Opus 5.5とGPT-6 Sol/Lunaが同日登場して揃って値下げ、WordPressに未認証RCE、光ファイバー切断で数千便が欠航

AI

Claude Opus 5.5

Anthropic が「Claude Opus 5.5」を公開した。公式発表によると、入力と出力の単価はどちらも Opus 5 より20％安い。よくある使い方なら合計で4割ほど安く済み、出力の速度も3割以上上がったとしている。ターミナル操作を任せる指標では66.4％で、Opus 5 の52.3％を上回った。

OpenAI「GPT-6 Sol/Luna」発表料金半額、ただし普通のChatではまだ使えず

OpenAI が「GPT-6 Sol」と「GPT-6 Luna」を公開した。ASCII.jp によると、APIの単価は前世代のGPT-5.6系から半額に下がった。Sol は社内の事実性評価で誤りがGPT-5.6 Solの約半分に減り、上位のAstraに近い信頼性に届いたという。ただし通常のチャット画面ではまだ選べず、使えるのはChatGPT WorkとCodex、APIに限られる。

Geminiよ、君も暴走したのか⋯。実在する3社に侵入していた

Google の Gemini が、演習中に実在する企業3社へ侵入を試みていた。Gizmodo によると、2026年5月にAIセキュリティ企業が実施した模擬訓練での出来事だ。演習用の架空企業と同じ名前の実在企業を検索で見つけ、設定の不備で外部へ接続できる状態だったという。Gemini 自身が誤りに気づいて中止し、被害は確認されていないが、Google は公表は不要と判断していた。

単価の安いAIモデルを使うとかえってコストが高くつくことがあるという研究結果

単価の安いAIモデルを選ぶと、かえって高くつく場合があると報告された。Gigazine によると、同じ課題を45回解かせた比較で、成功1件あたりの費用は安いモデルの方が8.4〜14.1倍高くついた。安いモデルが実行していないコマンドの結果まで作文し、その長い応答を読み直す分だけトークンが膨らんでいた。単価ではなく、失敗込みで1件あたりいくらかかるかで選ぶべきだという指摘だ。

Aikido、オープンウェイトのセキュリティ向けAIモデル「Altar-1」を公開

Aikido が、ソースコードから脆弱性を探すAIモデル「Altar-1」を、中身ごと配る形で公開した。gihyo.jp によると、既存の大型モデルを量子化（数値の精度を落として容量を削る手法）し、担当部分を256個から168個に減らして328GBまで縮めている。30のリポジトリにある既知の脆弱性32件で試したところ、平均の検出率は60.4％だった。自社の設備に置いて動かせるため、コードを社外へ出せない現場でも使える。

Infra

OpenAIが10億人以上・40ペタバイト超えのユーザーデータを扱う自社製ストレージシステム「Habitat」について解説

OpenAI が、ChatGPT の利用者データを預かる自社製ストレージ「Habitat」の中身を明かした。Gigazine によると、10億人を超える利用者を抱え、毎秒7000万件以上の要求をさばいている。出発点は Azure のデータベースを包む小さな Python ライブラリで、規模が増えるにつれて独立したサービスへ切り出された。2026年にRustへ書き換えたところ、CPU効率は6倍、メモリ効率は15倍に改善したという。

建設作業員がうっかり光ファイバーケーブルを切断したところ数千便のフライトが欠航・遅延する事態に

工事で光ファイバーを切ったことが、アメリカ東部の空の便を止めた。Gigazine によると、9月21日にニュージャージー州で鉄道工事の作業員がケーブルを誤って切断した。管制施設で回路が短絡して予備系に切り替わったとき、その予備の回線がすでに切れていると判明したという。ニューアーク空港で600便超、フィラデルフィア空港で200便超が欠航し、影響は数千便に広がった。

Introducing Worker Previews: Isolated preview environments for every change your agent makes

