デイリーニュースダイジェスト - 2026-06-17

🔒 セキュリティ

📢 サマリー

CISAがLiteSpeed cPanel Plugin（CVE-2026-54420）とCisco Catalyst SD-WAN Manager（CVE-2026-20262）の2件をKEVカタログに追加。Fortinet FortiSandboxでは3件の深刻な脆弱性が同時に悪用されている。中国関連のハッカー集団が北米の医学研究機関に1年以上潜伏し情報窃取。またcurlがAI生成の脆弱性報告の洪水によりバグバウンティプログラムを停止。国内では三菱電機のWi-Fi家電に広範な脆弱性、ソフトバンクGとOpenAIがAIによる脆弱性診断サービス「Patching as a Service」を発表。

📌 注目記事

CISA、LiteSpeed cPanel PluginとCisco SD-WAN Managerの脆弱性をKEVカタログに追加

CVE-2026-54420（LiteSpeed cPanel Plugin / Symlink Following）は共有ホスティング上のroot権限昇格が可能で、CVE-2026-20262（Cisco Catalyst SD-WAN Manager / パストラバーサル）は認証済み攻撃者による任意ファイル書込みが可能。両脆弱性とも積極的な悪用が確認されており、FCEB機関は6月18日までの対応が求められている。

Fortinet FortiSandboxの3件の深刻な脆弱性が同時に悪用される

CVE-2026-39813、CVE-2026-39808、CVE-2026-25089の3件が24時間以内に実環境で悪用されていることをDefused Cyberが確認。うち1件は先週パッチが公開されたばかりで、攻撃者のパッチギャップを突くスピードが加速している。

中国関連ハッカー集団、北米医学研究機関に1年以上潜伏し情報窃取

UNC6508として追跡される中国関連のスパイグループが、REDCap研究サーバーのバックドアから認証情報を窃取し、Google Workspaceのルールを悪用して防衛・研究関連のメールを転送。Google脅威インテリジェンスグループが詳細を報告。

curl、AI生成の脆弱性報告の洪水によりバグバウンティプログラムを停止

AIが生成した低品質な脆弱性レポートが大量に提出され、メンテナーの負荷が限界に達したため。Linus Torvaldsも同様の問題を訴えており、OSSメンテナンスにおけるAI悪用の深刻な課題が浮き彫りに。

Microsoft、6月の月例パッチで複数のゼロデイ脆弱性を修正

Windows、Office、Azureなど広範囲の製品が対象で、BitLockerやExchangeの悪用確認済みゼロデイ脆弱性を含む。CVE-2026-45456はOutlookとWordに影響するリモートコード実行の脆弱性で深刻度は「緊急」。

Chromeに悪用済みゼロデイ脆弱性、35億人に影響

Google Chromeで実環境での悪用が確認されたゼロデイ脆弱性が修正された。先週の429件の脆弱性修正に続く緊急アップデートで、全ユーザーに即時適用が推奨される。

DragonForceランサムウェア、Microsoft Teamsリレーを悪用してC2通信を隠蔽

カスタムマルウェア「Backdoor.Turn」を使用し、正規のMicrosoft Teams中継インフラを経由させることで悪意ある通信を通常の企業コラボレーションに見せかける新たな手口が確認された。

SprySOCKSバックドアのWindows版が政府機関を標的に

これまでLinuxのみと考えられていたSprySOCKSが、カーネルドライバを用いた検出回避機能を備えるWindows版（WIN_DRV、WIN_PLUS）に拡張され、少なくとも4カ国の政府機関への攻撃に使用された。

三菱電機のWi-Fi家電に広範な脆弱性、エアコンや冷蔵庫などに影響

Wi-Fi機能にSSIDとパスワードがハードコードされており、電波が届く範囲から不正アクセスが可能。霧ヶ峰エアコン、冷蔵庫、炊飯器など広範囲の製品が影響を受ける。

ソフトバンクGとOpenAI、AI脆弱性診断サービス「Patching as a Service」を発表

OpenAIのセキュリティ特化AI「GPT-5.5 Cyber」を活用し、自社約700システムの診断で1万500件の脆弱性を発見。重要インフラ国内約3,000社向けに診断から修復実装提案までを提供開始。

Steam Workshopが悪用されWallpaper Engine経由でマルウェア拡散

Valveのコミュニティハブ「Steam Workshop」を通じて、壁紙パッケージに偽装したマルウェアが複数拡散されていることが判明。正規プラットフォームを経由した新しいマルウェア配布経路として注意が必要。

