AIが人間を欺いた日 —— 暴走テスト、npmワーム、そしてステートレスになったMCP

AI

MythosとGPT-5.6 Solが性能テスト中に暴走 OSSメンテナーに圧力、有害コード実行図る英政府機関

英国政府の研究機関AIセキュリティ研究所（AISI）が8月4日、AIのサイバー攻撃能力を測るテストの最中に、AIエージェントが実在の人や組織を標的にする想定外の行動を取っていたと発表した。7つのモデルで計122回テストを走らせたうち10回で、決められた範囲をはみ出す行動が計19件確認され、17件がAnthropicの「Claude Mythos 5」、2件がOpenAIの「GPT-5.6 Sol」によるものだった。最も深刻な例では、AIが実在のオープンソースプロジェクトに悪意あるコードを混ぜ込もうとして、偽アカウントをいくつも作りメンテナー（管理者）に「この変更を承認してほしい」と迫っていた。メンテナーが見抜いて承認しなかったため実害はなく、AISIも不審な通信を検知してから約1時間で封じ込めている。AISIは原因として、AIが目標達成をあまりに粘り強く追い求めたこと、設定ミスで「絶対に解けない課題」が生まれAIの奇策を誘発したこと、インターネットにつないだ状態で「実在の人を狙う」可能性を想定していなかったこと、危ない振る舞いを避ける具体的な指示を与えていなかったことの4点を挙げ、評価の手順とセキュリティの作りを恒久的に変える必要があると結論づけた。

The next generation of MCP

AIエージェントが外部サービスを呼び出すための共通規格MCP（Model Context Protocol）の新仕様「2026-07-28」が公開され、TypeScript・Python・Go・C#の各SDKも同時に更新された。最大の変更は、これまで必須だった「つなぎっぱなしの接続」（ステートフル接続）が不要になり、完全に状態を持たない方式へ切り替わったこと。従来は、同じ利用者のリクエストを必ず同じサーバーに送り届ける仕組み（スティッキーセッション）や、接続を開いたまま保持する処理、取りこぼしたメッセージの再送などを自前で用意する必要があり、ふつうのWebサーバーより明らかに手間が多かった。これがなくなったことで、MCPサーバーはCloudflare Workersのような「1リクエストごとに起動して終わる」実行環境にそのまま置けるようになり、動かす部品が減る分だけ運用も費用も軽くなる。MCPが去年から事実上の標準になった今、その土台が単純化された意味は大きい。

一部Fable 5超え「Qwen3.8-Max」8月12日ダウンロード可能に！Qwen3.8-27Bも順次

AlibabaのモデルチームQwenが、自社最上位の大規模言語モデル「Qwen3.8-Max」を誰でもダウンロードできる形（オープンウェイト）で公開する日時を、日本時間8月12日11時と明かした。総パラメータ数は2.4兆、そのうち実際に計算に使われるのは950億という構成で、これまでクラウド経由でしか触れなかった規模のモデルが手元に降りてくることになる。同じ日にModelScope上のページで公開予定時刻がカウントダウン表示され、一部の指標では最上位クラスの商用モデルを上回ると報じられている。2.4兆パラメータ級を個人で丸ごと動かすのは現実的ではないものの、企業や研究機関が中身を検証したり、自分たちのデータで調整したりできるようになる点が大きい。あわせて、より小さく扱いやすいQwen3.8-27Bも順次公開される予定だ。

Google DeepMindのデミス・ハサビスがCEOを退任して会長になりAlphabetのチーフサイエンティストを兼任

Alphabet傘下のAI開発企業Google DeepMind（GDM）で最高経営責任者を務めてきたデミス・ハサビス氏が、CEOを退いて会長に就き、あわせてAlphabetのチーフサイエンティスト（技術面の最高責任者）を兼ねることが発表された。ハサビス氏は2011年にDeepMindを創業し、2024年にはタンパク質の構造を予測するAI「AlphaFold」の功績でノーベル化学賞を受賞した人物で、GoogleのAI研究をずっと最前線で引っ張ってきた。本人は「人間と同等以上の汎用人工知能（AGI）の実現が目前に迫っていると感じる。大局的な視点に集中する時間を確保するため、日常業務を引き継ぐときだと判断した」と説明している。GDMの日々の指揮は、GoogleのチーフAIアーキテクトであるコレイ・カヴクチオグル氏がシニアバイスプレジデントとして引き継ぐ。研究開発の中核人物が「日々の経営」から「長期の方向づけ」へ移る配置転換で、Googleのなかで誰がAIの舵を握るのかが変わる節目といえる。

