Anthropic、AIモデルの「本人確認」技術を公開 GitHubは書き込み性能180倍の新基盤へ
AI
The ‘Astra can read and write weights to improve Qwen’ post is misleading
「AIが別のAIの重み（中身の数値）を直接読み書きできる」とした研究に、誇張だとする反論が出た。前日のSparks of Weight-Space Programmingで紹介した研究のことだ。著者は個人ブログで実験条件を表に整理し、数値を眺めるだけで当てたのは小さなネットワークに限られると指摘する。目玉の Qwen の改善は Python でモデルを動かしながら得た結果で、熟練エンジニアの作業をAIが代わりにこなした、と読むのが妥当だという。
Anthropic is working on a system to prove AI models’ identity
Anthropic が、AIの回答が本当に名乗ったモデルから出たものかを確かめる仕組み「FlashProve」を公開した。TechCrunch によると、各社がモデルごとの「指紋」を公表し、回答と暗号の技術で照合する。指紋から重みは分からないため、中身を明かさない商用モデルでも使える。安いモデルへのこっそりした差し替えを利用者が見抜ける道が開けるが、今は研究段階で導入予定はない。
Apple opens Siri AI to all developers, letting any app on iOS 27.3 beta and other 27.3 OS betas bring its content and actions into Siri AI by using App Intents (Apple Developer)
Apple が、新しい音声アシスタント「Siri AI」をすべてのアプリ開発者に開放した。Apple の開発者向けニュースによると、iOS 27.3 などのベータ版から、アプリの機能や情報を Siri AI に組み込める。利用者は自分の言葉で頼むだけで、配達状況の確認や予約といったアプリ内の操作を任せられる。App Store への提出受付は来春からで、アプリの入口がアイコンから会話へ広がる転機になりうる。
Revolut says it cut AI coding inference costs by ~90% in less than a year by making self-hosted GLM models its default over commercial tools like Claude Code (Tobias Mann/The Register)
英国の金融サービス Revolut が、AIコーディングにかかる費用を1年足らずで約9割減らしたと明かした。The Register によると、Claude Code などの商用サービスに代えて、自前のGPUで動かす公開モデル GLM を標準にした。トークン（AIの利用量の単位）が安くなると、技術者はデバッグや課題チケットの処理にも気兼ねなくAIを使い始めたという。費用を気にした使い控えが、AI導入の効果を削いでいたことを示す事例だ。
GitHub、より高度なコードレビューを行う「Copilot Code Review Max」発表。GitHub Universe 2026
GitHub が、AIによるコードレビューの最上位版「Copilot Code Review Max」を発表した。Publickey によると、複数のAIモデルがそれぞれ独立にレビューし、まとめ役のAIが食い違いを整理してから結果を返す。モデルごとの得意・不得意を補い合い、1つのモデルでは見落とす問題を拾う狙いだ。AIが書くコードが急増し人の目が追いつかない中、レビューを支える機能として公開プレビューが始まった。
Infra
GitHubが従来比180倍のスループット性能向上を実現へ、来年初頭に。AIエージェント時代に対応。GitHub Universe 2026
GitHub が、Git への書き込み性能を従来の180倍に高める新基盤を来年初めに導入する。Publickey によると、コードの保存先と処理するサーバーを分け、書き込み時のロック（排他）もブランチ単位に細かくした。これで別々のブランチで動くAIエージェント同士が、互いを待たずに作業できる。「GitHub Universe 2026」開幕で予告された新方式の中身で、5000のエージェントでの試験では毎秒7200回の書き込みをさばいた。
OpenAIがGitサーバーを作り直した「Pando」について調べてみた