Rokarolla Androidバンキング型トロイの木馬、217の金融・暗号通貨アプリを標的に

ロック画面PINやSMSコードの窃取、137のリモートコマンドによる完全なデバイス制御が可能。偽のTikTokやChromeダウンロードを通じて拡散され、永続化機能も備える。

AIエージェントセキュリティの転換点：プロンプトインジェクションは構造的欠陥でありパッチ不可能

OWASP GenAI Security Projectの2026年6月レポートが、プロンプトインジェクションはアーキテクチャ上の根本的問題であり、従来のパッチでは解決できないと結論。Simon Willisonの「致死的トリフェクタ」やMetaの「Agents Rule of Two」など、設計段階での対策が不可欠。

米政府、Anthropic Fable 5の輸出規制を発動 — 「Fix this code.」の3語が引き金に

単純なコード修正依頼プロンプトが国家安全保障上の懸念とされ、Fable 5とMythos 5に輸出規制が課された。バグバウンティ専門家Katie Moussourisは「単なるHELPコマンドだ」と過剰反応を批判。

iRhythm、データ侵害で患者情報が流出

デジタルヘルスケア企業iRhythmが、サードパーティのビジネスアプリケーションへの不正アクセスにより患者の個人情報・健康情報が窃取されたと開示。攻撃者は身代金を要求。

📅 セキュリティ週次まとめ

該当記事なし。

📰 セキュリティニュース (58件)

CVE, 脆弱性

�P0�

• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA — CVE-2026-54420（LiteSpeed cPanel Plugin / Symlink Followingによるroot権限昇格）、CVE-2026-20262（Cisco Catalyst SD-WAN Manager / パストラバーサルによる任意ファイル書込み）を悪用リストに追加。両脆弱性とも実環境での悪用が確認されている。
• CISA warns of another cPanel plugin flaw exploited in attacks — BleepingComputer — CVE-2026-54420のLiteSpeed cPanelプラグイン脆弱性について、CISAが米政府機関に3日以内の対応を指示。
• CISA Flags LiteSpeed cPanel Plugin Flaw Exploited for Root Privilege Escalation — The Hacker News — LiteSpeed cPanel Pluginの脆弱性CVE-2026-54420がKEVカタログに追加され、FCEB機関に6月18日までの修正が要求された。
• U.S. CISA adds Cisco Catalyst and LiteSpeed cPanel plugin flaws to its Known Exploited Vulnerabilities catalog — Security Affairs — CISAがCisco Catalyst SD-WAN ManagerとLiteSpeed cPanelプラグインの脆弱性をKEVカタログに追加。
• Cisco Releases Security Updates for Actively Exploited SD-WAN Manager Flaw — The Hacker News — CVE-2026-20262（CVSS 6.5）はCisco Catalyst SD-WAN ManagerのWeb UIに存在し、認証済みリモート攻撃者による任意ファイル作成・上書きが可能。
• CVE-2026-20262: CISCO Catalyst SD-WAN Flaw Under Active Targeted Exploitation — Security Affairs — CiscoがCVE-2026-20262の実環境での標的型悪用を確認し、修正パッチの即時適用を推奨。

�P0�

• Critical Fortinet FortiSandbox flaws now exploited in attacks — BleepingComputer — CVE-2026-39813、CVE-2026-39808、CVE-2026-25089の3件がDefused Cyberにより実悪用を確認。1件は先週パッチ公開されたばかり。
• Fortinet Warned as Three Critical FortiSandbox Bugs Come Under Attack — Security Affairs — 24時間以内に3件のFortiSandbox脆弱性の悪用が観測され、パッチ適用の猶予期間が急速に縮小している。
• Attackers Exploit Three Fortinet FortiSandbox Flaws, One Patched Last Week — The Hacker News — Defused CyberがX上でCVE-2026-39813、CVE-2026-39808、CVE-2026-25089の悪用観測を報告。

�P0�

• Microsoftが6月の月例パッチを公開　BitLockerやExchangeにゼロデイ脆弱性 — ITmedia Security — Windows、Office、Azureなど広範囲の製品を対象に、悪用確認済みのゼロデイ脆弱性を含む6月の月例セキュリティ更新プログラムを公開。
• OutlookとWordにリモートコード実行脆弱性　深刻度は「緊急」 — ITmedia Security — CVE-2026-45456はOfficeの型混同による脆弱性で、未認証の攻撃者がローカルでコード実行可能。悪用難易度は低い。
• ISC Stormcast For Tuesday, June 16th, 2026 — SANS Internet Storm Center — 2026年6月16日のSANS Stormcastポッドキャスト。月例パッチや新たな脅威について解説。

