eMudhraの中間証明書8枚が侵害、ブラウザ各社が一斉に遮断
AI
Anthropic’s IPO prospectus: H1 2026 revenue of $16.3B, ~20% from two customers, vs. $1.1B in H1 2025, and an $80.7B net loss driven by accounting charges (Anissa Gardizy/Wall Street Journal)
Anthropic の上場用の目論見書の新しい草案の中身を、Wall Street Journal が報じた。2026年上半期の売上は163億ドルで、前年同期の11億ドルから大きく伸びている。一方で純損失は807億ドルに上り、主因は会計上の費用だという。売上の約2割を2社が占めるという偏りも、投資家が気にする点になりそうだ。先日の企業価値見直しの報道に続き、上場前の数字が少しずつ明らかになっている。
DeepInfer: High-performance inference framework for DeepSeek models
DeepSeek が、自社の本番サービスを支える推論基盤（学習済みAIを動かして答えを返す仕組み）を DeepInfer として公開した。GitHub の説明によると、対象は先日公開の DeepSeek-V4.1-Flashだ。NVIDIA の GPU と Huawei の Ascend で動く。同じ入力なら必ず同じ出力を返す設定など、運用向けの機能を備える。ただし大規模提供に要る負荷分散などは含まれず、すぐ商用サービスを組める形ではない。
デジタル庁、政府職員18万人にAIエージェント環境を展開──「源内」で提供開始、独自の安全基準も
デジタル庁が、政府職員向けのAI環境「源内」でAIエージェントを使えるようにした。ITmedia によると、対話で作れる簡易版を各府省庁に順次入れ、プログラムを自ら書く高度版も12月ごろに導入する。約18万人が日常業務で使う規模は世界初だと同庁は説明している。あわせて利用者・管理者・開発者ごとの安全基準も公表し、自治体や企業の参考になるとした。
Voxtral 3
仏 Mistral AI が、音声の聞き取りと読み上げのAIモデル群「Voxtral 3」を発表した。公式ブログによると、聞く・考える・道具を使う・話すを1本の流れでつなぐ開発キットも同時に出した。文字起こしは50言語、読み上げは35以上の言語に対応し、文脈に合わせて感情や間を変える。自社の設備でも動かせるため、通話の音声を外に出せないコールセンターなどで選択肢になる。
Google open-sources TorchTPU, a native PyTorch back end for TPUs
Google が、AIの開発道具 PyTorch で書いたモデルを自社の専用チップ TPU で動かす TorchTPU を公開した。GitHub の説明によると、PyTorch の個々の計算を TPU 向けに実装し、複数チップでの分散学習にも対応する。PyTorch 標準の高速化機能 torch.compile とも連携する。NVIDIA の GPU 前提で書かれた資産を、書き換えを抑えて TPU へ移しやすくなる。
Infra
8 eMudhra certificates are compromised. Here’s what you need to know
インドの認証局 eMudhra の中間証明書8枚で、秘密鍵が漏れていたことが分かった。Cloudflare の公式ブログによると、鍵が弱いため、攻撃者はどのドメインの偽の証明書でも作れてしまう。偽サイトになりすまして通信を盗み見たり書き換えたりできる、深刻な事態だ。同社は自社製品を更新済みで、自前のサーバーやアプリが信頼する証明書の一覧も見直すよう呼びかけている。
Google Cloud outage affects almost all banking and other operations in Europe
Google Cloud のロンドン地域（europe-west2）で、10月20日に複数のサービスが止まった。Google の障害情報によると、地域内の1区画が使えなくなり、復旧まで約8時間かかった。Neowin は、英国の大手銀行などのサービスにも影響が出たと報じている。1つのクラウドの1地域に頼る構成の危うさが、改めて表に出た形だ。
さくらインターネットが新規サーバ受付を停止 クラウド運用を直撃したLinuxの脆弱性とは？
