Qwen3.8-27BとGLM-5.3が同日登場、オープンモデルの追い上げが一段と加速
AI
「Qwen3.8-27B」ついに公開！3.6を大きく上回る性能でローカルAIの定番になるか
Alibaba の Qwen チームが、重み（AIの頭脳にあたる数値データ）を誰でもダウンロードできる形で「Qwen3.8-27B」を公開した。パラメータ数は270億で、一般に手に入るGPUを積んだ自宅のパソコンでも動かせる規模でありながら、前世代の Qwen3.6-27B や上位版の Qwen3.7-Plus を上回るスコアを記録している。実際のバグ修正タスクを解かせる「SWE-bench Pro」や、業務を模した「CoWorkBench」といった評価で伸びが大きく、自分で計画を立てて環境からの返答を見ながら手直しする能力が強化された。画像や動画をそのまま扱えるようになり、一度に読み込める文章量も標準26万トークン（拡張時100万トークン）と大幅に広い。公開直後から海外掲示板 r/LocalLLaMA は検証報告で埋まっており、手元で動かせる高性能モデルの選択肢がまた一段上がった形だ。
Fable 5とも戦える「GLM-5.3」登場。事後学習の拡張のみで大幅性能アップ
中国の Z.ai が新モデル「GLM-5.3」を発表した。土台となるモデルの設計（骨格）は前バージョンから変えず、そのあとに行う追加訓練（事後学習）のデータと練習環境だけを大幅に増やして、コーディング性能を約50%引き上げたという。人間のエンジニアが実際にたどる作業の流れをそのまま練習させたのがポイントで、単発の穴埋め問題ではなく一連の開発作業に強くなっている。注目されたのはセキュリティ面で、プログラムの弱点（脆弱性）を見つける正答率が77.2%から84.5%に上がり、269のプロジェクトから2,436件の脆弱性を検出したと報告された。弱点を突く手順を自分で組み立てる能力まで伸びているため、防御側にとっては心強い一方、悪用のリスクも同時に高まる。重みの一般公開は2週間以内に予定されている。
Googleが「Gemini 3.7 Flash」をリリース、Claude Sonnet 5やGPT-5.6 Terraに並ぶ性能で年末まではGemini 3.6 Flashの半額で利用可能
Google が軽量・高速路線のモデル「Gemini 3.7 Flash」を公開した。コーディング用途を測る「FrontierCode」で Claude Sonnet 5 や GPT-5.6 Terra を上回り、Web 開発力を見る「Code Arena」では比較対象中の最高スコアを取った。前モデルからわずか3週間でこの伸びというのが今回の驚きどころだ。値段は年末までの特別価格として、AIに読ませる文章100万文字分（トークン）あたり0.75ドル、AIが書き出す側が3.75ドルと、前モデルのちょうど半額に設定された。安い上位クラスという位置づけなので、大量のテキストを機械的に処理する用途では乗り換えの検討材料になる。
GPT-5.6 Solを最大14倍高速化する「Ultrafast」モードが登場
OpenAI が、既存モデル GPT-5.6 Sol の返答速度を最大14倍に引き上げる「Ultrafast」モードを発表した。1秒あたり最大750トークン（およそ原稿用紙1枚分の文字が1秒で出てくる勢い）を出せるとしており、専用チップを作る Cerebras との提携が高速化を支えている。モデルの賢さはそのままに、待ち時間だけを削るのが狙いだ。障害対応やカスタマーサポート、金融市場の分析、EC サイトなど、答えが1秒遅れるだけで価値が落ちる業務が想定用途として挙げられている。現在はプレビュー段階で一部の顧客のみ、処理能力の増強に応じて対象を広げるという。
DeepSeekがAIエージェントのハーネス「DeepSeek Harness」v0.1を公開
DeepSeek が、AI に道具を持たせて自律的に作業させるための土台「DeepSeek Harness」を MIT ライセンスで公開した。設計思想は「すべてはプラグイン（差し替え部品）」で、モデル本体・道具・技能・セッション・隔離された実行環境・ファイル操作・繰り返し処理・画面表示まで、あらゆる要素を後から入れ替えたり拡張したりできる。AI エージェントを人間にたとえると、モデルが「脳」、ハーネスは道具箱・作業机・過去の記憶にあたる部分で、そこを全部開いた形になる。実行の記録は追記しかできないログに残り、「Trajectory」機能でどの判断がどこから来たかを後から追える。通常・コード・最小・クリエイターの4モードを備え、開発者向けプレビューとして配布が始まった。
Infra
How Cloudflare detects MCP traffic and helps secure it
