Anthropic、目論見書で「AIがAIを加速させる段階」が目前と警告
AI
Anthropic warns that it’s very close to RSI capability, aka self-building AI
Anthropic が上場用の書類を修正し、AIがAIの開発を急加速させる段階に近いと書き加えた。TechCrunch によると、社内の見積もりでは、安全方針の定める「劇的な加速」の基準にまもなく達しうるという。過去にも能力の飛躍に後から気づいた例があったと認めている。現行モデルは基準を超えていないとし、開発には人の監督を残す方針だ。上半期の売上と損失を明かした目論見書の続報で、上場を前にリスクの書き方そのものが注目されている。
Sparks of Weight-Space Programming: LLMs can natively read & write neural network weights
AIが別のAIの中身の数値（重み）を直接読み書きして、性能を上げられるという研究を MIT のチームが公開した。GPT-6 Astra は重みを眺めるだけで、その小さなネットワークが何のゲーム用に学習されたかを言い当てた。小型モデル Qwen3.5-0.8B では、考えが堂々巡りする原因を重みの中から見つけて直したという。触ったのは全体の0.016%で、数学の正答率は7.9%から48.1%に上がった。学習をやり直さずにモデルを直す道が開ければ、AIの改良や中身の解明の手法が変わりうる。
OpenAI、ChatGPTとCodexの利用枠を共有へ ―2026年12月から、Instantモードは対象外
OpenAI が12月から、ChatGPT とコーディング用AIの Codex の利用枠を1つにまとめる。gihyo.jp によると、対象は Plus・Pro・Business の各プランだ。調べ物などを任せる Work 機能を ChatGPT に統合するのに合わせた変更だ。日常会話の Instant モードは枠を消費しない。あわせて、1枚のカードや1台の端末に結びつく有料契約の数にも上限を設ける。家族で端末を共有していると制限にかかる場合があり、複数契約で枠を増やしてきた人は注意が要る。
Agentic Backdoors via Pretraining Poisoning
AIの学習データに毒を混ぜるだけで、AIエージェントに裏口を仕込めると示す論文が公開された。著者らは、ネット上の文章に細工を紛れ込ませる攻撃を想定し、モデルを一から学習させて確かめた。学習データの0.1%を汚すと、合図の言葉が来たときだけ攻撃者のコマンドを実行するようになった。普段は正常に動くため、見た目では気づけない。モデルが大きいほど成功率は上がり、4B（40億パラメータ）のモデルでは約92%に達した。
日本語特化で高速かつ高精度な文字起こしAI「Haas-ja-v1.0」が登場、オープンモデルの中で最高性能を記録
Third Intelligence が、日本語の文字起こしに特化したAI「Haas-ja-v1.0」を無償公開した。Gigazine によると、公開モデルの中で最も精度が高く、商用の Gemini 3.5 transcribe も上回った。約6億パラメータと軽く、4分強の音声を0.32秒で書き起こした。固有名詞の取り違えは残るため、人の手直しは要る。Apache License 2.0 で配られており、議事録づくりなどに自社環境で組み込みやすい。
Infra
Ubuntu LTS kernels still unfixed for critical CVE-2026-98432
10点満点中9.8と評価された Linux カーネルの欠陥に対し、Ubuntu が修正版をまだ出していない。freenode によると、LTS（長期サポート版）の3世代すべてが未対応で、提供時期も示されていない。通信処理の重大な欠陥の時点でも、Ubuntu は修正待ちとされていた。外部に公開したサーバーや、複数の利用者で共有する環境ほど危険が大きい。公式の更新が出るまでは、別のカーネルへの切り替えなどを自分で判断するしかない。
In one of the largest deals in tech history, Marvell buys Lumentum for $115B
半導体設計の Marvell が、光通信部品の Lumentum を負債込み1150億ドルで買収する。TechCrunch によると、全額を株式で払う形で、IT業界でも最大級の買収になる。Lumentum はレーザーなど、光で通信するための部品を作っている。Marvell はチップから光部品までをそろえ、AI向けの接続製品で首位に立つと説明している。両社とも NVIDIA から20億ドルずつ出資を受けており、完了は2028年前半の見込みだ。
How we halved DNS build delay and cut memory use by 85%
Cloudflare が、DNSの設定変更を世界中のサーバーへ反映するまでの時間を半分にしたと公式ブログで明かした。以前は設定を1つ変えるだけでも、そのドメインの全レコードを作り直していた。2000万件を超えるレコードを持つドメインもあり、作り直しがメモリを食っていた。そこで、安全だと証明できる最小の範囲だけを作り直す仕組みに変えた。メモリのピークは85%減り、浮いた余裕で待ち時間も縮められたという。
Oracle files to sell $20 billion in new stock, bonds to finance AI buildout
Oracle が、AI向けのデータセンター建設に充てるため、株と社債で計200億ドルを調達する。CNBC によると、先週の投資家向け説明会で予告していた内容どおりだが、発表当日に株価は8.8%下がった。同社の株価は過去1年で半分になり、借金の多さへの不安が広がっている。AIの設備投資が借金頼みで続けられるのか、市場が厳しく見始めた一例だ。
GitHub ActionsのSHAピン留めを設定で強制する。何が止まるか、lockfileならタグのまま通せるかを試す
