OpenAIのAIが計算の定説を覆し、PHPの欠陥は実際の攻撃段階へ
AI
OpenAIが数学・コンピュータサイエンス・物理学における調和解析・計算複雑性理論・量子場理論に関する3つの新たな発見を発表、指数時間仮説は誤りである
OpenAIが、社内のAIモデルが数学・計算機科学・物理学で新しい成果を出したと発表した。Gigazineによると、目玉は計算の難しさに関する定説「指数時間仮説」が誤りだとする証明だ。この仮説は数百本の論文が前提にしてきた。証明はLean（証明の正しさを機械で検算する道具）でも確かめられている。OpenAIは手柄を求めず、外部の研究者グループに検証と解説を委ねるとしている。
Google DeepMind、ワールドモデル「Genie 4」発表 音声や会話もリアルタイム生成、Geminiと連携
Google DeepMindが、操作に合わせて仮想世界をその場で描き出すAI「Genie 4」を発表した。ITmedia NEWSによると、完成済みの映像を流す動画生成AIと違い、歩き回るとその先の景色を即座に作る。新たに風や波の音、登場人物の会話も同時に生成できるようになった。連続して操作できるのはまだ数分程度だが、ゲーム制作やロボットの訓練への応用を見込んでいる。
GLM-5.3 Workers AIモデルにおけるリクエスト間のKVキャッシュ漏洩とSGLangによる対策をCloudflareが解説
CloudflareのAI推論サービスで、他の利用者のデータが応答に混ざる事故があった。Gigazineによると、原因は推論エンジンSGLangの設定ミスとバグの組み合わせだ。長すぎる入力を拒むべき場面で処理が進み、直前の別の利用者の記憶が使い回された。この記憶はKVキャッシュ（AIが文脈を覚えておく一時メモリ）と呼ばれる。影響は155件の応答で、同じエンジンを使う事業者にも更新を勧めている。
OpenAI、最先端AIモデル学習中のネット接続遮断など安全対策を強化
OpenAIが、開発中のAIを訓練する環境の安全対策を作り直したと説明した。PC Watchによると、今は本物のネットにつながず、保存したWebページの「オフラインワールド」で学習させる。隔離したAIが「DNSの抜け道」を見つけた件を受けた対応だ。検証中に見つけたgVisorやDockerなどの穴は、開発元に修正を渡している。
Fuzzers vs. AI: Comparing Fuzzilli and BigSleep on JavaScript Engines
GoogleのProject Zeroが、AIによる脆弱性探しと従来の手法を比べた結果を公開した。従来の手法はファジング（でたらめな入力を大量に与えて不具合を探す方法）だ。ChromeのV8を対象に、直近半年でAI側が45件、ファジング側が37件を見つけた。両方が見つけた割合は25％にとどまり、片方だけでは見逃す穴が多い。チームは、両方を併用するよう開発元に勧めている。
Infra
Oracle CloudがGoogle TPU導入を発表、2027年に提供を開始。Oracle AI World 2026
オラクルが、Googleが開発したAI専用チップTPUを自社クラウドに導入すると発表した。Publickeyによると、提供開始は2027年で、電力や冷却、データセンター内のネットワークはオラクル側が用意する。先行する大手3社を追うため、NVIDIA以外の選択肢を顧客に示す狙いだ。先週公開されたPyTorchをTPUで動かすTorchTPUと合わせ、TPUがGoogleの外へ広がり始めた。
Tailscale SSH: Investigation and remediation update
VPNサービスのTailscaleが、自社のSSH機能に複数の脆弱性が見つかったと公表した。公式の報告によると、多くは権限昇格（本来より強い権限を得てしまう問題）にあたる。接続を許された人が、割り当てられた権限を超えた操作をできる場合がある。修正版は10月27日中の公開を目指し、それまではSSH転送を止める設定で一部を緩和できる。
What took the Internet offline in Q3 2026
Cloudflareが、7〜9月に世界で起きたネット接続障害を公式ブログで振り返った。観測した49件のうち最多は政府による遮断で、大半はイラクの試験期間中の遮断だった。次に多い停電は14件で、キューバやホンジュラスでは国全体の通信が落ちた。米国や日本でも障害が起きており、ネットの頑丈さが電力などの土台に左右されると分かる。