Cloudflare が、AI に外部の道具をつなぐ規格「MCP」の通信を見分けて制御する機能を3つ追加した。ひとつは通信を絞り込む条件に experimental.is_mcp == true を足したこと、ひとつは MCP 専用の管理画面（誰が、どれだけ、どのサーバーにつないだかが見える）、もうひとつは会社が用意した窓口を通った接続か、社員が勝手に直接つないだ接続かを見分ける機能だ。判別は URL の見た目ではなく、新しい MCP 仕様が全リクエストに付けるよう義務づけた MCP-Protocol-Version というヘッダーを見て行うため、取りこぼしが少ない。AI エージェントは人間の確認を挟まずに大量に動くので、「許可していないサーバーにつながれる」「許可済みサーバーに窓口を迂回してつながれる」という2つの穴を塞ぐ必要がある、という問題提起になっている。
Secure all your internal vibe-coded applications — in one click
同じく Cloudflare から、自社の Workers 上に置いた社内向けアプリに、ログイン必須の鍵をワンクリックで掛けられる「Access for Workers」が発表された。設定はアカウント全体（作った Workers を既定で全部非公開にする）、個別の Worker 単位、Workers for Platforms の親 Worker 単位の3段階から選べ、独自ドメインでも workers.dev でもプレビュー用 URL でも自動で適用される。背景にあるのは、AI 支援で誰でも短時間にアプリを作れるようになった結果、社内用のつもりのものが鍵なしでインターネットに露出する事故が増えているという現実だ。開発者ひとりひとりに設定を任せるのではなく、管理者側が最初から閉じておける点が実務的にありがたい。
Hyperscalers might regret embracing natural gas if new forecast proves correct
エネルギー調査会社 Noreva が、米国の一部地域で天然ガス価格が今後数年で3倍になりうるという予測を出した。現在は熱量の単位あたり2〜4.50ドル程度だが、特定の取引拠点では10ドルを超えると見込む。AI 向けデータセンターの需要急増に、新規のガス井を掘るコスト上昇と液化天然ガスの輸出増が重なるのが理由だ。Amazon・Google・Meta・Microsoft はここ数年、数ギガワット規模の自前ガス発電所に投資してきたが、発電コストの約半分は燃料費なので、価格が2〜3倍になれば運用費が跳ね上がり、AI を動かす費用（トークン代）にも跳ね返る。消費者の8割がデータセンターによる電気代上昇を懸念しているという調査もあり、評判面のリスクも重なる。
Eleven minutes, zero humans: Building a self-healing Kubernetes upgrade pipeline on Kairos
Kubernetes クラスタの OS 更新を、人が一切触らずに11分で完了させるパイプラインの構築記。Renovate が新しい Kairos イメージを見つけて自動で更新依頼（PR）を作り、Kyverno が許可していないイメージを弾き、Cosign が署名を検証し、ArgoCD が取り込まれた変更を自動適用、最後に kairos-operator がノードを順番に入れ替える、という流れだ。設定ファイルの2行を書き換えるだけで、あとは誰も何もしないまま更新が終わる。安全網は Kairos の「A/B パーティション方式」で、新しい OS を別の区画に書き込んでから再起動するため、問題が起きても古い区画から起動し直すだけで元に戻る。更新作業が怖くて後回しになりがちな現場にとって、実現手段が具体的に示された例といえる。
160-bay NVMe SSD 4U Server Shown at FMS 2026 Supermicro ASG-4116S-NU160R
Supermicro が、ラック4U分の筐体に NVMe SSD を160本挿せるサーバーを FMS 2026 で公開した。1本122TB級の SSD を積めば1台でおよそ20PB（従来の2U・24ベイ機7台分に相当）になる。上段が SSD、下段に CPU・メモリ・ネットワークを収めた引き出し式の構造で、640本必要になる PCIe の配線は PCIe スイッチでさばいている。目を引くのは電力効率で、ストレージ1PBあたり130〜137W と、同容量のハードディスク構成よりはるかに少ない。AI 学習用の巨大なデータ置き場を、床面積と電気代の両方を抑えて用意したい事業者向けの一台だ。
Backend
Spanner Omni: Everything, everywhere, all of the time.
