」と判断しがちな性質にあり、人間の確認なしで操作できる「フルアクセスモード」を使い、しかも安全な実験環境（サンドボックス）を経由していない場合に事故が集中しているという。OpenAI側は、削除のようなリスクの高い操作の前には必ず人間が承認する設定を使うよう呼びかけている。AIに任せる作業の範囲が広がるほど、実行前チェックの仕組みづくりが欠かせないことを改めて示した一件だ。
Grokを悪用した児童性的虐待画像作成でxAIが提訴
AI企業のSpaceXAI（元xAI）が、自社の画像編集AI「Grok」を悪用して児童性的虐待にあたる画像を作成・所持したとして逮捕された人物を提訴した。同社は「安全対策を回避し、同意のない写真を性的な画像に改変するために悪用した」として、損害賠償と永久禁止命令を求めている。AI企業が自社サービスの悪用者を自ら訴える珍しいケースであり、背景には2025年12月のGrok画像編集機能の実装以降、同種の被害通報が世界で7万件以上、逮捕者も244人を超えている深刻な状況がある。AI企業に「作った道具の悪用を止める責任」がどこまで及ぶのかを問う、今後の判断材料になる訴訟だ。
AIエージェント、チャットボットの136.5倍も電力を消費すると判明
韓国科学技術院（KAIST）の研究により、自分で考えて複数の作業を連続でこなす「AIエージェント」は、1回の質問に答えるだけの通常のAI（チャットボット）に比べて最大136.5倍の電力を消費することが分かった。平均消費電力は1回のやり取りあたり348.41Wh、LED電球を丸1日つけっぱなしにするのと同じ量だという。これはAIエージェントが1つの指示をこなすために内部で何度もAIへの問い合わせを繰り返すためで、応答時間も通常の153.7倍かかりうる。研究チームは、AIエージェントがGoogle検索並みの規模で普及した場合、必要な電力はアメリカ全体の電力消費量の約半分に達すると試算しており、便利さの裏にある電気代・環境負荷が急速に無視できない規模になりつつあることを示している。
Infra
AWSの請求システムにバグ、一部顧客に数十億ドル相当の誤請求が表示
AWSの請求ポータルにバグが発生し、一部の顧客に対して実際の利用量とかけ離れた、数十億ドル規模の請求額（見積もり）が表示される事態が起きた。ある顧客の請求は月あたり約25億ドルにまで膨れ上がったと報じられている。原因は請求の計算処理を行う仕組みへの「最近の変更」とされ、いったん元に戻す対応を試みたものの解消せず、数時間にわたって表示され続けた。Amazonは「表示された金額は実際の利用量や請求額を反映したものではない」と説明しており、実際に請求されることはないとしているが、クラウドの請求システムという「見えない裏方」の不具合が利用者に強い不安を与えることを示した出来事だ。
Backend
「12倍高速化」したTypeScript 7.0、メモリ使用量は？互換性、移行時の注意点
TypeScriptの次期版7.0で、文章を機械が読める形に変換する「コンパイラ」本体がJavaScriptからGo言語に書き換えられ、大幅な高速化が実現した。実際にVS Codeのコンパイル時間は125.7秒から10.6秒へと11.9倍速くなり、新しい設定を使うとさらに16.7倍まで短縮できるという。メモリ使用量も6〜26%削減されており、速度と省メモリを両立させた成果だ。ただし新しいプログラム向けAPIに未対応のフレームワークもあり、VueやAstroなどを使うプロジェクトは当面バージョン6を使い続ける必要がある。開発の土台となるコンパイラの高速化は、日々のビルド待ち時間として全開発者に恩恵が及ぶ地味だが影響の大きい改善だ。
GETでもPOSTでもない、HTTP新メソッド「QUERY」が標準化へ
