Googleが最上位のGemini 4 Carbonを公開、サーバーの起動部品には16年物の穴
AI
Gemini 4 Carbon: our next frontier model
Googleが公式ブログで、最上位のAIモデル「Gemini 4 Carbon」を発表した。2週間前のGemini 4 Argonの後継で、脆弱性の発見・悪用・修正を測る試験で首位に立ったという。何日もかけて大きなコードの深い不具合を追い、原因を突き止めて直す長丁場の作業に強いとしている。まずは一部のサイバー防御組織にだけ配り、開発者や一般向けは安全策を詰めてから広げる。
「ダウンロードフォルダでAIを使わないで」――セキュリティ企業が注意喚起 エージェントが攻撃者の指示に従いマルウェアインストールの恐れ
ITmedia AI＋によると、ダウンロードフォルダに置いた指示書でAIエージェントを操る攻撃が確認された。手口は、Webサイトが勝手に保存したファイルに偽の「AGENTS.md」（AIへの作業指示を書くファイル）を混ぜるものだ。そのフォルダでCodexやClaude Codeを起動すると、指示に従ってマルウェアを入れたり認証情報を送ったりしうる。Claude Codeも9月からAGENTS.mdを読むため、エージェントは専用の作業フォルダで起動したい。
The Agent SDK
Cursorが、自社のレビュー用AIなどを作ってきた開発キット「Agent SDK」を一般公開した。公式ブログによると、指示はMarkdown、道具はTypeScriptで書き、普通のコードと同じくGitで管理できる。変更の取り込み依頼（プルリクエスト）が届いたときなど、チームの出来事に反応して動く。期待どおり動くかを確かめる評価テストも最初から組み込め、コマンド1つでCursorの基盤に載せられる。
OpenAIとAnthropicが2026年夏から秋にかけてLLM料金を相次いで値下げした理由とは？
GIGAZINEが、OpenAIとAnthropicがこの夏から秋にAIの利用料を相次いで下げた背景を紹介した。元になったデータサイエンティストの分析では、理由の1つはモデルの乗り換えが簡単になったことだ。実際、複数のAIを仲介するVercelのサービスでは、9月に48％のチームが主力モデルを替えたという。もう1つは、重みが公開されたモデルを多くの業者が格安で出し、価格競争が起きている点だ。
PFNの国産フラッグシップモデル「PLaMo 3.1 Prime」発表 オンプレでDeep Research対応 API無料プランも開始
ITmedia AI＋によると、PFNが国内でゼロから作るAI「PLaMo」の最上位版「3.1 Prime」を公開した。調べものを自動でこなし出典付きの報告にまとめる機能を、社内のサーバーだけでも動かせる。知らないことは知らないと答えるよう鍛え、作り話の多さを測る試験の点が平均約15％上がったという。安全性の評価は競合を上回った一方、数学やコーディングなどの性能は及ばなかった。
Infra
Code-execution flaw in UEFI firmware affects most servers on planet Earth
Ars Technicaによると、世界のサーバーの大半が使う起動用ソフトに、深刻度9.5の欠陥が見つかった。原因はUEFI（電源投入時にOSより先に動く基本ソフト）の共通部品で、16年前から潜んでいた。ネットワーク起動の最中に細工した通信を送ると、セキュアブートなどの守りより先にコードを動かせる。公表は来年1月の予定だったが修正コードが先に出回り、膨大な機器への更新が間に合うかが課題だ。
自動更新が届かないWindowsは置き去りに、eMudhra証明書を除外する定例外パッチ
PC Watchによると、Microsoftが鍵の漏れたeMudhraの証明書を外す臨時の更新を配り始めた。Windowsは信頼する証明書の一覧をふだんネット経由で自動更新するが、それが届かない端末向けの措置だ。自動更新を止めている社内端末などは、この更新を当てない限り危ない証明書を信じ続ける。Edgeの信頼リストからも同じ証明書を外しており、事件の経緯はpiyologのまとめが詳しい。
