デイリーニュースダイジェスト - 2026-06-24

🔒 セキュリティ

📢 サマリー

KDDIのISP事業者向けメールシステムが不正アクセスを受け、最大1422万件のメールアドレス・パスワードが漏洩した可能性が発表された。CISAはLantronix EDS5000およびUbiquiti UniFi OSの4件の脆弱性をKEVカタログに追加。トランプ大統領が耐量子暗号（PQC）移行を2030年末までに義務付ける大統領令に署名。また、29年前から存在したSquid Proxyのメモリリーク脆弱性「Squidbleed」や、libssh2の深刻なRCE脆弱性（CVE-2026-55200）、FFmpegのPixelSmash脆弱性などが相次いで公開された。AI分野ではAnthropicが「Claude Tag」を発表、MistralがOCR 4をリリース。OpenAIは脆弱性発見・修正を支援するDaybreakイニシアチブを拡大した。

📌 注目記事

KDDI、ISP向けメールシステムに不正アクセス　最大1422万件の情報漏えいの可能性

KDDIは6月23日、ISP事業者向けに提供するメールシステムが不正アクセスを受け、最大1422万件のメールアドレスとパスワードが漏洩した可能性があると発表した。対象はBIGLOBE、ニフティ、J:COMなど6社のメールサービスで、第三者製ソフトウェアの脆弱性が悪用されたという。パスワードにはハッシュ化・暗号化されたものも含まれるが、一部平文保存の可能性も指摘されており、利用者に早急なパスワード変更が呼びかけられている。

CISA、4件の既知悪用脆弱性をカタログに追加

CISAはCVE-2025-67038（Lantronix EDS5000 / コードインジェクション）、CVE-2026-34910（Ubiquiti UniFi OS / コマンドインジェクション）、CVE-2026-34909（Ubiquiti UniFi OS / パストラバーサル）、CVE-2026-34908（Ubiquiti UniFi OS / 不適切なアクセス制御）の4件を悪用リストに追加した。いずれもネットワーク経由で攻撃可能な深刻な脆弱性である。

トランプ大統領、耐量子暗号（PQC）移行を義務付ける大統領令に署名　2030年末期限

トランプ大統領は6月22日、連邦政府機関に対し高価値資産・高影響システムの耐量子計算機暗号への移行を義務付ける大統領令14409に署名した。鍵交換は2030年12月31日まで、デジタル署名は2031年12月31日までに移行する期限が設定されている。NIST承認アルゴリズムへの移行が求められ、国家全体の暗号体制強化に向けた重要なマイルストーンとなる。

Squidbleed: 29年前から存在したSquid Proxyの脆弱性が発見される

1997年に導入されたSquid Proxyのメモリリーク脆弱性CVE-2026-47729が発見された。この脆弱性はメモリ過剰読み取りにより、他のユーザーの認証情報やトークン、HTTPデータを漏洩させる可能性がある。29年間検出されなかった長寿命バグであり、広範な影響が懸念される。

libssh2に深刻なRCE脆弱性（CVE-2026-55200）、全バージョンに影響

libssh2にCVSS 9.2のヒープオーバーフロー脆弱性CVE-2026-55200が発見された。バージョン1.11.1以前の全バージョンに影響し、認証前のリモートコード実行が可能となる。修正はコミット97acf3dで提供されており、SSHクライアントを利用する全ソフトウェアに早急な対応が求められる。

FFmpeg PixelSmash脆弱性、動画プレイヤーやNAS機器でRCEが可能に

FFmpegのlibavcodecライブラリに、細工されたメディアファイルを介して任意のコード実行を可能にする脆弱性が発見された。動画プレイヤー、メディアサーバー、NAS機器など、FFmpegを利用するあらゆるアプリケーションが影響を受ける。攻撃者は特別に作成したメディアファイルを送信するだけでRCEを達成できる。

DifyTap: 100万以上のAIアプリに影響する4つの脆弱性

オープンソースAIプラットフォームDifyに4つの脆弱性が発見され、VolvoやMaerskなどが利用する100万以上のAIアプリがリスクにさらされている。うち2件は認証不要でクロステナントデータやドキュメント、AI会話へのアクセスを許す深刻な脆弱性であり、早急な対応が必要である。