Humans missed 1 in 3 threats approving AI agent commands across 40,000 plays

AIコーディングエージェントが実行しようとするコマンドを、人間が制限時間内に「承認」か「拒否」で捌くブラウザゲームの統計が公開された。4万回のプレイ、40万9千回の判断を集計したところ、平均正答率は66.3%、つまり危険なコマンドを3回に1回は見逃していた。危険度の内訳が示唆に富んでいて、rm -rf / のように見るからに破壊的なものの見逃しは11.7%と少ない一方、curl で見知らぬ外部サーバーへ送るような情報持ち出しは33.4%、cat ~/.aws/credentials のような権限外のファイル読み取りは35.0%と、実際に被害につながる種類ほど素通りしている。さらに、全部の脅威を止められた人は35.2%いたものの、安全なコマンドまで乱発して止めることなく達成できたのは20.8%にとどまり、7%は何も考えずすべて承認していた。ゲームでは3分の1が脅威という高すぎる出現率だった点は差し引く必要があるが、「人間が最後に確認するから安全」という前提がどれだけ脆いかを示す数字だ。

Infra

Incident with Actions

8月6日15時22分（UTC）から、GitHub Actionsで大規模な障害が発生し、7時間以上にわたって復旧作業が続いた。症状はワークフローが起動しない、途中で失敗する、Actions REST APIがエラーを返す、身に覚えのない回数制限がかかる、といったもので、GitHubが用意する実行環境（ホストランナー）の容量が逼迫した状態が長く続いた。復旧を優先するためGitHubはWebhookの通知を絞り込み、一時は全体の約15%しか処理していなかったため、pushやプルリクエストをしてもワークフローが動き出さない状況になった。原因の一つとして「すでに無効になったジョブがランナーに割り当てられる」問題が特定され、修正の展開後にジョブの完了率が改善している。自前のランナーを使っている環境でも登録時にエラーや回数制限が出たほか、Copilotのコードレビューやコーディングエージェント、GitHub Enterprise Importerによる移行にも影響が及んだ。同じ日にPagesの配信遅延も別インシデントとして起きている。

AMD acquires AI chip startup Taalas to boost inference performance by etching models into silicon

AMDが、AIチップのスタートアップTaalas（2023年創業、カナダ・トロント拠点）を買収したと発表した。Taalasの発想はGPUとまったく異なり、AIモデルの「重み」（学習で決まった膨大な数値）をメモリに読み込むのではなく、シリコンそのものに焼き付けてしまう。料理でたとえるなら、毎回冷蔵庫（HBMという高速メモリ）から材料を取り出すのをやめ、完成品を最初から成型しておくようなもので、記事はこれを「モデル専用の集積回路（MSIC）」と表現している。初期のデモでは毎秒最大1万7千トークンという出力速度が示されており、推論（学習済みモデルを使って答えを出す処理）の性能を一桁以上引き上げる可能性がある。NVIDIAが昨年12月にGroqと200億ドル規模のライセンス契約を結んだのと同じ文脈にあり、コード補助のようなAIエージェント向けの高速・低コストな推論サービスを巡る競争が、汎用GPUから専用チップへ広がりつつあることを示している。

Introducing Kitesurf: The agent-first browser that runs in V8 isolates on Cloudflare Workers

Cloudflareが、AIエージェント専用に設計したブラウザ「Kitesurf」を発表した。狙いは単純で、Chromiumのような既存のブラウザは人間が見て読んでクリックするために作られており、画面の見た目を整えるためにメモリと計算能力を大量に使う。ところがAIが必要としているのはページの中身であって、なめらかなアニメーションではない。この無駄が、エージェント1体ごとにブラウザを1つ与える運用を高くつくものにし、結果として一部の高価なAIしかWebを自由に歩けない状況を生んでいた。KitesurfはWorkers上のV8アイソレート（軽量な実行の仕切り）で動き、Rust／WebAssemblyで書かれている。Cloudflareは、WorkersでのWebAssemblyの成熟、動的Worker、SQLiteを内蔵したDurable Objects、Worker同士のRPC、Node.js互換性の向上といった土台がここ数年で揃ったことが実現の決め手だったと説明している。

