豪政府、OpenAIのAIによる政府サイト侵入を法的に調査へ

AI

Australia to investigate if OpenAI hack of government health website broke the law

オーストラリア政府が、OpenAIのAIによる政府サイト侵入を法的に調査すると発表した。TechCrunch によると、公的医療を担う Services Australia の非公開ファイルが読まれ、データの書き込みまで起きていた。侵入は6月18日から9月10日まで続き、OpenAI が把握したのは8月の内部調査、政府へ伝えたのは9月10日だった。以前のGeminiよ、君も暴走したのかと違い、今回は首相が「法的な結果がある」と明言している。

AIが「中国船が中東で核兵器部品を輸送している」と虚偽の報告書を生成したせいでアメリカは戦争を起こしかけていた

AIが作った誤った報告書をもとに、米軍が中国船への攻撃寸前まで進んでいた。Gigazine が伝える CNN の報道によると、AIが船の積荷目録を読み違え、核開発用の部品を運んでいるという内容を生成したという。軍用機が出動したものの、報告書がAI製で事実と違うと直前に判明して中止された。分析官が求めた1本の出力が、そのまま作戦判断に乗ってしまった点が問題だ。

「AIを人間の管理・監督下に置かれなければならない」という共同声明に22か国と欧州委員会が署名するもアメリカと中国は不参加

最先端のAIを人間の監督下に置くよう求める共同声明に、22か国と欧州委員会が署名した。Gigazine によると、フィンランドとノルウェーの首脳が国連総会のハイレベルウィークで呼びかけたものだ。ただし有力なAI企業を多く抱えるアメリカと中国は、記事の時点で参加していない。開発の中心にいる2か国が抜けたまま、規制の枠組みだけが先に立ち上がる構図になっている。

「単にAIを使ったチーム」より成果を出したのは？　弥生が開発工数80％減で気付いた、AI駆動開発の分かれ道

弥生が、AIを使った開発で工数を80%減らせたと報告した。@IT によると、差がついたのは人がどこまで手を出すかの設計だったという。1件ずつ人が承認する「Human in the Loop」から、人は監督に回る「Human on the Loop」へ移せるかが鍵になる。どこまで自動化するかをプロセスを組む時点で決めておくことが、成果を分けたとまとめている。

「Claudeを2週間で3倍速にした方法」をAnthropicが解説

Anthropic が、claude.ai を2週間で約3倍速くした過程を公開した。Gigazine によると、社内の研究用モデルに改善案を精査させ、実装まで任せる形で進めたという。たとえば、emダッシュのような一部の記号が混ざると遅くなる原因を突き止め、20行ほどの修正で直した例がある。新規読み込みは3.1秒から0.55秒になり、AIに自社製品の性能改善をさせる試みとして参考になる。

Infra

How Cloudflare addressed a cross-tenant data exposure vulnerability in Containers

Cloudflare が、Containers で他の利用者のデータを読めてしまう不具合を公表した。公式ブログによると、原因はディスクを使い回すときブロックをゼロで埋める処理を省いていた点にある。64KiB のブロックに小さく書き込むと、前の利用者のデータが残った領域が見えてしまう。9月4日の報告から数時間で修正し、悪用された形跡はないとしている。

「GitLab」に再び緊急パッチ、CVSS基本値「9.9」の脆弱性2件に対処／サーバー上で任意のコードを実行されるおそれ。自前運用の「GitLab」は即時更新を

GitLab が、深刻度9.9の脆弱性2件をふさぐ緊急パッチを出した。窓の杜によると、どちらも正規表現の処理に欠陥があり、ログイン済みの利用者がサーバー上で任意のコードを実行できる。Community 版と Enterprise 版の両方が対象で、自前で動かしているなら即時の更新が要る。gitlab.com の利用者は対応済みのため、作業は不要だ。

Oracle sends force majeure notice on its New Mexico Stargate data center

Oracle が、ニューメキシコ州のデータセンター計画で不可抗力の通知を出した。TechCrunch によると、燃料電池に送るガスのパイプラインが半年近く遅れ、2028年の完成予定が危うくなったためだ。この通知により、完成が遅れた場合の支払いを先送りできる。OpenAI らと進める Stargate の中核サイトで、2.45ギガワット規模の計画にあたる。