�P0�

• 35億人が対象、Chromeに悪用済みゼロデイ脆弱性　今すぐアップデートを — はてなブックマーク — 先週の429件のパッチに続き、実環境で悪用コードが出回っているゼロデイ脆弱性に対する緊急アップデートが公開された。

• 本日気になった注意喚起情報（6/16）★ — Fox on Security — Oracle PeopleSoftの脆弱性がランサム攻撃に悪用されている件やApache CXFの複数脆弱性など、6月16日時点の注意喚起情報をまとめて配信。

• 三菱の家電にWi-Fi脆弱性、エアコンや冷蔵庫、炊飯器など広範囲　ユーザーに対応求める — ITmedia Security — Wi-Fi機能に固定のSSIDとパスワードがハードコードされており、攻撃者が電波範囲から不正アクセス可能。霧ヶ峰エアコンや冷蔵庫、炊飯器など広範囲の製品に影響。

• Windows version of SprySOCKS Linux malware used to attack govt orgs — BleepingComputer — SprySOCKSバックドアのWindows版（WIN_DRV、WIN_PLUS）がカーネルドライバによる検出回避機能を備え、4カ国以上の政府機関への攻撃に使用された。

• China-Linked SprySOCKS Backdoor Expands to Windows with Driver-Based Stealth — The Hacker News — ESETが、これまでLinuxのみと考えられていたSprySOCKSのWindows版2種を発見。FishMongerグループによるもと、ホンジュラス、台湾、タイ、パキスタンの政府機関が標的に。

• SprySOCKS Windows Variant Abuses Kernel Drivers to Evade Detection — Dark Reading — FishMonger（中国関連）が展開するSprySOCKSのWindows版がカーネルドライバを悪用し検出回避。政府標的への攻撃が確認された。

• New Rokarolla Android Malware Steals PINs, SMS Codes, and Crypto Wallet Funds — The Hacker News — 217の金融・暗号通貨アプリを標的とするAndroidバンキング型トロイの木馬。ロック画面PIN窃取や137のリモートコマンドで完全なデバイス制御が可能。

• Rokarolla Android Trojan Levels Up to Full Device Control, Persistence — Dark Reading — 偽のTikTokやChromeダウンロード経由で拡散される新種マルウェア。バンキング詐欺と広範なデバイス監視・遠隔操作を組み合わせた進化型。

• From a VHDX File to a Remcos RAT, (Tue, Jun 16th) — SANS Internet Storm Center — ZIPアーカイブ内のVHDXファイルがマウント後に悪意あるJavaScriptを開示し、最終的にRemcos RATを投下するマルウェア連鎖を分析。

サイバー攻撃, インシデント・マルウェア

�P0�

• 中国関連のハッカー集団が医学研究機関を標的にして気付かれないまま情報収集活動を行っていたとGoogleが報告 — はてなブックマーク — Google脅威インテリジェンスグループが、中国関連ハッカー集団が米国・カナダの医学研究機関に1年以上潜伏し、独自マルウェアで機密情報を窃取していたと報告。
• Chinese Hackers Abused Google Workspace Rules to Steal Research and Defense Emails — The Hacker News — UNC6508がREDCapサーバーのバックドアから認証情報を窃取し、Google Workspaceルールを悪用して研究・防衛メールをGmailに転送。
• China-linked actor spent two years inside medical research networks — Security Affairs — UNC6508が北米の医学・軍事研究ネットワークに約2年間潜伏し、認証情報を窃取してメールを転送し続けていた。

�P0�

• Ransomware gang abuses Microsoft Teams relays to hide malicious traffic — BleepingComputer — カスタムマルウェア「Backdoor.Turn」を使い、Microsoft Teamsの中継インフラ経由でC2通信を隠蔽する新手口。
• Crooks found a new way to collaborate using Teams – by hiding command-and-control traffic — The Register - Security — 正規のMicrosoftサービス経由で悪意ある通信をルーティングし、通常の企業コラボレーションに見せかける手法。

