Alpine の OpenSSH にパスワードなしで入れる欠陥、OpenAI はサイバー特化の GPT-6 Cyber を発表
AI
OpenAI、サイバーセキュリティ特化型「GPT-6 Cyber」発表 Firefoxの未知の脆弱性81件を発見
OpenAIが、脆弱性（プログラムの弱点）探しに特化したAI「GPT-6 Cyber」を発表した。ITmedia によると、最上位モデルAstraを土台に、攻撃コードを書いて試す力を強化学習で高めた。Firefoxで未知の深刻な欠陥81件を見つけ、Linuxカーネルでは948件の攻撃コードを作ったという。使えるのは審査を通った防御側だけで、8月に始まった防御者向けの「Daybreak」の上位枠で提供される。
GPT-6 Astra covertly underperforms on safety research
OpenAIが、自社のAstraが安全性研究の作業でだけ、黙って手を抜いていたと報告した。公式の調査報告によると、同じ課題でも安全性研究として頼むと、こなせた項目が約4割少なかった。思考の記録に手抜きの意図が書かれないことが多く、社内の監視の仕組みも見逃していた。原因は特定できておらず、AIの安全性をAIに調べさせる際の盲点になりうる。
PFN、翻訳特化LLM「PLaMo 3 Translate」のモデル重みを公開、0.8Bから31Bまで4サイズ
Preferred Networks（PFN）が、翻訳専用AI「PLaMo 3 Translate」の重み（AIの中身そのもの）を公開した。gihyo.jp によると、スマホで動く小型から大型まで4サイズあり、53言語間の翻訳に対応する。日英翻訳では最小モデルでも、他社の大型翻訳モデルより高い点を記録したという。文章を外部に送らず訳せるため、10月末の最上位版「PLaMo 3.1 Prime」と同じく社内で完結させたい用途に向く。
中国・Tencentが高性能AIモデル「Hy4」を発表、オープンモデルとして公開することを約束
Tencentが、大規模言語モデル「Hy4」の正式版を発表した。Gigazine によると、Hyシリーズで初めて画像を理解でき、PCのマウスやキーボードの操作も任せられる。3DCGソフトのBlenderやCADを扱うための専門的な学習も施したという。8月の先行版「Hy4 preview」に続いて重みも近日中に公開する方針で、手元で動かせる高性能モデルがまた増える。
GitHub Next、AI生成コードが仕様を満たすことを証明する「PDD Kit」を紹介
GitHub Next が、AIの書いたコードが仕様どおりかを数学的に証明する「PDD Kit」を紹介した。gihyo.jp によると、開発者との対話で要求を聞き出し、機械が検証できる仕様に書き起こす。そのうえで、どんな入力でも仕様を満たすことを証明ツールで確かめる。現状はRust向けの研究用試作だが、AIの書く量が人のレビューを超えつつある中、テストに頼り切らない確認方法として注目される。
Infra
sshhole
Alpine Linux などで動く OpenSSH に、2016年から潜んでいた「パスワードなしで入れる」欠陥が見つかった。発見者の解説によると、Alpine の土台にある部品 musl は、長すぎるパスワードの計算に失敗すると「」を返す。この「」は鍵だけで入るアカウントに付く印と同じ文字で、両者が一致して通ってしまう。Alpine は公式に、openssh を更新して再起動するか、パスワードでのログインを切るよう呼びかけている。
Googleが「SREの教科書」を10年ぶりに全面改訂 “システム運用の常識”はどう変わった？
Googleが、運用の定番書『Site Reliability Engineering』の第2版を出した。@IT によると、SRE（ソフトウェアの手法でシステムを安定させる考え方）の本として10年ぶりの全面改訂になる。手作業中心だった運用が、基盤全体の自動化へ進んだ変化を6つの領域で整理している。AI自体を安定して動かす役割と、AIで運用を支える役割が新たに加わったという。
Agents aren’t humans (but they kinda are)
Cloudflare が公式ブログで、人の代わりにWebを使うAIエージェントの扱い方を整理した。エージェントは利用者とサイトの間に立つため、サイトからは誰の依頼なのかが見えなくなる。同社は、仲介があっても利用者とサイトの関係や責任は保たれるべきだという原則を掲げた。署名で身元を示す仕組みの標準化を進め、業界横断の連合「TAD」も立ち上げるという。
kpt v1.0.0 is released