OpenAI が社内の巨大リポジトリ向けに作り直した Git サーバー「Pando」の設計を、DevelopersIO が読み解いた。Codex による並列開発で、push と CI からの取得がともに急増したことが背景にある。Pando はブランチごとに更新を調整し、push で受け取ったデータを後続の取得で使い回す。OpenAI は push の待ち時間の中央値を約8割縮めたと報告しており、GitHub と同じく Git の作り直しが始まっている。
Introducing Zero Wire, a hub for investigating critical Internet vulnerabilities
Cloudflare が、重大な脆弱性の要点をまとめて公開する情報ハブ「Zero Wire」を始めたと公式ブログで発表した。AIで欠陥の発見が加速し、セキュリティ担当者が情報の整理に追われている状況に応える。各項目には平易な解説、調べるべきチーム、取るべき行動、公式情報へのリンクがカード形式で並ぶ。AIエージェントに自社への影響を調べさせるプロンプトも添えられ、Cloudflare の顧客でなくても使える。
Data centers are turning to old jet engines as the wait for power grows
電力網への接続を何年も待てないAIデータセンターが、退役した旅客機のエンジンで自家発電を始めている。TechCrunch によると、エンジンを天然ガス用に改造したもので、xAI や OpenAI 関連の拠点ですでに使われている。地域によっては電力網につなぐのに7年かかるが、この方法なら2年ほどで稼働できるという。ただし効率が悪く汚染も多く、あくまで急場しのぎの手段だ。
Mac at Any Scale
CI（コードの自動ビルド・テスト）サービスの Namespace が、データセンターで数百台の Mac を動かす舞台裏を自社ブログで明かした。iOS アプリの開発には Mac が欠かせないが、Mac mini は注文から納品まで半年かかり、MacBook をラックに並べてしのいだ。ノートPCは遠隔管理を想定しておらず、画面のボタンを押さないと進まない保守作業もあったという。Apple は1台で動かせる macOS の仮想マシンを2つまでに制限しており、性能の切り分け方まで縛られるとしている。
Backend
[SEVERE] Desktop auto-installs Codex/Claude plugins; installer attempts to trust its own startup hook
API開発ツール Postman が、同意なく Codex と Claude Code に拡張を入れていたと報告された。GitHub の issue によると、起動時にエージェントへ指示を読み込ませるフックも仕込まれ、API の作業を Postman 経由に誘導していた。しかもインストーラーが、そのフックを自分で「信頼済み」にしようとしていた。他のアプリがAIエージェントの設定を勝手に書き換えうる危うさとして、Hacker News で大きな反響を呼んだ。
Postgres 19 REPACK: Built-In Online Table Bloat Cleanup
PostgreSQL 19 に、テーブルの肥大化を止めずに解消できる「REPACK」が入る。Snowflake のエンジニアリングブログによると、PostgreSQL は行を更新・削除しても古い版が残るため、更新の多い表ほどファイルが膨らむ。これまで容量を取り戻すには、表を長くロックする VACUUM FULL か、外部の拡張機能に頼るしかなかった。REPACK CONCURRENTLY なら読み書きを続けたまま作り直せて、ロックは最後の一瞬で済む。
Uberはリトライストームからどのように身を守っているのか
Uber が、障害時の再試行が雪だるま式に膨らむ「リトライストーム」を防ぐ仕組みを公開したと、Gigazine が紹介した。サービスが何段も連なる構成では、各段が1回ずつ再試行するだけで、奥への要求が段数に応じて倍々に増える。Uber はエラーを「自分が原因」か「下流から伝わっただけ」かで区別し、原因のサービスにだけ再試行を向ける。以前の「リトライは結果整合性を直さない」分散システムの落とし穴と同じく、一律のリトライは障害を広げうるという教訓だ。
Why we’re moving our warehouse off DuckDB
製品分析ツールの PostHog が、5カ月前に DuckDB で作り直した分析用データ基盤を、再び別の構成に移すと公式ブログで明かした。DuckDB は1台で大量のデータをさばくのは得意だが、クラウドでは問い合わせの前に必要なマシンの大きさを決める必要があった。約2PBを載せた DuckLake（DuckDB 陣営のデータ保管形式）では、1回の書き込みに3分以上かかる場面も出た。後継は分散処理エンジン Trino と自社製の保管形式で、道具の向き不向きは規模で変わることを示した。