Google Cloud の分散データベース Spanner を、Google のクラウドの外でも動かせるようにした「Spanner Omni」の解説。仮想マシン、物理サーバー、Linux コンテナ、Kubernetes クラスタのいずれにも置けるため、自社データセンターや AWS など他社クラウドでも同じ機能が使える。技術的な肝は時刻の扱いで、本家 Spanner は原子時計を使う「TrueTime」で世界中のサーバーの時刻のずれを厳密に管理しているが、Omni はこれをソフトウェアだけで再現している。データを国外に出せない規制がある組織や、他社クラウドを主に使うチーム、手元で AI エージェントの開発環境を組みたい場合が想定用途として挙げられている。x86-64 の RHEL 9 / Ubuntu 22 のほか、Apple Silicon の macOS でも動く。
エラーレスポンス設計の現在地2026
API がエラーを返すときの作法を、ステータスコード・ヘッダー・本文の3層に分けて整理した記事。ステータスコードは監視やCDNなど本文を読まない仕組みが解釈する層なので、エラーを「200 OK」で返してはいけない、という原則から入る。400と422（形式が壊れているか、意味的に処理できないか）、401と403（そもそも誰か分からないか、権限が足りないか）の使い分けも具体的だ。ヘッダー層では、401には WWW-Authenticate、405には Allow、429と503には次にいつ試せばいいかを示す Retry-After を必ず付けるよう求めている。本文は RFC 9457（Problem Details）に沿って type / title / status / detail / instance を返し、クライアント側の分岐は文字列一致ではなく type で行う。スタックトレースや内部IDは detail に入れず、instance の相関IDからログを引く、という安全側の指針も明快だ。
Demystifying AI Agent Authentication & Authorization: OAuth 2.0
AI エージェントに外部サービスを触らせるときの、認証（あなたは誰か）と認可（何をしてよいか）の設計指針。よくある失敗は、OAuth の「スコープ」を権限そのものだと思い込むことだという。スコープは利用者がどこまで同意したかの上限にすぎず、実際に読める・書けるかはサーバー側が別途 RBAC/ABAC で判断すべきで、reports:read のトークンを持っていても、社内ポリシーが特定ファイルを禁じていれば拒否されなければならない。設計はプラットフォーム層（IdP での本人確認）、エージェント層（そのエージェント自身の権限）、ツール層（外部APIごとの個別 OAuth）の3段構えを推奨している。安全策として、認可コードの横取りを防ぐ PKCE、企業の認証基盤にクライアントを自動登録する DCR、署名済み JWT を検証する SSA が必須項目に挙げられた。
Why Idempotency Matters More Than Retries in Microservices
サービス同士の通信で「時間切れ（タイムアウト）」が起きたとき、それは失敗ではなく「結果が分からない状態」だ、という指摘から始まる記事。注文サービスが決済サービスに支払いを頼み、返事が届かなかった場合、決済が拒否されたのか、処理中なのか、すでに完了しているのかを注文側は判別できない。ここでそのまま再送すると、単なる通信トラブルが二重決済という業務事故に化ける。解決策は、リクエストごとではなく「その支払い」に対して1つの識別子（Idempotency-Key）を割り当て、再送時も同じ鍵を使うこと。決済サービス側は鍵と一緒にリクエスト内容のハッシュを保存し、同じ鍵で金額が違うものが来たら別処理ではなく矛盾として弾く。記録の保持期間が短すぎると、遅れて届いた正当な再送が新規扱いになってしまう点にも注意を促している。
Speeding Up (small) Ruby Hashes
Ruby のハッシュ（キーと値の対応表）は、要素が8個以下だとメモリ節約のため配列に近い形で持ち、探すときは先頭から順番に見ていく。そのため最後に入れたキーを引くと、先頭のキーより明らかに遅かった。著者は8バイト分の目印を「64ビットの整数1個」とみなし、足し算とビット演算だけで8個すべてを一度に照合する SWAR という手法を適用した。結果、位置0では毎秒1,400万回・位置7では900万回（1.58倍の差）だったのが、どの位置でも1,400万回で揃った。おまけに、要素が多いときに使う本来のハッシュテーブルより1.28倍速くなっており、小さなハッシュを大量に作る Ruby プログラムに広く効く改善だ。