インターネットの標準を決める団体IETFが、新しいHTTPリクエストの方式「QUERY」を正式な標準（RFC 10008）として公開した。これまでデータを取得する「GET」はURLに条件を書く必要がありURLが長く複雑になりがちで、データを変更する「POST」はデータ変更用のため読み取り専用の意図が伝わりにくいという課題があった。QUERYは「サーバーのデータを変更しない読み取り専用の操作」であることを明確にしつつ、GETではURLに収まりきらない複雑な検索条件をPOSTのように本文へ格納して送れる、両者のいいとこ取りの方式だ。複数条件での絞り込みや並べ替えなど複雑な検索を扱う現代のAPI開発において、キャッシュの効率化やセキュリティ面（機密情報がURL履歴に残らない）でも利点がある。
PHP向けパッケージ管理ツール「Composer」に脆弱性、更新前に確認したい3つのリスク
PHPの開発で標準的に使われる部品管理ツール「Composer」に3件の脆弱性が発見された。もっとも深刻なもの（CVSS 7.0）は、悪意あるパッケージを依存関係に含めるだけで、通常は許可されていないプロジェクト内の任意の場所にファイルを書き込まれてしまう恐れがある。ほかにも、詳細ログ出力時にURLに埋め込んだ認証情報（GitHubトークンなど）が記録されてしまう問題や、パッケージ内の設定次第で本来非公開のはずの.envファイルなどが読み取り可能になってしまう問題が見つかっている。いずれも該当バージョンでの修正が既に行われており、開発に使う「道具」自体を最新版に保つことも、アプリ本体のセキュリティ対策と同じくらい重要であることを示す事例だ。
AIエージェント×OAuth 2.0：Device Flowで社内データの安全な認可を実装した話
エムスリーが、AIコーディングエージェント「Claude Code」に社内のレポートを読ませたいという要望に対し、ブラウザを使わずに安全に権限を渡す仕組みを実装した事例を公開した。従来の認可の仕組みはブラウザでのログインを前提にしていたが、AIエージェントにパスワードやログイン状態をそのまま渡すのは危険だ。そこで採用したのが「Device Flow」という方式で、AIエージェント側は一時的なコードだけを受け取り、実際の承認は人間がブラウザで別途行う、という「使う人」と「許可する人」を分離する仕組みだ。
発行したトークンはハッシュ化して保存し、DBが漏れても悪用できないようにするなど、既存の権限管理の仕組みをほぼ変えずに安全性を追加できた点が実務的な工夫として参考になる。
1193個のプロセスが1つの書き込みロックに詰まった、PostgreSQLの障害分析
AWS RDS上のPostgreSQLで発生した実際の障害を分析した記事。データベースへの変更を記録する「WAL」というログをディスクに書き出す処理は、複数の処理が同時に書き込める通常のデータ操作とは違い、1つの鍵（排他ロック）を全員が奪い合う構造になっている。今回はディスクの処理能力の割り当て（IOPS）が枯渇したことでこの書き込み処理が遅くなり、鍵を握ったまま離さない時間が延びた結果、鍵待ちの行列がねずみ算式に膨らみ、最終的に1193個ものプロセスが詰まってしまった。ディスクの一時的な遅さという小さな問題が、たった1つの鍵を経由することでシステム全体を止める大事故に化けるという、クラウド環境特有の落とし穴を具体的な数値とともに解説している。
Frontend
Figmaデザインを React実装に落とし込むときの確認ポイント
デザインツール「Figma」で作られたデザインを、実際に動くReactのコードに落とし込む際に見落としがちな確認事項を10個にまとめた記事。単に見た目をそっくりそのまま再現するのではなく、「この画面でユーザーは何をするのか」という目的から理解することがまず重要だと説く。また、通常時の見た目だけでなく、マウスを乗せた時や読み込み中、エラー時、空データの時など複数の状態を想定した実装が必要な点や、長い文字列や改行が入ってもレイアウトが崩れないようにする配慮など、デザインファイルには表れにくい「動くコードならではの落とし穴」を具体的に整理している。デザイナーとエンジニアの間で起きがちな認識のズレを事前に防ぐためのチェックリストとして活用できる。
鹿野さんに聞く！CSSの最新トレンド Ver.2026