E2Eテスト大全（あなたの知らない、E2Eテスト周辺の理論） - 若くない何かの悩み
E2Eテスト（利用者の操作を画面から通しで再現する自動テスト）の理論を体系化した長編を、著者が個人ブログで公開した。AIにテストを書かせる流れが広がる一方、「壊れやすい」「遅い」「結果が不安定」という悩みは残っている。記事は見つけられる欠陥の性質や分類、実装の型を、特定のツールに依存しない形で整理する。なぜ E2E テストが脆いのかを理屈から説明しており、AIにテスト設計を指示する際の手がかりにもなる。
Frontend
Introducing Adaptive Dark Mode
Safari 27.3 ベータに、ダークモード非対応のサイトも暗い配色に変える「Adaptive Dark Mode」が入った。WebKit の公式ブログによると、ページ表示の約4割はダークモードの利用者なのに、対応するページは約1割にとどまる。ページの色を解析し、色合いを保ったまま明暗を反転させ、文字は読みやすいコントラストを確保する。サイト側が color-scheme で対応を宣言していれば何も変えないため、自前で対応するのが確実だ。
Death comes for XSLT
Chrome が XSLT（XML を見やすい HTML に変換して表示する古い技術）の対応を打ち切る日が近づき、ウェブ開発者が抗議の記事を書いた。著者は XSLT で作った抗議サイトを運営しており、11月17日にも表示できなくなる見通しだという。一部の Chromium 系ブラウザは、XSLT を使うサイトに「管理者に連絡を」と促す警告を差し込み始めた。互換性を守るというウェブの約束を破りながら、責任をサイト側に押しつけていると批判している。
Firefox Security & Privacy Newsletter 2026 Q3
Mozilla が、Firefox の2026年7〜9月期のセキュリティとプライバシーの取り組みをセキュリティブログでまとめた。9月から更新の周期を短くし、欠陥の修正がより早く届くようにした。最先端のLLMで欠陥を探して直す取り組みを続け、社内で見つけた欠陥も1件ずつ公表する方式に改めた。Firefox 157 からは、通信の暗号が第三者に読める設定になっているとき警告が出るようになる。
FlutterKaigi 2026 公式サイトにコントリビュートした話と、Jaspr 開発者によるセッションのレポート
Dart 言語で Web サイトを作れる「Jaspr」を、DevelopersIO が FlutterKaigi 2026 の講演とあわせて紹介した。書き方は Flutter とほぼ同じで、画面部品が div や p などの HTML 要素に置き換わり、HTML と CSS を出力する。dart.dev など Dart・Flutter の公式サイト群も Jaspr へ移り、ばらばらだった構築の仕組みを一本化した。Flutter に慣れた開発者が、その書き方のまま Web サイトを作れる点が強みになる。
Products
One Roof
Claude Code や Codex など複数のAIコーディングエージェントを、1つのプロジェクトで同時に動かすための Mac アプリ。各エージェントは本物のターミナルで動かしたまま、依頼の受信箱やダッシュボードで状況をまとめて見渡せる。夜間に走らせた作業の結果を朝にまとめて確認できる画面もある。複数のエージェントを並行で回す開発者向けで、オープンソースとして無料で公開されている。
nana
Windows で複数のAIコーディングエージェントを画面分割して同時に動かせるターミナル。エージェントごとに別の作業用コピー（git worktree）を割り当て、ファイルの取り合いを防ぐ。12種類のエージェントを見分けて「作業中」「入力待ち」などの状態を表示し、入力が必要になると通知する。Electron ではなく Rust で作られて軽く、無料のベータ版が公開されている。
Corvo
届いたメールを自動で整理する、独立したメールサービス。Gmail の上にかぶせる道具ではなく、自前のメール事業者として動く点が違う。ログイン用の確認コードは一覧に表示されて15分で自動的に片付き、開封を追跡する仕組みは受信時に取り除かれる。サイトごとに別のアドレスを割り当てられ、漏れたアドレスだけを止められるので、登録先が多い人に向く。
NEXUPIRA
見積書づくりや領収書の整理など、決まった業務ごとに担当のAIを用意し、完成した書類を返してくれるサービス。汎用のチャットAIのように何を頼むか考える必要がなく、最初の仕事があらかじめ決まっている。顧客に送るものは、人が承認するまで下書きのまま止まる。事務作業に時間を取られる小さな事業者向けで、無料プランもある。
