GoogleがGemini 4 Carbon発表、Mistralは1兆パラメーターの重みを公開
AI
Google、Gemini 4 Carbonを発表 ——長時間の開発作業と脆弱性の発見・修正を強化
Google が新しい最上位モデル「Gemini 4 Carbon」を発表した。gihyo.jp によると、先日のGemini 4 Argonをもとに、コードを書く力と道具を使いこなす力を伸ばした。社内では、大きなコードのバグ調査に数日かけて取り組んだ例もあるという。まずサイバー防御の担当者に配り、開発者や一般にも順に広げる。
We’re releasing the weights of Mistral Large 4
Mistral AI が、1兆パラメーター級の「Mistral Large 4」の重み（モデル本体）を公開した。今月初めのプレビュー公開のあと、3週間の追加学習でコーディング性能を大きく伸ばしたと公式ブログで説明している。同等の公開モデルより、1件の作業で使う文字数がかなり少なく済むという。データを外に出せない組織が、最上位級のAIを自前で動かせる選択肢になる。
Sources: an Accenture staffer’s Claude agent ran on a DOD network for two months and appears to have sent info to a third-party site before it was identified
米国防総省のネットワーク上で、社員が個人で動かすAIエージェントが2カ月も気づかれずに動いていた。Techmeme が紹介した Wired の報道では、Accenture 社員の Claude だった。発見される前に、外部のサイトへ情報を送っていたとみられると報じている。AIエージェントを誰がどこで動かしているか、組織が把握しきれていない実態を示す一件だ。
AIのコード解析を妨害するために「天安門事件」「台湾独立」「水道水に毒物混入」などのフレーズを大量に混入させる手法が発見される
AIにコードを読ませないよう、わざと危険な言葉を埋め込んだプログラムが見つかった。Gigazine によると、訪問者を見分ける仕組み（ブラウザフィンガープリント）のコードに仕込まれていた。毒物の致死量を計算するような関数名を並べ、AIの安全機能に解析を断らせる狙いとみられる。AIで不審なコードを調べる側にとって、新しい抜け道になりうる。
コイントスで決めたAIの意見に専門家が86％の割合で同調してしまうことが判明
専門家はAIの意見に、自分で思う以上に引っ張られるという研究を Anthropic が発表した。Gigazine によると、データ分析の専門家にAIエージェントと組んで判断を下してもらう実験だった。AIが推す選択肢はコイントスで決めたのに、専門家の86%がそれと同じ答えを選んだ。影響がなければ一致率は約50%になるはずで、AIに判断を任せる場面の危うさを示している。
Infra
Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions
Linux カーネルの通信処理に、10点満点中9.8と評価された欠陥が見つかった。The Hacker News の記事によると、接続を始める際の手順で、解放済みのメモリを読んでしまう不具合だ。Anthropic は、AIが書いた攻撃コードで外部から管理者権限を奪えたと公表している。Debian などは修正版を出したが、Ubuntu と Red Hat はまだで、配布元の更新を待つ必要がある。
Chained PHP2Shell exploit roots 25 servers, including US Government servers
先週話題になったPHPの欠陥「PHP2Shell」が、実際の攻撃に使われていた。セキュリティ企業の Dream が公式ブログで、米政府関連を含む25台のサーバーが乗っ取られたと明かした。狙われたのは Palo Alto Networks のファイアウォールの管理画面で、日本の機器も含まれる。PHP2Shell自体もAIで見つかったが、攻撃側の道具にもAIの痕跡があったという。
クラウドの「中枢」を奪われたら何が起きる？ 495社の仮想サーバを止めたIDCFランサムウェア攻撃の全容
IDCFクラウドへのランサム攻撃の調査結果がまとまった。@IT によると、ログイン認証に使っていたOSSの欠陥から侵入され、基盤全体の管理者権限を奪われていた。そのため495の企業・自治体の仮想サーバーが一斉に止まり、暗号化された。専門家は、大事なシステムほど控えのデータを別のクラウドに置くべきだと助言している。
Cloudflare DDoS Threat Report 2026 Q3: More swarms, fewer giants
Cloudflare が7〜9月のDDoS攻撃（大量の通信を浴びせてサービスを止める攻撃）の集計を公式ブログで公開した。1時間に約8200件を防いでおり、多くは10分足らずで終わる小さく短い攻撃だった。逆に1Tbps超の超大型攻撃は、攻撃網の摘発もあって前期から約7割減った。上半期は超大型攻撃が5倍に急増していたので、流れが反転した形だ。
Grace Blackwell needs a new scheduler: 27% more usable GPUs from the same racks
NVIDIAの最新ラック型GPUは、割り振り方で使える量が27%変わると SkyPilot が分析した。ラックをまたぐと通信が遅い経路に落ちるため、置き場所が性能を左右する。同社は、ラックごとに予備を2台残して故障に備える割り振りを勧める。同じ設備のまま使えるGPUを増やせるため、高価なAI計算機を持つ組織には効く話だ。