OpenAI、脆弱性修正支援「Daybreak」イニシアチブをGPT-5.5-Cyberで拡大

OpenAIはDaybreakイニシアチブの一環として、ソフトウェア脆弱性の発見と修正を支援するGPT-5.5-Cyberモデルを信頼できる防御者向けにリリースした。同社の「最も強力な脆弱性発見・修正モデル」と位置付けられ、セキュリティチームのパッチ適用を加速することを目的としている。

Arch Linux AURで大規模サプライチェーン攻撃「Atomic Arch」が発生

Arch LinuxのAUR（Arch User Repository）で約1500個の悪意あるパッケージが発見された。攻撃者は放置されたパッケージを乗っ取り、ビルドスクリプトにマルウェアを混入させる手口を用いた。Sonatypeの研究者によって発見され、AURのユーザー管理リポジトリの脆弱性が露呈する形となった。

Samsung KNOXの8年前の脆弱性、Galaxyデバイス数百万台に影響

Samsung KNOXセキュリティフレームワークに8年間存在したUse-After-Free脆弱性CVE-2026-20971が、Galaxy S9からS25までの数百万台のAndroidデバイスに影響していたことが判明した。カーネルメモリ破壊を引き起こす可能性のある深刻な脆弱性で、Samsungはパッチをリリース済みである。

FortiBleedキャンペーン：43万台のFortiGateファイアウォールが認証情報窃取の標的に

ロシアのイニシャルアクセスブローカーがFortiBleedキャンペーンを展開し、43万台のFortiGateファイアウォールを標的にGolangベースのスニファーを用いて1億1000万件以上の認証情報を窃取している。2026年2月以降継続中の大規模キャンペーンであり、影響を受ける組織は早急な対策が必要である。

LastPass、Klueサプライチェーン攻撃でデータ侵害を確認

LastPassは、Klueサプライチェーン攻撃によりOAuthトークンが窃取され、Salesforce環境から顧客データへの不正アクセスがあったことを確認した。今月初めに発生したKlue侵害の二次被害であり、サプライチェーン攻撃の連鎖的影響の深刻さを示している。

マネーフォワード、GitHub不正アクセスで約6.3万件の個人情報流出の可能性

マネーフォワードは6月23日、GitHubへの不正アクセスに関する詳細調査が完了したと発表した。流出した可能性のある個人データは、単体では個人を特定できない固有識別子を含めて計6万2901人分に上る。新たに顧客や取引先、従業員などの情報が対象だったと判明し、セキュリティ対策強化も併せて発表された。

Appleも修正できない脆弱性のPoCコード公開　2018～2020年世代のiPhoneに残る設計上の課題

AppleのA12、A13チップを搭載したiPhoneやiPadで、起動時の信頼基盤を揺るがすBootROMエクスプロイト「usbliter8」の実証コードが公開された。遠隔攻撃はできないものの、一度発見されればソフトウェア更新では修正できないハードウェアレベルの欠陥であり、物理アクセスを伴う攻撃シナリオでのリスクが指摘されている。

Claude Tag発表：Anthropicが新機能をリリース

Anthropicは新機能「Claude Tag」を発表した。詳細は公開されたブログ記事で解説されており、Claudeの機能拡張の一環として注目を集めている。AIエージェントの制御と管理に関する新たなアプローチを提供するものと見られる。

📰 セキュリティニュース (50件)

