Claude Codeがメールアドレスを外部へ送信していた問題、しんきん共同センター障害で128信金が停止
AI
Claude Codeがユーザーのメールアドレスを外部サイトに勝手に送信する問題が発覚、約4カ月前から報告されていたことも判明
Claude Code が、利用者のメールアドレスを無断で外部サイトに送っていた問題が報じられた。Gigazine によると、サイトに送る名乗り情報（User-Agent）に、Git設定などのアドレスを入れていた。連絡先の記載を求めるサイトの規則に、AIが従おうとした可能性が指摘されている。同様の報告は7月からあり、開発側は最新版で送信を防ぐ仕組みを既定で有効にしたと説明している。
Thinking Machines、AIモデルInkling 2 Smallを発表 ——重みも公開予定
元OpenAI幹部が率いるThinking Machinesが、新しいAIモデル「Inkling 2 Small」を発表した。gihyo.jp によると、規模は5940億パラメータだが、1回の処理に使うのは170億だけだ。MoE（質問ごとに一部の専門家だけを動かす省エネ構造）で、性能指標は前世代の13から31に伸びた。7月の初代Inklingに続き、重みも安全性テスト後に公開する予定だ。
Gemini Omni 1.2 Flash
Google が動画生成AI「Gemini Omni 1.2 Flash」の一般提供を始めたと公式ブログで発表した。作れる動画は10秒から15秒に延び、料金は前版より30%下がった。生成した動画を「背景だけ差し替えて」と会話で直せるため、一から作り直す必要がない。広告動画を何パターンも作るような用途で、時間と費用をまとめて削れる。
OpenAIがLinuxの脆弱性948件を発見、費やしたAPIコストは約1億9200万円
OpenAI が、AIでLinuxカーネルの欠陥を探し、実際に悪用できるものを948件見つけた。Gigazine によると、探索から再現、攻撃コード作成、修正案づくりまでをAIが自動で回し、最後に人が確認した。いずれも一般ユーザーが管理者権限を奪える種類の欠陥で、費用は1件あたり約20万円だった。前日のGPT-6 Cyber発表の中身にあたり、修正が発見の速さに追いつけるかが問われる。
AIのオープンモデル利用率が大きく拡大中、オープンウェイトモデルとクローズドウェイトモデルの違いは何か？
中身を公開した「オープンウェイト」のAIモデルが、利用量の7割を占めるまでに広がった。Gigazine が紹介した OpenRouter の調査では、上位50モデルの処理量に占める割合が1年で27%から72%に増えた。主な理由は価格で、公開モデルは非公開モデルの約4分の1で使えるが、性能の差は広がっている。1年で20倍超に伸びた OpenRouterの上で、安さと賢さの使い分けが進む。
Infra
複数の信金でATM利用・振り込みできず──共同システムで障害、128信金に影響か 再開めど立たず
東海から西の128の信用金庫で、窓口やATMの取引が一斉に止まった。ITmedia NEWS によると、信金の共同システムを運営する「しんきん共同センター」の西日本センターで障害が起きた。NHKの取材では原因は通信障害とみられ、ネットバンキングや口座振替にも影響が出た。多くの金融機関が1つの基盤を共有していると、1カ所の故障が広い地域に一度に響く。
ドコモ不正アクセス、「料金プラン」などの情報も流出 「重く受け止めている」
最大約30万件の情報流出について、NTTドコモが会見で詳細を明かした。Impress Watch によると、本人確認書類の番号や料金プラン、一部では口座番号も漏れていた。攻撃は個々のシステムの欠陥ではなく、複数のシステムの連携を悪用して情報を機械的に引き出すものだった。定期的な脆弱性診断でも見つからなかった経路で、単体の点検だけでは防げない難しさを示している。
FirecrackerのCVE-2026-122192を読む：メモリの解放に失敗すると、ゲストからVMMのメモリを読み書きできる仕組みと対象条件
AWSの軽量な仮想マシン基盤 Firecracker で、マシンの中から外側のメモリを読み書きできる欠陥が公表された。DevelopersIO の解説によると、原因はメモリの返却処理が失敗しても動き続けたことにある。起きるのは、スナップショット（保存した状態）から復元したマシンだ。AWSのLambdaなどは影響を受けないが、自前で運用する環境は9月に出た修正版への更新が要る。
オープンソース監視ツールのLTS版「Zabbix 8.0 LTS」、OpenTelemetryにネイティブ対応しオブザーバビリティを強化