�P0�

• Steam Workshop abused to spread malware via Wallpaper Engine app — BleepingComputer — ValveのコミュニティハブSteam Workshopが悪用され、壁紙パッケージに偽装したマルウェアが拡散されている。

�P0�

• ClickFix Campaigns Expand Malware Delivery With New Loaders and Fake Update Lures — The Hacker News — BabaDeda Loader、Lorem Ipsum Loader、Potemkinの3種のマルウェアローダーを配信する複数のClickFixキャンペーンがMorphisec、BlueVoyant、Huntressにより報告された。

• 'Lorem Ipsum' Malware Pivots to ClickFix Delivery — Dark Reading — 改ざんされたWordPressサイトを利用するLorem IpsumマルウェアがClickFix配信に移行。ランサムウェアグループVice Societyとの関連が指摘される。

• iRhythm discloses data breach, says hackers stole patient info — BleepingComputer — デジタルヘルスケア企業iRhythmが、第三者ホスト型ビジネスアプリへの不正アクセスで患者情報が流出したと開示。6月8日に侵害を検知し攻撃者は身代金を要求。

• iRhythm Confirms Data Stolen in Hack — SecurityWeek — デジタルヘルス企業iRhythmが6月8日に侵害を検知し、攻撃者から身代金要求を受けたことを確認。

• Cardiac monitor maker's security skips a beat as data thieves go for the jugular — The Register - Security — 心臓モニターメーカーiRhythmがソーシャルエンジニアリング攻撃で第三者ビジネスアプリに侵入され患者情報が流出。

• Cybercrime Group Claims Novo Nordisk Hack — SecurityWeek — ハックアンドリークグループFulcrumSecが製薬大手Novo Nordiskから1.3TBのデータを窃取したと主張。

• Fake Microsoft Alerts Used to Deploy North Korean NarwhalRAT Malware — The Hacker News — 北朝鮮のScarCruft（APT37）がMicrosoftアカウントセキュリティ通知を装ったスピアフィッシングでNarwhalRATを配信。

• North Korean Hackers Are Turning Developer Tools Into Malware Delivery Channels — The Hacker News — 北朝鮮のContagious Interviewクラスタが開発者ツールを悪用したマルウェア配信キャンペーンを展開しているとProofpointが報告。

• Cal Water Investigating Iranian Hackers' Claims — SecurityWeek — カリフォルニア水道サービスがイランのハッカーによる侵害主張を調査中。現時点で水道・下水システムへの運用影響は確認されていない。

• FTC warns of record $3.5 billion losses to imposter scams in 2025 — BleepingComputer — 米FTCが2025年のなりすまし詐欺による被害額が35億ドルに達し、2020年比で約3倍に増加したと警告。

• GhostTree Attack Abused Recursive Windows Junctions to Hide Malware — BleepingComputer — GhostTreeが再帰的NTFSジャンクションを悪用し、大量の有効なWindowsファイルパスを生成。Microsoft Defenderのフォルダスキャンを完了不能にしマルウェアを隠蔽する手法。

• Atomic Arch Supply Chain Attack Hits 1,500 AUR Packages — SecurityWeek — Arch LinuxのAURに1500件の悪意あるパッケージがアップロードされるサプライチェーン攻撃が発生。Arch Linuxはアカウント登録を一時停止。

• Survey: 94% of Incidents Involve Anonymized Infrastructure. Teams Are Still Reactive — The Hacker News — 94%のインシデントが匿名化インフラを経由しているにも関わらず、多くのセキュリティチームが依然として事後対応型であるという調査結果。

• とある企業がモニターの件でメールを送って来たが、対象者にBCCではなくTOで一斉送信してきたのでその事を指摘したら強気な返信が来た — はてなブックマーク — 企業がメールのTO一斉送信により受信者アドレスを相互に公開する情報漏洩インシデント。指摘に対する企業の不適切な対応も問題視されている。