Frontend
「WordPress」公式のブラウザー拡張機能が登場、「Chrome」「Safari」で提供開始／個人プロジェクトが公式に
WordPress の公式ブラウザー拡張機能が公開された。閲覧中のサイトが WordPress 製かどうかを REST API や生成タグから判定し、主要なホスティング事業者まで見分ける。画面上部の管理バーを出さずに、いま見ているページの編集画面へワンクリック（キーボードショートカットも可）で飛べるのが中心機能だ。ブロックの範囲を可視化する、スマホ表示を確認する、キャッシュを回避して最新状態を見る、といった制作者向けの道具も揃う。もともと個人開発だったものを WordPress Foundation が公式プロジェクトとして引き取り、GitHub でオープンソース公開された経緯も面白い。現時点では Chrome 系と macOS の Safari に対応し、Firefox と Edge は今後の予定。
面倒なパスワード変更、Geminiに丸投げできる日が来るかも
Google が、Chrome のパスワード管理機能に AI（Gemini）を組み込み、「弱い」「使い回している」と判定されたパスワードをボタン1つで自動的に変更する仕組みを試験中だ。従来なら人がサイトにログインし、設定画面を探し、新しいパスワードを入力して保存する、という一連の手作業が必要だったところを AI が代行する。開発版の Chrome Canary に「Password change with Glic」という隠し設定が見つかったことで判明したもので、chrome://flags から有効化はできるものの、現時点ではエラーが返るだけで動作しない。2段階認証が挟まる場合や、サイトごとにログイン画面の作りが違う点が実装上の壁として指摘されている。提供時期は未発表。
The Color Math Was Never the Slow Part
写真をマインクラフト風のブロック画像に変換するツールがブラウザーのタブごと固まってしまい、原因を突き止めた記録。著者は当初、色空間 OKLab への変換で使う行列計算や立方根が重いのだろうと考えたが、実測すると色計算はほぼ誤差の範囲だった。真犯人は2つで、処理を画面描画と同じ担当（メインスレッド）でやっていたこと、そして写真は同じ色が何度も出てくるのに1ピクセルごとに全パレットを総当たりしていたことだった。処理を裏方の担当（Web Worker）に移して画面を固まらせないようにし、色ごとの結果を32,768通りのキャッシュに覚えさせたところ、一番内側のループがほぼ消えた。「遅そうな計算」ではなく実測から入るべき、という教訓がはっきり出た例だ。
CSSが反映されない原因10選
CSS を書いたのに見た目が変わらないときの原因を10個並べた入門記事。ファイルの読み込み先パスの誤り、<head> 内の link タグの書き忘れ、クラス名のつづり違い、.（クラス）や #（ID）の付け忘れ、colour のようなプロパティ名の誤り、; や } の抜け、HTML 側のタグと指定のずれ、別の CSS による上書き、ブラウザーが古い内容を覚えているキャッシュ、コメントアウトの消し忘れ、と定番が揃っている。記事が一番強調しているのは個別の原因より診断のやり方で、「なぜだろう」と推測で当てにいかず、上から1つずつ潰していくのが結局は速い、という姿勢だ。
【コピペOK】CSSで作るモダンなUIアニメーション集
ボタン4種類とカード3種類の動きを、そのまま貼って使える形でまとめた記事。下線が左から右に伸びる、丸ボタンがふわっと大きくなる、背景色が横方向に流れ込む、グラデーションが動く、といった定番を transition と transform の組み合わせで実現している。色味を落とした画像がホバーで色付きに戻りながら拡大する、といった演出も擬似要素（::before / ::after）と filter: grayscale で組み立てている。実務向けの注意として、変化にかける時間は0.4秒前後が扱いやすいこと、複数の変化を重ねるときは要素ごとに transition を書くこと、そしてスマートフォンではマウスを乗せる操作自体がないため代わりの見せ方を用意すべきことが挙げられている。
Others
Windows Defender脆弱性対処は不適切。新ゼロデイ脆弱性「ShieldBrake」