GitHub saw 7.4B commits in September, adding 4M CPU cores and 160 PB of storage to keep up
The New Stackによると、GitHubへのコミット（変更の記録）が月74億件に達した。8月の29億件から2倍以上で、主にAIエージェントによる利用が押し上げている。今年に入りCPU400万コアと160ペタバイトの高速ストレージを足し、計算と保存を分ける設計への刷新も進める。8月には容量不足による大規模障害を起こしており、増強が需要に追いつくかが焦点だ。
This is not sustainable
セキュリティ対応の現場に立つ著者が、ブログで「今の状況は続けられない」と訴えた。この1週間だけで、仮想マシンの壁を破る欠陥や圧縮ライブラリの欠陥など、重大な問題が同時に押し寄せたという。修正版はすぐ出るが、自社のどこに該当する部品があるかを洗い出し、直して回る作業が追いつかない。AIが書いた長すぎる報告書が理解を妨げ、同じ少数の担当者が燃え尽きていく現状を描いている。
第932回 1.0を迎えたオブジェクトストレージサーバー、RustFSを使用する
gihyo.jpのUbuntu連載が、S3互換の保存サーバー「RustFS」を自宅のNASに入れる手順を紹介した。定番だったMinIOが有償版のみになり、代わりを探す流れの中で取り上げている。導入はスクリプト1本で済むが、初期のアクセスキーは必ず変えるよう注意を促す。1.0の一般提供から間もなく、個人で試すならMinIO並みの手軽さが利点だという。
Backend
PHP財団の常勤職員「たった1人」の衝撃—ウェブの安全を支える人手と資金が足りない
CNET Japanがロイターの取材を引いて、PHPを支えるPHP Foundationの常勤職員が1人しかいないと伝えた。AIが見つけたPHPの重大脆弱性「PHP2Shell」で、世界のサイトが更新に追われたさなかの話だ。AIによる発見が増えて修正の依頼は以前の2倍になったが、手伝う人は増えていない。世界のWebサイトの最大7割を支える言語が、細い体制の上に乗っている現実を示している。
MIXIが「1秒以内の画像検索」を維持しながら「DB管理費→75％削減」、どう実現？
＠ITによると、MIXIが「家族アルバム みてね」の写真検索の基盤を作り替え、費用を約75％減らした。「笑顔」などの言葉で写真を探す機能で、画像と文章を同じ形の数値の列に変えて近さを比べている。移った先はAmazon S3 Vectorsで、検索用サーバーを常に動かさず、使った分だけ払う方式だ。家族ごとにデータを分けて探す範囲を絞り、数十億件の規模でも1秒以内の応答を保った。
Billion-query-per-second lookup tables in C++
HTTPのメソッド名のように、中身が最初から決まった文字列を引く処理を大きく速める手法を、著者がブログで公開した。仕組みは完全ハッシュ（衝突が起きないよう作った振り分け計算）で、1回の計算と1回の比較で答えが出る。この計算をC++の機能だけでコンパイル時に組み立てるため、外部ツールなしでヘッダー1つで使える。標準のハッシュ表より7〜13倍速く、Apple M4では毎秒10億回を超える検索に達したという。
KMS が ML-KEM 鍵をサポートしたので試してみた
DevelopersIOが、AWSの鍵管理サービスKMSが新たに対応した耐量子暗号ML-KEMを実際に試した。ML-KEMは、離れた2者が盗み聞きされずに同じ鍵を共有するための方式の1つだ。今主流の楕円曲線の方式は、将来の量子計算機で解かれ、今日記録された通信が後から読まれる恐れがある。記事は従来方式と同じ流れのまま、鍵を共有する部分だけを差し替えられることを確かめている。
public previewのPostgreSQL互換TiDB Cloud Starterを触ってみた