オープンソースの監視ソフト Zabbix が、5年間サポートされる新版「8.0 LTS」を出した。クラウド Watch によると、OpenTelemetry（アプリの動きを記録する共通規格）に対応した。サーバーとアプリの情報を、1つの画面で関連付けて見られる。公式のMCPサーバーも用意され、AIエージェントに監視データを分析させられる。
The post-quantum future of web privacy
Cloudflare が、量子コンピューター時代に向けたプライバシー技術の研究成果を公式ブログで公開した。対象は、CAPTCHAなしで「人間らしさ」を証明する匿名の通行証 Privacy Pass だ。今の暗号は量子計算機で破られると通行証を偽造されるため、耐量子の新方式を複数提案した。通行証の大きさは数KBに収まる見込みだが、安全性の裏付けはまだ途上で、導入は先になるという。
Backend
[破壊的変更] 明治時代の開始日が変更になって単体テストが失敗した件
何も変えていないのに、和暦を扱う単体テストが突然失敗したという報告が Zenn に投稿された。著者によると、CIの実行環境が Ubuntu 26.04 に切り替わり、同梱の国際化ライブラリ ICU が更新されたのが原因だ。世界共通の言語データで、明治の開始日が旧暦のまま記録されていた誤りが直され、9月8日から10月23日に変わった。ubuntu-latest のような「常に最新」指定は、こうした変化をある日いきなり持ち込む。
AWS CLI v2と出力が同じで最大550倍速いawsrをRustで作った
AWS CLI と同じ書き方で動き、出力も1バイトまで同じになる代替ツール「awsr」を、著者がブログで公開した。本家はPythonで、呼ぶたびに起動と設定データの読み込みで0.5〜1秒かかる。awsrはその準備をビルド時に済ませ、API呼び出しを数ミリ秒で終える。CIやシェルスクリプトでawsを何百回も呼ぶ場面ほど、待ち時間の差が積み上がる。
How we continuously validate formal specifications in production
Datadog が、設計図にあたる形式仕様を本番システムの動きと常時照らし合わせる仕組みを公式ブログで紹介した。TLA+（システムの「守るべき約束」を数式で書く言語）の仕様を、本番の記録を見張る監視プログラムに自動変換している。導入すると、1年前の最適化が原因の、ごく一部の矛盾したデータ保存が見つかった。Depot がTLA+でバグを見つけた事例は設計段階の検査だったが、こちらは本番で約束破りを見張る点が新しい。
[アップデート] Amazon DynamoDB で S3 から新規テーブルを作成せずに既存テーブルへ一括取り込みできる Bult Put Items が使えるようになりました
Amazon DynamoDB に、S3のファイルから既存テーブルへデータを一括で書き込む機能が加わった。DevelopersIO によると、これまでのS3取り込みは新しいテーブルを作る方式で、利用側の切り替え作業が要った。新機能では行ごとに条件を書けるため、「既にあれば上書きしない」といった安全な取り込みもできる。データの移行や定期的な取り込みを、自前の処理なしで済ませやすくなる。
The MustCreate Pattern for Go Tests
Goのテストで、失敗しないと分かっている値の作成を1行で書く工夫を、著者がブログで紹介した。Goは関数がエラーを返すたびに確認処理を書く必要があり、テストが前置きで長くなりやすい。著者は型ごとに補助関数を作っていたが、ジェネリクス（型を引数のように扱える機能）で1つの関数にまとめた。テストの本題が読みやすくなり、似た補助関数が増え続けるのも防げる。
Frontend
X、Webアプリ基盤をゼロから再構築 ―3つのサーバーを統合し低速回線での表示を大幅にスピードアップ
X（旧Twitter）が、約10年使ってきた3種類のWebサーバーを1つにまとめて作り直した。gihyo.jp によると、低速回線でプロフィールの最初の投稿が出るまでが、23.9秒から2.7秒に縮んだ。新基盤はできた部分から順にHTMLを送り、検索ロボットには完成品のHTMLを一度に返すなど、相手ごとに出し分ける。最初の版は5人のエンジニアがAIと組んで半年足らずで作ったという。
Blender’s UI and Runtime: Much Faster Than GPUI
3Dソフト Blender の画面部品を、単体のUIライブラリとして切り出した「BUI」がGitHubで公開された。READMEによると、中核はC言語の小さな部品で、Python、Rust、React、C++などから呼べる。作者の計測では、Rust製UIの GPUI より描画が速く、メモリも半分ほどで済んだ。ただし計測は1台・1場面だけで、日本語入力やアクセシビリティにはまだ対応していない。
Rune: A native GPU-rendered Rust UI framework for macOS, Windows, Linux and web