CVE, 脆弱性

• CISA Adds Four Known Exploited Vulnerabilities to Catalog — CISA — CVE-2025-67038（Lantronix EDS5000 / コードインジェクション）、CVE-2026-34910（Ubiquiti UniFi OS / コマンドインジェクション）、CVE-2026-34909（Ubiquiti UniFi OS / パストラバーサル）、CVE-2026-34908（Ubiquiti UniFi OS / 不適切なアクセス制御）を悪用リストに追加。
• Appleも修正できない脆弱性のPoCコード公開　2018～2020年世代のiPhoneに残る設計上の課題 — ITmedia — AppleのA12・A13チップ搭載iPhone/iPadのBootROMエクスプロイト「usbliter8」の実証コードが公開された。ソフトウェア更新では修正不能なハードウェアレベルの欠陥。
• 注意喚起: Fortinet製品に関連する認証情報の漏えいに関する注意喚起 — JPCERT/CC — Fortinet製品に関連する認証情報の漏えいに関する注意喚起を公開。影響を受ける組織は早急な対応が推奨される。
• Squidbleed: 29-Year-Old Squid Bug Leaks User Credentials — Security Affairs — 1997年に導入されたSquid Proxyのメモリリーク脆弱性CVE-2026-47729が発見された。他のユーザーの認証情報やHTTPデータを漏洩させる可能性がある。
• Eight-Year-Old Samsung KNOX Flaw Exposed Millions of Galaxy Devices to Kernel Attacks — SecurityWeek — Samsung KNOXの8年前のUse-After-Free脆弱性CVE-2026-20971がGalaxy S9～S25の数百万台に影響。カーネルメモリ破壊のリスク。
• FFmpeg PixelSmash Flaw Allows RCE on Video Players, Media Servers, NAS Appliances — SecurityWeek — FFmpegのlibavcodecライブラリにRCE脆弱性。細工されたメディアファイルで任意のコード実行が可能。動画プレイヤーやNAS機器が影響を受ける。
• CVE-2024-40766: The Patch Fixed the Bug. Nobody Fixed the Configuration. — SANS — SonicWallの脆弱性CVE-2024-40766について、パッチはリリースされたが設定面の修正が行われていない問題を指摘。
• A critical flaw in libssh2 puts SSH clients at remote code execution risk — The CyberSec Guru — libssh2にCVSS 9.2のヒープオーバーフロー脆弱性CVE-2026-55200。全バージョン1.11.1以前に影響し、認証前RCEが可能。
• Eight-year-old Samsung Knox flaw exposed Galaxy devices to kernel attacks — The CyberSec Guru — Samsung KNOX PROCAのUse-After-Free脆弱性CVE-2026-20971がGalaxyデバイスに影響。カーネルメモリ破壊のリスク。
• 三菱電機 Wi-Fi家電のハードコード認証情報の脆弱性（CVE-2026-5667）まとめ — はてな — 三菱電機のWi-Fi家電にハードコード認証情報の脆弱性CVE-2026-5667が発見された。ファームウェア更新が期待できない場合の現実的な対策を解説。

サイバー攻撃, インシデント・マルウェア

KDDI ISP向けメールシステム不正アクセス（最大1422万件漏洩）関連（6件）

• KDDI、メアドなど最大1422万件漏えいか　ISP事業者向けシステムに不正アクセス — ITmedia — KDDIがISP事業者向けメールシステムへの不正アクセスを発表。BIGLOBE、ニフティ、J:COMなど6社で最大1422万件のメールアドレス・パスワードが漏洩した可能性。
• KDDIのISP向けメールシステムに不正アクセス、BIGLOBE、J:COM、ニフティなど最大1422万件の情報漏えいの可能性 — INTERNET Watch — KDDIのISP向けメールシステムに対する不正アクセスの発生を発表。影響を受けるサービスの利用者にパスワード変更を呼びかけ。
• KDDI Breach Exposes Up to 14.22 Million Email Records Across Six Japanese ISPs — The CyberSec Guru — KDDIの2026年データ侵害で、BIGLOBE、@nifty、JCOMなど6社のISPで最大1422万件のメール認証情報が流出した事例を英語で解説。
• ISP事業者向けメールシステムに対する不正アクセスの発生について | KDDI株式会社 — はてな — KDDI公式発表PDF。第三者製ソフトウェアの脆弱性を悪用されたことが原因と説明。
• 1422万件のアドレスなど流出か KDDIシステムに不正アクセス | NHKニュース — はてな — NHKによる報道。KDDIのメールシステムが不正アクセスを受け、最大1422万件のメールアドレスとパスワードが漏洩した可能性を伝える。
• 【速報】1422万件メール情報漏えいとKDDI — はてな — 47NEWSによる速報。KDDIがプロバイダー6社に提供するメールシステムで最大1422万件のアドレスやパスワードが外部に漏洩した恐れがあると発表。

マネーフォワード GitHub不正アクセス（約6.3万件流出）関連（3件）

• マネフォへの不正アクセス、約6.3万件流出した可能性　調査完了で規模確定 — ITmedia — マネーフォワードがGitHubへの不正アクセス調査完了を発表。流出した可能性のある個人データは計6万2901人分に上る。
• マネーフォワード、新たに顧客や従業員の個人データが流出した可能性を確認。GitHub不正アクセスの調査を完了 — INTERNET Watch — マネーフォワードがGitHub不正アクセスの詳細調査を完了し、セキュリティ対策強化を発表。
• GitHubへの不正アクセスに関する詳細調査の完了およびセキュリティ対策強化のお知らせ（第四報） — はてな — マネーフォワード公式発表。2026年5月1日の第一報以降の調査結果と対策を詳細に報告。