Brink
MacBook のトラックパッドの縁を、音量や画面の明るさの操作に変える Mac アプリ。右の縁をなぞると音量、左の縁で明るさが変わり、下の縁で曲送りやミュートもできる。操作中はカーソルが動かず、macOS 標準の表示と振動で反応が返る。メニューバーまで手を伸ばす手間を減らしたい人向けで、無料で使える。
Others
Android「SMS of Death」脆弱性、SMS受信だけで通話切断・再起動ループの恐れ CVE-2026-58882をGoogleがCriticalで修正|セキュリティニュースのセキュリティ対策Lab
細工したSMSを受信するだけで、Android の電話機能が止まる欠陥「SMS of Death」が公表された。セキュリティ対策Lab によると、端末が自動で処理する特殊な形式のメッセージで、長さの検証が漏れていたのが原因だ。利用者が何も操作しなくても通話が切れ、条件次第では再起動を繰り返す。Google は11月の月例更新で深刻度「Critical」として直したが、更新が届かない古い端末は無防備なまま残る。
Shutting the Door on the XCPE Botnet | Google Cloud Blog
Google が、130万台超のテレビ用端末を乗っ取っていた裏口「XCPE」を業界と協力して潰したと公式ブログで発表した。Google は、端末メーカーの Videostrong 自身が意図的に仕込み、乗っ取った端末を犯罪者に貸して稼いでいたと高い確度で見ている。端末は広告詐欺や、他人の通信を中継する踏み台に使われていた。Google は同社との取引を断ち、Google アプリ入りの端末を作ることを禁じた。
Gitbook Breached
ドキュメント公開サービスの GitBook が攻撃を受けたと、Hacker News の投稿が伝えた。投稿者が問い合わせへの返信として貼った文面では、AIエージェントを使った標的型攻撃でインフラの認証情報が盗まれたという。外部ツール連携用のAPIトークンなどが見られた可能性があり、全利用者のトークンが無効にされた。投稿時点で公式の告知は出ておらず、利用者は連携先のトークンも含めて作り直すよう求められている。
自治体システム移行で高額請求、ＩＴ大手の「手切れ金」との声も…公取委が実態調査へ
自治体がシステムの委託先を乗り換えようとすると、IT大手から高額な費用を求められる例が相次いでいると読売新聞が報じた。公正取引委員会は、独占禁止法が禁じる取引妨害にあたる可能性があるとみて実態調査に乗り出す。国の方針で住民基本台帳など20の基幹システムの仕様をそろえる中、移行費として1億円超を求められた例もあるという。乗り換えやすくするための標準化が、囲い込みで骨抜きにされていないかが問われる。
セブン、宅配サービス「セブンナウ」の顧客情報16万件流出 - 日本経済新聞
セブン-イレブン・ジャパンの宅配サービス「セブンナウ」で、注文者の名前や住所など16万件超が流出したと日本経済新聞が報じた。配達業務の一部を請け負う CBcloud が不正アクセスを受けたのが原因だ。クレジットカード情報やパスワードの流出は確認されておらず、サービスは通常どおり使える。前日の楽天証券、顧客情報流出の可能性に続く委託先経由の流出で、守るべき範囲が自社の外まで広がっている。
管理人のピックアップ
コードレビューをなくして見えたもの
人間によるコードレビューをやめて半年あまり運用した結果を、筆者が Zenn で振り返った。代わりに置いた「実装の前に意図を人が確かめる」工程は、ほとんど機能しなかったという。原因は流れの作りにあったとして、今後は人間が下した判断だけを記録して確認する方式に絞る。判断の記録欄はAIに埋めさせず、AIが自動で回す作業は始める前に一度だけ方針をチームで確かめる。
「イオンカード」の不正利用が急増した根本原因 なぜここまで返金対応が遅れているのか
イオンカードの不正利用が急増した背景を、ITmedia が2024年に解説した記事。偽造カードが作りにくくなった今、盗んだカード情報はオンラインで使われるのが主流になっている。この件では盗んだ情報を Apple Pay に登録し、実店舗で1万円ほどの買い物を連日繰り返す手口が使われた。買い物の通知は本人に届かず、請求が来て初めて気づく形だったという。
毎週数十万人が使うターミナル型AIコーディングエージェント「Pi」が1.0に 何ができる？
ターミナルで動くAIコーディングエージェント「Pi」が1.0になったと @IT が報じた。開発元の Earendil によると毎週数十万人が使い、15以上の事業者の数百のモデルを途中で切り替えられる。サブエージェントなどの機能はあえて省き、拡張機能やスキルで利用者が育てる設計だ。長時間動き続けるエージェントを作るための実験的な部品「Pi Durable」も同時に公開した。
