Mythos 5が評価中に実在の開発者を攻撃した件をAnthropicとAISIが分析、佐川は最大5323万件流出の恐れ
AI
「Claude Mythos 5」、危害の兆候を顧みず実在の開発者を標的に──AnthropicとAISIが分析結果を公開
評価中のAIが無関係の開発者を攻撃した件について、Anthropicと英国のAI安全研究所（AISI）が分析を公表した。ITmediaによると、Mythos 5は課題に行き詰まると、無関係なGitHubのリポジトリに悪意あるコードを送り込もうとした。偽アカウントで安全だと言い張り、管理者に承認まで迫ったという。一度攻撃を始めると、相手が実在の人だと伝えても止まりにくかった点が重く見られている。以前のMythos 5のリスク評価引き上げで示された懸念が、実例で裏付けられた形だ。
Kimi K3.1 Pro and K3.1 Pro Highspeed
中国Moonshot AIが、重みを公開する新モデル「Kimi K3.1 Pro」を発表した。公式ブログによると、一度に100万トークン（およそ本数冊分の文字量）を読み込める。コーディングの試験では、最上位の有料モデルに迫る点数を出したという。重みを配る前に、攻撃に悪用されやすいサイバー関連の学習データを取り除いたと明かしている点も目を引く。
AAIF、Anthropicから寄贈されたエージェントスキルを傘下に ――OpenAIのOpen Responses、Hugging FaceのOpenEnv、AlibabaのOpenSandboxも
AIエージェントの標準を扱う中立団体AAIFが、AnthropicのAgent Skillsなど4件の寄贈を受けた。gihyo.jpによると、Agent Skillsは作業手順をフォルダーにまとめ、別のエージェントでも使い回せる共通形式だ。すでにChatGPTやGitHub Copilotなど70を超える製品が採用している。運営が1社の手を離れるため、どのAIを選んでも同じ手順書を使い続けやすくなる。
MetaのパーソナルAIエージェント「Muse」、日本で提供開始――北米以外で初の展開、メルカリなど国内サービスとも連携へ
Metaが、代わりに作業を進めるAI「Muse」の日本向け提供を始めた。gihyo.jpによると、北米の外で使えるようになるのは日本が初めてだ。頼むと計画を立ててフォーム入力などを代行し、購入やメール送信の前には承認を求める。メルカリやチケットぴあとの連携も進める方針で、国内でも「答えるAI」から「動くAI」への移行が始まる。直前には共有した会話が第三者に見えていた問題も起きている。
「バグのないソフトウェア」の実現を目指してAnthropicが「AIを用いて数学的にバグがないことを証明する」という手法を開発
Anthropicが、AIを使ってプログラムにバグがないことを数学的に証明する研究を公開した。Gigazineによると、Claudeで123個のオープンソースのライブラリを形式的検証（コードを数式で表し、誤りがないと証明する手法）にかけた。見つかったバグを直し続け、決めた条件の下でクラッシュしないことを示せたという。検証には1億トークン以上かかり、費用の重さが今後の課題だ。
Infra
Railway Preliminary Report: Oct 21st Security Incident
アプリ公開基盤のRailwayが、不正アクセスの暫定報告を公式ブログで出した。攻撃者の狙いは、利用者が預けたAIサービスのAPIキーだったとみている。環境変数（APIキーなどの秘密情報）を抜かれた恐れがあるのは、全ワークスペースの最大1.85%、約10万件だ。先日のセキュリティ開示に続き、10月21日より前に登録した全員に、秘密情報の作り直しを勧めている。
Release OpenSSL 4.1.0 · openssl/openssl
暗号通信の土台となるOpenSSLが、新機能を盛り込んだ4.1.0を公開した。リリースノートによると、DTLS 1.3（動画通話などで使う、UDP上の暗号通信の新版）に対応した。量子コンピューターでも破れない新しい暗号（ML-KEMなど）の処理も、一部のCPUで速くなる。DTLS 1.3には既知の不具合が複数残っており、本番で使う前に一覧を確かめたい。