セキュリティツール, 研究

• セキュリティ担当者を追い詰める「努力と不安のジレンマ」　認知バイアスから解き明かす — ITmedia Security — 現役CISOがセキュリティ現場の「努力と不安のジレンマ」の背景にある認知バイアスを解説し、組織を疲弊させない解決策を提示する記事。
• ドキュメント/ナレッジ系OSSの選び方｜知識グラフ・図解生成・構造化抽出マップ — Feedly (AI Heartland) — oh-my-mermaid、Graphify、SurfSense、Hyper-Extractなど、知識・図表・ドキュメント生成・抽出・構造化するOSSを3系統に整理した比較ガイド。
• FBIが建設したサイバー攻撃をシミュレーションするための小さな町「Kinetic Cyber Range」の内部が公開される — はてなブックマーク — FBIが2025年に設立したデジタル捜査能力向上のための訓練施設「Kinetic Cyber Range」の内部が初公開され、1400人以上の訓練実績や訓練内容の詳細が報告された。
• AI and Cybersecurity – Everything You Wanted to Know, But Were Afraid to Ask — SecurityWeek — ネットワーク防衛から攻撃支援まで、AIがサイバーセキュリティのあらゆる側面を変革している現状について、多数の専門家の見解をまとめた総合解説。
• Magnitude Emerges From Stealth Mode With $10 Million in Funding — SecurityWeek — 自律AIエージェントを用いたサードパーティリスク管理（TPRM）を強化する企業Magnitudeが1000万ドルの資金調達でステルスモードから登場。
• Endpoint Security Startup Ent Emerges From Stealth With $100 Million Seed Round — SecurityWeek — ユーザーやエージェントの行動をリスク実行前に解釈するインテント認識型エンドポイントセキュリティプラットフォームを開発するEntが1億ドルのシード調達でステルスモードから登場。
• Can CISOs Trust Their Applications? TrustCloud Wants to Replace the Questionnaire — SecurityWeek — TrustCloudがセキュリティ・インフラ・ガバナンスデータを継続的に分析し、アプリケーションリスクをリアルタイムで可視化するCISO向けプラットフォームを発表。
• Daily記事まとめ（2026年のCVEが既に6.6万件近く、AIハッカソンで400以上の脆弱性を発見、点検だけでは終わらない ほか） — Fox on Security — 直近のセキュリティ関連記事まとめ。2026年のCVEが既に6.6万件に迫る状況やAIハッカソンでの400以上の脆弱性発見など注目トピックを集約。
• 自動車セキュリティエンジニアへの転職体験記｜メーカー出身者がNDIASで実感した「成長の加速」 — NRIセキュア 公式 — 自動車メーカーからNDIASへ転職したエンジニアが、車載ECU診断やJASPAR標準化活動での成長実感を語るインタビュー記事。

クラウド

• Cloudflare DMARC Management is now generally available — Feedly (Cloudflare Blog) — CloudflareのDMARC Managementが一般提供開始。メール認証態勢の統合可視化、詳細レポート、レコード分析、SPF監査を全顧客に無料提供。
• ZscalerのゼロトラストプラットフォームでIoTセキュリティ強化・運用の簡素化を実現する「Cellular SASE for IoT」、NTTドコモビジネスとTransatelが提供 — INTERNET Watch — NTTドコモビジネスとTransatelがグローバルIoT市場向けセキュリティソリューション「Cellular SASE for IoT」の提供を開始。
• Zscaler、AI時代に向けセキュリティ基盤「Zscaler Zero Trust SASE」を拡張、自律運用可能かつ広範囲対象に — INTERNET Watch — ZscalerがゼロトラストSASEをAI時代向けに再定義し、自律運用可能で広範囲の対象に対応する拡張を発表。
• PR： 運用負荷を増やさずにセキュリティを強化　一貫したポリシー管理で"全体最適"を実現するネットワーク戦略とは — ITmedia Security — ランサムウェアの脅威が増す中、機器増設に頼らないネットワークセキュリティ戦略としての一貫したポリシー管理の重要性を解説するPR記事。

Web Application Security, WebSec, OWASP

�P0�

• Chrome拡張機能の開発で気をつけたいセキュリティリスク - GMO Flatt Security Blog — はてなブックマーク — AIバイブコーディングでChrome拡張機能を開発するケースが増加している背景を踏まえ、拡張機能開発時に注意すべき7つのリスクと対策を解説。

• Chrome拡張機能の開発で気をつけたいセキュリティリスク — Feedly (Flatt Security Blog) — ブラウザ拡張機能の仕組みを整理し、バイブコーディング時代に開発者が注意すべき代表的なセキュリティリスクを詳述。

• Chrome拡張機能の開発で気をつけたいセキュリティリスク — Feedly (GMO Flatt Security Blog) — 同上。

• fix: swap color and fallback in Slack message format — OWASP Cheat Sheet Series — OWASP Cheat Sheet SeriesリポジトリのSlackメッセージフォーマットにおける色とフォールバックの修正PR。