さくらインターネットが、Linux の欠陥への対応として一部サービスの新規受付を止めている。@IT によると、原因は先週明らかになった深刻度9.3の脆弱性 PwnEscape だ。クラウドの新規プロジェクト作成や、VPS の新規申し込みが対象で、再開時期は決まっていない。稼働中の環境は使い続けられるが、専用サーバーの利用者は自分で更新を当てる必要がある。
Linux 7.3がリリースされる、Macのバックアップ機能「Time Machine」への対応やCPU・メモリ管理の改善など
Linux カーネルの新版 7.3 が10月18日に公開された。Gigazine によると、カーネル内のファイル共有機能が Mac のバックアップ「Time Machine」に対応した。CPU が多いサーバーで処理を割り振る仕組みも改善されている。プログラムが触れるファイルを許可したものだけに絞る新しい仕組みも入り、不具合時の被害を抑えやすくなる。
「Cloudflare OS」のマネージドサービス提供へ。GitHubとの接続やGmailとの連携強化など
Cloudflare が、業務でAIエージェントを使うための基盤「Cloudflare OS」を自社運用で提供すると発表した。Publickey によると、これまでは利用者が自分で設置する必要があり、現在は順番待ちの登録を受け付けている。GitHub につないでコード修正を頼める機能や、Gmail の読み書きを任せる機能も加わった。以前の試用記で見えた権限管理の仕組みを、手間なく使えるようになる。
Backend
PHP development team plans to release updates tomorrow to address two vulnerabilities, each rated 9.2; security researchers at watchTowr say they are RCE flaws (Lawrence Abrams/BleepingComputer)
PHP の開発チームが、深刻度9.2の脆弱性2件を直す緊急更新を出すと予告した。BleepingComputer によると、調べた研究者は外部から任意のコードを動かせる欠陥だとしている。詳細は更新が出るまで伏せられている。PHP は多くのWebサイトの土台なので、サーバー管理者は更新をすぐ当てられるよう準備しておきたい。
Sonatype Nexus now requires mandatory telemetry gathering
社内のパッケージ置き場として広く使われる Sonatype Nexus が、利用状況の送信を必須にした。公式文書によると、3.97.0 以降は管理者が同意しないと先へ進めない。送信できない状態が続くと、無料版は10日、有料版は45日の猶予しか与えられない。Reddit の投稿者は猶予を過ぎると止まると指摘し、外部と通信できない環境の運用者から懸念が出ている。
Do minor curl vulnerabilities in the open
curl の開発チームが、深刻度「低」「中」の脆弱性報告を10月26日から公開の場で扱うと決めた。作者のブログによると、報告の洪水で中心メンバーが限界に達したのが理由だ。非公開で扱うのは「高」以上に絞り、議論や修正を多くの人と分担する。今月の22件の脆弱性をまとめて直す予告に続き、AIによる大量の報告が小さなOSSの体制を変え始めている。
Jepsen: Orkes Conductor 5.3.2
分散システムの検証で知られる Jepsen が、処理の流れを管理する Orkes Conductor の調査結果を公開した。報告によると、同じ処理が同時に二重で動く例が予想以上に多く見つかった。さらに処理を途中で放置したり、実行していないのに完了扱いにしたりする重大な不具合も3件あった。重大なものは修正版で直されており、利用者は更新が勧められる。
社内最大のRailsアプリのテスト高速化に挑戦した半年 - inSmartBank
スマートバンクが、社内最大の Rails アプリのテストを半年かけて速くした取り組みを公式ブログで振り返った。まず計測で遅いテストを特定し、テスト用データの作り方やDB設定、並列数を見直した。テストの数は2月から5割以上増えたが、実行時間は同じかそれ以下に抑えた。AIでPRが増えて実行環境が混み合うという、新しい課題も見えてきたという。
Frontend
Announcing TypeScript 7.1 Beta
