ClaudeがNIST暗号曲線25年の謎を解明、PostgreSQL 19はAIレビューで欠陥続出し延期
AI
Claude reveals ECDSA curve origins
暗号で広く使われるNIST楕円曲線の「種」の出どころを、Claudeが突き止めた。Anthropic が公式に公開した研究によると、種はNSAが説明なしに渡したもので、四半世紀にわたり裏口を疑われてきた。正体は1997〜98年の時刻を起点に、Cの標準的な乱数関数で引いた値だった。種のビットに残った偏りから乱数の内部状態を逆算し、30分足らずで再現したという。種が意図して選ばれたものではないと分かり、P-256などへの疑いを晴らす強い材料になる。
Replit is no longer working with Anthropic, CEO says
AIでアプリを作るサービスのReplitが、Anthropicとの協業をやめたとCEOが明かした。TechCrunch によると、理由は費用と提携関係、性能の3点だ。アプリをゼロから作らせる社内の比較で、OpenAIのモデルが上回ったという。一方で匿名の関係者は提携は続いていると反論しており、事実関係には食い違いが残る。
Microsoftが2.8兆パラメータの基盤モデル「MAI-Base-2」の事前学習完了を発表
Microsoftが、自社の次世代AIの土台となる大型モデルの学習を終えた。Gigazine によると、全体は2.8兆パラメータで、1回の処理で動くのはその一部の800億だけだ。これはMoE（質問ごとに得意な一部だけを動かし、計算を節約する構造）による。学習の初期から画像も読ませた初の版だ。次世代モデルの土台と位置づけられ、次のMAI-Base-3の準備も始まっている。
AIエージェントの危険な操作を別のAIが検出してブロックする「Armor」をOpenRouterがリリース
AIの窓口サービスOpenRouterが、AIエージェントの危険な操作を止める「Armor」を試験公開した。Gigazine によると、実行前の操作を別のAIが会話の流れと決めたルールに照らして判定する。違反ならブロックし、理由をエージェント側に返す。毎回人が承認するか、全部任せるかの二択から抜け出す手段になる。
Perplexityが安全な自律型AIエージェント構築支援のためサンドボックスプラットフォーム「SPACE」をオープンソース化
Perplexityが、AIエージェントを閉じ込めて動かす基盤「SPACE」をオープンソースにした。Gigazine によると、自社のエージェント製品を安全に動かすために作り、7月には外部の商用サービスから置き換えたという。サンドボックス（外に影響が漏れない隔離された実行場所）を突破する既知の手口にも耐えるとしている。安全策を公開して多くの目で弱点を探す、という考え方だ。
Infra
PwnEscape: Guest-to-Host KVM Escape (CVE-2026-99999)
仮想マシンの中から、それを動かすホスト側へ抜け出せるLinuxの欠陥が公開された。発見したPWNAI Researchによると、原因はKVM（Linux標準の仮想化機能）ではなく通信処理にある。ゲストが渡す細工した値で、確認済みのパケットの先頭部分が後から書き換わる。クラウドの土台そのものに関わるため、仮想マシンを貸す側は修正済みカーネルへの更新を急ぐ必要がある。
GitHub Actionsのworkflow lockfileを試す。actions.lockで依存をcommitに固定し、ズレたら実行前に止める
GitHub Actionsに、使う部品をファイルで固定する仕組みが試験的に入った。DevelopersIO が試したところ、部品の中で使われる部品まで含めてコミットの識別子を記録する。タグは後から付け替えられるため、確認したときと実行時で中身が変わる心配があった。記録と違う部品を使おうとすると実行前に止まり、乗っ取りによる差し替えを防げる。
Ubuntu 26.10 (Stonking Stingray) released
Ubuntuの最新版26.10が公開された。Ubuntu の公式告知によると、基本コマンド群がRust製に置き換わった。パッケージの署名も、量子コンピューターで破られにくい方式に対応した。以前のUbuntu、CoreutilsのRust化が完了へで触れた移行が、この版で形になった。サポートは9か月の短期版なので、長く使うなら次の長期版を待つ選択もある。