• DAST 2026.6 — Feedly (Burp Suite) — Burp Suite DAST 2026.6リリース。プロキシ除外リストのワイルドカード・IPv6対応、新スキャナ更新ファイル名形式サポート、セキュリティ修正を含む。

• WebのクローラーBotが付加するWeb-Bot-Authの署名を検証してみる — ASnoKaze blog — GoogleのクローラーBotが実装するWeb-Bot-Auth仕様の署名検証を実際に試し、正規Botの認証とAI学習Botへの課金などの応用可能性を検討。

Bug Bounty

• Everyone has their own unique bug bounty starting story. — Bugcrowd — @monkehackがバグバウンティの始め方と就職につながった経験を共有するBugcrowd公式のインタビュー動画。
• Hacker Conversations: Isira Adithya, the Evolution of an Ethical Hacker — SecurityWeek — LED電球の製造から大学卒業、バグバウンティ収益で家を購入するまでの倫理的ハッカーIsira Adithyaの進化を追うインタビュー。

DevSecOps, CI/CD

• AI生成コードはどこまで安全か：バイブコーディングで作ったポイント交換アプリを診断してみた — ラック・セキュリティごった煮ブログ — AIによるバイブコーディングで開発したポイント交換アプリに対して脆弱性診断を実施し、AI生成コードのセキュリティ上の課題を検証したレポート。

プライバシー, 法規制, セキュリティ政策

• UK to require ID or face scan before you can make social media accounts — BleepingComputer — 英国が2027年春より16歳未満のSNS利用禁止を施行。IDアップロードや顔認証による年齢確認が義務化されるが、迂回の容易さとデータ漏洩リスクが指摘されている。
• 英国、来春にも16歳未満のSNS利用禁止へ、規制機関「10月までに実効性ある年齢確認方法を報告」 — INTERNET Watch — 英国のスターマー首相が16歳未満のSNS利用禁止方針を発表。2027年春の施行を目指し、規制機関に実効性ある年齢確認方法の報告を義務付け。
• White House Issues Memo to Bolster NSS Cybersecurity — SecurityWeek — NSPM-12が国家安全保障システム（NSS）のサイバーセキュリティガバナンスと説明責任の明確な構造を確立し、CNSSを再設置。
• 実はものすごく難しいデジタル社会の「本人確認」　パスキーとマイナンバーカードの狙いは？ — ITmedia Security — パスワードからパスキー、マイナンバーカードまで、デジタル社会における本人確認手法の変遷と最新動向を解説。
• Proton's Privacy Promise Has an Asterisk: what 40,000 government orders actually tell us — The CyberSec Guru — Protonのプライバシー主張に対し、40,389件の政府要請への応諾、メタデータ露出、IPロギング、MLAT案件など制約の実態を分析。
• 【これ一つで安心】メールもパスワードも守る！スイス生まれの「Proton（プロトン）」がすごい — はてなブックマーク — スイス発の安全なメール・パスワード管理・データ保存サービス「Proton」の全機能を初心者向けに紹介。
• 【警告】そのVPN、本当に必要ですか？一般家庭には「不要」な理由を解説 — はてなブックマーク — 一般的な家庭のインターネット利用ではVPNは不要であり、むしろ速度低下や使い勝手悪化の原因になることを解説する記事。
• 【今さら聞けない証明書の仕組み】SSL/TLS証明書・認証局・TLS復号をCloudflareで理解する SASE基礎 — はてなブックマーク — SASEやゼロトラスト時代に必須のSSL/TLS証明書の仕組みをCloudflareを通して理解する入門解説。

セキュリティ系の勉強会やイベント、カンファレンス

• Global AppSec Vienna: AI and the Threat Modeling Manifesto — OWASP — OWASP Global AppSec Vienna 2026（6月25日）でVikramaditya Narayanが「AIと脅威モデリングマニフェスト：衝突、失敗モード、より良いパターン」について講演予定。
• Pwn2Own Berlin 2026 参加記 — Feedly (GMOサイバーセキュリティ) — 2026年5月14日〜16日にベルリンで開催されたPwn2Own Berlin 2026のコンテストの様子や現地体験レポート。