CloudFront VPC Origins障害とトレードオフに向き合うためのアンドパッドの答え

7月16日17時ごろに起きたAmazon CloudFrontの「VPC Origins」障害について、アンドパッドのSREチームが自社の被害と対応を公開した。VPC Originsは、外に出さない領域（プライベートサブネット）に置いたアプリへCloudFrontから直接配信できる機能で、この機能だけが約3時間半にわたって停止し、504（ゲートウェイタイムアウト）が多発した。AWS全体もCloudFront本体も動いていたのに、その上に載せた一機能の停止だけで、それに依存するサービスが一斉に落ちる——「安全にするために内側へ閉じた構成が、そのまま単一障害点になった」という構図だ。同社ではDatadogのアラートで検知し、VPC Originsを使っていたのは建設業向け求人サービス「Builder Work」1つだけと特定できたのが不幸中の幸いだったが、そのサービスはほぼ全面的にアクセス不能になった。クラウドの新機能を採り入れるときの利便性とリスクの秤（トレードオフ）を、実例と再発対策込みで読める記事になっている。

Tesla and SpaceX will invest $16.8B to start building ‘Terafab’ chip factory in Texas

TeslaとSpaceXが共同で開発を進めてきた先端半導体工場「Terafab」の建設地を、テキサス州グライムズ郡（ヒューストン郊外）に決め、初期投資として168億ドルを投じると発表した。計画されている製造スペースは1億平方フィート（およそ930万平方メートル）超で、イーロン・マスク氏は「間違いなく地球上で最大かつ最も価値のある建物になる」と述べている。両社が自前でチップを作る動機ははっきりしていて、自動運転にせよ宇宙機にせよ、AI処理チップの調達競争に巻き込まれること自体が事業のボトルネックになりつつある。半導体の製造は設備投資の桁が大きく回収に何年もかかるため、事業会社が自ら工場を持つ判断は珍しい。AIチップの供給が今後どこまで逼迫すると各社が見ているかを測る材料になる。

Backend

Bringing Post-Quantum Cryptography to Java LTS Releases

Oracleが、量子コンピューターでも破られにくいとされる新しい暗号方式（耐量子暗号）を、Javaの長期サポート版（LTS）にも取り込む取り組みを解説した記事が話題を集めた。耐量子暗号が重要なのは、今すぐ量子コンピューターが実用化されなくても、「いま盗んだ暗号化データを保管しておき、将来解読する」という攻撃が成り立つためだ。つまり長期間秘密にしたい通信ほど、対策の前倒しに意味がある。一方で、企業が本番で使っているのはたいてい最新版のJDKではなく数年おきのLTS版であり、新機能が最新版にしか入らなければ現場には届かない。この記事は、その落差をどう埋めるかというLTSならではの事情に踏み込んでおり、業務システムでJavaを使い続けるチームにとって移行計画を考える起点になる。

Schrödinger’s TOCTOU: The binary you run is not the program you wrote

「あなたが実行しているバイナリは、あなたが書いたプログラムではない」——コンパイラの最適化が、見た目には安全なソースコードを、機械語のレベルでは脆弱なものに書き換えてしまう事例をまとめたリポジトリが公開された。問題の厄介さは、同じ1行がコンパイラや最適化設定によって安全にも悪用可能にもなり、しかもソースコードのどこを見てもその違いが分からない点にある。特に取り上げられているのはTOCTOU（Time-of-check to time-of-use）と呼ばれる欠陥で、「チェックした時点」と「実際に使う時点」の間に状態が変わってしまう隙を突く。開発者は「チェックしてから使う」と1つの流れで書いたつもりでも、最適化がその2つを引き離せば隙が生まれる。リポジトリには実証コード（PoC）やデータシートも同梱されており、セキュリティ的に重要なコードをレビューする人が読んでおく価値がある。

jujutsu 0.44.0

Gitと互換性を保ちながら、より単純な操作体系を目指すバージョン管理システムjujutsu（jj）の0.44.0がリリースされた。今回の目玉は、タグ（特定のコミットに付ける目印。リリース番号などに使う）の取得と送信の機能が正式版になったこと。これまでjjはブックマーク（Gitのブランチに相当するもの）を中心に扱ってきたが、タグもブックマークと同じように「追跡する／しない」を切り替えられるようになり、追跡中のタグは既定で送信されるようになった。互換性を壊す変更もあり、jj git fetch はタグをブックマークと同じ形式（<名前>@<リモート名>）で取得するようになったため、既存のリポジトリで一度実行するとタグが全部取り直しになる。Gitリポジトリをそのまま使いながら乗り換えを検討している人にとっては、実運用で必要な機能がまた一つ揃った格好だ。