DevelopersIOが、これまでMySQL互換だった分散データベースTiDBの、PostgreSQL互換版を試した。作成時に互換モードを選ぶだけで、psqlなどPostgreSQLの普段の道具からそのまま接続できる。お試し期間中は無料だが、使える地域は米国東部だけで、本番での利用は正式版を待つよう案内されている。画面のSQL実行やデータ取り込みの機能はまだ無く、MySQL版より機能が絞られているという。
Frontend
Forging a Microsoft Edge Full Chain with Logic Bugs Only
著者がブログで、ハッキング大会Pwn2OwnでMicrosoft Edgeを破った攻撃の中身を明かした。メモリ破壊を一切使わず、論理の欠陥とWindowsの機能を組み合わせて、ブラウザの隔離（サンドボックス）の外へ抜けている。入り口は、ページ移動を検査するChromiumの仕組みという、過去にほとんど欠陥報告のない場所だった。8月にはPwn2OwnのEdge攻撃をAIが修正から再現した例も報じられたが、こちらはAIを使わない手作りの連鎖だ。
Scalable Vector Grief
PortSwiggerの研究者が、SVG画像から危険な部分を除く無害化ライブラリ8種を調べ、6種を突破した。SVGは画像なのにスクリプトやHTMLを含められるため、投稿を受け付けるサイトは事前に無害化している。タグの種類を決める宣言を1つ書き換えるだけで、中身をHTMLとして描かせるなど、抜け道は多彩だった。FirefoxやSafariで画像からスクリプトを動かす手口も示しており、SVG投稿を許すサービスは点検したい。
「Firefox 159」正式版リリース、保存済みパスワードへのアクセスが簡単に
GIGAZINEによると、「Firefox 159」の正式版が公開された。保存したパスワードの管理画面が最初からサイドバーに並び、開いているタブを探すショートカットも加わった。AIによるページ要約は、本文の代わりにURLをAIの提供元へ送る方式になり、長い記事でも途中で切れにくくなった。商品ページを見張って値下げを知らせるAI機能も入ったが、日本ではまだ使えない。
Chrome’s AI-powered Autofill can now dig through your Gmail to fill out forms
TechCrunchによると、Chromeの自動入力がGmailの中身を参照して、フォームに候補を出せるようになる。予約番号や会員ID、荷物の追跡番号など、メールにある情報をAIが拾ってくる仕組みだ。機能は利用者が設定で有効にする方式で、機密データは暗号化するとGoogleは説明している。まずは米国のパソコン版と、iOS・Android版のGemini in Chromeから提供する。
Flutter やめました。電話アプリを Native にした理由
IVRyがテックブログで、電話アプリをFlutterから、iOSとAndroidそれぞれ専用の作り方に移した理由を明かした。中核の通話処理はもともとSwiftとKotlinで書かれ、Flutterは画面を包むだけの役になっていた。両者の間には約50件の呼び出しがあり、着信のたびに層をまたぐため、不具合の切り分けが難しかったという。試作ではAndroidの起動時間が約4分の1に縮み、AIの普及で2つのOS別に書く負担も下がったとしている。
Others
日本航空など、不正アクセスで９万２０００人分の個人情報流出…２０００人分は電話番号やパスポート番号も
読売新聞によると、日本航空と日本トランスオーシャン航空で、約9万2000人分の個人情報が漏れた。旅客サービスのシステムを委託しているアマデウス社が、不正アクセスを受けたのが原因だ。漏れたのは氏名や搭乗日などで、うち約2000人分はパスポート番号や電話番号も含む。クレジットカード番号の流出はないとしているが、自社ではなく委託先が狙われた形だ。
有機EL＆タッチ対応の新型「MacBook Pro」発表 デザインを全面刷新、“光るAppleロゴ”も復活