Big Fish: Exploiting a 37-Year-Old Kernel Bug in OpenBSD
安全性を売りにするOpenBSDで、37年前から潜んでいた欠陥を使い管理者権限を奪う手法が公開された。Calif の研究によると、共有メモリの利用数を数える箱が小さく、数え続けると負の数に回ってしまう。これをきっかけに解放済みのメモリを使わせ、カーネルを書き換える。古いBSDから受け継いだ設計の小さな隙が、今も攻撃の入口になることを示した。
Windows 11、8GBメモリのPCも軽快に 基本メモリ使用量を削減
MicrosoftがWindows 11のメモリ使用量を減らす改善を発表した。窓の杜によると、標準アプリの土台やブラウザー部品を効率化し、8GB以下のPCではウィジェットを開くまで読み込まない。背景には、メモリ価格の高騰が長引いている事情がある。新しいPCに買い替えにくい中、手持ちの8GB機を延命できるかが注目点だ。
Backend
Postgres 19 delayed after AI reviewers find more bugs than humans can fix
PostgreSQL 19の正式版が延期され、11月19日の公開に組み直された。The Register によると、AIを使ったコードの見直しで欠陥が次々に見つかり、人の修正が追いつかなかった。目玉の一つだったグラフ検索の機能など、複数の新機能を次の20へ回す判断になった。以前のPostgreSQL 19ベータ版が登場で紹介した機能の一部は、19では使えなくなる見込みだ。
Claude CodeのCVE-2026-86063を手元で確かめる。git checkoutはコミットSHAより同名ブランチを優先する
Claude Codeのプラグインで、版を固定したはずのコードを差し替えられる欠陥が見つかった。DevelopersIO が手元で再現し、原因がGitの仕様にあることを確かめた。git checkoutは、コミットの識別子と同じ名前のブランチがあるとそちらを優先して取り出す。警告は出ても処理は成功扱いなので、自作のスクリプトやCIでも同じ落とし穴がありうる。
GA になった Lambda durable functions の Go SDK、所要時間を Python SDK と比較してみた
AWS Lambdaの途中から再開できる関数「durable functions」で、Go向けの開発キットが正式版になった。DevelopersIO が中身のない処理を3,000回つなげて測ると、GoはPythonの旧版より3倍速かった。Python側も新版で待ち時間が縮み、差はかなり詰まっている。以前のPydantic AIとの統合と合わせ、長く走る処理の受け皿として選択肢が広がってきた。
Announcing Rust 1.99.1
Rustチームが公式ブログで、1.99.0の不具合を直す1.99.1を公開した。目立つのは、C言語の関数から真偽値を受け取るとき、0と1以外の値が混ざりうる誤ったコンパイルの修正だ。一部の環境で必要な関数が見つからずビルドが壊れる問題や、macOSでのリンカーの失敗も直った。他言語と連携するコードを書いているなら、早めの更新が安全だ。
Frontend
Deploy with Void
Cloudflareが、Viteで作るアプリの開発から公開までをつなぐ「Void」をオープンソースで公開した。Cloudflare の公式ブログによると、コードからデータベースやキューなどの必要な設備を読み取り、自動で用意する。社員がAIで作った社内アプリを、クラウドの権限を配らずに公開させたい企業の悩みに応える。以前のVoidZeroがCloudflareに合流して4カ月の成果報告に続く、開発元の取り込みの成果といえる。
漢字の上にふりがなを表示する日本語フォント「Furifont」オープンライセンスで公開
漢字の上に自動でふりがなが付く日本語フォント「Furifont」が公開された。gihyo.jp によると、合字（複数の文字を1つの絵に置き換えるフォントの機能）を使い、辞書で一般的な読みを当てる。追加のプログラムなしで、フォントを切り替えるだけでふりがな付きになる。読み間違いはありうるが、学習教材や日本語学習者向けの画面で手軽に使える。
HTTP 402は29年「予約済み」のまま — x402をNext.jsで動かす