GPUで画面を描くRust製のUIフレームワーク「Rune」を、Anomaly がGitHubで公開した。READMEによると、描画や文字組み、レイアウトまで自前で持ち、macOS・Windows・Linux・Webで動く。どのアプリも画面なしで動かせ、AIエージェントが画像を出力したり操作を流し込んだりして確かめられる。まだ正式公開前の段階で、外部からのプルリクエストは受け付けていない。
Figmaのリアルタイム同期の仕組みを、Node.js + WebSocketの最小構成で実装してみた
Figmaの同時編集の仕組みを、著者が Node.js で小さく作って確かめた記事が Qiita に投稿された。前回読み解いたFigmaの同期設計の実践編だ。サーバーを1つに絞れば届いた順が正解になり、時刻を比べずに済むことを実際に動かして示した。画面の先読み反映を切ると操作がカクつく様子も比べており、仕組みの効き目が目で分かる。
リモートのエージェントが起動した dev server を手元でプレビュー：VS Code 1.145 の Remote browser proxy を試した
VS Code 1.145 で、遠くのマシンでAIが起動した開発用サーバーを、手元の画面でそのまま開けるようになった。Qiita の検証記事によると、SSH接続したマシン上のアプリを、ポート転送の設定なしで表示できた。エージェント自身もその画面を操作し、入力エラーなどの動作確認まで済ませたという。プレビュー機能のため、手元と遠隔の両方を対応版にそろえる必要がある。
Products
crystl
Claude Code や Codex など複数のAIコーディングツールを、1つの画面で並べて動かす macOS 向けターミナル。作業ごとに Git worktree（同じリポジトリの作業用コピー）を分けて、エージェントを並行させられる。AIが入力を待つとカードで知らせ、Macやスマホからワンクリックで返せる。複数のエージェントを同時に走らせる人の見張り役になる。
Cloptima
アプリとAIサービスの間に置き、呼び出し1回ごとに社内ルールを効かせる中継サービス。送信前に機密データを伏せ字にし、予算を超えた呼び出しは止め、エージェントが使える道具も制限できる。まず「止めるはずだった記録」だけを残す見張りモードで試せるのが特徴だ。AIの利用ルールが文書止まりになっている会社に向く。
MacDupl
Macのアプリを複製し、仕事用と個人用などのアカウントで同時にログインできるようにするツール。複製はディスクの差分だけを持つ方式で、容量をほとんど使わず約2秒で作れる。本体が更新されたら、古いままの複製をまとめて更新できる。複数の取引先アカウントを行き来する人の、ログアウトの手間をなくす。
Letterpress-1
Webサイトの集客改善を、AIがプルリクエスト（変更の提案）の形で出してくるツール。ページ改善やブログ作成、A/Bテストなどの施策を、AIが計画から実装まで進める。提案を一覧で渡すのではなく、そのまま取り込めるコード変更として出すのが違いだ。マーケ担当がいない小さな開発チームの手を補う。
refern.
絵や映像を作る人のために、参考資料の画像・動画・Webページを1カ所にまとめるデスクトップアプリ。手元のフォルダをそのまま読み込み、ファイルを動かさずにタグや色で探せる。資料を自由に並べるボードや、描画ソフトの上に重ねる半透明表示もある。アカウント不要の買い切りで、既存の整理ツールから乗り換えやすい。
Others
Sources: Anthropic is continuing with plans to list before the Thanksgiving holiday this month, expecting to raise $80B-$100B at a valuation of $1.25T to $1.75T (Financial Times)
Anthropic が、今月末の感謝祭までに上場する計画を続けていると Financial Times が報じた。調達額は800億〜1000億ドル、企業価値は1.25兆〜1.75兆ドルを見込むという。ハイテク株が大きく下げるなかでも、日程を変えない構えだ。投資家の評価が約1.5兆ドルに下がったとの報道もあり、市場の冷え込みが価格にどう響くかが焦点になる。
米国株式市場が急落。半導体やAI関連が下落、時価総額が400兆円近く消えたとも
米国の株式市場が大きく下げ、AIや半導体の関連株が売られた。ギズモード・ジャパンによると、ナスダック総合は5.5%下落し、NVIDIAは9.3%、AMDは17.3%値を下げた。中間選挙で勝った民主党が、AIデータセンターの建設にブレーキをかけるとの懸念が主な理由だ。影響は日本にも及び、日経平均は一時5万7000円を割り込んだ。