Arch Linux AURサプライチェーン攻撃「Atomic Arch」関連（3件）

• 「Arch User Repository」で悪意あるパッケージが発見される--今すぐやるべき対策 — はてな — Sonatypeの研究者がAURに約1500個の悪意あるパッケージを発見。放置パッケージの乗っ取りによるサプライチェーン攻撃の手口を解説。

• Arch LinuxのAURで400超パッケージにマルウェア混入｜サプライチェーン攻撃の手口とユーザー対策 — はてな — AURで400超のパッケージにマルウェアが混入されたサプライチェーン攻撃の詳細と、ユーザーが取るべき対策を解説。

• Arch Linux AUR供給チェーン攻撃「Atomic Arch」まとめ — はてな — AURで発生した大規模供給チェーン攻撃「Atomic Arch」について、Archユーザーの対応策と教訓をまとめた記事。

• New macOS ClickFix attack silently mounts DMGs to push infostealer — BleepingComputer — 新しいmacOS ClickFixキャンペーンがTerminalコマンドを使用してDMGファイルを密かにマウントし、情報窃取マルウェアを配布する手口が確認された。

• Scattered Spider members plead guilty to hacking Transport for London — BleepingComputer — サイバー犯罪グループ「Scattered Spider」のメンバー2名が2024年のロンドン交通局（TfL）ハッキングで有罪を認めた。

• LastPass confirms data breach in Klue supply chain attack — BleepingComputer — LastPassがKlueサプライチェーン攻撃でOAuthトークンが窃取され、Salesforce環境の顧客データへの不正アクセスを確認したと発表。

• SocGholish Takedown Highlights Malicious TDS Threats — Dark Reading — SocGholishがトラフィック配信システム（TDS）を利用して被害者ネットワークへの初期アクセスを提供する手口と、そのテイクダウンについて解説。

• FortiBleed Attackers Turn Firewalls Into Credential Stealers as Heists Persist — Dark Reading — FortiBleedキャンペーンの攻撃者がGolangベースのスニファーで43万台のFortiGateファイアウォールを標的にし、1億1000万件の認証情報を特定した。

• NTTPC、レンタルサーバーサービス「WebARENA」における不正アクセスについて調査結果を発表 — INTERNET Watch — NTTPCがWebARENAの大容量ファイル転送機能およびSuiteXの一部サーバー停止について調査完了と提供再開見通しを発表。

• Xsolis Data Breach Impacts 1.4 Million People — Security Affairs — 医療技術企業Xsolisがフィッシング攻撃によるデータ侵害を開示。約140万人の個人情報および健康データが影響を受けた。

• ShapedPlugin Supply Chain Attack Backdoors Pro Plugin Updates — Security Affairs — ShapedPlugin Proのアップデートにバックドアが仕込まれ、認証情報や2FAシークレットを窃取しサイト全体へのアクセスを許すマルウェアが配布された。

• Algerian Man Extradited to US for Running Cybercrime Marketplaces — SecurityWeek — 26歳のアルジェリア人男性がサイバー犯罪マーケットプレイス「Market0Day」および「Spoxy」運営の容疑で米国に引き渡され、最大30年の禁固刑に直面。

• Canadian Electricity Provider London Hydro Discloses Data Breach — SecurityWeek — カナダの電力会社London Hydroがデータ侵害を開示。顧客の氏名、住所、メールアドレス、電話番号、口座情報が窃取された。

• Russian Initial Access Broker Behind FortiBleed Campaign — SecurityWeek — ロシアのイニシャルアクセスブローカーがFortiBleedキャンペーンを展開し、2026年2月以降カスタムスニファーで1億1000万件以上の認証情報を収集。

• Tata Electronics Confirms Cyberattack as World Leaks Posts 630GB of Alleged Apple and Tesla Trade Secrets — The CyberSec Guru — Tata Electronicsがサイバー攻撃を確認。World LeaksがAppleのiPhone仕様やTeslaの企業秘密を含む630GBのデータを公開したとされる。