長年使われずにきたHTTPの「402 支払いが必要」を、機械同士の支払いに使うx402を試した記事。Zenn で著者は、Next.jsのAPIを専用の関数で包み、1回0.01ドルの課金を付けてみせた。サーバーが402で支払い条件を返し、相手が署名を添えて頼み直すと中身が返る流れだ。AIエージェントが自分で少額を払ってデータを買う時代の、下ごしらえになる技術だ。
Products
Sparrow
Webhook（出来事が起きたら相手のサーバーへ自動で知らせる仕組み）の配信を、自前で運用するための基盤。Product Hunt の紹介によると、Goの単一プログラムで動き、必要なのはPostgreSQLだけだ。再送や署名、失敗の種類ごとの扱いまで最初から備えている。外部サービスに1件ごとの料金を払わず、MITライセンスで全機能を使えるのが強みだ。
Tidy Design
Figmaの代わりを狙う、オープンソースの画面デザインツール。Product Hunt の紹介によると、AIエージェントがMCP（AIに外部ツールを操作させる共通規格）経由でデザインを作れる。Claude Codeなどのコーディング環境から呼び出す前提で作られている。自前で設置でき、デザイナーと開発者とAIが同じ画面を触れるようにする。
Pomerado
API（プログラムから呼び出す窓口）のないWebサイトを、AIエージェントが呼べる窓口に変える道具。Product Hunt の紹介によると、サイトの見た目が変わって連携が壊れても、自動で気づいて直す。航空券や不動産の検索サイトなど、作成済みの連携も用意されている。古い業務画面しかないシステムをエージェントにつなぎたい開発者に向く。
FinderGit
Macの中にあるGitリポジトリをすべて一覧し、コミットやレビューまで1つの画面で済ませるアプリ。Product Hunt の紹介によると、開く前に自動で走るスクリプトを見せる機能があり、不審なリポジトリを警戒できる。使わなくなった依存ファイルやビルド成果物を消して、容量を空けることもできる。リポジトリを大量に抱える開発者向けで、無料で使える。
Palomino
複数のAIコーディングエージェントを並行して走らせるための作業場。Product Hunt の紹介によると、エージェント、ターミナル、エディター、ブラウザーを1つの窓にまとめる。Rustで作られ、画面描画にGPUを使うことで軽さと速さを打ち出している。CursorやZedのような既存エディターと比べ、エージェントを同時に何本も動かす使い方に寄せている。
Others
ドコモからのお知らせ : 【お詫び】緊急地震速報（緊急速報「エリアメール」）が配信されなかった事象について
10月16日の昼、ドコモの利用者にだけ緊急地震速報が届かなかった。NTTドコモ のお知らせによると、北海道から東海までの広い範囲で配信が止まり、原因は自社システムの不具合だ。不具合の箇所は特定済みだが、直るまでは再び届かないおそれがあるという。地震の多い国で命に関わる通知が止まった重みは大きく、他の手段でも速報を受け取れるようにしておきたい。
個人情報漏えい のべ1億6500万人分余に 利用者の対策は? | NHKニュース
2026年に不正アクセスで漏れた可能性のある個人情報が、のべ1億6500万人分を超えた。NHK が伝えたセキュリティ企業マクニカの集計による。相次ぐ攻撃ではAIエージェントが使われた形跡も見つかり、従来の守り方では足りない可能性があるという。のべ数とはいえ日本の人口を上回る規模で、自分の情報も漏れている前提で詐欺に備えたい。
タイムズカー、退会後も7年間保管していた免許証画像を全削除へ 約660万アカウント分の漏えい受け
情報漏えいを起こしたタイムズカーが、保管していた免許証などの画像をすべて消すと決めた。ITmedia NEWS によると、これまでは退会後も7年間残していたが、確認が済んだらすぐ消すよう改める。約660万件の漏えいでは、そのうち約160万件に本人確認書類の画像が含まれていた。持たないデータは漏れない、という当たり前の対策が事後に選ばれた形だ。
10月30日以降にFacebook・Instagram・WhatsAppを利用する企業アカウントはMetaが自社のウェブサイトをスクレイピングすることに同意したものとみなされる