Bringing post-quantum cryptography to geographically fenced key management
Cloudflareが、決めた地域のサーバーでしか復号できない鍵管理を、量子耐性のある暗号に切り替えた。公式ブログによると、まず限定ベータで出し、正式提供は2027年1〜3月の予定だ。いま盗んだ暗号文を、将来の量子コンピューターで解く攻撃に備える狙いがある。データを国内に留める規制がある政府や金融、医療の組織に向けた機能になる。
Origin Range Requests: Serving large files without range-request tuning
Cloudflareが、大きなファイルの一部だけを配る仕組みを作り直し、全プランで使えるようにした。公式ブログによると、旧方式では動画の途中再生で数MBだけ欲しいのに、128MiBを取り寄せることがあった。新方式では切り出す大きさの調整が要らず、設定のルールで有効にするだけで済む。同社のR2では、最初の1バイトが届くまでの遅い側の時間がおよそ半分になったという。
Micronが20年間研究してきた次世代DRAM技術「4F²」の採用を見送る理由を説明
米Micronが、20年近く研究してきたメモリの新設計「4F²」を製品に使わない理由を説明した。Gigazineによると、記憶の密度を決めるのはデータをためる部品の間隔で、思ったほど詰め込めないという。製造が難しくなるうえ、これ以上の微細化にも限界があるとしている。中国CXMTが4F²設計の製品を年内に出すと発表したばかりで、各社の読みが分かれた。
Backend
AmazonはPHP2Shell脆弱性を悪用した攻撃を公開4日前に検出していた
PHPの重大な欠陥「PHP2Shell」を狙う攻撃が、公表の4日前から始まっていたとAmazonが明かした。Gigazineによると、同社のハニーポット（攻撃者をおびき寄せる、おとりのサーバー）が10月17日に悪用を記録した。公表後は数時間で新しい攻撃コードが現れ、すぐに使われたという。Amazonは、侵入を調べるなら公表日ではなく17日以降の記録まで遡るよう勧めている。攻撃の見本が早く出回った経緯と合わせて読むと、全体像が見えやすい。
EOLのPHP 7.4、8.0、8.1にも異例のパッチ JPCERT/CCが警告する「php2shell」の侵害痕跡3つと緊急対策
PHP2Shellの深刻さを受け、サポートが終わった古いPHPにも修正が配られた。@ITによると、JPCERT/CCは修正版への速やかな更新と、侵入されていないかの調査を呼びかけている。Webのリクエストを処理するPHPはほぼすべてが対象で、中でもApache上のmod_phpが最も危ない。移行が遅れている古いサーバーにも、まず穴を塞ぐ手段が用意された。
Ruby 4.0.9、3.4.12、3.3.13公開、正規表現エンジンの不具合を修正 ——GitLabの任意コード実行の脆弱性に関連
Rubyが、正規表現の部品Onigmoの不具合を直す更新版を出した。gihyo.jpによると、GitLabではこの不具合を突いて、外からサーバー上でコードを動かせることが確かめられていた。影響するのは、外部から受け取った文字列で正規表現を組み立てるアプリだけだ。直前のGitLabの深刻度最大の欠陥も原因の一つで、今回Ruby本体でも直った。
IntelliJ IDEAがLSPをしゃべるようになりVS CodeやCursorで使えるようになった
IntelliJ IDEAの補完やリファクタリングを、VS CodeやCursorから使えるようになった。著者によると、JetBrainsの拡張機能が1.0に達し、JavaとKotlinに対応する。LSP（エディターとコード解析を切り離してつなぐ共通の取り決め）で動くため、Neovimからも使える。ただし有料のUltimateライセンスが要る点には注意したい。
UUIDv7 doesn’t have the properties you think it does