• Malicious npm Packages Pose as PostCSS Tools to Deliver Windows RAT — The Hacker News — PostCSSツールを装った悪意あるnpmパッケージがWindowsベースのRATを配布していることが発見された。

• WhatsApp VBScript Campaign Uses Fake Documents to Install ManageEngine RMM Tool — The Hacker News — WhatsAppのダイレクトメッセージを介して悪意あるVBScriptファイルが配布され、正規のRMMツールがインストールされるキャンペーンが確認された。

• Fake AI Agent Skill Passed Security Scans and Reportedly Reached 26,000 Agents — The Hacker News — セキュリティ企業AIRが偽のAIエージェントスキルを作成し、人気スキルマーケットプレイスを通じて約26,000のエージェントに到達したと報告。すべてのスキャナーが安全と判定した。

• 警察名乗る電話受け納税者情報259件漏えい、二次被害も確認される│大阪国税局 — はてな — 大阪国税局の職員が警察官を名乗る第三者に納税者情報259件を漏洩。停職6か月の懲戒処分。

• バーチャルツアーコンテンツに脆弱性で不正アクセス被害│和歌山大学 — はてな — 和歌山大学のウェブサイト上のバーチャルツアーコンテンツが外部サイトへの不正転送の踏み台として悪用されていたことが判明。

セキュリティツール, 研究

• The Exploit Doesn't Exist. You Can Still Prove It Works Against You — BleepingComputer — 攻撃者は新たに公開された脆弱性を組織がパッチを適用するよりもはるかに速く武器化できる。Picus Securityが公開エクスプロイトが存在する前に悪用可能性を検証する方法を解説。
• Dragos Unveils AI for OT Security — SecurityWeek — DragosがOTサイバーセキュリティ向けAI「EmberAI」を発表。同社の大規模なOTセキュリティデータセット上に構築された新機能。
• OpenAI Refocuses Cybersecurity Efforts on Patching Over Discovery — SecurityWeek — OpenAIがDaybreakサイバーセキュリティイニシアチブを新しいツール群とパートナーシップで拡大。脆弱性発見から修正支援へと重点をシフト。
• OpenAI Expands Daybreak With GPT-5.5-Cyber to Help Defenders Patch Security Flaws — The Hacker News — OpenAIがDaybreakイニシアチブの一環としてGPT-5.5-Cyberモデルを信頼できる防御者向けにリリース。ソフトウェア脆弱性の発見と修正を支援。
• Sniff out stale AI override advice with this open source CLI — The Register — パッケージ依存関係が発見困難な脆弱性を生み出す問題に対処するオープンソースCLIツールを紹介。
• NRIセキュア、フロンティアAIモデルに対応したプロアクティブな脆弱性診断サービスを提供開始 — はてな — NRIセキュアがフロンティアAIモデルと独自検証基盤を組み合わせたプロアクティブ脆弱性診断サービスを発表。未公表の脆弱性を検出し対応策を提示。

クラウド

• DifyTap: Four Bugs Put over 1 million AI Apps at Risk — Security Affairs — Difyに4つの脆弱性が発見され、VolvoやMaerskなどが利用する100万以上のAIアプリがクロステナントデータ漏洩のリスクに。2件は認証不要の深刻な脆弱性。
• Data Exposure Flaws Threaten Dify AI Platform Used by 1 Million Apps — SecurityWeek — Difyのマルチテナントクラウドサービスで、プライベートチャットの読み取りや他テナントのドキュメントプレビュー、内部APIへの到達が可能な脆弱性が発見された。

Web Application Security, WebSec, OWASP

• Publish Latest checklists 2026-06-23 — OWASP — OWASP Web Security Testing Guide（WSTG）の最新チェックリストが公開された。
• Update 04-API_Broken_Function_Level_Authorization.md — OWASP — WSTGのAPIテストガイド「Broken Function Level Authorization」セクションが更新された。

Bug Bounty

• Webinar: Why email security teams are drowning in alerts — BleepingComputer — フィッシングやBEC、アカウント乗っ取り攻撃がセキュリティチームをアラートで圧倒している問題について、行動AIを用いた検出・対応自動化を探るウェビナー。