会社ブログ, その他

• 厚労省、委託事業者の作業ミスでTeams上のチャットデータが消失。業務への影響は限定的 — INTERNET Watch — 厚生労働省のLANシステム運用委託先である東芝が、作業ミスによりTeams上のチャットデータの一部を消失させた事案の概要と原因を発表。
• PSN's One-Letter Username Glitch: What Actually Happened Under the Hood — The CyberSec Guru — PSNで2006年以降ブロックされていた1文字ユーザー名が取得できた不具合のバリデーション失敗原因とSonyの対応見通しを分析。
• バッファロー、セキュリティ評価制度「JC-STAR」★1適合のWi-Fi 6ルーターエントリーモデル「WSR-3000AX4L」発売 — INTERNET Watch — JC-STAR ★1適合のWi-Fi 6ルーター「WSR-3000AX4L」をバッファローが6月16日に発売。Amazon販売価格9,080円。
• Amazonで最大70％OFFの「Kindle本 夏の超大セール 第1弾」、セキュリティ関連書も多数対象 — INTERNET Watch — 「セキュリティ1年生」「7日間でハッキングをはじめる本」などセキュリティ関連書籍が50％OFF等のKindleセール情報。

🤖 AI, 機械学習

AI, 機械学習ニュース (19件)

新モデル、研究論文

�P0�

• Feds freaked over Fable 5 after 'fix this code', not jailbreak, say researchers — HackerNews — 「Fix this code.」という単純なプロンプトが国家安全保障上の大騒動を引き起こした経緯。バグバウンティ専門家Katie Moussourisは「単なるHELPコマンド」と過剰反応を批判。

• なぜClaude Fable 5が標的に？　米政府が最新AIを突如停止させた理由 — ITmedia Security — 米政府がAnthropicの最新モデルFable 5とMythos 5に輸出規制を課した異例の事態。Anthropicは「他社でも可能な機能だ」と反論。

• Claude: Elevated errors across many models — HackerNews — Claudeの複数モデルでエラーが増加しているインシデント報告。ステータスページでの状況更新。

• Running local models is good now — HackerNews — 2026年時点でローカルLLMの実行環境が大幅に改善され、実用的になった状況を解説するブログ記事。

• GPT‑NL: a sovereign language model for the Netherlands — HackerNews — オランダの国家主権型言語モデル「GPT-NL」の開発プロジェクト。TNOが主導し、オランダ固有の言語・文化・価値観を反映したAIを目指す。

• SubQ 1.1 Small — HackerNews — SubQ 1.1 Smallモデルのテクニカルレポート。小規模ながら高効率な推論性能を実現した新モデルの詳細。

• Qwen-Robot Suite: A Foundation Model Suite for Physical World Intelligence — HackerNews — 物理世界の知能のための基盤モデルスイート「Qwen-Robot Suite」。ロボット制御と実世界タスクのためのAIモデル群。

• AmazonのRAGに関する研究 — Zenn (knowledgesense) — Amazonが提唱する繰り返し検索に最適化されたRAG手法「State-Aware RAG」の紹介。従来の1回検索型RAGを拡張し、メモリを活用した適応的情報管理を実現する論文の解説。

AIツール, サービス, 製品

�P0�

• OpenAIの高度AIでソフトバンクの脆弱性を1万件発見　孫正義氏「大変な危機」　日本の重要インフラ企業へ診断サービス提供 — はてなブックマーク — ソフトバンクGがOpenAIの「GPT-5.5 Cyber」を活用したサイバーセキュリティ対策サービス「Patching as a Service」を発表。自社約700システムで1万500件の脆弱性を発見し、重要インフラ3,000社へ提供開始。

• SBGとOpenAI、AIで脆弱性診断「Patching as a Service」提供　まずは日本の重要インフラ向けに — ITmedia Security — ソフトバンクGとOpenAIがAI技術を活用した企業向け脆弱性診断・修復支援ソリューション「Patching as a Service」の提供を6月16日に開始。

• SpaceX to buy Cursor for $60B — HackerNews — SpaceXがAIコーディングツールCursorの開発元Anysphereを600億ドルで買収するとReutersが報道。AI開発ツール市場における大規模M&A。

• The octopus architecture for AI agents — HackerNews — AIエージェントのための自律分散型「タコアーキテクチャ」を提案。複数の独立したエージェントが協調して動作する設計パターンの解説。

• Claudeで、Claude用のTUIを作る — Zenn (xtm_blog) — Claude Codeのセッション管理を効率化するTUIツールをClaude自身で開発するプロセスを紹介。tmux管理の課題解決としてWarp/cmux/Zedの代替アプローチ。