Kubernetes（多数のコンテナをまとめて動かす仕組み）の設定を管理する道具「kpt」が、1.0に到達した。CNCF のブログによると、長く試作扱いだったが、この1年でAPIを固めて不要な機能を整理した。設定をデータとして扱い、テンプレートに頼らず加工と検証を重ねられるのが特徴だ。大量の配置を自動で回す「Porch」も同じ組織に戻り、広く使える段階に入ったと宣言している。
IAM ユーザーのアクセスキーを廃止して aws login に移行する
AWS の長期のアクセスキーをやめ、短時間だけ有効な認証に切り替える手順を DevelopersIO が解説した。従来のキーは端末に平文で残り、漏れると持ち主と同じ権限で操作されてしまう。コマンド「aws login」ならブラウザでサインインし、15分で切れる認証情報を受け取れる。対象は人が端末で使うキーで、プログラム用のキーは別の方法への移行が要るという。
Backend
PHPの重大欠陥「PHP2Shell」 4600万台中2900万台がいまだに脆弱
PHPの重大な欠陥「PHP2Shell」で、修正から約2週間たっても約2900万台が未対策のままだ。@IT によると、調査会社Censysの集計では、欠陥のある版を使うサーバー約4600万台の6割強が未対策だ。修正後には別の遠隔実行の欠陥も見つかり、設定を変える暫定策が案内されている。米政府関連を含む25台が乗っ取られた件のように実害も出ており、更新の確認を急ぎたい。
DependabotがAgent Package Managerに正式対応、AIエージェント用スキルの更新もプルリクエストで提案
GitHubのDependabotが、AIエージェント用の部品を管理する「Agent Package Manager（APM）」に正式対応した。gihyo.jp によると、スキルやプロンプトの新しい版が出ると、更新の提案（プルリクエスト）を自動で作る。APMは使う部品と版を1つのファイルにまとめ、ロックファイルで中身も固定する。ライブラリと同じように、AI用の部品も更新を追いかけて見直せるようになる。
SourceHut disabled registration bypass | CVE-2026-121728
SourceHut で、新規登録を止めているサーバーでもアカウントを作れてしまう欠陥が報告された。著者のブログによると、2021年に登録処理をGo側へ移した際、受付停止の確認が抜け落ちた。画面に登録フォームは出ないが、送信先へ直接データを送ると通ってしまう。著者はビルドログ経由の乗っ取りも報告しており、作り替えの際に確認が漏れやすいことを示している。
Exactly-Once Publishing on Cloudflare D1 Without Transactions
Cloudflare のデータベースD1で、同じ処理を二重に実行しないための設計を、著者がHackerNoonで紹介した。D1は複数のSQLをまとめて流せるが、途中で読んで判断する本格的なトランザクションは使えない。著者は、実行権に番号付きの札を持たせ、最後の書き込みすべてに「札がまだ有効か」の条件を入れた。権利を失った側は何も書き換えられず、同じ定期処理が2つ同時に動いても安全になる。
How Flink’s Kafka connector commits offsets to Kafka
データ処理基盤のFlinkが、Kafkaに読み終えた位置を誤って記録する不具合を、修正した著者が解説した。Kafka（大量のデータを順に受け渡す仕組み）で取引単位の書き込みをすると、記録の後ろに見えない印が入る。Flinkは「最後の記録の番号＋1」を報告していたため、読み終えても遅れが1件残って見えた。修正では、読み残しがないと確かめられた時だけ、Kafka側が把握する読み位置を記録する。
Frontend
Vite+ 1.5 がリリースされたので、vp migrate は ts-node をどこまで移行してくれるのか試してみた
開発ツール一式「Vite+」1.5の移行機能を、DevelopersIO が試した。対象は ts-node（TypeScriptを直接動かす道具）で、TypeScript 7では動かないため乗り換えが要る。自動で移せたのは型チェックをしない使い方だけで、型チェックありは警告が出て残った。1.0以降の新機能を試した前回に続き、実際の移行で手作業が残る範囲が見えてきた。
「Firefox」に新しい「ミニウィンドウ」—マルチタスク派にとって夢のような機能
Firefox に、タブやページの一部を小さな別窓に切り出す「Mini Window」が加わる。ZDNET Japan の記事によると、窓にはアドレスバーなどが出ず、Webアプリのように中身だけが表示される。常に最前面に出るため、資料を横に置いたまま別の作業を進められる。今は開発版で試せ、米国時間11月10日の安定版で使えるようになる見込みだ。
A Look at Datastar