DevSecOps, CI/CD

• AIプログラミング時代に潜む罠　ソフトウェアサプライチェーンの現在と身を守るための新常識 — ITmedia — AIによるコーディング普及に伴うソフトウェアサプライチェーン攻撃のリスクと、開発者が取るべき対策をわかりやすく解説。
• GitHub Updates actions/checkout to Block Common Pwn Request Attack Patterns — The Hacker News — GitHubがactions/checkoutを更新し、pull_request_targetワークフロートリガーを悪用するpwn request攻撃をブロック。2026年6月18日より有効。
• Hardening npm Publishing — はてな — OSS開発者向け勉強会のスライド。npmパッケージ公開フローをサプライチェーン侵害から守るための対策を解説。
• Honoでのサプライチェーン侵害対策 〜 3つのライブラリに学ぶ — はてな — Honoフレームワークにおけるサプライチェーン侵害対策について、3つのライブラリ事例から学ぶ講演スライド。

プライバシー, 法規制, セキュリティ政策

トランプ大統領 耐量子暗号（PQC）大統領令関連（4件）

• The post-quantum EO is an important milestone. Now it's time to get to work — Cloudflare — CloudflareがPQC大統領令を重要なマイルストーンと評価。2030年の移行期限に向けた政府・業界向け移行プレイブックを提示。

• トランプ大統領、耐量子暗号（PQC）移行を義務付ける大統領令に署名　2030年末期限 — ITmedia — トランプ大統領が大統領令14409に署名。連邦政府機関にNIST承認の耐量子計算機暗号への移行を義務付け。

• Trump Signs Executive Order Accelerating Post-Quantum Cryptography Migration — SecurityWeek — 連邦政府機関に対し高価値資産・高影響システムのPQC移行を2030年末・2031年末までに義務付ける大統領令の詳細を解説。

• Trump Order Sets 2030 Deadline for Federal Post-Quantum Crypto Migration — The Hacker News — トランプ大統領が6月22日に署名した大統領令により、連邦政府機関のPQC移行期限が設定された。鍵交換は2030年末、デジタル署名は2031年末。

• 「不完全な実装でも多要素認証よりマシ」　パスキーの“よくある懸念”に英国NCSCが回答 — ITmedia — 英国NCSCがパスキーをサポートする場合はパスキーを、しない場合は2段階認証を推奨する方針を表明。FIDO2認証情報のセキュリティ特性比較論文も公開。

• 生成AIの進化で変わる脆弱性対策　CISA新指針と「SCS評価制度」から探るパッチ適用方針 — ITmedia — 生成AIの進化により脆弱性対策の難易度が急上昇している現状と、CISAやIPAが示す防御戦略を解説。

• Agentic AI: The Weapon That No Longer Needs a Warrior — The Hacker News — エージェンティックAIが自律的に攻撃を実行できる「戦士を必要としない武器」となりつつある現状を、兵器の歴史的進化の文脈から考察。

• Five Eyes spooks warn AI means infosec incidents can become 'major operational and financial crises' — The Register — ファイブアイズの情報機関がAIにより情報セキュリティインシデントが「大規模な運用上・財務上の危機」に発展する可能性を警告。経営層に対応を促す。

• SCS評価制度の運用開始に向けたセキュリティ体制の整備をサポート！ 「SKYSEA Client View Ver.21.3」を発売 — はてな — SkyがSCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）対応の「SKYSEA Client View Ver.21.3」を発売。

• 「年収1.5倍で引き抜かれました」　せっかく育てたセキュリティ人材を失う企業の盲点 — はてな — サイバーセキュリティ人材の深刻な枯渇と、育成人材が年収1.5倍で引き抜かれる現実を現役CISOが指摘。経営者が見落としがちなリスクを解説。

セキュリティ系の勉強会やイベント、カンファレンス

• Claude Code をセキュアに使うための考え方と設定の勘どころ【セミナースライド】 — はてな — 2026年6月16日開催のClaude Codeセミナー（セキュリティ/ガバナンス編）の登壇スライド。ツール制御を中心に安全な利用のための考え方を解説。

