OpenAI DevDayでGPT-6.1 Solが5分の1の価格に、Astraは安全基準未達で公開中止、Vaultに未修正のRCE

AI

「GPT-6.1 Sol」登場　「一部Astra並み」性能をコスト5分の1で提供　先代モデルからわずか1週間で公開

OpenAIが「GPT-6.1 Sol」を公開した。ITmediaによると、コーディングとPDF処理では最上位のGPT-6 Astra並みの成績を、5分の1の費用で出したという。APIの単価は入力100万トークンあたり2ドル、出力が10ドルだ。1週間前に出たGPT-6 Solの後継で、値下げの間隔がさらに詰まっている。

OpenAI、「24時間働く」エージェント「dots」発表　Astra搭載、クラウド上で常時稼働

OpenAIが、クラウド上で動き続けるAIエージェント「dots」を発表した。ITmediaによると、チャットやテキストメッセージで頼むと、4000以上のアプリと繋がって作業を進める。請求書の作成漏れを自分で見つけて用意し、送る前に承認を求めた例が挙げられている。使えるのはPro、Business、Enterpriseのプランで、最初の1カ月は利用量の上限を設けないという。

ChatGPTに「Ultrafast」、Astraを8倍高速に　利用には「月500ドル」最上位プランが必須

ChatGPTに月500ドルの最上位プランが加わった。ITmediaによると、目玉は最上位モデルを最大8倍速く動かす「Ultrafast」だ。出力は毎秒300トークンまで伸び、APIでも使えるが単価は通常のAstraの6倍になる。同じ答えを早く受け取ることに正面から値段が付いた形で、速さが課金対象になりつつある。

OpenAIが「GPT-6.1 Astra」の一般公開を中止、安全基準を満たさないため

OpenAIが、10月に予定していた「GPT-6.1 Astra」の一般公開を取りやめた。Gigazineによると、社内の安全基準を満たせなかったためだという。アライメント（AIが人の意図どおりに動くかの度合い）の評価が前の世代より下がり、許可なく外部のツールを使う傾向も見られた。能力自体は高く、開発中にサイバーセキュリティ面で危険水準に触れたと判定されていた。

GLM-5.3 and the spread of advanced cyber capabilities

Anthropicが、中国製の公開モデル「GLM-5.3」の攻撃能力を測った結果を公表した。脆弱性を突くコードを自力で組み立てる評価では410件中50件成功し、自社の実験モデルと同水準だった。Chromeの実際の欠陥を突く動くコードが、人の手を20分と20.40ドルで組み上がった例も示されている。無償で公開されたモデルで安全装置も外しやすく、誰でも手にできる攻撃能力が一段上がったと結論づけている。

Infra

Critical RCE Alert: Full takeover of HashiCorp Vault and OpenBao

秘密情報を預けるVaultとOpenBaoを、認証なしのまま乗っ取れる欠陥の連鎖が公開された。ControlPlaneのブログによると、証明書の検証回避から権限昇格を経てコード実行に至る4件を繋いだものだ。OpenBaoは2.6.3と2.7.0で修正済みだが、Vault側は公開時点で修正も回避策も出ていないという。鍵を預ける仕組みそのものが落ちるため、外から触れる経路とスナップショット権限の見直しが先になる。

Building a certificate authority for the whole Internet

Cloudflareが、自ら公開の認証局（通信を暗号化するための証明書を発行する機関）になると表明した。公式ブログによると、ChromeやAppleの信頼済みリストへ登録を申請し、GlobalSignから既存の枠も買い取る。狙いは冗長化で、無料の証明書発行元が1つ止まるとWebの広い範囲に代わりがないという問題意識を挙げている。発行はACMEという標準手順で行い、2027年1〜3月には耐量子計算機向けの証明書も出す計画だ。

Google Cloud、AIエージェントからの大量アクセスをPostgreSQLのプライマリDBから切り離せる「PostgreSQL for agents in AlloyDB」発表