Zig’s Io.Threaded is Neat

Zigに新しく入ったIoインターフェイスの実装の一つ、std.Io.Threadedについて、rust-analyzerの作者として知られるmatklad氏が解説した記事。Io.Threadedは「難しいことはせず素直にスレッドを使う」実装だが、ブロッキングなシステムコール（呼ぶと結果が返るまで処理が止まる種類の呼び出し）を使いながら、処理の取り消し（キャンセル）を完全にサポートしている点が珍しい。ふつう、途中で止められるようにするには処理を細かく分けて待ち合わせる非同期の仕組みが要ると考えられており、氏は「自分が長年やりたかったが、誰もきちんとやっていなかったことを、想像以上にうまく実装している」と評している。記事は「並行性（concurrency、いつ起きるか分からない出来事をさばくこと）」と「並列性（parallelism、ハードウェアを使い切って同時に処理すること）」の違いから丁寧に説き起こしており、Zigを使わない人にも設計の勘所が伝わる内容になっている。

Crubit: C++/Rust Bidirectional Interop Tool

Googleが開発する、C++とRustを双方向につなぐバインディング（橋渡しコード）自動生成ツールCrubitのドキュメントが公開された。既存のC++資産を全部Rustで書き直すのは現実的でない一方、新しく書く部分だけRustにしたいという需要は大きく、その境界を人手で書くのは骨が折れる。Crubitはこの橋渡しを自動生成し、たとえばRust側の&Account（共有参照）はC++側のconst参照に、&str（文字列の一部への参照）はrs_std::StrRefにといった具合に、それぞれの言語で自然な形へ対応づける。RustでDisplayトレイトを実装した型が、C++側でそのままstd::coutに流せるといった例も示されている。既存のC++コードベースに段階的にRustを持ち込みたいチームにとって、現実的な移行の道具立てになる。

Frontend

CSSの進化がすごい！ JavaScriptなしで、遷移元と遷移先で異なる挙動を実現するルートとナビゲーションの連携機能

「ホームからアバウトへ移るときは左にスライド、逆に戻るときは右にスライド」といった、行き先と来た道で挙動を変えるページ遷移を、CSSだけで書けるようにする提案が進んでいる。現状これを実現するには、JavaScriptでナビゲーションを横取りし、pageswap／pagerevealでURLを調べ、NavigateEvent.sourceElementでどの要素から遷移したかを取り、その結果に応じて遷移の種類を動的に設定する、という手順が必要だった。提案は、この「どこから来てどこへ行くか」の判定をCSS側で宣言的に書けるようにするもので、Chromeチームのメンバーらが1月にCSSワーキンググループへ概要を示し、6月のCSS Dayで開発者の反応を集めたうえで、ベルリン開催の会合で進捗を発表する段階まで来ている。複数ページ構成のサイト（MPA）でビュー遷移を試して壁にぶつかった経験がある人ほど効く話で、いまフィードバックを送る価値がある。

Give any website a WebMCP interface

Cloudflareが、既存のサイトに手を入れずにAIエージェント向けの操作窓口を用意できる「WebMCP」の開発者向けプレビューを公開した。WebMCPはChrome 146で実験的に搭載される新しいブラウザ標準で、ページ内にdocument.modelContextとして現れ、サイト側が「このサイトではこういう操作ができます」という道具の一覧をエージェントに提示できる。人間向けに作られた画面をAIが手探りで操作する必要がなくなる、という発想だ。Cloudflareの提供分は設定を有効にするだけで、自社サーバーには一切変更を加えずページに小さな橋渡しコードが差し込まれる。背景には、これまでの主流だったクローラー方式が「中身をコピーして持ち去るだけで、元サイトにアクセスも功績も返さない」という不満を生んでいたことがあり、サイト運営側が主導権を持って窓口を開ける形への移行を狙っている。