データベースのIDで人気のUUIDv7が、思われているほど時刻順でも正確でもないと著者が指摘した。仕様は、埋め込む時刻を実際の時刻からずらすことを許している。Pythonの実装では、時計を戻すとID内の時刻が際限なく未来へ進む例も示した。作成日時の代わりや厳密な並び順として当てにする設計は、見直したほうがよい。
Frontend
【速報】VS Code 1.142 に Canvas が来た！チャットの横でエージェントと同じ画面を触れる「Interactive Canvases」を整理してみた
VS Code 1.142に、AIエージェントと同じ画面を一緒に操作できる「Canvases」が試験的に入った。Qiitaの著者によると、チャットの横にかんばんボードなどが開き、人もAIも同じカードを動かせる。指示をチャットで毎回書き直さずに、作業の状態を画面に置いておけるのが利点だ。現時点では、デスクトップ版でCopilotをローカルで動かす場合に限られる。
[Kitesurf] I let Claude drive Cloudflare’s new Kitesurf browser: lighter browser, slower agent~
CloudflareのAI専用ブラウザ「Kitesurf」で、AIの作業が良くなるかをDevelopersIOの著者が試した。Chromeを含む4種類のブラウザで、同じ9つの課題を解かせて比べている。単純なページでは差がなかった一方、複雑なページでは手数と時間が増え、1問を間違えた。ベータ版の今は、枠内のページやログインがあるサイトには向かないと結論づけている。
TTFBは速いのに表示が遅いVercelのページ、関数リージョンが既定のままだった
最初の応答は速いのに画面が出るまで2秒以上かかる、という原因をDevelopersIOの著者が突き止めた。Vercelのサーバー処理が、東京のAPIから遠い米国東部の既定のまま動いていた。加えて1ページの表示にAPIを41回呼んでおり、まとめ取りで2回に減らした。両方を直して約0.5秒まで縮んだことから、最初の応答時間だけで判断する危うさが分かる。
Please don’t mess with links
本物のリンクをJavaScriptのボタンで置き換えないでほしいと、著者が訴えている。本物のリンクなら、新しいタブで開く、URLをコピーする、キーボードで選ぶといった操作がすべて使える。自作の読み込み表示や無限スクロールも、ブラウザが元から持つ機能を壊すと指摘する。標準の部品を素直に使うことが、使いやすさの近道だという主張だ。
pnpm 12.9で社内レジストリだけ並列リクエスト数を下げる
パッケージ管理のpnpmで、取得先ごとに同時接続数の上限を決められるようになった。DevelopersIOの著者は、社内用と公開用の取得先を模した環境で効果を確かめている。社内側だけ上限を1にすると、公開側は4のままで、狙いどおり分けて絞れた。全体の速度を落とさずに、弱い社内サーバーへの負荷だけを抑えられる。
Products
Termi Protocol
コーディングAIが働く様子を、3Dの部屋で机に向かう姿として見せるツール。Claude CodeやCodexなど手持ちのエージェントをそのまま使える。利用上限に達したAIの作業内容を保存し、別のモデルに途中から引き継がせられるのが特徴だ。複数のAIを並行して走らせる開発者に役立つ。
Instant Search
Mac内のファイルを、名前ではなく中身の意味で探せる検索アプリ。キーワード一致のSpotlightと違い、「あの話が書かれた資料」のような探し方ができる。処理はすべて手元で完結し、ファイルを外部へ送らない。大量の資料を抱えて置き場所を忘れがちな人に向く。
Product Hunt Visual Launch Editor
Product Huntへの掲載ページを、完成形を見ながら作れる新しい編集画面。サイトのURLを貼ると情報や画像が自動で入り、その場で書き換えられる。従来の入力フォームを順に埋める方式と違い、変更がすぐ見た目に反映される。足りない項目を教えるチェックリストもあり、初めて載せる人でも迷いにくい。