Metaの企業向け規約が改まり、10月30日以降は企業のサイトをMetaが自動収集することに同意したとみなされる。Gigazine によると、FacebookやInstagramなどで企業アカウントを持つだけで対象になり、拒否する手段はない。専門家は、価値のある記事などがAI学習用に無償で吸い上げられる点を問題視している。SNSで集客する企業ほど、自社サイトの中身の扱いを見直す必要が出てくる。
エンジニアが勤務先の管理者アカウントをロックして約1億円相当の身代金を要求したとして有罪判決を受ける
勤務先の管理者アカウントを締め出して身代金を求めた米国の元エンジニアに、禁錮2年8カ月の判決が出た。Gigazine によると、パスワードの変更やバックアップの削除をしたうえで、ビットコインで約1億円相当を要求した。払わなければ毎日サーバーを止めると脅していたが、監視カメラや記録から身元が割れた。強い権限を1人に集める危うさを示す、内部犯行の典型例だ。
管理人のピックアップ
「『楽天カード公式』から詐欺メール」報告相次ぐ ドコモメールに公式マーク付きフィッシング、一部企業の認証設定に脆弱性
ドコモメールで、公式マーク付きの楽天カードを装った詐欺メールが届く事例が相次いだ。ITmedia NEWS によると、メールは送り主を確かめる認証をすべて通過していた。NTTドコモは、一部企業のメール認証の設定に弱点があったと説明している。公式マークも絶対の目印にはならず、メール内のリンクから手続きしない習慣が要る。
有名 OSS が PR を閉じはじめた。何が起きていて、どう向き合うか
有名なオープンソースが、外部からの変更提案（PR）を受け付けなくなりつつある現状を整理した記事。Zenn で著者は、全面停止、初参加者への関門、AI生成コードの禁止という3つの型に分けている。根っこには、AIで修正案が安く作れるようになり、提案が信頼の証にならなくなったことがある。貢献したいなら、PRの前に議論の場で合意を取る「根回し」を勧めている。
Fullscreen rendering - Claude Code Docs
Claude Codeの画面を、vimのように端末全体を使って描く表示方式の説明書。Anthropic の公式ドキュメントによると、見えている部分だけを描くため、ちらつかず、長い会話でもメモリが増えない。マウスでのクリックや選択、会話の検索もできる。/tui fullscreenで切り替えられ、tmuxなどで使う人ほど効果が大きい。
Claude Codeを「使うほど育つ」AI秘書にするノウハウ
Claude Codeを、経費精算や議事録などコード以外の仕事にも使う秘書に育てる方法をまとめたスライド。発表者のみのるん氏は、最初に新入社員のように役割や資料を教え込むことを勧める。やり取りが積み重なると、指示は「先月と同じで」程度で済むようになるという。取り消せない操作だけ人が承認する、という安全の線引きも示している。
Claude Code 入門
題名は入門だが、中身はClaude Codeの中で動く拡張「Claude Mods」の作り方を解説したスライド。発表者のnogu氏によると、JavaScriptのファイル1つで画面に表示を足したり、道具の呼び出しに割り込んだりできる。保存するとすぐ反映されるため、試しては直すを短い時間で何度も回せる。隔離されずに動くので、信頼できるものだけ入れるよう注意している。
WebMCP | AI on Chrome | Chrome for Developers
Webページが、AIエージェントに使える操作を自分から宣言するための標準案の解説。Google の Chrome 開発者向けドキュメントによると、画面を読み取らせる代わりに、操作の名前と入出力の形を明示する。JavaScriptで登録する方法と、HTMLのフォームに注釈を付ける方法の2つがある。Chromeでは試験提供の段階で、手元ではフラグを有効にすれば試せる。
CDN切り替え作業における、Web版メルカリの個人情報流出の原因につきまして - Mercari Engineering Blog
2017年にメルカリのWeb版で他人の個人情報が表示された事故の原因報告。メルカリが公式ブログで、CDN（利用者の近くで応答を代わりに返す配信網）の切り替えが発端だったと説明している。新しいCDNは、キャッシュ禁止の指示のうち特定の書き方しか守らなかった。同時に来た別人の要求に同じ応答が返り、キャッシュ設定の小さな解釈差が大事故になりうると分かる。
DNSSECの仕組み