部品をコミットの識別子で固定しないワークフローを止める設定を、DevelopersIO が試した。@v7 のようなタグやブランチの指定は、実行の準備段階で失敗した。自分のワークフローを固定していても、呼び出した部品の中にタグ指定があれば止まる点が落とし穴だ。一方、lockfile で依存を記録したワークフローは、タグのままでも通った。これから始めるなら lockfile を軸に、この設定を組み合わせるのがよさそうだという。
Backend
OSを更新しても防げない 「Brotli」に重大脆弱性、Node.jsに潜む“見えない侵入口”
圧縮形式 Brotli の欠陥「HTTP2Shell」で、OSを更新しても直らない場合があると @IT が注意を促した。Node.js などは Brotli を内部に抱えているため、OS側の部品を直しても古いコードが残る。Node.js 標準の fetch は圧縮された応答を自動で展開する。自分で Brotli を使っていなくても狙われうる。実際の攻撃も観測されており、修正版の Node.js へ上げてコンテナも作り直す必要がある。.NET にも及んでいたのと同じく、影響は使っている実行環境ごとに確かめるしかない。
ISUCON2026 で優勝しました（当日編）
Webサービスの高速化を競う ISUCON2026 で、1人チームの著者がAIエージェントに全部任せて優勝した。著者によると、開始後はエージェントに一度も指示を出さず、3か月かけて準備した仕組みだけで戦ったという。エージェントは拠点間の通信の遅さを見抜き、データベースをやめて各サーバーのメモリから返す設計に書き直した。問題に仕込まれた偽の指示にも従わなかった。拠点間の遅さに苦しんだ別の参加記と読み比べると、同じ壁への答え方の違いが見える。
第135回 MySQL 26.10リリース、PostgreSQL Conference Japanの注目セッション、Tsurugiと分散量子コンピュータ
MySQL 26.10 が出て、これまで有料版だけの機能が無償版にも入った。gihyo.jp の連載によると、指紋認証キーなどでログインできる仕組みや、サーバーの状態を見張る機能が加わった。MySQL 自身がWebの窓口を持ち、REST（URLでデータを読み書きする方式）で操作できるようにもなった。今後はセキュリティ修正のために、バージョン番号が最大4桁に増える。PostgreSQL 19 は11月19日の正式公開を予定しているという。
Stop Hardcoding Your Timeouts
開発ツールが待ち時間の上限を固定し、利用者が変えられないことに苦言を呈する記事。カイロに住む著者は、大きなリポジトリの取得やコンテナの構築が、ツールの決めた時間内に終わらず何度も失敗したという。作り手は速い回線を前提に上限を決めがちだが、世界の通信環境はそうではない。著者は時間切れそのものには反対していない。初期値を決めて文書に書き、フラグや環境変数で変えられるようにしてほしいと訴えている。
The fastest double-to-string algorithm you’ve never heard of
小数を文字列に変える処理で、最速級なのに無名のアルゴリズムを解説した記事が r/programming で話題になった。著者によると、それは JSON ライブラリ yyjson の1ファイルにだけ実装されていて、論文も名前もないという。元の数値に戻せる最短の表記を、整数演算と1回の掛け算だけで求める点が速さの理由だ。JSON の書き出しなど、数値を大量に文字にする処理の速さに直結する。
Frontend
CheerpJ 5.0: Java 21/25 in the browser, full OpenJDK, and a new WasmGC engine
Java のアプリをそのままブラウザで動かす CheerpJ が 5.0 になり、Java 21 と 25 に対応した。開発元の Leaning Technologies によると、ブラウザ内で Java をコンパイルする道具一式も同梱した。新たに WasmGC（ブラウザ側のメモリ管理を使う WebAssembly の拡張）で動く実行エンジンも試験的に入った。ソースコードのない古い業務アプリも、手を加えずにWebへ移せる。
New Release: Tor Browser 16.0
匿名で通信できる Tor Browser の 16.0 が出た。Tor Project によると、土台を最新の Firefox 延長サポート版に移し、1年分の変更を取り込んだ。その際、利用者のプライバシーを損ないうる270件超の変更点を洗い出して対処したという。設定画面も作り直し、身元の特定につながる設定は隠すか警告を付けた。ウィンドウの題名を一律にして、他のアプリから閲覧中のページを覗かれにくくする選択肢も加わった。
Apple、いきなりGoogleにケンカ売り始めた。公式サイトでChromeをボロクソに貶す
Apple が公式サイトの Safari 乗り換えページで、Chrome を名指しで批判している。ギズモード・ジャパンによると、比較表の9項目すべてで Safari に丸、Chrome にバツを付けている。Apple は、Mac での動画再生の電池持ちが最大5時間長いなどと主張する。ただし数値は Apple 自身が特定の機種で測った結果で、誰でも同じになるとは限らない。ブラウザの取り合いが、表立った比較広告の段階に入ったといえる。
Figma Motionで作ったUIアニメーションをCSSで再現してみた
Figma の新機能「Figma Motion」で作った動きを、CSS で再現した記事が Qiita に投稿された。保存ボタンを押すと、チェックマークが弾んで完了の文字がふわっと出る動きを題材にしている。Figma の開発者向け画面では、動きを CSS・React・JSON の形で書き出せる。拡大率や緩急を数値で受け渡せるので、デザイナーとエンジニアの認識合わせが楽になる。
Firebase Dynamic Links is gone. Here’s what you can still recover, and how to move.