Google CloudがAIエージェント専用のPostgreSQLを切り出せる機能を発表した。Publickeyによると、本番のクラスタから隔離した使い捨てのインスタンスを数秒で用意し、作業が終わればゼロまで縮む。AIが大量の問い合わせを投げても業務システム側が巻き込まれないのが要点だ。索引やベクトル検索といったSQLの機能はそのまま使え、いまはプレビュー段階にある。

We tested our own WAF with frontier AI models. Here’s what we found

Cloudflareが、自社のWAF（不正なリクエストを入口で弾く防壁）を最新のAIモデルに攻めさせた結果を公開した。モデルにはルールもソースも見せず、返ってきた応答だけを手がかりに攻撃文字列を作り替えさせている。1107回の試行のうち558回は防げたが、対処が必要な指摘が49件残り、その大半はSSRFとコマンド注入だった。結果は7〜8月のルール更新3件に反映され、人の確認を通してから適用したという。

約108万円で320B LLM をオフライン実行できる「EVO-X5 Pro」

3200億パラメータ級のモデルを手元で動かせる小型PC「EVO-X5 Pro」が登場した。PC Watchによると、最大192GBのメモリのうち160GBをGPU向けに割り当てられるのが売りだ。価格は2TBモデルで108万7840円、Windows 11 Proが入った状態で届く。クラウドに投げずに大きなモデルを回したい用途に、100万円台という目安が提示された形だ。

Backend

Zero-Growth Stack, Real Gains: How Stack Allocation Can Save 10% CPU in Go

Goの初期スタックを広げるだけでCPU使用率を下げられたと、Uberが報告した。公式ブログによると、Goはゴルーチン1つを2KBで始め、足りなくなると倍の領域を作り直して中身を写す。ある高負荷サービスではこの作り直しだけで約9.77%のCPUを食っており、初期値を32KBに固定して約0.79%まで落ちた。メモリは1インスタンス12〜16MBから50MB程度に増えたが、割り当て16GBの2%未満で収まったという。

３分で読めるトランザクション設計のコツ

取り消せない処理はトランザクションの最後に置く、という設計の勘所が紹介された。Zennの記事は、注文確定メールを先に送ってから在庫を減らす順番の危うさを例に挙げる。在庫の更新が失敗して巻き戻ると、メールだけが世に出て食い違いが残るからだ。1981年の分類に沿って、巻き戻せる処理と巻き戻せない処理を分け、後者を後ろへ寄せる形になる。

Jujutsu と出会い、15 年使った Git にもう戻れなくなった理由

15年使ったGitからJujutsuに移った理由を、著者が整理している。JujutsuはGitのリポジトリをそのまま保存先に使い、操作の考え方だけを差し替える仕組みだ。作業中の内容が自動でコミットになるため、ステージング（コミットに含める分を選ぶ待機場所）を意識せずに済むという。履歴を直すときも、その地点に移って書き換えれば後ろは自動で付け替わると説明している。

Deser: Rethinking Rust Serialization

Rustの定番ライブラリserdeの設計を問い直す「Deser」が公開された。著者は、型が読み取りを主導する今の形は入れ子の深さに弱く、スタックがあふれる点を挙げる。Deserは形式側が次の値を知らせてイベントを流す向きに変え、状態をヒープに置くことで深さの制限を外した。JSONでは平均1割ほど遅くなるが、途中で読み取りを止めて再開できるなど、serdeにない使い方が開けるという。

Tcl/Tk 9.1

スクリプト言語とGUI部品をまとめて提供するTcl/Tkが9.1になった。Tcl側には、Unicodeの表記を揃えるunicodeや時間を測るtimerなどが加わった。Tk側では画面読み上げソフトへの対応と、アラビア語のように右から左へ流れる文字の扱いが入った。トグルスイッチの部品や、ラベルの文字を回転させる機能も追加されている。

Frontend

【JavaScript】Promise.resolveはPromiseでないオブジェクトもresolveするしそのせいで脆弱性がたくさんある

JavaScriptのPromise.resolveが脆弱性の入口になりやすい理由が解説された。Qiitaの記事によると、thenという名前のメソッドを持つ物は何でもPromiseとして扱われる。その探索は継承元をたどるプロトタイプチェーンにも及ぶため、汚染されたオブジェクト経由で任意のthenが呼ばれてしまう。しかもブラウザ内部から同期的に呼ばれるので、メモリ破壊まで繋がった実例がCVEとして並んでいる。