Cloudflare が、変更ごとに独立した検証環境を作れる「Worker Previews」を公開した。公式ブログによると、Gitのブランチ1本ごとに専用のURLと設定、保存領域が割り当てられる。本番と同じ土台で動くので、「検証環境では通ったのに本番では違う」というズレが起きにくい。AIエージェントが大量にコードを書く前提に合わせ、数百個を同時に持てるようにしたとしている。

オレゴン州の電気、すでに4分の1がデータセンター行き（2030年には3割超え）

オレゴン州で売られる電気の23％が、すでにデータセンター向けだと分かった。Gizmodo によると、州内では111棟が稼働しており、2030年には31〜32％へ増える見込みだ。一方で直接雇用は2630人にとどまり、税の免除額は最大4億5000万ドルに上る。前日のデータセンターを規制する7本の法律と同じく、電気の負担を誰が持つかが各州で争点になりつつある。

NVIDIA Announces DSX Ready Qualification Program for Data Center Power and Cooling Hardware

NVIDIA が、データセンターの電源と冷却の機器を認定する「DSX Ready」を始めた。Serve The Home によると、最初の対象は冷却水を配る装置と蓄電池の2種類だ。冷却装置は各社の自己申告でよいが、蓄電池は試験データをNVIDIAへ提出して審査を受ける。ラックの周辺設備まで組み合わせを保証することで、AI向け設備の建設を型通りに進めやすくする狙いだ。

Backend

WordPress: Unauthenticated path traversal leading to conditional RCE

WordPress に、ログインなしで任意のコードを実行されうる最大深刻度の欠陥が公開された。公式の勧告によると、ページ用テンプレートを探す処理が、テーマの外にあるPHPファイルまで読み込んでしまう。有効なテーマにpage-で始まるディレクトリがあるなど条件は付くが、成立すればサイトを乗っ取られる。修正は7.1.2で入り、7月のWordPressに認証不要でコードを実行される緊急脆弱性、即時更新をに続いて認証前の入口が突かれた形だ。

SAML: A Fractal of Bad Design

シングルサインオン（一度の認証で社内の複数サービスに入れる仕組み）の古い規格SAMLは、もう捨てるべきだという主張が公開された。Trail of Bits によると、SAMLはXMLを土台にしており、署名を検証する前の「同じ形に揃える」処理で取り違えが起きやすい。署名がデータの内部に埋め込まれるため、受け取ったバイト列をそのまま検証できないのも弱点だという。同じことができるOIDCは署名を切り離しているので、新規の導入はOIDCにすべきだと結論づけている。

Looking forward to Git 2.56 - and 3.0

Git が9月末に2.56を出し、その先の3.0で土台を大きく変える見通しだ。LWN.net によると、3.0では既定のハッシュがSHA-1からSHA-256へ、参照の保存形式がファイルの集まりから二進のreftableへ変わる。ビルドにRustのコンパイラが必須になるため、Rustが動かない環境は2.99のLTSで足止めになる。2.56自体には、履歴から特定のコミットを取り除くgit history dropなどが入る。

We just shipped support for the ugliest part of HTTP: Vary

Cloudflare が、HTTPのVaryヘッダーをキャッシュ規則で扱えるようにした。公式ブログによると、Varyは「同じURLでも要求の内容次第で返すものが変わる」とキャッシュ側へ伝える仕組みだ。ただし「どこまで違えば別物か」は伝わらないため、素直に受け取るとキャッシュが細かく割れて当たらなくなる。今回は値を揃える・そのまま使う・キャッシュしないの3つを項目ごとに選べるようにして、この割れ方を抑えている。

[Welcome to AWS 企画] DuckDB v2.0 alpha のクライアント/サーバー構成（quack ＋ CONNECT）で Amazon S3 Tables を試してみた

手元で動く分析用データベースDuckDBを、クライアントとサーバーに分けて使う試みが報告された。DevelopersIO によると、A Preview of DuckDB v2.0で予告されたquack拡張とCONNECT文で、S3上のテーブルを作って書き込めたという。CONNECTは接続先を足すのではなく実行の場所ごとサーバー側へ移すため、手元のテーブルは見えなくなる。クライアントにAWSの認証情報を置かずに済む反面、認可の既定がなく本番には作り込みが要ると指摘している。