Ramp data shows AI spending stalling just as Anthropic nears its IPO
企業のAI利用量は増え続けているのに、支払額は伸び悩んでいると TechCrunch が報じた。法人カードの Ramp の集計では、8〜9月のAI利用料の伸びは1.5%にとどまった。値下げ競争に加え、高いモデルを既定で禁じたり安いモデルへ振り分けたりする節約策が広がっている。「使うほど売上が伸びる」という前提が揺らぎ、上場を控えるAI企業の評価にも響きうる。
OpenAIが「AIデータセンターの電力やインフラは全額自己負担」「電気・水道の使用量を公表」などの約束を発表
OpenAI が、AIデータセンターを建てる地域への配慮を約束として打ち出した。Gigazine によると、電力やインフラの費用を全額負担し、電気と水の使用量を公表するという。地元で働く人の育成を支援し、採用状況を毎年報告することも挙げた。住民投票で規制強化が相次いで可決された直後で、反発を和らげる狙いがある。
Microsoft、教育機関向け無料プランOffice 365 A1を2028年に廃止。基本100TBも撤廃へ
Microsoft が、教育機関向けの無料プラン Office 365 A1 を2028年1月1日に廃止する。情報の灯台の記事によると、学校全体に付いていた100TBの共有ストレージもなくなる。後継の無料プランにはメールやTeamsが含まれず、使い続けるには有料ライセンスが必要だ。切り替えは契約更新ごとに始まるため、学校は自校の契約期限を早めに確かめておきたい。
管理人のピックアップ
OWASP Top 10:2025
Webアプリの代表的な危険をまとめた OWASP Top 10 の2025年版が、公式サイトで公開されている。1位はアクセス制御の不備で、2位は設定ミスだった。3位には、使っている部品やツールの供給元から攻撃が入り込む「ソフトウェアサプライチェーンの失敗」が入った。10位には、例外的な状況の扱いを誤る問題が並んでいる。
なぜ今、OWASP Top 10 for LLM Applications 2026を読むべきか 第2回 | 株式会社NTTデータ先端技術
AIアプリ向けの危険ランキング「OWASP Top 10 for LLM」の2026年版を、NTTデータ先端技術がコラムで読み解いた。AIエージェントの普及で、AIに権限を与えすぎる問題が3位に上がった。筆者は、外部ツールの説明文に指示を仕込むと手元のAIがそれを信じてしまう様子を再現している。課題票や問い合わせ窓口のような身近な入力欄も、攻撃の入口になりうると説く。
C4モデル
ソフトウェアの構成を4段階の図で描く「C4モデル」の解説書が、オライリー・ジャパンから12月2日に出る。生みの親の Simon Brown 本人が書いた本の翻訳だ。システム全体からコードまで、各段階の図に何を描くかと、その使いどころを説明する。決まった記法に縛られない考え方なので、手持ちの図を改善するヒントとしても読める。
続・ソフトウェアアーキテクトのための意思決定術: Decision Readiness, Revisited — When AI Changes the Economics of Software Architecture
AIが設計判断の「損得勘定」を変えるという講演資料を、島田浩二氏が公開した。調査や試作、テストが安くなり、以前は割に合わなかった選択肢が現実的になったという。一方で、データ消失や信頼の失墜はコードを戻しても取り消せず、そこは変わらない。前提が変わったら判断を見直すきっかけを、設計記録に書いておくよう勧めている。
エンジニアの成長速度は、試行錯誤を重ねた回数で決まる | gihyo.jp
エンジニアの成長はAIで速められる、という書籍の抜粋が gihyo.jp に掲載された。計画・実行・振り返り・改善のサイクルは、これまで1周回すだけで多くの手間がかかっていた。AIが各段階の壁を下げたことで、挑戦できる回数そのものが増えたという。ただしAIを使うだけでは足りず、回した数だけ経験を積むことが成長につながると説く。
涙に叱責に持論……GMO熊谷代表の謝罪会見、どこがまずかった？ 危機管理広報のプロが分析
情報漏えいをめぐるGMOインターネットグループの謝罪会見を、危機管理広報の専門家がITmedia NEWSで分析した。3時間半にわたり質問に答えた姿勢は評価しつつ、代表の持論や涙が目立ったと指摘する。印象的な言葉は見出しになりやすく、本題と別の報道を生んでしまう。漏えいが相次ぐ今、会見の目的を見失わないことの大切さを説いている。
「給与維持の週休3日制」AI効率化で実現 しかし社員が喜ばず……なぜ？ 「ライザAI」提供企業で起きたこと