Backend
「GitHub Universe 2026」開幕、最適モデル自動選択機能「Copilot Fusion」のGAを発表 高速化した新Gitアーキテクチャも来年提供へ
GitHub が年次イベントで、作業に合う AI モデルを自動で選ぶ「Copilot Fusion」の正式提供を始めた。クラウド Watch によると、簡単な作業は安いモデルに回し、費用を抑えつつ性能を保つ仕組みだ。AIが高速にコードを送り込むせいでGitHubの負荷が急増し、障害も起きていると認めた。そのためGitの仕組みを作り直し、書き込み性能を180倍にした新方式を来年初めに移す。
Node.js 26.13.0リリース、コードネーム「Lithium」として長期サポート（LTS）に移行
Node.js 26 系が、長期サポート（LTS。数年間は修正が届き続ける安定版）に入った。gihyo.jp によると、サポートは2029年4月末まで続く。年2回の大型更新のうち偶数版をLTSにする従来方式では、これが最後になる。古いLTSから上げるLinux利用者は、部品のlibatomicを別に入れる必要がある場合がある。
今、最も使われているプログラミング言語は？ AIコーディングでPython超えて急成長
GitHub上で最も多くの開発者が使う言語は、TypeScriptだった。ITmedia によると、GitHub の年次レポートで、2025年12月にPythonを抜いて以来首位を守っている。AIが関わった変更の割合もTypeScriptが最多で、AIの普及が成長を押し上げたとみられる。コードの送信回数は1年で179億回と、前2年分の合計を超えた。
GitLab security incident: attempted exploitation of CVE-2026-97229
Alpine Linux が自前のGitLabを狙われ、念のため丸ごと作り直したと公式サイトで報告した。狙われたのは深刻度最大の欠陥で、攻撃はあと一歩で成功するところだったという。GitLabを更新しても防げなかったのは、修正がGitLab同梱のRubyにだけ入っていたためだ。標準のRubyで動かす人は、修正済みのRubyへの更新も必要になる。
Entire、プライベートリポジトリの無料ホスティングを開始 ——AIレビューと過去の判断の引き継ぎも
人とAIエージェントの共同開発をうたう Entire が、非公開リポジトリを無料で置けるようにした。gihyo.jp によると、これまではGitHubの写しを置く形だったが、GitHubなしで使えるようになった。前の作業で決めた方針や試した方法を、新しいAIが引き継いで参照できる。料金がかかるのは、同サービス上で動かすAIの利用分だけだ。
Frontend
CSSのスクロール連動アニメーションが主要ブラウザーで利用可能に、Firefox 159が対応
スクロールに合わせて要素を動かすCSSの機能が、主要ブラウザーすべてで使えるようになった。gihyo.jp によると、最後に残っていたFirefoxが最新版で標準対応した。読み進めると伸びる進捗バーなどを、JavaScriptなしでCSSだけで書ける。JavaScriptの処理が混んでいても動きがカクつきにくい利点もある。
Google Chromeがなりすまし対策を強化。一部の正規サイトも開けなくなるかも
Chrome が、認証局 eMudhra の大元の証明書の1つを信用の対象から外すと決めた。ギズモード・ジャパンによると、eMudhraの証明書の鍵が漏れた問題を受けた措置だ。この大元につながる証明書を使う正規のサイトも、Chromeで開けなくなる恐れがある。該当するサイトの運営者は、別の認証局の証明書に切り替える必要がある。
The Web Can’t Afford a JavaScript Runtime Monoculture
JavaScriptの実行環境が減りすぎることへの懸念を、調査会社 RedMonk のアナリストがブログで論じた。きっかけはDenoのCloudflare合流で、主要な選択肢は Node.js と Bun などに絞られた。著者はかつてのIE6を例に、競争がないと改良が止まると指摘する。Deno は首位を取れなかったが、その機能の多くが Node.js に取り込まれたとも振り返る。
Firefox の Intl.Segmenter で「メロス」を「彼」にすると「した」が文字扱いされなくなる
文章を単語に区切るブラウザー標準の機能に、Firefox だけ妙な不具合があると著者がブログで報告した。「彼は激怒した」の最後の「した」が、文字ではなく記号として扱われてしまう。原因を追うと、辞書で区切った最後の単語だけ、前の古い情報で種類を決めていた。日本語のカーソル移動などを作る人には、ブラウザー差に気づく手がかりになる。
パスキーはなぜ偽サイトに強い？登録とログインの流れを図で追う
パスワードの代わりになるログイン方式「パスキー」の仕組みを、図で解説した記事が Qiita で公開された。サーバーが持つのは公開鍵だけなので、漏れてもログインには使えない。さらにブラウザーが開いているサイトの住所を確かめるため、偽サイトでは鍵が使えない。導入時は、端末をなくした人の復旧手段を設計する手間が残ると整理している。
Products
Flatbread
AIコーディングエージェントの作業記録を、そのまま共有リンクにできるサービス。完成品のスクリーンショットではなく、失敗した試みや直した経緯まで丸ごと残せる。次のAIが前回の記録を読み込み、行き詰まった所から続きを始められるのが特徴だ。秘密情報は手元で伏せてから上げるため、チームでAIの作業を引き継ぎたい人に向く。