会社ブログ, その他

• IoTセキュリティとは？企業が知るべきリスクと具体的な対策を解説 — Feedly (LAC) — IoT機器の乗っ取りや情報漏洩、DDoS攻撃への悪用リスクを踏まえ、デバイス・ネットワーク・クラウド・運用の4観点から具体策を解説。
• SDV時代のサプライチェーンとサイバーセキュリティ｜経済産業省に聞く自動車産業の競争戦略 — Feedly (NRI Secure) — 経済産業省へのインタビューを通じて、SDV時代の自動車産業におけるサプライチェーンとサイバーセキュリティの競争戦略を探る。
• 本日気になった注意喚起情報（6/23） — Feedly (Fox on Security) — Node.jsの12件の脆弱性修正、WooCommerce旧版のRCE脆弱性、Vendor-signed UEFIアプリケーションのセキュリティ問題など、注目の注意喚起情報をまとめた記事。
• Claude Fable 5復活の兆し？　問題の本質は技術ではなく政治か — ITmedia — Claude Fable 5の復旧兆候と、停止問題を巡るNSAの非公開説明や政府のAI事前審査構想など、米政府とAnthropic間の交渉の可能性を考察。
• CISO Conversations: Carl Froggett – Combining CISO and CIO at Deep Instinct — SecurityWeek — Deep InstinctでCISOとCIOを兼任するCarl Froggettへのインタビュー。Citiで約17年間CISOを務めた経験を踏まえた知見を共有。
• Mythos discovers 'Squidbleed,' a memory leak that's gone undetected since Clinton era — The Register — クリントン政権時代から検出されなかったSquidbleedメモリリークの発見経緯と、NetWare・FTP・HTTPなど過去の技術に関連するその他の脆弱性も紹介。
• OpenAI: Yoo-hoo, look over here, we do that security stuff too! — The Register — OpenAIのセキュリティへの取り組みを紹介。「Patch The Planet」公約を含む複数の脆弱性防止策を解説。

🤖 AI, 機械学習

AI, 機械学習ニュース (14件)

新モデル、研究論文

• VibeThinker: 3B param model that beats Opus 4.5 on reasoning with novel SFT+GRPO — HackerNews — わずか30億パラメータでOpus 4.5を推論性能で上回るVibeThinkerモデルが発表された。新しいSFT+GRPO手法を用いて小型モデルの限界を突破。
• Unlimited OCR: One-Shot Long-Horizon Parsing — HackerNews — Baiduが発表した長文書のワンショットOCR解析技術。長時間のドキュメント解析を単一処理で実現する。
• Lift4D: Harmonizing Single-View 3D Estimation for 4D Reconstruction In-the-Wild — HackerNews — 単一ビューからの3D推定を調和させ、実世界での4D再構成を実現する研究。動的なシーンの3D+時間再構成が可能に。
• Mistral OCR 4 — HackerNews — Mistral AIがOCR 4を発表。最新のOCR技術により文書解析の精度と速度が大幅に向上。

AIツール, サービス, 製品

• Retool新AIアプリビルダー（R2）徹底解説｜React+TypeScript生成とエンタープライズガバナンス — Feedly (AI Heartland) — RetoolがReact 19・TypeScriptを生成するフルスタックAIアプリビルダーR2を公開。自然言語から本番データに接続した業務アプリを構築可能。
• Claude Tag — HackerNews — Anthropicが新機能「Claude Tag」を発表。AIエージェントの制御と管理に関する新たなアプローチを提供。
• Elevated error rate across multiple models — HackerNews — Claudeの複数モデルでエラー率が上昇するインシデントが発生。ステータスページで状況が報告された。
• LINE公式アカウント × Geminiで作る FAQ自動応答Botハンズオン — Zenn (memolab) — LINE公式アカウント、Cloudflare Workers、Gemini APIを使ってFAQ自動応答AI Botを作るハンズオン教材。

LLM, エージェント実装

• The Coming Loop — HackerNews — AIエージェントが自律的にコードを生成・実行・修正する「ループ」の到来について考察した記事。ソフトウェア開発の未来像を探る。
• なぜ LLM に大喜利が難しいのか — Zenn (nttdata_tech) — LLMが大喜利を苦手とする理由をChain of ThoughtやAgent skillsの観点から分析。ClaudeのAgent skillsを用いた実験的アプローチを紹介。