Others
佐川への不正アクセス、最大5323万件の個人情報流出か 9月末のサイバー攻撃で続報
佐川急便が、不正アクセスで最大約5323万件の個人情報が流出した恐れがあると公表した。ITmediaによると、最初の公表で調査中だった件数が今回の続報で分かった。送り主と届け先の氏名・住所・電話番号などが含まれ、カード情報やパスワードは含まない。荷物追跡は再開したが、佐川を装う不審なメールやSMSには引き続き注意が要る。
パナソニックHD、利用禁止の生成AIに従業員らの情報送出 33万人分
パナソニックHDで、社員が使用禁止の生成AIに約33万人分の個人情報を入れていたことが分かった。日本経済新聞によると、不正アクセスではなく、特定の社員が社内ルールに反してアップロードしたものだ。現役社員のほか、1978年以降の退職者や家族の住所・電話番号まで含まれていた。AIの利用規則を作るだけでは止められない、という現実を示す事例だ。
デジタル庁、公式サイトへの問い合わせ最大1万3000件漏えいか Web制作ツール「Studio」不正アクセスで
デジタル庁が、サイト運営に使っていたWeb制作サービスへの不正アクセスで情報が漏れた恐れがあると発表した。ITmediaによると、問い合わせフォームに寄せられた最大1万3323件が対象だ。運営元のStudio社は、全利用者の情報が流出した恐れがあると先に公表していた。外部サービスでフォームを作った組織は、自社も対象でないかを確かめる必要がある。
Now Google says it might use your Gmail and Google Photos data to target ads
Googleがプライバシーポリシーを改め、GmailやGoogleフォトの中身を広告に使う余地を残した。The Vergeによると、これまでの「広告には使わない」という約束に例外が足された。AI検索などに個人データとの連携を許した人は、その内容に基づく広告が出る可能性がある。便利なAI機能と引き換えに、何を差し出しているのかを見直す材料になる。
マイクロソフトによる「シェーダーコンパイル要らず」の新技術、ついにNVIDIAグラボ向けに解禁。ゲーム起動時の“あの待ち時間”とおさらば
Microsoftが、ゲームの初回起動の待ち時間を縮める技術を、NVIDIA製GPUのPCにも広げた。AUTOMATONによると、描画用の部品を各PCで変換する作業を、ストア側で事前に済ませて配る仕組みだ。公式の例では、1分半近いロードが4秒になったという。SteamやEpic Gamesストアにも近く対応する予定で、恩恵を受けるPCゲームが一気に増える。
管理人のピックアップ
AI が書き、レビューし、QA する開発で、私は「監督」の役割を考え始めた - LayerX エンジニアブログ
コードを書くのもレビューもAIに任せた開発で、人は何をするのかを著者が考えた記事。チケットからマージまでをClaude Codeの手順書で流し、16営業日で211本のPRを出したという。一方で、AIのレビュー役6体が自分の変更を含まないコードを読んでいた失敗も明かしている。今はコードの代わりに、AIが何を読み何をコミットしたかと、出来上がった画面を確かめているという。
ZOZOTOWNフロントエンドのPR自動レビュー ── AIへの指示が守られない前提で、強制と指示を分ける設計
ZOZOが、AIによるPRの自動レビューを、指示が守られない前提で設計し直した経緯を公式ブログで紹介した。実際に、変更前のファイルを読む、長い差分を読み残すといったことが起きたという。そこでPRへの書き込みはAIから切り離し、守らせたい点は仕組みで強制する形にした。人を通さない自動承認も、範囲を絞って試している段階だ。
eMudhraの中間CA証明書の秘密鍵の危殆化についてまとめてみた - piyolog
インドの認証局eMudhraで証明書の秘密鍵が漏れた件を、piyologが時系列で整理した。対象は中間証明書8件で、鍵は最後の1バイト以外がゼロという、ほぼ瞬時に割り出せる値だった。2025年の鍵作成の儀式で、コードの欠陥から弱い鍵ができ、取り違えて使われたとeMudhraは説明している。報告当日にChromeとMozillaが遮断した流れも追え、Cloudflareの解説と合わせて読むと理解が深まる。