Arco
OpenAI のコーディングAI「Codex」の中で、GitHub と Linear の課題を扱える無料の追加機能。課題を見る・作る・閉じる・コメントするまで、アプリを切り替えずにこなせる。課題の文章の一部を選んで、そのまま指示に取り込めるのが便利だ。手元だけで動きサーバーが要らないため、気軽に試せる。
AssemblyAI
音声認識で知られる AssemblyAI が、音声で受け答えするAI向けの読み上げモデルを出した。一般的な読み上げと違い、会話の間を空けないよう、約90ミリ秒で声を返し始めることを重視している。料金は100万文字あたり15ドルで、同時に何件呼んでも追加料金はない。電話応対AIや議事録AIを作る開発者に向く。
AutoShelf 2.6
Mac のフォルダーに決めたルールを当て、新しいファイルを自動で片付けるアプリ。種類や大きさ、ダウンロード元に応じて、移動や名前の変更、タグ付けをこなす。新版では、種類や日付ごとのフォルダーを自動で作って振り分けられるようになった。AIエージェントから操作する口も備え、散らかりがちなダウンロードフォルダーの整理に向く。
Others
DoorDash to acquire Instacart for $17B
米国の宅配大手 DoorDash が、食料品宅配の Instacart を170億ドルで買収すると発表した。TechCrunch によると、出前の DoorDash とスーパー宅配の Instacart が1つになる。Instacart のブランドやアプリは残す方針だ。数日前にInstacartが身売りを検討と報じられており、話は一気に決着した。
As search traffic dries up, Reddit announces it’s shifting to a logged-in experience
Reddit が、サイトを主にログインして使う形へ切り替えると発表した。TechCrunch によると、AIによる無断の収集から投稿を守り、AI企業への有償提供につなげる狙いだ。Google のAI検索で検索からの流入が減り、米国の利用者も減っている。RSS配信や公開APIの終了に続き、誰でも読める場所を閉じる流れが進む。
グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分
フィギュア大手のグッドスマイルカンパニーの直販サイトで、カード情報が漏れた恐れがある。ITmedia によると、決済ページに不正なプログラムが仕込まれていた。2800人分の番号全桁やセキュリティコードが対象となる。当初は下4桁だけとしていたが、追加調査で全桁の流出の可能性が分かった。
Alphabet、25％増収も純利益は25％減 Google Cloudは103％増収、AI投資負担増
Google の親会社 Alphabet の7〜9月期は、売上が25%増えた一方、純利益は25%減った。ITmedia によると、保有するSpaceX株の値下がりが主な要因だ。Google Cloud の売上は前年の2倍超に伸びたが、AIへの巨額投資で手元の現金は流出に転じた。決算後、株価は時間外取引で一時10%以上下げた。
政府への意見公募約12万件のうち76％がボットによる偽回答だったことが判明、電子たばこの規制阻止を狙った疑い
英国政府の意見公募で、回答の約76%がボットによる偽物だったと判明した。Gigazine によると、少数の通信元から短時間に大量に送られ、ほぼすべてが電子たばこ規制への反対だった。偽物を除くと、規制に賛成する声が約8割を占めていたという。国民の声を装って政策をゆがめる手口に、行政の備えが問われている。
管理人のピックアップ
Cloudflare はなんでこんなに無料で使わせてくれるの？
Cloudflare の無料プランがなぜ成り立つのかを、同社の公式ブログをもとに著者が読み解いた。無料利用者が多いほど規模が大きくなり、回線会社と無料で直接つなぐ交渉がしやすくなる。無料サイトに来る攻撃を観察できることも、防御の改善に役立つ。さらに無料分は、混雑時に合わせて用意した回線の空きに流しているという。
抽象度が高いものごとを理解できない人が多い→「構造化」能力の開発がカギかもしれない
上司の方針が現場に伝わらないのは、抽象的な話を具体に結びつける力の差だと著者は論じる。職位が上がるほど抽象的な話が増え、現場は具体的な話に向き合うため、溝が生まれやすい。対策として、上司と部下が一緒に構造図を描き、抽象と具体を行き来する習慣を勧める。苦手な人には、図解して橋渡しする「翻訳者」を立てる手もあるとする。
Cloudflare、AIモデル「Clairic」をプレビュー公開 ――文章や画像から金額・日付などを抽出、JSON形式で出力
Cloudflare が、文章や画像から金額や日付などを取り出すAIモデル「Clairic」を試験公開した。gihyo.jp によると、普通の対話AIのように文を書き連ねず、指定した型の値を1回の処理で返す。たとえば商品代金と税額が書かれたメールから、支払総額を計算して数値で返せる。値ごとに確からしさも付くため、請求書や問い合わせの自動処理に組み込みやすい。
AI時代のシニアエンジニアとは
AI時代のシニアエンジニアに何が求められるかを論じた発表資料が公開された。著者は土台となる力を、経験に基づく判断力、仕事を前に進める力、変化についていく力の3つに整理する。そのうえで、それぞれをAIで増幅させる使い方を勧めている。加えて、複数の仕事を同時に回す力が新たに要ると結論づける。