AMDとIntel、x86 CPU向けPyTorch最適化を統合へ
AMDとIntelが、x86 CPUでPyTorchを速く動かす工夫を共通のライブラリ「oneDNN」にまとめる。PC Watchによると、AMDは自社向けに磨いてきた最適化をoneDNNに組み込む。開発者はどちらのCPUでも、同じソフトで最適化の恩恵を受けられるようになる。両社はAIの行列計算を速める次世代の命令拡張「ACE」でも協力している。
Microsoft Maia 300 Shown at OCP 2026
MicrosoftのAI用チップ「Maia 300」を4基載せたサーバーの実物が、業界イベントで披露された。ServeTheHomeによると、チップは950Wで液冷の板に覆われ、AIチップ向けの高速メモリを288GB積む。配線を減らす方向のNVIDIAと違い、Microsoftは内部を大量のケーブルでつなぐ設計を選んだ。2027年投入と発表されたMaia 300の具体的な姿が見えてきた。
Backend
US government says hackers are now exploiting critical PHP web bugs
米国のサイバー防衛機関CISAが、PHPの重大な脆弱性2件が実際の攻撃に使われていると認めた。TechCrunchによると、連邦政府機関には3日以内の修正を命じている。この欠陥は2年前に見つかっていたが、悪用は難しいとして放置されていた。AIの助けで攻撃手法が見つかり状況が一変した。古いPHPにも異例のパッチが出ており、更新は待ったなしだ。
Python’s experimental JIT to be removed
Pythonの標準実装に2024年に入った実験的なJITが、取りやめになる見通しだ。JITは、実行中のコードを機械語に変換して速くする仕組みを指す。LWNによると、運営委員会は保守体制や互換性を示す正式な提案を求めていた。開発者は提案を書いたが、高い要求に応える余力がないとして10月に取り下げた。期限内に通らなければ本体から外す方針で、高速化の柱の一つが止まる。
tar-codec: a fast and secure tar parser for the Rust ecosystem
Pythonのパッケージ管理ツールuvを作るAstralが、Rust製のtar解析ライブラリを公開した。公式ブログによると、uvはこれでソース配布物の展開が従来の約2倍速くなった。作り直した一番の理由は安全性だ。同じファイルをuvとpipで違う中身に読ませられる問題が見つかっていた。ツールごとに中身が食い違うと、検査をすり抜ける攻撃に使われかねない。
Our Response To The eMudhra Key Disclosure Incident
Goチームが、認証局eMudhraの鍵流出問題への緊急対応を公式ブログで振り返った。通知から約7時間半で、問題の中間証明書を信頼しない修正版を世界に配ったという。普段は事前予告つきの数日がかりの手順だが、鍵がすぐ公になると見て初めて緊急枠を使った。eMudhraの秘密鍵が復元可能と判明した件で、言語側が素早く動いた舞台裏が分かる。
PythonでもSQLでもない、2026年「最も使う言語」 Stack Overflow調査が映す“定番回帰”とAIとの距離感
Stack Overflowの年次開発者調査で、最も使われる言語は12年連続でJavaScriptだった。@ITによると、SQL、HTML/CSS、Pythonが僅差で続き、データベースもPostgreSQLが首位を守った。コーディング支援AIの利用は66％に達した。一方、重要な判断をAIに任せると答えたのは6.6％にとどまる。来年使いたいAIではAnthropicが49％で、OpenAIの32％を引き離した。
Frontend
JavaScriptランタイムの「Bun」がPrettier互換で300倍以上高速なフォーマッタに。Prettier設定ファイルもそのまま利用可能
Bunに、定番の整形ツールPrettierと互換のフォーマッタが入った。フォーマッタは、コードの見た目を自動でそろえる道具だ。Publickeyによると、Prettierのテストの99％以上を通り、設定ファイルもそのまま使える。速さは最大320倍、メモリは5分の1以下だという。TypeScriptの型チェッカー搭載に続き、開発道具を抱え込む動きがまた進んだ。