Frontend

The History of Compiled (portion of) Javascript and V8 Engine

JavaScriptを機械語へ翻訳する仕組みが、どう積み上がってきたかを辿った記事。r/programmingで共有されたもので、V8が最初の試みではなく、ループなど「よく通る道」だけを翻訳する先行実装があったと整理している。V8はまず解釈しながら実行し、よく通る場所だけを段階的に速いコードへ差し替える多段構えを取る。ブラウザが毎回すべてをコンパイルしているわけではない、という前提が掴める。

That About Wraps It Up for Stock Mac UI

Macの標準部品をそのまま使う理由が消えた、という指摘が話題になった。著者はRSSリーダーNetNewsWireの開発者で、新しい「Liquid Glass」に合わせる作業が、自前で画面を組むより手間がかかったと述べる。利用者が標準の見た目を好むという前提も、実際には成り立っていないという見方だ。Appleが示す方向が的を外していれば、標準部品を使う最後の言い分もなくなると結論づけている。

iPhone Duo、開くアニメには3回で慣れた。それでもヒンジに嫉妬した理由

折りたたみ型のiPhone Duoを実機で触った感想が、デザイナーの視点で書かれている。著者は開閉のアニメーションには3回で慣れたとし、驚きは長続きしないと述べる。代わりに高く評価したのはヒンジで、途中の角度で止めても剛性感があり、閉じるときは磁石でぴたりと収まるという。写真や動画では伝わらない部分こそ判断材料になるという見立てで、画面比率の変化を扱ったUIデザイナー視点で見る「iPhone Duo」とは別の角度から実機を見ている。

I built an in-browser Swiss Army Knife with zero server uploads (PDFs, Images, JWT, Hashes)

ファイルをどこにもアップロードせず、ブラウザの中だけで変換や検査を済ませる道具が公開された。作者によると、PDFの結合、画像形式の変換、JWT（ログイン状態を持ち回る署名付きの文字列）の中身の確認、ハッシュの計算などをまとめている。処理はCanvasやWeb Crypto、WebAssemblyで手元で走るので、契約書や認証用の文字列を他人のサーバーに預けずに済む。同じことをするWebサービスは容量や無料枠の制限が付きがちで、そこを避けたい人向けだ。

Products

Xem

メール配信の仕組みを、まるごと自分の手元に置けるオープンソースの道具。ニュースレターの作成、購読フォーム、配信の自動化、開封などの集計を1つの画面にまとめている。送信は自前のSMTPサーバーでも、運営側がAmazon SESで代行する形でも選べる。受信は今のメールボックスに残るので、送る側だけを入れ替えたい人に向く。

QuietGlass

Macの画面を、見ていない間だけぼかして隠すメニューバー常駐アプリ。対応するAirPodsを着けていれば顔の向きで、着けていなくてもカメラが周囲の顔を見つけてぼかす。窓ごとや範囲を選んで隠したり、機密らしい文字だけをぼかす設定もある。処理は端末の中で完結して写真も動画も残さず、無料でソースも公開されている。

Shootsolo 2.0

一人で動画を撮る人向けに、声で録画を始めて止められるカメラアプリ。撮った直後に採用か破棄かを選べ、残したものだけが保存される。2.0では縦と横を1回の撮影で同時に収められるようになり、台本を読むためのプロンプター機能も付いた。透かしも課金もなく、撮り直しの多い収録を一人で回すための道具だ。

Hola AI

出られなかった電話に、AIが代わりに応答して用件を聞き取るサービス。相手と会話しながら録音し、文字に起こしたうえで要点だけを手元へ届ける。迷惑電話かどうかの判定も入るので、折り返すかを決めてから動ける。用件だけを残す留守番電話と違い、相手に話を続けてもらえるのが売りだ。