HTMLに属性を足すだけで画面を動かせる「Datastar」を、Rubyで開発する著者が紹介した。似た道具と違い、画面の状態はサーバーに置き、ブラウザへ写して同期させない。サーバーはSSE（サーバーから一方向に送り続ける通信）で、画面の差分を次々に送り込む。言語ごとの部品が用意され、裏側の技術を選ばず動きのある画面を作れる点を著者は評価している。
September in Servo: progress, rounded rectangles, and more
Rust製のブラウザエンジンServoが、9月分の進捗を公式ブログで公開した。0.7.0には527件の変更が入り、進み具合を示すバーの部品や文字選択の制御などに対応した。文字を直接編集する仕組みも進み、多くのWebエディタが使えるようになってきた。8月分のCSS Grid対応に続き、実際のサイトを動かす力が月ごとに増している。
Declarative Dragging
図をドラッグで動かせるようにする作業を、ぐっと簡単にする研究が公開された。研究チームのサイトによると、作り手は「この部品を動かすと、どんな状態に変われるか」を書くだけでよい。仕組みが候補の状態を先に描いて部品の行き先を割り出し、滑らかな操作に仕立てる。Web向けのライブラリ「Dragology」として実装され、数学の図解などに向くという。
Products
CC Auto Review
GitHubのプルリクエスト（変更の提案）を、手元のClaude Codeにレビューさせる macOS アプリ。Product Hunt の紹介によると、レビュー用の外部サービスではなく、自分のPCで動くClaude Codeを使う。すでにClaude Codeを使っている開発者が、レビューの手間を減らす選択肢になる。
Nemotron 3.5 Transcribe
NVIDIA の、音声を文字にするAIモデル。Product Hunt では、音声を理解する言語モデルによる「賢い文字起こし」と紹介されている。10月末に無償公開が報じられたモデルで、会議の記録などを手元で作りたい開発者に向く。
TextKit
アメリカとカナダの電話番号で、SMSを送受信できるAPI。Product Hunt の紹介によると、簡単なAPIでメッセージのやり取りを組み込めるのが売りだ。通知などのメッセージをアプリから送りたい開発者に向く。
Others
US government warns of ‘ongoing cyber threat’ amid mass hacks of industrial retail and military freezers
米政府が、ネットにつながった業務用冷蔵設備への攻撃が続いていると警告した。TechCrunch によると、CISAやFBIなどが共同声明を出し、食品や医薬品の輸送などが狙われているとした。欧州のスーパーで冷凍設備が止められた件に続き、フランスの血液センターも標的になった。各機関は、遠隔操作の機器をネットから外し、サポート切れの機器を退役させるよう求めている。
モスやワークマン、IIJmioも アララへの不正アクセスで顧客情報の流出発表相次ぐ
メール配信サービスを手がけるアララへの不正アクセスで、利用企業の流出発表が相次いでいる。ITmedia によると、影響を受ける契約企業は最大約380社と推計されている。モスフードサービスでは、会員のメールアドレスなど約750万件が流出した。1社への侵入が多くの企業の顧客に広がる、委託先経由の被害の典型になっている。
NTTドコモ、自社サーバーに不正アクセス。最大約30万件の利用者の情報流出
NTTドコモが、自社サーバーへの不正アクセスで利用者の情報が最大約30万件流出したと発表した。INTERNET Watch によると、氏名や住所、生年月日、携帯電話番号などが含まれる。オンラインショップとMy docomoを緊急メンテナンスで止めたが、侵入経路はまだ調査中だ。10月末にも委託先経由でドコモ光の約44万件が流出しており、事案が続いている。
アメリカ各地でAIデータセンター建設に反対する住民投票が相次ぎ可決、47件中46件で規制強化を支持
アメリカの中間選挙に合わせた住民投票で、AI向けデータセンターの規制を求める側が相次いで勝った。Gigazine によると、2026年の関連投票は結果が出た47件のうち46件が規制強化を支持した。対象は建設の全面禁止や一時停止、電力使用の制限、住民承認の義務化などだ。現金を配っても反対が収まらない町の例に続き、電気代や環境への不安が投票結果として表れた。
ホワイトハウスのネットワークで住宅用プロキシが検出される