セキュリティ研究者の Nightmare Eclipse 氏が、Windows Defender の新しいゼロデイ脆弱性「ShieldBrake」を公開した。ゼロデイとは、修正プログラムが出る前に手口が知られてしまった弱点のことだ。厄介なのは、これが以前報告された「RoguePlanet」への Microsoft の修正が不十分だったために成立している点で、公式パッチを当てていてもすり抜けられてしまう。研究者は「月例パッチは無意味」とまで表現している。確認されているのは Windows 11 25H2、Windows Server 2025、Windows Insider の Canary チャネルで、Windows 10 は検証対象外ながら OS 自体は影響を受ける可能性があるとされる。現時点で有効な回避策は示されておらず、Microsoft からの正式情報を待つ状況だ。
Google is making private AI practical with homomorphic encryption
Google が、暗号を解かないまま計算する「準同型暗号」を実用化するためのオープンソースのコンパイラ「HEIR」を公開した。普通はサーバー側でデータを復号しないと処理できないが、準同型暗号なら中身を見ないまま計算し、暗号化された答えを返せる。たとえば、利用者の好みをサーバーに知られないままおすすめを出す、といったことが可能になる。Google は、おすすめ配信・クレジットカードの不正検知・暗号化された通信の異常検知・音声の呼び出し語検出という4つの実装例を示した。この技術の最大の弱点は計算量の重さだが、Google に加え Belfort Labs や Niobium が専用ハードウェアを開発中で、HEIR 自体も専門家でなくても使える「ワンクリック」の道具を目指している。
Xがタイムライン表示アルゴリズムをオープンソース化＆自分のアカウントの扱いを可視化できるツールも試験提供開始
X が「おすすめ」タイムラインの中身を決めるアルゴリズムを公開した。公開対象は、投稿をおすすめに載せるかどうかの判定と、載せた投稿の並び順を決める部分の2つだ。あわせて「Under the hood」という機能の試験提供も始まり、自分のアカウントや投稿がシステム内でどう扱われているかを確認できる。対象は月10回以上投稿し、利用開始から1年以上経ったランダムな試験グループで、統計情報を JSON 形式でダウンロードして AI に分析させることもできる。2023年の公開時は Twitter 公式リポジトリだったが、今回は SpaceXAI の GitHub リポジトリが置き場所となった。X は今後さらにソースコード全体の公開を計画しているという。
Databricks wanted to raise $1B, investors wanted $15B. It settled on $5B at a $190B valuation.
データ基盤大手の Databricks が、企業価値1,900億ドルの評価で50億ドルを調達した。当初の予定は10億ドルだったが、報道をきっかけに投資家から150億ドル分の申し込みが集まり、既存投資家への配慮もあって増額したという経緯だ。主幹事は Coatue で、Blackstone、MGX、T. Rowe Price 傘下各社など約20社が参加した。年間の経常収益は70億ドル（前年比80%成長）、主力のクラウドデータウェアハウスが15億ドル（同100%成長）、新製品 Lakebase が1億ドルという規模感で、調達資金は100人規模の研究チーム、クラウド各社との契約、企業買収に充てる。同社は過去20か月で計200億ドルを調達しており、AI 事業がいかに資本を食うかを示す数字でもある。
Microsoft、個人・ビジネスCopilotアプリを統合。Deep Researchなど廃止
Microsoft が、個人向けの「Microsoft Copilot」と職場・学校向けの「Microsoft 365 Copilot」を1つのアプリに統合する。新アプリでは個人アカウントと職場アカウントの両方でサインインでき、Word や Excel、Outlook に直接つなげられるようになる。移行は基本的に自動で、Microsoft 365 Copilot の利用者にはアプリ名とアイコンが変わった程度に見えるという。一方、2026年8月18日に3つの機能が廃止される点は注意が必要だ。グループチャットは1対1のみになり過去の添付ファイルにアクセスできなくなる、ポッドキャスト機能は消えるため作成済みの音声は事前にダウンロードが必要、そして深掘り調査の「Deep Research」は一般提供を終了する（Microsoft 365 Premium 契約者は「Researcher」機能で代替）。