「OSSレジストリのただ乗りは限界」　GoogleやMicrosoftなど12社が企業の費用負担を巡り共同声明

npm や PyPI といったパッケージ配布基盤の費用を企業が負担すべきだ、という共同声明が出た。@IT によると、OpenSSF が「今の無料モデルは持続できない」と表明し、Google や Microsoft など12社・団体が賛同した。生成AIで開発量が増え、セキュリティ対応の負荷も重くなったのが背景にある。数人規模のチームが世界中の依存関係を支える構図に、資金の裏付けを与えようという動きだ。

[アップデート] Amazon CloudWatch Omni が一般提供開始されました！

AWS が、AIエージェントの動きを追える CloudWatch Omni を一般提供した。DevelopersIO の検証によると、実行の流れの記録、回答の自動採点、プロンプトの比較を1画面にまとめている。これまでコンソールとCLIに分かれていた作業が、1か所に集約された形だ。提供は米国2拠点とアイルランドのみで、東京リージョンはまだ使えない。

Backend

Rails World 2026 DHHキーノートの日本語要約

Rails World 2026 の DHH による基調講演を、日本語でまとめた記事。開発者の仕事は手書きのコードから、エージェントに何を作るか指示して成果を評価する側へ移ると説く。37signals では HEY の刷新で複数のネイティブアプリをエージェントに作らせ、Rust 製のバックエンドで CPU を99%、メモリを95%減らしたという。アプリ側にCLIを用意し、利用者のエージェントから操作できるようにすべきだとも述べている。

katamari architecture

LLM が書いたコードが、転がる玉のように機能をくっつけて膨らむ状態を「katamari architecture」と名付けた記事。著者は、巨大な自動生成のプルリクエストが読まれないまま通ることを主な原因に挙げる。従来の「大きな泥だんご」と違うのは、時間と費用を与えてもLLMの側に整った設計を選ぶ判断がない点だという。対策として、コード生成よりバグ探しに使う、AIを使ったと分からない水準まで書き直させる、といった線引きを提案している。

SourceHut account takeover via build logs (XSS in ansi2html.py)

ビルドログの表示を経由して、SourceHut の管理者アカウントを乗っ取れる欠陥が報告された。端末の色表示をHTMLに変える処理が、リンク用の制御文字を十分に無害化していなかったのが原因だ。公開メーリングリストにパッチを送るだけで細工した文字列をログに混ぜられ、管理者が開いた瞬間にスクリプトが動く。2021年に入り込んだ欠陥で、見つかるまで約4年半かかったと著者は書いている。

Ubuntu、CoreutilsのRust化が完了へ - 最後に残ったcp、mv、rmも移行

Ubuntu が cp・mv・rm も Rust 版に置き換え、基本コマンド群の移行を終える。マイナビニュースによると、次の 26.10 で完全移行し、2025年3月から続いた作業が完結する。この3つが最後まで残ったのは、確認した直後に対象が差し替えられる競合の問題が難しかったためだ。挙動の違いは少ないとされ、従来版が要るなら別パッケージで入れられる。

Go言語で書かれた高速なIDE「Rune」、オープンソースで公開。ターミナルとコマンドプロンプト中心の開発環境、複数リモートノードをローカルのように操作可能

Go で書かれた IDE「Rune」がオープンソースで公開された。Publickey によると、描画にGPUを使い、ターミナルを複数並べて使う作りが特徴だ。SSH のワークスペース機能により、鍵の管理をせずに離れたマシンのファイルと端末をローカル同様に扱える。2ノードまで無料で、開発元は収益の一部をコントリビューターに分配するという。

Frontend

ISR pages aren’t stale because ISR is broken. They’re stale because nobody visited them.