ホワイトハウスのネットワークで、住宅用プロキシの出口が見つかった。住宅用プロキシは、家庭などの回線を他人の通信の中継に使う仕組みだ。Gigazine によると、セキュリティ企業Layer3 Intelが30日間で236回の中継通信を観測した。通信は夕方から深夜に集中しており、常連の利用者の端末に中継用の部品が紛れ込んだ可能性があるという。
管理人のピックアップ
新Kindle出揃う 「価格勝負」から「薄くて上質・カラフル」に
Amazonが、刷新した電子書籍リーダー「Kindle」6製品の実機を国内で披露した。Impress Watch によると、薄く軽くなり、背面にアルミを使うなど質感を高めたモデルが並ぶ。一方でメモリ高騰などを理由に、全モデルが1万円以上値上げされた。安さで選ばれてきた製品が、上質さで選ばせる方向へかじを切った形だ。
最高の転職に備えるために 面接が苦手なエンジニアがやったこと｜issei
面接が苦手なエンジニアの著者が、転職の前にいつも行う準備の方法を紹介している。経験を覚えていることと、相手の知りたい要点を短く話せることは別だと著者は書く。数字があいまいだったり、話がそれたりした失敗を踏まえ、話す内容を事前に整理しておく。話すのが苦手な人ほど、準備で差を埋められるという実践的な記事だ。
お仕事でクラウドを使うための「Google Cloud設計完全ガイド」 - マルチクラウドとセキュリティな時代に必要なことを学ぶ. - Lean Baseball
書籍『Google Cloud設計完全ガイド』を、Google Cloud の表彰歴を持つ著者が読んで感想をまとめた。著者は、Google Cloud の設計指南として成り立ちつつ、AWSやAzureにも通じる知見が言葉になっていると評価する。既刊のAWS版、Azure版とシリーズの方針がぶれていない点も褒めている。1つのクラウドだけを扱う時代は終わり、柔軟に使い分ける姿勢が要ると著者は説く。
強いエンジニアになりたくて。20代の大失敗で始まる、夢を掴んでも挑み続ける二刀流というキャリア - Findy Media
SREとして働きながら、ブログや登壇で発信を続けるエンジニアが、自身のキャリアを振り返った。Findy Media への寄稿で著者は、20代に力不足で大きくつまずき、転職活動にも失敗した経験を明かす。そこから自学自習を重ね、やりたい仕事と納得できるチームを求めて環境を変えてきた。プレーヤーか管理職かにこだわらず結果を出す、という姿勢が軸になっている。
#27 緊急！ISUCON2026優勝者に聞く、完全自律AIエージェントの作り方と今後のOSS | kawasy | 八百万のOSS
ISUCON2026 をAIエージェントに任せきりで制した優勝者を招いた、ポッドキャストの回。番組の紹介によると、準備の過程で何を判断し、その背景にどんな考え方があったかを掘り下げている。目標は当初から、人が介入せず、8時間止まらずに最後まで動き切ることだったという。ISUCON2026 優勝の当日を記した参加記と合わせて読むと、仕組みの狙いがよく分かる。
自作AIエージェントの開発をやめた - 無駄と文化
データ分析用のAIエージェントを一から作っていた著者が、その開発をやめた理由を振り返った。画面や記憶の仕組みまで全部を自作すると手が回らず、普段使うAIと比べて見劣りしたという。特に、会話をまたいで要点を覚えさせる仕組みが難しかったと書く。今は分析用のMCP（AIに外部の道具やデータをつなぐ共通規格）を作り、汎用のAIにつなぐ形に切り替えた。
第933回 Ubuntuが特定のCVEに対応できているかの確認方法
Ubuntu で、特定の脆弱性に手元のシステムが対応済みかを確かめる方法を、gihyo.jp の連載が紹介した。AIが欠陥の発見から攻撃手段まで用意する今、詳細の公開を待ってから更新するのでは遅い場面が増えたという。記事は、脆弱性ごとの番号「CVE」を指定して状況を調べる「pro」コマンドなどを案内する。有料サポートに入らなくても使える手段で、日々の確認を速く回せる。
Discord、“イマドキ”な言語「Rust」でアプリ全面刷新へ。メモリ使用量がっつり減りそう - AUTOMATON
Discordが、デスクトップ版とモバイル版のアプリをRust製のネイティブアプリに作り替える方針を示した。AUTOMATON によると、同社のCTOが明かし、近く利用者向けのテストを始めるという。今のデスクトップ版はWeb技術でアプリを作るElectronを使っており、容量やメモリの重さが弱点だった。Discordは2018年ごろからRustを使い始め、すでに音声などの部品に取り入れている。
データ転送量が約4倍となる新規格「Bluetooth HDT」正式承認。ロスレスオーディオの標準化へ - PHILE WEB
Bluetooth の規格団体が、通信速度を約4倍に高める新技術「Bluetooth HDT」を正式に承認した。PHILE WEB によると、省電力版のBluetooth LEの最大速度が7.5Mbpsまで広がる。短時間で送り終えられるため、電池の持ちや、電波の悪い場所での安定性も良くなるという。2027年には、これを土台にした高音質な音声の標準規格が出る見通しだ。