DNS（名前からサーバーの住所を引く仕組み）の答えが偽物でないかを確かめるDNSSECの解説。Cloudflare の学習用ページによると、答えに電子署名を付け、上位の管理者が下位の鍵を保証する形で信頼をつなぐ。鍵は署名用と鍵を守る用の2種類に分け、交換の手間を減らしている。存在しない名前を証明する方式に、全レコードを列挙されうる弱点がある点にも触れている。
1.1.1.1 とは？DNSリゾルバーとは？
Cloudflareが無料で運営する名前解決サービス「1.1.1.1」の紹介。Cloudflare の学習用ページによると、通信会社の標準サービスは暗号化に未対応のことがある。利用履歴を追跡される心配もあるという。1.1.1.1は記録を24時間で消し、広告業者に売らないとしている。端末の通信全体を守るWARPというアプリも、この上に作られている。
うさぎでもわかるdindとdood
コンテナの中からDockerを使う2つの方法を比べた記事。Zenn で著者は、中に独立したDockerを立てる方式と、外側のDockerを借りる方式の違いを整理している。前者は強い特権が要り重いが、隔離しやすい。後者は軽いが、借りた窓口を通じて外側のマシンを丸ごと操れてしまう危うさがある。
「最近どう？」しか聞けなかった1on1で、メンバーが退職届を出してきた話 - Qiita
毎週の1on1で兆しを見逃し、メンバーに辞められた経験から質問の仕方を見直した記事。Qiita で著者は、抽象的な問いには抽象的な答えしか返らないと振り返る。そこで、具体的な仕事の事実、それに伴う気持ち、この先も残るかという3段の質問を提案する。1on1を、上司が現場の情報を集める場と捉え直している。
優秀なエンジニアの定義 - pospomeのプログラミング日記
優秀なエンジニアを「組織の一番の詰まりを解消できる人」と定義したブログ記事。著者のpospome氏は、本当の詰まりは重要だが急がない、時限爆弾のような課題だと述べる。日々の業務では見つけにくく、年に1〜2個見つけられれば十分な成果だという。管理職はこの定義を繰り返し伝え、評価の軸をぶらさないことが大切だとしている。
A Staff Engineer’s Guide to Inventing Work
社内基盤チームのように指示役のいない場所で、上級エンジニアが自ら仕事を生み出す方法を論じたエッセイ。著者のSujith Jay Nair氏は、障害の振り返りやクラウド費用、手作業の多さを手がかりに挙げる。社内の利用者が基盤を本来と違う用途に使っている姿こそ、本当の需要のサインだという。難しいのは課題を見つけることより、数ある中からなぜそれを選ぶかだと結んでいる。
有名テック企業のCTOたちが「採用面接で“必ず聞く質問”」大公開！
大手テック企業6社の技術責任者が、採用面接で必ず聞く質問を明かした特集。エンジニアtype によると、最も苦労した技術トラブルから専門の深さを測る会社がある。周りからどう言われるかを聞き、指摘を受け入れる力を見る会社もある。AI時代をどう生き残るかを尋ねる会社もあった。質問の狙いから、各社が何を重んじているかが透けて見える。
40歳になるので30代でやってよかったことをまとめた - そーだいなるらくがき帳
40歳を前に、30代でやってよかったことを振り返ったブログ記事。著者のsoudai氏は、まず習慣が身につく仕組みを理解し、20分の散歩でも運動を続けることを勧める。複数のコミュニティに属し、年齢とともに考えが偏るのを防いできたという。若い人から新しいことを、年長者から歴史を学ぶ姿勢も挙げている。
Advice
1997年に米シカゴ・トリビューン紙に載った、卒業生への助言をまとめたコラムの転載ページ。「日焼け止めを塗りなさい」で始まり、毎日1つ怖いことをせよ、といった短い言葉が並ぶ。このコラムはネット上で、作家ヴォネガットの卒業式講演として誤って広まった。ページには、本人が自分の作ではないと否定した経緯も添えられている。
東大には｢縦の多様性｣が存在しない 体験格差という壁 ブレイディみかこ×元ヤングケアラー東大生･清野孝弥対談(前編)
生活保護世帯で家族の介護も担いながら東大に入った学生と、作家ブレイディみかこ氏の対談。東洋経済オンラインの記事で両氏は、大学が重んじる多様性は性別や国籍に偏っていると指摘する。家庭の経済力や階層という「縦の多様性」は見落とされがちだという。推薦や面接重視の入試は、体験の機会に恵まれた層ほど有利になると論じている。