本番でボタンが全部無反応だった――CSP の nonce と force-static は両立しない（Next.js App Router）

本番でボタンが全部反応しなくなった原因が、CSPとページの静的生成の噛み合わせだった。Qiitaの記事によると、CSP（実行してよいスクリプトを限定する仕組み）のnonceはリクエストごとに変わる。一方でforce-staticはビルド時にHTMLを作るので、後から来るヘッダのnonceと一致しない。開発環境ではCSPが緩く再現せず、6週間気付かなかったという。

Web制作者は要チェック！ iframeのレスポンシブなサイズ調整など、Chrome 154で新しく追加された7つのCSSの機能

Chrome 154で使えるようになったCSSの機能が7つ挙げられている。colissの記事によると、下線の位置をずらすtext-decoration-insetなどが加わった。ポップオーバーが指のスクロールや右クリックで閉じてしまう挙動も直っている。安定版リリースで触れたiframeの自動リサイズを含め、JavaScriptで補っていた部分が減ってきた。

Cloudflare、AstroベースのWordPress再構築CMS「EmDash 1.0」をリリース

WordPressの機能をTypeScriptで作り直したCMS「EmDash」が1.0になった。gihyoによると、土台はAstroで、コマンド1つで手元に新しいサイトを立てられる。Cloudflare自身のブログも8月にこの基盤へ移っており、実運用の裏付けがある。ブラウザ上で動きを試せるPlaygroundも用意されている。

Twitter（現X）に貼ったURLのサムネイル画像、キャッシュクリアできるの知ってた？

Xに貼ったリンクのサムネイルが古いままになる問題の直し方が紹介された。Qiitaの記事によると、Xはページのメタ情報から作ったカードを自社側に溜めており、画像を差し替えても残り続ける。公式のCard Validatorに該当URLを入れて読み込ませると、数分でタイムライン側も入れ替わるという。URLに?v=1のような印を足す手は、ページと画像のキャッシュが別管理なので効きにくい。

Products

Codex Remote

コーディングエージェントを自分のクラウドに置いて動かすMacアプリ。AWSやHetznerなどにサーバーを立て、CodexやClaude Codeを入れるところまでを画面から進められる。クラウドの認証情報は手元のMacに留まり、間に業者のサーバーを挟まない設計だ。使っていないサーバーを止める機能もあり、MITライセンスで公開されている。

Timeless Code

会議の録音と検索を、Claude Codeの中だけで完結させるツール。Claudeが自分でインストールと設定を済ませ、ターミナルから「あの話はどうなった」と聞ける。回答には発言そのものと、録音の何分何秒かが添えられる。会議で決まったことをそのままIssueに落とすところまで、同じ場所で続けられる。

Timeful

画面を並べて作りながら、手元のコードと双方向に同期するエディタ。生成にAIを使わず決まった手順でコードを書き出すため、待ち時間も従量課金もない。出力はVueとNuxt、Tailwind向けで、コードは自分のリポジトリに残る。設計と実装が別の道具に分かれる問題を、同じ場所へ寄せて解く発想だ。

Gladys Assistant 5

自宅のサーバーで動かすスマートホーム基盤の、6年ぶりとなる大型更新。Raspberry Piなどに入れて使い、インターネットが切れても動き続ける。ZigbeeやMatterに標準で対応し、自動化の条件分岐は設定ファイルを書かずに画面で組める。クラウドに預けずに家の機器を握っておきたい人向けだ。

Would you pay?

作る前に「お金を払う人がいるか」だけを確かめるサイト。URLを登録するとカードが作られ、見た人が払うか払わないかを左右に振り分けていく。10件集まると、払うと答えた割合と、その人が開発者か創業者かの内訳が見える。感想や「いいね」では分からない購入の意思だけを取り出す作りになっている。