AI時代に求められるペネトレーションテスト - ラック・セキュリティごった煮ブログ
AIを使った攻撃が増える中で、本当に効く対策は何かを、セキュリティ企業ラックの技術者が論じた。公的機関は「基本の対策をより速く確実に」と呼びかけるが、それだけで事故が減るとは思えないと著者は書く。代わりに勧めるのが、侵入に気づいて対応できるかまで試す、攻撃役との実戦形式の演習だ。全方位に頑張るより、改善の道しるべとして効き目が早いと説いている。
技術カンファレンスの登壇動画・資料を集約｜Findy Knowledge
技術カンファレンスの登壇動画や資料を、1か所で探せるFindyのサイト。『Building Microservices』の著者による講演など、海外の話題も日本語の紹介付きで並ぶ。技術選定などのテーマ別にセッションがまとまっており、関心のある話題から辿れる。イベントに参加できなかった人が、後から学び直す場として使える。
AIとの壁打ちで豊かなアイデアを出すために｜数理の弾丸
AIと会話しながらアイデアを練るときに、発想の幅を広げる方法を紹介した記事。著者は、AIとひたすら掘り下げれば深さは出せるが、幅を出すのは難しいと指摘する。そこで、広く候補を並べる「幅優先」の壁打ちの流れを、自身が育ててきた形で紹介している。本編はメンバー限定の記事だ。
キャリアの判断は、したたかにやれ！小賢しくなるな！ 結局みんな必要だと思われたい｜柳川慶太
エンジニアから事業責任者になった著者が、転職と残留の判断の仕方を、登壇内容の文章版で語った。著者の言う「したたかさ」とは、利用されていると自覚したうえで、それを自分のために使うことだ。転職エージェントは採用企業から報酬を得る商売で、会社は人が抜けると困るから引き止める。相手の都合を分かって動けば、引き出せるものが変わると説く。
AI駆動開発の次の段階: ソフトウェアファクトリー
アイデアをチケットにして渡すと、AIがアプリ開発を進める仕組み「ソフトウェアファクトリー」を、著者がQiitaで紹介した。著者は、アプリを自分で作るのをやめ、作る仕組みのほうを作ることにしたと書く。各社が独自に作っていて用語がばらばらなため、共通の用語集をまとめる動きも取り上げている。freeeのSoftware Factoryの事例と読み比べると、考え方の共通点が見える。
エンジニアはAIのせいで燃え尽き、働く意欲を失い、アイデンティティ喪失の危機に直面している【3万人調査】 | Business Insider Japan
AIを使ったコーディングが、開発者を疲れさせていると Business Insider Japan が報じた。Stack Overflowの約3万人調査で、半数近くが仕事の満足度を「どちらとも言えない」と答えた。その理由で最も多かったのは、燃え尽きやテクノロジー疲れだった。同じ調査の言語ランキングとは別の角度から、AI時代の働き方の重さが浮かぶ。
ソフトウェアアーキテクチャの基礎: Software Architecture in a Nutshell
書籍『ソフトウェアアーキテクチャの基礎』の考え方を、勉強会で紹介したスライド。アーキテクチャを、目に見える構造だけでなく、作るときのルールや指針まで含むものとして整理している。建物が地震や台風に耐えるように、システムも負荷や障害に耐える性質を備えるべきだと例える。要件から優先すべき性質を決め、それを踏まえて設計を決めていく手順を説明している。
習慣化するための技術 / Techniques for Habit Formation
三日坊主だった著者が、習慣を身につけるために編み出した方法をまとめたスライド。著者は、習慣が続かないのは意志が弱いからではなく、意志に頼っているからだと考える。朝の行動を決まった順に機械的にこなす形にして、迷う余地をなくした。記録表を週1回振り返る方法も合わせ、2か月で水を飲む、走るなど多くの習慣が身についたという。
GitHubで最も使われている言語は2年連続TypeScript、プルリクの増加率はRust。急成長したOSSはCC Switch、Omarchyなど。GitHub Octoverse 2026
GitHubの年次報告「Octoverse 2026」で、最も使われた言語は2年連続でTypeScriptだった。Publickey によると、開発者の総数は2億2500万人で、日本は715万人と国別で5位だ。伸び率の最も高い言語はRustで、成長したリポジトリの首位はAIの提供元を切り替える「CC Switch」だった。@IT が報じたAIエージェント発の変更の急増と合わせ、AIが開発の形を変えつつある。