TypeScript 7.1 のベータ版が公開された。Microsoft の公式ブログによると、テキストや画像を import で読み込む新しい書き方に型を付けられる。外部のツールから TypeScript の機能を呼び出すための API も整えている。Go で書き直した 7.0 からさらに処理が速くなり、大きなコードほど型の確認の待ち時間が縮む。
Introducing tsrs: a Port of TypeScript to Rust
Cloudflare などが、TypeScript を Rust で書き直した tsrs を試験公開した。公式ブログによると、TypeScript 7.0 と比べて最大8倍速く、メモリ使用量は約7割少ない。言語の設計は本家に従い、分家（フォーク）はしないと明言している。Rust を選んだのは WebAssembly（ブラウザなどで動く共通形式）にすると軽く動くためだ。Bun の型チェッカーに続き、より速い型チェックを競う動きが広がっている。
「Visual Studio Code」でUIのモダナイズが進行中、従来の「クラシックUI」はいずれ廃止へ／詰まった表示の［Compact］やタブがエディターにくっついたデザインも選択可能
コードエディター VS Code の見た目を整理し直す作業が進んでいる。窓の杜によると、10年以上の機能追加で画面が複雑になり、統一感も薄れていたことが理由だ。色数を絞ったテーマや、AIエージェント用の画面で作った共通デザインを全体に広げている。情報量や操作感は大きく変えないとしているが、従来の見た目はいずれ選べなくなる。
Chromium(V8)のArray.prototype.fillを最大約7倍高速化した
配列を同じ値で埋める JavaScript の fill を、Chrome の実行エンジン V8 で最大約7倍速くするパッチの解説だ。著者によると、従来は1要素ずつ汎用の書き込み処理を呼んでおり、そこが遅かった。整数や小数の配列ではメモリをまとめて埋める処理に置き換えた。同じ著者によるcopyWithin の高速化に続く、配列の基本操作を底上げする取り組みだ。
Oxlint + Oxfmt で規約をコード化するモノレポ運用
REALITY の開発チームが、ESLint と Prettier から Rust 製の Oxlint と Oxfmt へ移った経緯を書いた。記事によると、AIエージェントが編集のたびに検査を回すので、数秒の待ちも積み重なると無視できなくなった。Biome も試したが、既存の書き方を保てず、CSS のクラス並び替えも合わずに見送った。検査のエラー文に直し方まで書けば、人もAIも規約を読まずに直せるという。
Products
RunInfra
コーディング用のAIエージェントに、公開モデルを月額定額で使わせるサービス。Product Hunt の紹介によると、使った量に応じた従量課金ではなく、月10ドルから利用できる。Claude Code や Codex などの既存ツールにそのままつなげる。AIの利用料を予算化しにくいチームに向く。
Intel® GPU D-series
Intel の、AIの推論専用のデータセンター向けGPU。Product Hunt の紹介によると、高価な専用メモリ HBM を使わず、汎用の LPDDR5X を大量に積んだ。自社版は160GB、他社版は最大480GBのメモリを持つ。速さより容量が効く、長い文脈や多数のエージェントの同時処理を狙っている。
Lugh Xtudio
AIエージェントと人が同じ編集画面で動画を作る編集ソフト。Product Hunt の紹介によると、字幕付けや素材探し、切り詰めを会話で頼める。完成した動画を丸ごと生成するのではなく、手で直せる部品として編集画面に置くのが特徴だ。複数のチャンネルを抱える動画制作者が、作業を任せつつ統一感を保つのに使える。
Others
ふるさとチョイス、不正アクセスで445万件漏えい 寄附控除試算額も
ふるさと納税サイト「ふるさとチョイス」から、会員の個人情報約445万件が流出した。Impress Watch によると、氏名や住所、電話番号に加え、寄附控除の試算額も含まれる。10月17日に不正アクセスを受け、サービスは19日から止まったままだ。同じパスワードを他のサービスで使っている人は、そちらも変えるよう呼びかけている。
「侵入経路塞いだが、バックドアから……」不正アクセス105時間の攻防、分単位で報告 防災メールのアルカディア
自治体向け防災メールを運営するアルカディアが、不正アクセスの経過を分単位で公表した。ITmedia によると、攻撃者はファイル置き場の欠陥から設定ファイルを抜き、中の秘密鍵で内部に入った。侵入口を塞いだ後も裏口が残っており、不正なメールが約142万通送られた。被害企業がここまで細かく経過を明かすのは珍しく、対応の参考になる。