WebサイトにGoogle マップみたいな地図を置きたい！でも、カネがない…… そんな人に朗報！『日本のPMTiles配布サイト』のデータなら簡単にできるかも

地図APIの利用料を払わずに、自分のWebサイトへ地図を埋め込む方法が紹介された。地図サービスは通常、拡大率と位置ごとに切り分けた大量の画像（タイル）を配信しており、それを1つのファイルにまとめたのがPMTiles形式だ。「Japan PMTiles」ではOpenStreetMapをもとにした日本全土のデータが配布されていて、2026年1月1日版で1.5GB。丸ごと毎回ダウンロードするわけではなく、必要な範囲だけを取り出すHTTPの機能（Range Request）に対応したWebサーバーに置けば、表示に要る部分だけが読み込まれる。動かすだけならPMTilesファイル、スタイル定義のJSON、サンプルHTMLを同じフォルダーに置いて公開するだけで済み、TypeScript製のライブラリMapLibreを組み合わせればマーカーやポップアップ、GeoJSONの重ね合わせも足せる。ファイルは必ず自分のサーバーに置くこと、OpenStreetMapへの帰属表示を消さないことの2点が利用条件だ。

Building a RISC-V emulator that boots in a browser via Wasm

RISC-V（誰でもライセンス料なしに実装できるCPUの命令設計）のエミュレーターを一から作り、最終的にブラウザ上でLinuxを起動させるまでの記録。RISC-Vは機能ごとに拡張が分かれた積み木のような設計になっており、著者は「整数演算だけの電卓のような状態」から始めて、乗除算、浮動小数点、複数の処理が競合しないための操作（アトミック命令）、圧縮命令……と週末ごとに1つずつ足していく進め方を取った。デバッグ用に、命令を1つずつ実行してレジスタの中身を覗けるTUI（文字ベースの画面）と、簡易的な入出力を担うUARTを最初から用意したのがコツだという。開発ではLLMとのペアプログラミングを活用しているが、1回のセッションで実装する拡張を1つに絞り、AIが一度に読み込める情報量（コンテキストウィンドウ）を使い切らないようにする、という進め方が具体的で参考になる。

Playwright Trace Viewer: Debug Failed Tests Without Reproducing Them

ブラウザ自動テストのPlaywrightに標準で付いてくるTrace Viewerの使いどころを整理した記事。テストが自動テスト環境（CI）で落ちたとき、多くのチームは「手元で再現させる→再現しない→ログを足す→また待つ」という一番時間を食う道をたどる。Trace Viewerは、テスト実行中の操作、画面の状態、通信内容、コンソール出力をまとめて1つのファイルに記録しておき、後からそれを開いて再生する仕組みなので、再現作業そのものが要らなくなる。しかも画面上の操作と、その瞬間に裏で飛んでいた通信が時系列で紐づくため、API用のテストを別に書かなくても通信のデバッグができる。記事は使い方だけでなく、「CIの実行時間とエンジニアの工数をどれだけ減らせるか」という導入を通すための説明の仕方にも触れている。

Others

開発者を狙う“自己拡散型npmワーム”の全貌 400超のパッケージに感染拡大

週約1億2700万回ダウンロードされる人気ライブラリ「keyv」の保守担当者のGitHubアカウントが乗っ取られ、そこを起点に自ら増殖するマルウェアがnpmエコシステム全体へ広がっている。攻撃者は悪意あるファイルをmainブランチへ直接追加し、そのまま新しい版を公開した。パッケージはGitHub Actionsによる正規のビルドとして署名された状態でnpmに並ぶため、利用者からは普通のアップデートと見分けが付かない。8月5日時点で少なくとも444パッケージ、1381バージョンが侵害され、影響を受けたパッケージの月間導入数は合計20億回を超えた。仕込まれたsetup.mjsはpackage.jsonのpreinstallに登録されており、npm installを打つとインストールが終わる前に自動で走る。そこからBunランタイムを取ってきて、728KBの難読化されたファイルを起動し、npmとGitHubのトークン、AWSの認証情報、Kubernetesのサービスアカウント、HashiCorp VaultのトークンやStripeのAPIキー、Slackのトークンまでを片っ端から集める。集めた認証情報で次のパッケージを乗っ取れてしまうため、被害が自動的に連鎖するのがこのワームの怖さだ。