VS Codeの新規セッションで「ハーネス」がデフォルトに 複数AIモデルを競わせる新機能も
VS Codeの新版で、AIエージェントの土台「Copilotハーネス」が新しいチャットの既定になった。ハーネスは、AIによる道具の呼び出しや手順を管理する仕組みだ。@ITによると、同じ課題を複数のAIに並行して解かせ、結果を比べるプレビュー機能も入った。審査役のAIに採点させ、良い案を一つに統合することもできる。前の版のCanvasesに続き、エディタがAIを指揮する場へ変わりつつある。
Chromium(V8)のArray.prototype.lastIndexOfを最大約26000倍高速化した
配列を後ろから探すlastIndexOfを、ChromeのV8で速くしたパッチの解説だ。著者によると、小数の配列では比較のたびに値を包み直し、要素の数だけメモリ確保が起きていた。生の数値のまま比べ、当たるはずのない型の検索はすぐ「なし」を返すよう改めた。小数の配列で文字列を探す場合は最大約26000倍速い。同じダイニーのブログで紹介されたfillの高速化に続く改善だ。
近未来のデザインが大好物な人に！ ネオン、SF、サイバーパンクにインスパイアされたUIコンポーネント -NeonBlade UI
SF映画のようなネオン調の画面を作れるUI部品集「NeonBlade UI」を、コリスが紹介している。文字が降り注ぐ背景や、縁がビームで光るカードなど、近未来風の部品がそろう。ReactとTypeScriptで作られ、見た目はTailwind CSSで整えている。MITライセンスで商用でも無料なので、雰囲気重視のサイトを手早く作りたいときに使える。
Products
Paddock
AIエージェントごとに専用のLinux環境を、自分で借りた1台のサーバー上に用意するツール。Product Huntの紹介によると、エージェント同士は認証情報もファイルも見えないよう分けられる。変更中は1分ごとに状態を自動保存し、エージェントが暴走しても巻き戻せる。MITライセンスのオープンソースで、複数のエージェントを安全に並べたい開発者向けだ。
ContextGem 1.0
文書から必要な情報を抜き出す、Python向けのオープンソースの枠組み。Product Huntの紹介によると、「はい/いいえ」や選択式の質問は、文章を生成しない軽い判定用モデルに回す。自由回答が要る質問だけをLLMに任せるため、大量の文書を安く速く処理できる。抜き出した値には根拠となる原文の箇所も付き、後から確かめやすい。
Others
偽アプリにトークンを渡す脆弱性、Android版Microsoft Authenticatorに
Android版Microsoft Authenticatorに、偽アプリへログインの証明を渡してしまう脆弱性があった。PC Watchによると、Teamsを名乗るアプリが来ると、本物かを確かめずにトークンを渡していた。トークンは「本人確認済み」を示す通行証のようなものだ。これがあれば、パスワードも多要素認証もなしに職場のメールやファイルを扱える。修正版は9月に出ており、アプリを最新にしておけば防げる。
GMO、不正アクセス実行犯の手がかりに懸賞金 1億5000万円規模
GMOインターネットグループが、不正アクセス事件の解明につながる情報に報奨金を出す。ITmedia NEWSによると、総額は100万ドル（約1億5000万円）で、犯人逮捕まで続ける。犯人の身元や攻撃に使われたサーバー、資金の流れなどを示す情報が対象だ。攻撃者から金銭を要求された件の続報で、企業が懸賞金で犯人を追う異例の対応になった。
ドコモ光「plala（Sコース）」で44万件の情報流出、委託先に不正アクセス
NTTドコモが、ドコモ光「plala（Sコース）」の顧客情報約44万件が流出したと発表した。ケータイ Watchによると、業務委託先のソニーネットワークコミュニケーションズのサーバーが不正アクセスを受けた。氏名や電話番号、メールアドレスなどが含まれるが、パスワードやカード情報は含まれない。流出情報を使った詐欺メールに備え、不審な連絡のリンクを開かないよう呼びかけている。
Apple、M6搭載の14インチ「MacBook Pro」発表 AI性能向上、33万9800円から