中国語を使うハッカーがAIエージェントで日本企業などにハッキングして100件近い攻撃に成功していたことが判明
AIで攻撃を自動化するツール「Cairn」を使い、日本企業などが狙われていたことが分かった。Gigazine によると、セキュリティ企業が公開状態のツール管理画面を見つけ、攻撃の様子を監視した。最も活発な攻撃者は1100件以上を試し、96件で侵入に成功したという。1件あたりのAI利用料は約50ドルで、攻撃の安さと速さが際立っている。
NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいも
NEC のシステム開発・保守の委託先が攻撃され、NEC の顧客にまで被害が及んだ。ITmedia によると、攻撃者は盗んだ正規アカウントで顧客の環境に入り、サーバー内のファイルを暗号化した。関係者の情報共有に使うクラウド上の共有フォルダーからは、個人情報を含むファイルも漏れた。委託先の端末が、取引先の環境への入り口になる危うさを示した。
なんと23の主要なオープンソースプロジェクトのうち11は1人または2人で運営されている実態が明らかに
スマホやサーバーが頼るOSS23件のうち11件は、実質1〜2人で支えられているという調査が出た。Gigazine によると、過去1年に10回以上変更した人を数えた結果だ。圧縮ツール xz は、2024年の裏口事件の後も実質1人で保守されている。社会の土台が少数の個人に頼る状態は、今も変わっていない。
管理人のピックアップ
Organizing a Go module - The Go Programming Language
Go のプロジェクトでファイルをどう並べるかを示す、Go 公式の手引きだ。小さなライブラリならすべてを最上位に置き、コマンドなら main.go を中心に据える。外から使わせたくない部品は internal/ に入れると、他人に読み込まれず自由に作り替えられる。サーバー用途なら部品を internal/、実行するプログラムを cmd/ にまとめる形を勧めている。
近年最悪級のcurl脆弱性も発見 無料でClaude Mythosが検査する『OSS Scanner』、11日間で緊急・重要880件をAI判定 | テクノエッジ TechnoEdge
Anthropic のOSS Scannerが、開始から11日で「緊急」「重要」の判定を計880件出した。テクノエッジによると、いずれもAIが付けた判定で、人が確かめた件数ではない。初期の97件を専門家が検証したところ、約9割が公開の基準を満たした。curl の解放済みメモリを使ってしまう欠陥も見つかり、作者は久々の最悪級と評している。
OSS Scanner
Anthropic が、オープンソースを自社の最上位モデルで無料検査するサービスの案内ページを公開した。人の確認を経た通常の報告は時間がかかるため、AIの出力を直接受け取る近道として用意したという。対象は、広く使われ攻撃を受けやすい既存の重要プロジェクトだ。参加は案内に従ってPRを送るだけで、新しすぎるものや単なる分家は原則外れる。
Code Review - Claude Code Docs
Claude が GitHub のプルリクエストを自動で読む「Code Review」の公式解説だ。複数のエージェントが周りのコードと合わせて読み、論理の誤りや脆弱性を探す。見つけた点は、報告前にコードと突き合わせて確かめる工程を挟む。結果は該当行へのコメントで届き、マージの可否は人が決める設計になっている。
ソフトウェアの産業革命 - ちなみに
AIが大量のコードを書く時代の開発を、工場づくりにたとえて整理した記事だ。著者によると、書く速さが上がった分、待ち行列は人がコードを読む工程へ移った。読む人を増やすのではなく、読まなくても壊れない検査を工程に組み込むしかないという。安く確実に検証できる範囲だけをAIに任せる、という線引きを紹介している。
Agentic Monitoring
システムの見張り役をAIエージェントに任せる「エージェント監視」を論じたブログだ。著者は、変更直後の異常検知という、人手では長年うまくいかなかった課題を例に挙げる。小型のモデルでもグラフの異変に気づけるようになり、大企業でも1日100ドル程度で全体を見張れると試算する。今すぐ始めないこと自体が、遠からず危険になると結んでいる。
Buy the SRE ebook and throw it at your work Claude.