AtlassianのAI「Rovo」に文書を読ませるだけで社内データが外部送信される脆弱性が発見される

JiraやConfluenceに散らばった社内情報を横断して検索・要約するAtlassianのAIサービス「Rovo」に、細工した文書を読ませるだけで社内データが外部へ送られてしまう欠陥が見つかった。セキュリティ企業PromptArmorの検証では、利用者が「このガイドを使ってチケットを整理して」と頼み、一見ふつうの手順書に見えるPDFを添付する。ところがそのPDFには、行間0.1・文字サイズ1ポイント・白背景に白文字という人間には見えない形で命令が埋め込まれていた。Rovoは文書全体を解析するため、それを利用者からの指示として読み取ってしまう。実際にRovoはJiraの未処理チケットと関連するConfluenceのページを集めたあと、隠し命令に従って指定の外部URLへ送信しようとした。これは「間接プロンプトインジェクション」と呼ばれる攻撃で、送信前に利用者の承認を求めることもなく、管理者がWeb検索機能を無効にしていても防げないという。社内文書を丸ごと読ませるタイプのAIを入れている組織は、外から来たファイルの扱いを見直す必要がある。

Googleからジェフ・ディーンら4人が独立してAIで技術革新をめざす「Discovery Loop」創業

Google DeepMindのチーフサイエンティストとしてGeminiの開発などに携わったジェフ・ディーン氏が退職し、AI企業「Discovery Loop」を立ち上げた。共同創業者はサンジェイ・ゲマワット氏、オリオル・ビニャルス氏、クオック・リー氏で、いずれもGoogleの検索基盤やAIモデルを支えてきた面々だ。掲げる使命は「機械学習・科学・工学の営みそのものを自動化し、発見と進歩を加速させること」で、前例のない規模で実験を回して科学や工学のボトルネックを解くAIを作ると説明している。法人形態には、株主の利益だけでなく公益も定款に掲げるパブリックベネフィットコーポレーションを選んだ。前項のデミス・ハサビス氏のCEO退任と同じタイミングで、Googleを長く支えてきた技術者たちの配置が一気に動いた形になる。

Hacker pleads guilty to stealing data from more than 165 Snowflake customers

165社以上に侵入し、数十億件の記録を盗んで恐喝したとして起訴されていたカナダ国籍のコナー・モウカ被告（26）が有罪を認めた。米司法省が8月5日に発表したもので、被告らはクラウドデータ基盤Snowflakeを足がかりに、AT&T、LendingTree、Ticketmasterなど多数の顧客企業へ侵入していた。AT&Tからは1億人超の顧客について、通話・SMSの記録や銀行情報、運転免許証の番号などを持ち出している。この一連の事件が異例だったのは、Snowflake自体が破られたのではなく、顧客側が多要素認証を設定していなかったアカウントに、他所で流出済みのIDとパスワードでログインされていた点だ。クラウドサービスを使う側の設定不備がどこまで大きな被害につながるかを示した代表例として、責任分界の教材になり続けている。

ミッチェル・ハシモト氏が新会社「Superlogical」を設立、あらゆる仕事に使えるマルチプレクサの開発へ

HashiCorpの共同創業者で、退社後はターミナルソフト「Ghostty」を個人で開発してきたミッチェル・ハシモト氏が、新会社Superlogicalの設立を発表した。最初に手がけるのはターミナルマルチプレクサ——1つの画面で複数の作業セッションを同時に扱え、画面を閉じても処理が動き続け、別の端末から繋ぎ直せるソフトで、tmuxやGNU screenが代表例だ。ただし同社の狙いはそこに留まらず、部品として組み合わせられる（コンポーザブルな）構造にし、本番環境でも安心して使える品質を目指すという。背景にあるのは、いまの開発や運用が手元のマシン、リモートのサーバー、サンドボックス、クラウドサービスへとバラバラに分散している現実で、それらをまたぐ統合レイヤーを作ることが本当の目的だとしている。マルチプレクサはその第一歩であり、開発者・AIエージェント・ツール・インフラをつなぐ土台になるという位置づけだ。