ITmedia PC USERによると、Appleが初めて画面に触れて操作できる「MacBook Pro」を発表した。事前に予想されていたとおり画面は有機ELで、iPhoneでおなじみの画面上部の通知表示も載る。タッチ操作はmacOSがクリックに変換するため、多くの既存アプリはそのまま指で使える。日本では11月6日発売で、価格は14インチのM5 Pro搭載機で49万9800円からだ。
Amazonが新AIアシスタント「Alexa+」の日本語版をリリース 「Amazon プライム」会員なら追加料金なしで利用可能
ITmedia PC USERによると、Amazonが新しいAIアシスタント「Alexa+」の日本語版を始めた。会話がより自然になり、登録した予定やアップロードした書類の中身を踏まえて答えられる。まずは無料の先行版で、その後は月額3000円だが、プライム会員は追加料金なしで使える。米国の英語版から約1年半遅れで、日本語への対応と品質の作り込みに時間をかけたという。
「AIで攻撃コード生成はたったの数時間に」 Fortinetが5製品を緊急更新＆警鐘
＠ITによると、FortinetがFortiOSなど5製品の深刻な欠陥を直す更新を急ぎ公開した。欠陥の一部は、同社が最先端のAIで自社製品を検査して見つけたものだという。同社は、AIを使えば修正内容から攻撃コードを作るまでが数時間に縮みうると警告する。詳細の公表は11月10日の予定で、ネットに面した機器から先に更新するよう求めている。
AIによって脆弱性発見が爆増したことが一目で分かるグラフ「CVE Tracker」
GIGAZINEが、脆弱性に振られる番号（CVE）の登録件数の推移を示すWebアプリ「CVE Tracker」を紹介した。グラフを見ると、2026年に入ってから件数が急に伸びているのがひと目で分かる。主要なAIモデルの公開時期を重ねて表示でき、件数の伸びと見比べられる。8月のMythos発表後のCVE急増の報道とも重なる流れで、守る側の負担は増え続けている。
Products
licenseal
使っている部品（依存パッケージ）のライセンスが、自分の製品のライセンスと食い違っていないかを調べる道具。Product Huntの紹介によると、部品をインストールせず、設定ファイルと公開情報だけで間接的な依存まで判定する。PythonやJavaScript、Rust、Goなど10の言語環境に対応し、CIに組み込めば違反を出荷前に止められる。無料のオープンソースで、リリース直前に法務で揉めがちなチームに向く。
WebAI by Opera
Webサイトや拡張機能が、利用者のパソコン上で動くAIを呼び出せるようにするOperaの新機能。Product Huntの紹介では、ブラウザにAIの実行エンジンを組み込み、文章生成など3種類のAPIを用意する。ページの中身をクラウドへ送らずに済むので、プライバシーを気にする機能を作りたい開発者に向く。今はOpera Oneの早期プレビューで、自分で有効にして試す段階だ。
Dedica
自分のWebサイトを、AIエージェントがちゃんと使えるかを診断するサービス。Product Huntの紹介によると、見つけてもらう・開ける・操作できる・支払えるの観点で125項目を確かめ、点数を出す。エージェントはJavaScript頼みのページや人間確認で黙って諦めるため、サイト側は失敗に気づけないという。直し方をClaude CodeやCursor向けの指示として渡すのが、点数だけの診断との違いだ。
OpenLLM
ClaudeやCodexなど複数のAIの契約とAPIキーを、1本のキーにまとめて使えるようにするサービス。Product Huntの紹介では、OpenAIやAnthropic形式のキーを使うアプリなら、差し替えるだけで使える。あるAIの利用上限に達したら次のAIへ自動で切り替え、使った量も横断で見られる。いくつもAIを契約しているのに、上限のたびに手で乗り換えている開発者向けだ。
管理人のピックアップ
Zero Trust for AI agents
Anthropicが、企業でAIエージェントを安全に動かすための手引きを公開した。最先端のAIで、欠陥の発見から攻撃までの時間が月単位から時間単位に縮んだという認識が出発点だ。正規の権限の範囲でも誤った使い方はできるため、従来の権限管理だけでは防げないと指摘する。暗号で裏付けた身元、作業ごとに絞った権限、記憶の汚染対策など、ゼロトラストを形を変えて当てはめる。