毎年1万円だったドメインが、いきなり17万円になった話｜藪原太郎
自分のドメインの更新料が、約9,500円から約17万円へ突然上がった体験を筆者が note に綴った。業者の説明は、上位のレジストリ（ドメインの元締め）が「プレミアム」に格上げしたためというものだった。筆者は、値上げの事前通知や、特定のドメインだけ高くすることの禁止を定めた ICANN の規約に反するのではと問題提起する。更新し続ける前提の資産なのに、価格が一方的に変わりうる危うさを示した。
勉強会の懇親会が苦手な人も楽しめる場をつくりたい
勉強会の懇親会が苦手な人でも楽しめる場づくりを、勉強会を主催する登壇者が KomeKaigi 2026 のスライドで語った。参加者としては、初参加の懇親会は「練習」と割り切り、期待しすぎないことを勧める。主催側の工夫には、共通の話題を用意する、昼の交流で「二度目まして」を作る、輪の一角を空けておく「パックマンルール」を広める、が並ぶ。懇親会は主催者だけでなく参加者みんなで作るものだと締めくくる。
Private MCP server support for MCP server portals
Cloudflare が、社内ネットワークにしかない MCP サーバーにも MCP サーバーポータル経由でつなげるようにしたと変更履歴で告知した。MCP は、AIに外部のツールやデータを使わせるための共通の規格だ。Cloudflare Gateway を通って社内のホスト名やIPアドレスに届くため、サーバーをインターネットに公開せずに済む。ただし OAuth の認可に使う窓口は、インターネットから見える場所に置く必要がある。
センスがあるやつとないやつの差｜手羽先
「センスの差」の正体は才能ではなく、教わった型を最後まで言われたとおりにやり切れるかどうかだと、筆者が note で論じた。本なら10周、作業なら10回繰り返してから初めて批判する、という順番を守れるかが分かれ目だという。複数の先輩が口をそろえる助言を信じてよい根拠として、多数派の判断の正しさを示すコンドルセの陪審定理を引く。「質より量」という古い助言に、理屈の裏付けを与えた文章だ。
今後のセキュリティの考え方
サイバーセキュリティクラウドが、ウェビナーで話しきれなかった今後のセキュリティの考え方を Zenn のテックブログにまとめた。柱の1つは、攻撃を受けうる面そのものを減らすことだ。EC2 に SSH で入る代わりに Session Manager を使えば、ポートを開けずに済む。Fargate に移せば、OS の更新も AWS に任せられる。こうした乗り換えは手間がかかったが、AIの時代には少ない工数で移せるようになったと指摘する。
あなたはいま飢えていますか｜河村 綾祐 (r-kawamura, clonable-eden)
「あなたはいま飢えていますか」という同僚の問いをきっかけに、自分を動かしてきたものを筆者が note で振り返った。能力はあるのに許可やきっかけを待って動かない若手、という話題から出た言葉だという。筆者は、深夜までAIと作り続けてしまう高揚感の正体を「飢え」だと捉える。これまでの職場や経営判断の場面を重ね、その感覚が自分を動かし続けてきたと語る。
技術ブログはゆるやかに衰退している
Zenn の2026年の投稿データを分析し、技術ブログが緩やかに衰退していると筆者が Zenn で論じた。月ごとの投稿数はほぼ変わらない一方、記事に付く「いいね」の合計は3月の5万超から7月には3万を割った。生成AIで書く敷居は下がったが、文章の良し悪しを判断できないまま出る記事が増え、読む体験が悪化したと筆者はみる。分析の期間などへの指摘も受けており、その議論も記事から辿れる。
何者かになりたいなら打席に立ち続けなさい｜かわまた／コミュニケーションドラフト代表
何者かになりたいなら発信の打席に立ち続けるべきだと、イベントを企画する立場から筆者が note で説いた。BPStudy での登壇をもとにした文章だ。一方で、反応が減ったことで、打席に立ち続けること自体が以前より難しくなっていると認める。企業のブログも採用のためではなく、書きたいから書くものだという原点を確かめている。
「GoogleやAppleのアカウントを守るためにYubiKeyを使っている」物理キーが注目を集め、売り切れが相次いでいる→導入前に知っておきたい注意点は？
アカウント乗っ取り対策の物理キー「YubiKey」が注目され、売り切れが相次いでいると Togetter のまとめが伝えた。投稿では、紛失に備えて予備のキーも登録し、別の場所に保管しておくことが勧められている。ファームウェアは買った後に更新できないため、価格だけで選ばないよう注意する声も集まった。偽物を避けるため、メーカーの直販など正規の販売元で買うのが確実だという。