AI政策, 倫理, 動向

• MSG Made Dossier on Activists Who Opposed Facial Recognition — HackerNews — マディソン・スクエア・ガーデンが顔認識技術に反対する活動家の調査ファイルを作成していたことが判明。AI監視技術を巡るプライバシー問題が浮き彫りに。
• What we call "age verification" is actually mass surveillance — HackerNews — 「年齢確認」と呼ばれる仕組みが実際には大量監視であると指摘するCory Doctorowの記事。プライバシーと監視社会化の問題を提起。
• The Low-Tech AI of Elden Ring — HackerNews — ゲーム「Elden Ring」におけるローテクAIの設計と実装を分析。高度なAIに頼らないゲームAIの巧妙さを解説。

📌 その他注目技術

その他注目技術ニュース (12件)

ブラウザのアップデート, 新機能

• Starting with Firefox 154, Firefox Nightly now supports the progress() CSS function — Feedly (Firefox) — Firefox 154 NightlyでCSSのprogress()関数がサポート開始。アニメーションタイムラインの進捗管理が可能に。
• Added a time picker user interface to <input type="time"> and <input... — Feedly (Firefox) — Firefox 154 Nightlyでinput type="time"およびinput type="date"にタイムピッカーUIが追加された。
• 「Visual Studio Code」に“拡張機能の更新を2時間遅らせる”措置、懐疑的な意見も／v1.123から適用 — はてな — VSCode v1.123から拡張機能の更新を2時間遅らせる措置が適用されることに対し、サプライチェーンセキュリティ上の効果を疑問視する声も。

開発ツール, プラットフォーム

• Show HN: Bun-sqlgen – Type-safe raw SQL for Bun, no ORM — HackerNews — Bun向けの型安全な生SQLジェネレーター。ORM不要でSQLの柔軟性とTypeScriptの型安全性を両立。
• Show HN: Treedocs: Documentation that automatically checks for staleness — HackerNews — ドキュメントの陳腐化を自動チェックするツール。コード変更に追従しないドキュメントを検出し、鮮度を維持。
• Swift Package Index Joins Apple — HackerNews — Swift Package IndexがAppleに参加。Swiftエコシステムのパッケージ管理が公式サポートの下で強化される。
• Show HN: TikZ Editor – WYSIWYG editor for figures in LaTeX — HackerNews — LaTeXの図表作成をWYSIWYGで行えるTikZエディター。複雑なTikZコードを視覚的に編集可能。

その他

• F3 — HackerNews — 将来のファイルフォーマット「F3」のGitHubリポジトリ。次世代ファイル形式の提案。
• Lossless GIF recompression via exhaustive search — HackerNews — 網羅的探索によるロスレスGIF再圧縮手法の解説。GIFファイルサイズを品質劣化なしで削減する技術。
• 80386 Early Start Memory Access — HackerNews — Intel 80386プロセッサのアーリー・スタート・メモリアクセス機能の技術的解説。レトロコンピューティングの知見を紹介。
• “世界初のAIネイティブNAS”をうたうOpenClaw搭載の「F4-425 Pro」、TerraMasterが発売 — INTERNET Watch — TerraMasterがAIネイティブNAS OS「TOS 7」搭載の4ベイNAS「F4-425 Pro」を発売。Amazonでの販売価格は12万9990円。

📌 その他採用や組織マネジメント

• 女性活躍はマジョリティ巻き込みあってこそ。ボトムアップの文化・意識変革 — Feedly (SmartHR) — 日本IBMの女性活躍推進コミュニティ「Japan Women's Council」の約30年の歩みと、マジョリティを巻き込む文化・意識変革の実践を共同リーダーに取材。
• 企画職採用で失敗しないために――人事と現場で押さえるべき採用のポイント — Feedly (doda) — 企画職採用における人事と現場の連携ポイントを解説。採用失敗を防ぐための実践的ノウハウを提供。
• The truth about being a manager — HackerNews — マネージャーになることの真実を綴った個人ブログ。マネジメント職への移行に伴う課題と学びを共有。
• 「年収1.5倍で引き抜かれました」　せっかく育てたセキュリティ人材を失う企業の盲点 — ITmedia — セキュリティ人材の深刻な枯渇と、育成人材が年収1.5倍で引き抜かれる現実を現役CISOが指摘。経営者が見落としがちなリスクを解説。
• CISO Conversations: Carl Froggett – Combining CISO and CIO at Deep Instinct — SecurityWeek — Deep InstinctでCISOとCIOを兼任するCarl Froggettへのインタビュー。Citiで約17年間CISOを務めた経験を踏まえたリーダーシップ論。

📋 掲載除外リスト

取得状況