給料はそのままで週休3日にしたAI企業 SpiralAI の取り組みを、ITmedia NEWS が取材した。働く時間を2割減らし、AIを「使えたらいい」ではなく「使わざるを得ない」状態にする狙いだった。発表時は成果を保てるかの不安から、誰も喜ばなかったという。約1カ月で新しい働き方に慣れ、4カ月たった今は元に戻すつもりはないとしている。
AWS Continuum Code Vulnerabilitiesを使って最近の脆弱性を見つけられるのか試してみた | DevelopersIO
コードの欠陥を探し、悪用できるかを判断して直し方まで出すAWSの新サービスを、DevelopersIO が試した。わざと欠陥を仕込んだ小さなアプリを、PHP・Node.js・Pythonで用意して調べさせている。ライブラリ由来の欠陥やSQLインジェクションは見つかったが、言語本体の版に由来する欠陥は見逃した。「悪用できる」との判定も、実際に攻撃を試した記録はなかったという。
cc-switch/README_JA.md at main · farion1231/cc-switch
AIコーディングツールの設定をまとめて管理するアプリ「CC Switch」の日本語README。対象は Claude Code や Codex、Gemini CLI などだ。接続先のAIサービスやMCP、スキルの設定を、ファイルを手で書き換えずに切り替えられる。Octoverse 2026で急成長したリポジトリの首位に挙がったツールだ。
MetaのAIエージェント「Muse」に音声対話機能 表情豊かなアバターと会話、まず米国で提供
Meta が、AIエージェント「Muse」に音声で会話する機能とアバター機能を加えた。ITmedia NEWS によると、まず米国で、スマホやWeb、Mac向けのアプリで使える。アバターは話の内容や雰囲気に合わせて表情や身ぶりを変える。散歩中や料理中に声で用事を頼み、会話を続けながら裏で作業を進めさせることもできる。
Anthropic、「Claude」に家計管理機能「Personal Finance」 銀行口座と連携、米国でβ提供
Anthropic が、Claude に銀行口座を連携して家計を相談できる新機能を加えた。ITmedia NEWS によると、口座の残高と最長2年分の取引履歴をもとに、支出の内訳や給料日までの残高を答える。二重請求や、少しずつ上がっていた料金のような見落としも指摘する。データは読み取り専用で、お金を動かすことはできない。
SRE ブックの 10 年間:『Site Reliability Engineering』第 2 版のご紹介 | Google Cloud 公式ブログ
Google が、運用の定番書『Site Reliability Engineering』第2版の狙いを公式ブログで紹介した。初版の10年前は、多くの組織がクラウドへの移行を始めたばかりだった。今の課題は、依存関係が深まった複雑なシステムを安定して動かし続けることだという。@IT が報じた改訂の中身とあわせて読むと、何が変わったのかがつかみやすい。
「推し活疲れ」の原因はスマホ？ 月1万円超の出費、睡眠を削る人も 推しとの“ちょうどいい距離”を考える
推し活をする人が約半数に達し、月の平均支出が1万円を超えたことを ITmedia Mobile が調査から紹介した。一方で、スマホで動画の再生回数を稼ぐような応援が若い世代に広がっている。10代の約6割が、再生回数を増やすことを推し活として行っているという。お金がかからない分、時間や睡眠を削りやすいことが、疲れの一因になっている。
IT未経験の私がAIに頼りすぎて挫折し、自分の頭で考えるようになるまで - Qiita
IT未経験で入社した新人が、AIに頼りすぎて行き詰まった経験を Qiita に書いた。人に聞くのが怖く、エラーの原因も考えずにAIへ丸投げしていたという。先輩に実装の意図を聞かれて何も答えられず、やり方を改めた。まず自分で書き、仮説を立ててからAIや先輩に相談する、という順番に変えている。
AI生成コードを本番品質に保つためのフロントエンド開発の仕組み
AIが書くコードの品質は指示の工夫より外側の仕組みで決まる、と Sun* の開発者が Zenn で論じた。AIは仕様に書かれていない文字数の上限などを、それらしい値で勝手に埋めてしまう。記事は、AIに渡す前提情報、機械的なチェック、テスト、CIと人のレビューの4層で防ぐ方法を示す。Next.js と TypeScript の具体的な設定例が付いている。
AI駆動文章作成において俺が意識しているテクニック集
AIで文章を書くときに意識している工夫を、著者が Zenn にまとめた。前提は「誰も自分の文章なんて読みたくない」で、まず誰が何のために読むのかを決める。本文より先に目次だけを書き、構成に合意してから中身に進むと、手戻りが減るという。詳しい手順は折りたたみやリンクに逃がし、結論を先に置くよう勧めている。