Ubie株式会社のプロダクトエンジニア鹿野壮氏が、ブラウザで広く使えるようになった最新のCSS機能を紹介したイベントのレポート記事。AI時代だからこそ「JavaScriptで長々と書いていた処理をCSSの簡潔な記述に置き換えられる」ことが、コードの読みやすさやバグの減少につながると強調している。具体例として挙げられているのが、テキストにグラデーションを付ける技法だ。従来の色の指定方法（sRGB）では、グラデーションの途中が暗くくすんで見えてしまう問題があったが、「OKLCH」という新しい色の表現方法を使うことで、途中の色も鮮やかさを保ったグラデーションが実現できるという。ブラウザの対応状況はMDNやCan I Useといったサイトで随時確認しながら取り入れることが勧められている。
Others
GitHubだけでMFA突破攻撃を量産できる時代に、現役フィッシング基盤の全貌が判明
セキュリティ企業Lexfoの調査により、3人組の犯罪者がGitHubのリポジトリを悪用して複数の高度なフィッシング（なりすまし詐欺）基盤を運用していたことが明らかになった。中でも注目されるのは、Microsoft Entraの「Device Code Flow」という本来は正規の認証手続きを悪用し、二段階認証（MFA）を回避してしまう手口だ。ユーザーには正規の認証ページに見えるものを表示しつつ、裏で認証の証明書（トークン）を横取りする仕組みで、この基盤だけで218人の被害者が確認されている。攻撃者は金融機関の利用者やMicrosoft 365利用者など標的ごとに役割分担しており、フィッシングが個人の手作業から「基盤」として整備・分業される時代に入っていることを示している。
アサヒグループHD、新たに取引先の役員や従業員などの個人情報約37.8万件を「漏えいのおそれがある個人情報」として発表
アサヒグループホールディングスが、2025年9月に発生したサイバー攻撃に関連して、新たに約37.8万件の個人情報が漏えいの恐れがあると発表した。今回追加で対象になったのは取引先の役員や従業員、取引先個人事業主とその従業員などで、氏名や生年月日、住所、電話番号、メールアドレスなどが含まれる。これまでに発表済みの顧客相談室への問い合わせ者（152.5万件）や従業員・退職者（10.7万件）なども合わせると、影響が及ぶ可能性のある対象は非常に広範囲に広がっている。外部の専門機関による調査では実際の外部流出は確認されていないというが、可能性を否定しきれない情報について慎重に開示を続ける姿勢を同社は取っている。
Apple、Googleに「なりすましヌード生成アプリ」の削除命令
サンフランシスコ市の担当弁護士が、AIで写真を加工し本人の同意なく性的な画像を生成する「なりすましヌード生成アプリ（nudifyアプリ）」を、AppleとGoogleに対して28日以内にアプリストアから削除するよう正式に命じた。カリフォルニア州の法律では、同意のないディープフェイク画像作成を助長する行為が犯罪とされており、2025年には民事上の責任も新たに定められている。市側は、両社が過去にも複数回の警告を受けながらこれらのアプリを掲載し続け、手数料収入を得てきたと指摘している。両社とも規約違反として一部アプリの削除を始めたと説明しているが、便利な生成AI技術が悪用された際に、それを配布するプラットフォーム側にどこまで責任が及ぶのかを問う事例として注目される。
Microsoft 製品の脆弱性対策について(2026年7月)
情報処理推進機構（IPA）が、2026年7月に公開されたMicrosoft製品のセキュリティ更新プログラムについて注意を呼びかけた。中でも「Active Directory Federation Services」と「Microsoft SharePoint Server」の特権昇格の脆弱性は、Microsoft自身が既に悪用の事実を確認しているとされ、放置すると攻撃者にパソコンを制御されるなど深刻な被害につながる恐れがある。特権昇格とは、本来与えられていないはずの高い権限を不正に奪い取られてしまうことを指し、社内システムの奥深くまで侵入を許す足がかりになりやすい。該当する製品を利用している組織や個人は、通常の自動更新任せにせず、至急の適用状況の確認が推奨されている。