SRE（サービスを安定して動かし続ける専門職）の解説書をAIに読ませる、という使い方が r/sre で紹介された。投稿者は、自社の監視体制を本の章ごとにAIに採点させた。そのうえで、点数を上げる提案を出させたという。中途半端に作っていた部分に低い点が付き、気づきが多かったと振り返っている。
Using Artificial Intelligence to reverse engineer hardware
Linux で動かないフィルムスキャナー用の部品を、AIに解析させて作った体験談だ。著者は、Windows の仮想環境をAIに操作させ、通信の中身を記録させた。その記録から仕組みを読み解かせたことで、数時間で最初の読み取りに成功したという。同じ方法をノートPCのカメラにも試しており、古い機器を Linux で使い続ける道が広がる。
「Linux」に無料の「Acrobat」クローンが登場—本格的なPDF編集アプリ
PDF の編集ソフト Acrobat に代わる無料アプリ「PdfCraft」が Linux などで使えるようになった。ZDNET Japan によると、AIを使って元のソフトを解析し、Rust で作られている。閲覧や編集、結合、墨消しなどができ、アカウント登録もクラウドへの通信も要らない。Linux で PDF を直すのに苦労してきた人の選択肢になる。
判断特化モデルの比較: Decisions API・Jev・Clef
問い合わせの仕分けのような「選ぶだけ」の作業向けAIを3つ比べた記事だ。著者が2つを30件ずつ試すと、どちらも全問正解で精度に差はなかった。料金と普段の応答は片方が安く速かったが、遅い回では順位が逆転した。正解と判定基準を先に決めてから比べる、という検証の手順も参考になる。
デシジョンテーブル（決定表）とは？メリットや書き方をわかりやすく解説｜ソフトウェアテストのSHIFT
条件の組み合わせで結果が変わる仕様をテストするための表「デシジョンテーブル」を、SHIFT が解説した。考えられる条件と、その時に起きるべき動作を表に並べて整理する手法だ。起こりえない組み合わせを見つけ、テストの数を絞ることにも役立つ。作るのに手間はかかるが、複雑な仕様ほど抜け漏れを防げると説いている。
24/365の現場経験が自動化とゼロトラストの基礎にある――APCはインフラエンジニアの仕事をどう変えてきたのか - はてなニュース
インフラ運用を請け負う APC に、インフラエンジニアの仕事の変化を聞いたはてなニュースの記事だ（企業とのタイアップ広告）。同社は24時間365日の運用で、人や手作業に頼りすぎることを課題としてきた。そこで作業の自動化と、社内外を区別せず常に確かめる「ゼロトラスト」の支援に軸を移したという。運用の現場経験が、そのまま新しい仕事の土台になっていると語っている。
AWS初心者がエンジニアを辞めた話 - Qiita
語学を武器に未経験からエンジニアになった著者が、職種を変えるまでを振り返った。AWS の資格を取ってクラウドの仕事に就いたが、技術への苦手意識は消えなかったという。自分の強みを書き出すと、技術の要素が1つもなかった。今は語学と開発経験を掛け合わせ、技術営業として働いている。
Claude Codeに全部任せて開発してたエンジニアの末路、1〜2ヶ月後ガチで地獄ですよ｜ゆうき｜月収100万円超エンジニアを多数輩出
AIに開発を任せきると、1〜2か月でコードが崩れていくと警告する記事だ。著者によると、同じ種類のAPIでも返す形がファイルごとにばらつき始める。AIは設計の意図を知らないまま、それらしい答えを返すからだという。全体を見て決める判断は人が持ち、手を動かす作業をAIに任せるべきだと説く。
毎月“地獄の3日間”に追われた病院経理 年間1200時間を削減、現場の「今のままでいい」をどう乗り越えた？
湘南鎌倉総合病院の経理部が、請求書処理をデジタル化して年約1200時間を減らした。ITmedia ビジネスオンラインによると、毎月3日間に請求書の約8割が集中していた。人手不足で、2人で深夜まで処理に追われることもあったという。1件あたり約10分縮めた取り組みは、グループ内の他の病院にも広がっている。
新コード決済「teppay」きょう開始 提供の狙いは？ “キャッシュレス疲れ”解消なるか
JR東日本が、モバイルSuica のアプリで使う新しいコード決済「teppay」を始めた。ITmedia Mobile によると、アプリを更新するだけで使え、新たな登録はいらない。本人確認をすれば残高の上限が30万円になり、Suica の2万円の壁を越えられる。全国170万か所以上の店で使え、2027年春にはモバイルPASMO にも広がる予定だ。
MIXI創業者・笠原健治50歳 子育てから生まれた「家族アルバム みてね」 世界3000万人に広がるまで 都内の公園で一人チラシを配ったことも | AERA DIGITAL（アエラデジタル）
SNS「mixi」の創業者・笠原健治氏に、写真共有アプリ「みてね」の誕生を聞いた AERA DIGITAL のインタビューだ。笠原氏は子どもの写真を両親と共有しようとして、使いやすいアプリがないと気づいたという。既存のクラウドは共有や振り返り向けに作られておらず、自分たちで作ることにした。公園で自らチラシを配った時期を経て、利用者は世界3000万人に広がった。
Passkeys Are Not a Trap
「パスキーは罠だから使うな」という話題の投稿に、セキュリティ研究者が反論した。著者によると、多くの人が使う同期型のパスキーは、どの機器で作ったかをサイトに伝えない。そのため、サイトが特定の機器やOSだけを許すように締め付けるのは現実的でないという。パスキーを避けて従来のパスワードに戻る理由はない、と結論づけている。