コードを読まずにマージするために必要なこと
AIが書いたコードを人が読まずに取り込む「no look merge」に何が要るかを、著者がZennで考察した。テストやAIレビューで品質を確かめる仕組みは前提で、それだけでは人の承認待ちは消えないという。見逃しが起きたときに担当者の責任を問うなら、結局は人に読めと言っているのと同じだからだ。決めた手順で起きた見逃しは組織が引き受ける、という合意が鍵だと結論づけている。
書き手が人でもAIでも正しくなる道、 SREを埋め込んだDeveloper Platform / tech drivers day8
インフラの設定変更の大半がAIとの共同作業になった会社で、品質をどう保つかを語った発表資料。AIとの共著は15％から92％に増え、放っておけば人もAIもばらばらの判断をしてしまう。そこで共通の型を用意し、各チームは自分のサービスの値だけを書けるよう権限と選択肢を絞った。人のレビューではなく自動の関門で外れた変更を止め、書き手を問わず当たり前を守らせている。
先週の PHP 祭りから見えた、業務システムの「止まり方」の共通点と違い — 予防的な停止・障害・計画メンテを、日本・海外・AI の告知 751 件で比べた
PHPの欠陥を受けて国内の業務システムが相次いで止まった件を、提供元の告知751件と比べたQiitaの分析だ。自分から止める予防的な停止は、計画メンテと同じく夜に始まることが多いが、長さの中央値は約3倍あった。そのため、平日の業務時間にかかった例が6割を超えた。止まり方ごとに業務側で何を備えるかも、図にまとめている。
AI 時代のデータ戦略
AI時代のデータ基盤の成熟度を、0から3の4段階に分けて整理した発表資料。最上段では、AIエージェントが仕事の大部分を担い、自分で新しい使い道を見つけていく姿を描く。そのために、利用者の行動・データ・指標・分析結果をひとつながりに管理する仕組みを提案している。AIが力を発揮できるよう、データの意味や品質をはっきり定義しておくことが前提だと説く。
What I believe about the future of software development
著者がブログで、ソフトウェア開発の未来について今信じていることを列挙した。コードレビューは実質すでに終わり、人は1行ずつではなく仕組みの組み立てだけを見るようになると言う。コードを書く技は消えるが、ソフトで事業の課題を解く力はかつてなく重要になるとする。多くの不具合は書き間違いではなく、頼んだ中身が間違っている不具合になるとの予言が印象的だ。
Value Object は不変にする | システム設計日記
ドメイン駆動設計の「値オブジェクト」を、なぜ書き換え不可にすべきかを実体験から語った2009年の記事。Javaで「今日」の変数に2週間足すと、名前は「今」のまま中身だけ未来の日付に変わってしまう。こうした食い違いが読みにくさとバグの温床だと気づき、計算のたびに新しい値を返す日付クラスを作った。小さく不変なオブジェクトにすると、コードが読みやすく安全になるという原点が分かる。
その不採用理由、ただの“後付け”では？ 面接官の「情緒的な未熟さ」が招く採用リスク
ITmedia ビジネスオンラインのコラムが、面接官の「もっともらしい不採用理由」を疑うべきだと説いた。印象や感覚で決めた判断を、あとから「協調性がない」などの評価に言い換えている恐れがあるという。評価基準を後から変えてしまう傾向は研究でも示され、客観的だと自信がある人ほど偏りが大きかった。不採用にした人の実力は確かめようがないからこそ、面接官自身を見直す必要があると訴える。
自宅サーバの便利な使い方4選
余ったPCで作った自宅サーバの使い道を、著者がnoteで4つ紹介した。外から家の中につなぐVPN、広告を止めるDNS、ChatGPT風の画面のOSS、家電を操るHome Assistantだ。どれもコンテナで手軽に起動でき、VPNと組み合わせると外からも安全に使える。自宅サーバを作ったものの、使い道に困っている人のヒントになる。