終了した Firebase Dynamic Links からの移行談を、アプリ開発者が DEV Community に書いた。著者は乗り換え先となるリンクサービスも運営しており、その立場を自ら明かしている。この機能は、端末ごとの振り分け、インストール後に目的の画面を開くこと、クリック数の計測を担っていた。難しいのは2つ目で、Android には仕組みがあるが iOS にはない。自社ドメインのリンクは復旧できても、Google のドメインのリンクは戻らないという。
Products
Xmind 2027
マインドマップ（考えを枝分かれの図に整理する手法）のアプリ Xmind が、AIと一緒に考える 2027 版を出した。手元の資料や地図を起点に、AIと対話しながら調べ物や別の視点を足していける。MCP（AIが外部ツールを操作する共通の接続方式）に対応した。ChatGPT や Claude から地図を直接読み書きできる。AIに一から作らせるのでなく、自分の地図を育て続けたい人に向く。
Others
「ネットのセキュリティもGMO」の実態 イエラエの事前指摘はなぜ放置されたか
GMO が不正アクセス被害の記者会見を開き、2年前の欠陥の指摘を生かせなかった経緯を認めた。@IT によると、グループのセキュリティ企業の指摘は、開発の予定を優先して後回しにされ、経営トップにも届いていなかった。2年前の指摘を伝えた報道が会見で裏付けられた形だ。管理サーバーを乗っ取られてから気づくまで2か月以上かかっていた。顧客のパソコンのファイルまで抜かれたのは、リモート接続のドライブ共有が初期設定で有効だったためだという。
ノジマオンラインにて約700万人分の情報流出。氏名、住所、電話番号、ログインID・パスワードなど（GAME Watch） - Yahoo!ニュース
家電量販店ノジマの通販サイトが不正アクセスを受け、約700万人分の個人情報が漏れた。GAME Watch によると、氏名や住所、電話番号のほか、ログインIDと暗号化されたパスワードも含まれる。クレジットカード情報は、もともとサイトで保持していないという。対象の2サイトは休止中で、再開時期は未定だ。同じパスワードを他のサービスで使っている人は、変えておくのが安全だ。
New York Times and other outlets sue web browser Brave over alleged content scraping
New York Times などの報道機関が、ブラウザの Brave を著作権侵害で訴えた。TechCrunch によると、Brave が記事を無断で集め、Anthropic などのAI企業に売ったとの主張だ。訴状は、Brave が300億ページ超の索引を、媒体側が拒めない方法で作ったとしている。有料記事の壁を回避する機能や、広告を消して自社広告を売る手法も問題にした。AIの学習データを巡る争いが、データを売る側にまで広がった。
盗んだ個人情報をAIに分析させて被害者の「金銭的価値」を格付けするマルウェアが発見される
盗んだ情報をAIに分析させ、狙うべき被害者を選ぶマルウェアを Cisco Talos が見つけた。Gigazine によると、パスワードや住所などから人物像をまとめ、AIに価値を3段階で採点させる。AIに断られたら、別の会社のモデルに切り替えて頼み直す仕組みまである。これまで人手でやっていた選別作業を、AIが肩代わりし始めたことになる。
日本の全法令を git の履歴にしてみた
日本の全法令を、改正1本ごとに1コミットとして Git の履歴にした試みを、著者が Zenn で公開した。改正法は「AをBに改める」という指示の形で書かれ、読んでも何が変わったか分かりにくい。Git の差分にすれば、変わった文言がそのまま見える。約9000の法令が入り、毎朝自動で更新される。Git は1970年より前の日付を扱えず、明治の法令は日付を寄せて記録したという。
管理人のピックアップ
サービスレベル設計として捉える非機能の考え方 | フューチャー技術ブログ
性能や稼働率などの「非機能要件」を、利用者への約束として決め直そうと説く記事が、フューチャー技術ブログに載った。著者は、品質の項目を作る側が埋めていく今のやり方では、何を約束するのかが曖昧になると指摘する。決めるのは事業者で、作る側はそれを数値に置き換える役割だという。約束の水準がインフラ構成や運用費を左右するため、決まらないまま進めるのは予算の根拠がないのと同じだ。
クラウドが状態を把握してもIaCがなくならない理由 - YAMAGUCHI::weblog
「AIがあれば IaC（インフラ構成をコードで管理する手法）は不要」という主張に、著者がブログで反論した。IaC には、あるべき構成を記録する役割と、差分を計算して反映する役割がある。Kubernetes のように基盤が後者を担っても、利用者は今も設定を書いて Git で管理している。AIが変更を書く時代でも、承認し、作り直し、元に戻すための記述は残る、と結論づけている。