Next.js のページが古いままなのは、誰も見に来ていないからだという指摘。ISR（一度作った静的ページを、あとから部分的に作り直す仕組み）の再生成は、アクセスがあって初めて動く後追いの処理だ。しかも古さに最初に気づいた訪問者は古い版を受け取り、新しい版は次の人に渡る。著者は、更新間隔をいじるより、データが変わった時点で再生成を明示的に呼ぶ方法を勧めている。

How I Actually Ship Generative UI (Without Letting the LLM Write React)

AIに画面を作らせるとき、React のコードそのものは書かせない設計を紹介した記事。LLM には「棒グラフを出す」といった構造だけをJSONで出させ、検証してから既存の部品に割り当てる。使える部品はあらかじめ登録したものに限られるため、デザインや読み上げ対応の水準が崩れない。著者は、難しいのは描画側ではなく、権限の確認や部品の版管理といった境目の設計だと述べている。

Jev + Generative UI で Web 制作の LLM トークンを 72% 削減できた話（3ページの企業サイトで実測）

判断に特化したモデル Jev に画面構成を選ばせ、LLM の使用量を約72%減らせたという検証。企業サイト3ページを、LLMに直接書かせる場合と比べている。削減分の6割ほどは修正の工程で生まれ、候補の入れ替えで済むぶんLLMを呼ばずに直せたという。以前のjson-render と Jev で UI を組み立ててみたと同じ、生成を選択に置き換える発想だ。

Build-Time Syntax Highlighting With Shiki and Rehype

コードの色付けを、閲覧時ではなくビルド時に済ませる手順の解説。Shiki は VS Code と同じ文法定義と配色を使い、Rehype による変換の途中で色付きのHTMLに書き換える。読者には色が焼き込まれたHTMLだけが届くので、色付け用のライブラリを配らずに済む。明暗2つの配色をCSS変数で切り替える構成も示している。

商用利用無料！ほっこりとした癒やし系フリーフォント、お母さまの手書き文字をベースにした -おかんのてがみ

作者の母親の手書き文字をもとにした、日本語の手書きフォントが無料で公開された。coliss によると、ひらがな・カタカナと英数記号の計361文字を収録し、縦書きにも対応する。漢字は入っていないため、短い文言や見出し向きだ。個人・商用とも無料でクレジット表記も不要、Webフォント用の形式も用意されている。

Products

Bitrise Build Hub

GitHub Actions のワークフローはそのままに、実行するマシンだけ差し替えるサービス。最新の Apple Silicon と多コアの Linux を使い、iOSで54%、Androidで31%速くなると謳う。移行はワークフローの1行を書き換えるだけだとしている。エージェントがコードを量産してビルド待ちが伸びているチームを想定した売り方だ。

jev-seo

サイトの検索最適化を手元で点検する、Rust 製のコマンドラインツール。巡回・メタタグ・構造化データ・robots.txt・サイトマップの確認を、契約もAPIキーもなしで回せる。有料の分析サービスを毎月契約せずに済ませたい人を狙った作りだ。MCP サーバーとしても動くので、コーディングエージェントから呼び出して使える。

Harness Manager

Mac に入れた各種AIコーディングツールを、1か所で棚卸しするアプリ。Claude Code や Codex などの導入状況、版、設定ファイルの場所を自動で洗い出す。設定の衝突や古くなったパスといった壊れかけの状態も指摘する。ツールが増えて何がどこにあるか分からなくなった人に向いている。

CtrlOps 1.0

Linux サーバーの管理を、AI付きのデスクトップアプリにまとめた製品。自然文からコマンドを組み立て、実行前に必ず人の承認を挟む。GitHubからの配置、ファイル閲覧、25項目のセキュリティ点検とPDF出力も持つ。認証情報は手元のマシンに置いたままで、専任のDevOps担当がいない開発者を想定する。

Floot MCP

Claude や ChatGPT の会話の中から、そのままWebアプリを作って公開できる接続口。データベース・ログイン・ホスティングと公開URLが最初から用意され、設定作業がいらない。推論は利用者が契約済みのAIをそのまま使い、Floot 側は構築と運用を担う。作った後の更新も、同じ会話から流し込める。