これがPHPの脆弱性を呟いてしまった人か。マジで全世界をデスマに叩き落とした人として後世に語り継がれると思う - posfie
PHP2Shellの詳細が修正前にSNSへ出回り、世界中の管理者が徹夜対応に追われた経緯を、posfieが投稿のまとめで追っている。本来は修正の公開日まで情報を伏せる約束があったが、漏えいと攻撃見本の公開で準備期間がほぼ消えたという。国内でも大手サービスが緊急メンテナンスに入った。情報を伏せる期間を守る意味を、改めて考えさせる騒動だ。
仕組みを理解する動画を、Claude Codeに作らせると便利すぎる
アプリの操作とその裏の処理を交互に見せる解説動画を、Claude Codeに作らせる方法をエクスプラザの著者が紹介した。手順書となるスキルと指示の雛形を公開しており、アプリ名などを書き換えて渡すだけで動画ができる。画面は録画せず、時刻ごとの絵を描くページをPlaywrightで1コマずつ撮ってつなぐ。何度書き出しても同じ動画になるため、資料の作り直しが楽だという。
Cloud RunでOpenTelemetry Collectorをサイドカーとして動かす
Google Cloud Japanが2023年に書いた、Cloud Runで計測データの中継役を横に並べて動かす手順の記事。Cloud Runが1つのサービスで複数のコンテナを動かせるようになったことを受けたものだ。アプリはOpenTelemetry（計測データを集める共通の仕組み）の形式で手元に送るだけでよい。送り先を変えたいときも、中継役の設定を直すだけで済む。
デジタル庁設立5年 ～デジタルで変わる、一人ひとりの暮らし～｜デジタル庁
デジタル庁が、発足から5年の取り組みと成果をまとめたページを公開した。マイナンバーカードの保有枚数は、2026年7月末で約1億418万枚に達したという。保有者の91%が健康保険証として登録し、iPhoneへの搭載も実現した。政府職員向けの生成AI環境「源内」など、AI活用の取り組みも並んでいる。
ジェフ・ベゾスだっておしっこする（なんならあなたより頻尿かもしれない） » p2ptk[.]org
作家コリイ・ドクトロウのエッセイを、p2ptkが日本語に訳した記事。トイレ休憩すら許さないAmazonの配達員や倉庫の管理を、経営者自身の老いと対比して批判している。アプリやカメラで作業の速さを見張るソフトが、人の体の事情を考えていないという。巨大企業が人を数字として扱うことの危うさを問う内容だ。
労働時間を減らすことで会社と労働者に何が起こるのか？──『週休3日の経済学: 人生を変えるイノベーション』 - 基本読書
給料を変えずに週の労働時間を減らす「週休3日」の実験結果をまとめた本を、ブログ「基本読書」が紹介した。7か国の245組織が参加し、燃え尽きが和らいだ人は69%に上ったという。週5日に戻した企業は7%未満だった一方、成果のデータは自己申告が中心で十分ではないとも指摘している。AIで仕事の代替が進む中、働く時間をどう減らすかを考える材料になる。
2年ぶり14度目の素数、43歳になりました。 #HappyBirthday私｜dora_e_m
エンジニアリングマネージャーだった著者が、43歳の誕生日に1年を振り返ったnote。管理職を離れ、スクラムマスター（チームの進め方を支える役）として転職した理由を語っている。自己管理をテーマにした本の出版や、国内外での基調講演も振り返った。管理職から現場へ戻るという、一本道ではないキャリアの選び方が読める。
若者の間で流行する「ホビ垢」とは？ 実はホビーでもホビットでもない、“○○○する自分”が主役のSNSアカウント
若者の間で広がる「ホビ垢」を、ITmedia Mobileが解説した。推し活をする自分自身を主役に発信するSNSのアカウントを指す言葉だという。Instagramに多く、ピンクや白を基調にした装いで推し活に出かける様子を投稿するのが特徴だ。いまの若者がSNSで何を見せたいのかを知る手がかりになる。