Appleが、新チップ「M6」を積んだ14インチMacBook Proを発表した。ITmedia NEWSによると、M5搭載機よりグラフィックスは最大30％、AI処理は最大25％速い。手元でLLMを動かす際の、最初の応答までの速さも最大1.3倍になったという。日本では33万9800円からで11月6日発売だ。28日のイベントでは有機EL版の登場も予想されている。
Discord is making its public communities more searchable, and people have concerns
Discordが、公開サーバーの会話の一部を検索エンジンで見つけられるようにする。TechCrunchによると、12月中旬から公開チャンネルの発言が検索結果に出る場合がある。対象チャンネルは管理者が選び、個人も自分の発言を外せて、ユーザー名やアイコンは表示されない。仲間内のつもりの発言が外へ出ることや、AIの学習に使われることへの懸念が広がっている。
管理人のピックアップ
【第7報】不正アクセスに関する調査結果および今後の対応について
IDCフロンティアが公表した第7報で、IDCFクラウドへの攻撃の調査完了が報告された。ポータルの認証に使うOSSの脆弱性から侵入され、仮想化基盤の管理者権限を奪われていた。ランサムウェア（データを暗号化し身代金を迫る攻撃）で、495の企業や自治体の仮想サーバーが止まった。SBOM（ソフトを構成する部品を一覧にした表）での照合など、自社の対策を見直す材料になる。
Claude APIでOpenTelemetryを設定する
Anthropic の公式ドキュメントが、Claude API のスパンを外部へ送る設定方法を解説している。スパン（1回の処理の所要時間などを記録したもの）は、Console で宛先を登録すればコード変更なしで届く。traceparent ヘッダーを渡すと、自前のトレースの下に API の処理を並べて表示できる。モデル呼び出しやツール使用の遅れを、普段の監視基盤でまとめて追えるのが利点だ。
How to Write an Effective Software Design Document
Google や Microsoft で設計書を書いてきた著者が、効果的な書き方をまとめた英語記事だ。著者は「間違えたときの代償」で、設計書に書くべき決定かを判断せよと述べる。目的や背景、非ゴール（あえてやらないと決めた範囲）など各章の役割を実例で示す。書くべき場面の判断基準もあり、チームの設計レビューの質を上げたい人に向く。
AI時代のアーキテクチャ：実装を任せるために、詳細設計を自分のものにする
シンプレクスの著者は、AIに実装を任せる時代こそ詳細設計に力を注ぐべきだと説く。責務（部品ごとに受け持つ役割）の境界を決めないと、AIは処理を1か所に詰め込みがちだという。各工程の成功率が90%でも、10工程つなぐと約34.9%に落ちるという試算も示す。AIの出力が自分の意図に合うかを判断するための、設計の考え方が身につく。
実際に試したClaude便利術20選 まとめ
Qiita の記事で著者は、Claude Code の機能20個を1つの Terraform コードで試している。CLAUDE.md は強制力のない「お願い」なので、危険な操作は permissions で禁じる。deny は書き方次第ですり抜けるため、Hooks（操作の前後に自動で走る処理）で二重に止める。AIエージェントにインフラを触らせる際の安全策を、そのまま真似できる。
clef (Cloudflare)
Cloudflare の Workers AI ドキュメントに、判定用モデル clef の解説ページがある。状態と型付きの質問を渡すと、各選択肢の確率を返す27Bのモデルだ。マルチモーダル（文章や画像、動画をまとめて扱える性質）で、1回に最大64問を聞ける。問い合わせの振り分けや緊急度の判定を、確率つきで自動化したいときに使える。
日本企業が「サイバー攻撃はAIのせい」にして目を背ける“本当の原因”：専門家たちは見抜いていた
@IT の記事は、国内で相次ぐ不正アクセスについて第一線の専門家に対策を聞いている。GMOサイバー犯罪対策センターは、中国製AIツール「ARTEX」の関与を確認したという。一方で専門家らは、侵入経路は従来と同じで、放置された脆弱性こそ原因だと指摘する。外部の入口、取り出せる権限、復旧手段の3点を見直すという足元の対策が参考になる。