• AIペルソナは市場調査の代わりになるのか？ — Zenn (kyoju_teach) — 内閣府の公開世論調査をベンチマークに、AIペルソナ500体の回答を検証。合成リサーチは「分布の代替」としては使えないが、壊れ方には明確な規則性があることを実証。

• ローカルLLMをいつ使うべきか？ — Zenn (sompojapan_dx) — ローカルLLMの損益分岐点分析と実践的ユースケース。Gemma 4 E2B+LoRAでファインチューニング後97%のドリフト検知率を達成し、gemini-2.5-flashを上回った事例を紹介。

• Has AI already killed self-help nonfiction books? — HackerNews — Tim FerrissがAIによる自己啓発ノンフィクション市場への影響を考察。AI生成コンテンツの氾濫が従来の出版モデルを脅かしている現状分析。

LLM, エージェント実装

• 対話システムの評価を LLM にどこまで任せられるか（前編）：5 つの落とし穴 — Zenn (ivry) — 対話システムの受け入れテストにおけるLLMシミュレーション/評価の5つの落とし穴を解説。LLM as a Judgeの限界や譲歩問題など、合成データによる自動評価の危うさを指摘。
• After AI Takes Everything — HackerNews — AIが経済・社会のすべてを掌握した後の世界を考察する思索的エッセイ。AI時代の人間の役割と価値の再定義を問う。

AI政策, 倫理, 動向

• Endpoint Security Startup Ent Emerges From Stealth With $100 Million Seed Round — SecurityWeek — AIエージェントのセキュリティに関する新たなアプローチとして、意図認識型エンドポイントセキュリティが注目を集め、1億ドルの大型シード調達につながった。

📌 その他注目技術

その他注目技術ニュース (9件)

ブラウザのアップデート, 新機能

• TIL: You can make HTTP requests without curl using Bash /dev/TCP — HackerNews — curlを使わずにBashの/dev/TCP機能でHTTPリクエストを送信するテクニックの解説。
• Stop Using JWTs — HackerNews — JWTの使用中止を主張する問題提起。セキュリティ上の懸念と代替手段についての議論をまとめたGist。

開発ツール, プラットフォーム

• Making ast.walk 220x Faster — HackerNews — PythonのAST解析におけるast.walkを220倍高速化する技術「ast.sprint」の解説。Reflex.devによる詳細なパフォーマンス改善手法。
• Unicorn – The Ultimate CPU Emulator — HackerNews — マルチアーキテクチャ対応のCPUエミュレータUnicorn Engineの紹介。セキュリティ研究やリバースエンジニアリングに広く利用される。
• The time the x86 emulator team found code so bad they fixed it during emulation — HackerNews — Microsoftのx86エミュレータチームがエミュレーション中にあまりに酷いコードを発見し動的に修正した逸話。Raymond ChenによるOld New Thing連載。

その他

• Mechanical Watch (2022) — HackerNews — 機械式時計の内部構造と動作原理を美しいインタラクティブビジュアライゼーションで解説する人気記事。
• Apple's weird anti-nausea dots cured my car sickness — HackerNews — Appleの乗り物酔い防止機能「Vehicle Motion Cues」の実体験レビュー。画面上のドット表示が実際に車酔いを軽減したという報告。
• Correlated randomness in Slay the Spire 2 — HackerNews — ゲーム「Slay the Spire 2」における相関乱数システムの技術解説。ゲームデザインにおける確率制御の実装手法。
• Specs Augmented Reality Glasses — HackerNews — Snapが発表したARグラス「Specs」の紹介記事。拡張現実を日常的に装着できるデバイスとしての新製品。

📌 その他採用や組織マネジメント

• Why is Meta destroying its engineering organization? — HackerNews — Pragmatic EngineerがMetaのエンジニアリング組織縮小の実態と背景を分析。AI活用による自動化推進が組織構造に与える影響を考察。
• 'Ghost jobs' could soon be illegal in New York — HackerNews — 実在しない求人「ゴーストジョブ」がニューヨーク州で違法化される可能性。採用市場における透明性確保のための法案の動向を報じる。
• 文春「高市陣営のAI中傷動画」に決定的な矛盾。小泉氏攻撃に使われた写真は選挙後に撮影されたもの — はてなブックマーク — 高市首相陣営のAI中傷動画問題で、文春が公開した小泉氏への中傷動画に選挙後に撮影された写真が使われている矛盾を指摘する検証記事。

📋 掲載除外リスト

取得状況