サイバーセキュリティに関する関係閣僚会議
首相官邸によると、10月26日に第1回のサイバーセキュリティ関係閣僚会議が開かれた。相次ぐ情報漏えいを受け、被害企業の相談体制の拡充や情報集約の強化が指示された。政府システムでは、高性能AIを使った脆弱性チェックを前倒しする方針も示された。来週中をめどに緊急対策パッケージがまとまる予定で、支援策の動きを追う起点になる。
ドメイン駆動設計を理解する３つのキーワード
著者はブログで、ドメイン駆動設計（業務の知識を中心に据える設計手法）を捉え直している。中核はビジネスルール、計算モデル、型指向プログラミングの3つだという。金額や日付を独自の型で表すと、ルールが1か所にまとまり安全になると説く。抽象的に感じがちなDDDの用語を、実務の言葉に置き換えて理解できる。
手でコードを書いたことがない未経験新卒が、「一人前になれるのか」と悩んだ半年
every Tech Blog で、AIに全コードを書かせてきた新卒エンジニアが半年を振り返った。機能は出せても理解が残らず、レビューもAIの指摘をなぞるだけになったという。著者は技術書とコード読解で基礎を固め、先に自分で設計の仮説を書く流れに変えた。AI時代に新人がどう学ぶかについて、育てる側にもヒントになる。
「コードレビューは死ぬ、ターミナルも消える」——海外著名エンジニアが予測するAI時代のソフトウェア開発の未来
Qiita の記事は、海外のエンジニアが示したAI時代の開発に関する16の予測を整理している。コードレビューやCLI操作が減る一方、要求の誤りがバグの中心になるという見立てだ。著者は、認証や決済などでは具体的な検証が残ると現場目線で補足する。予測をうのみにせず、自チームのレビューやテストの重点を見直す材料になる。
世の中のエンジニアたちによる「おすすめのレジストラ」はどこなのか？
Gigazine の記事は、開発者に支持されたレジストラ（ドメインの登録を扱う業者）を紹介する。Google Domains の売却を機にした調査で、Cloudflare、Namecheap、Porkbun が上位だった。原価で販売し更新時も値上げしない点などが、選ばれた理由に挙がっている。2023年の記事だが、ドメインの移管先を選ぶ際の比較材料になる。
実務英語は「環境」で身につく—怠惰なエンジニアのペラペラへの旅
マネーフォワードのエンジニアが、1年で業務を英語でこなせるまでの過程をつづった。シャドーイング（音声を追いかけて声に出す練習）は続かず、環境づくりに切り替えたという。著者は、英語を使わざるを得ない場に身を置くのが一番効くと結論づける。英語環境に飛び込むか迷うエンジニアの背中を押してくれる。
自分の下手な英語で汚染されないということ
米国で働く牛尾剛さんが、英語で文章を書くのをやめた理由をnoteで語っている。自作の不自然な英語を出し続けると、その癖が頭に染みついてしまうという考えだ。そこで日本語で書いてAIに英訳させ、自然な英語を音読して取り込んでいる。英語でのやり取りが多い開発者にとって、AIの実践的な使い道として参考になる。
エンジニア歴数か月の私「理論上、理解できない物事はない」
Qiita の記事で新人の著者は、難しい物事に挑む動機を「快感」に見いだしている。難しさの正体は前提知識と工程の多さで、未知は既知の組み合わせに置き換えられるという。置き換えは入口にすぎず、その後に違いを確かめる二段構えが大事だとも補う。新しい技術に尻込みしがちなときの、気持ちの持ち方として役立つ。
オッサンはなぜここまで劣化したのか？
山口周さんのnoteは、中高年による不祥事やトラブルが目立つ背景を考察している。駅係員への暴力の加害者は60代以上が最多という調査などを引いている。著者は、今の50代・60代が「モノガタリの喪失」以前に社会に適応した最後の世代だと見る。世代とキャリアの関係を考えたいマネージャー層に響く内容だ。
他者の痛みを『わかったつもり』にならない大切さについて
水谷アスさんがnoteで、他者の痛みを分かった気にならない大切さをつづっている。難病の闘病を描いた本をきっかけに、自作の漫画が炎上した経験と重ねて考えている。見えない痛みほど伝わりにくく、分からないと自覚することが理解の出発点だという。チームの誰かが抱える事情に思いを巡らせる、きっかけになる一編だ。