デイリーニュースダイジェスト - 2026-07-07

🔒 セキュリティ

📢 サマリー

KDDIのISP事業者向けメールシステムへの不正アクセスで、メールアドレス約1223万人分・パスワード約762万人分の漏洩が確認された。BIGLOBEやニフティなど関連ISPからも合計約727万人分の漏洩が報告されている。16年前から存在したLinux KVMのゲスト脱出脆弱性「Januscape」(CVE-2026-53359)や、Linuxのroot権限昇格を許す「Bad Epoll」(CVE-2026-46242)のPoCが公開された。また、LLMが自律的にランサムウェア攻撃を実行した「JadePuffer」事例や、Opera GXブラウザにサイレントModインストールを許す脆弱性も報告されている。AI分野ではClaude Fable 5が再提供開始、Anthropicが大規模言語モデルのグローバルワークスペース研究を発表した。

📌 注目記事

KDDI、パスワード760万人分漏えい　メアドも1220万人分　ISP事業者向けシステムへの不正アクセスで

KDDIがISP事業者向けメールシステムへの不正アクセスについて、メールアドレス約1223万人分、パスワード約762万人分の漏洩を確認したと発表した。「未知の脆弱性」を突かれたことが原因とされている。BIGLOBEから約502万人分、ニフティから約225万人分の漏洩も同時に公表され、影響は広範囲に及んでいる。

【速報】「バンダイチャンネル」にサイバー攻撃か 少年（15）逮捕　生成AI「ChatGPT」でプログラム作成 会員を退会処理し全サービスを一時的に停止に　警視庁

アニメ配信サービス「バンダイチャンネル」に不正アクセスし、約4万6800人分のアカウントを無断退会させたとして、埼玉県の15歳の高校生が偽計業務妨害の疑いで逮捕された。少年はChatGPTで攻撃プログラムを作成し、犯行を繰り返していたという。本件では会員情報の漏洩も確認されている。

16-Year-Old Linux KVM Flaw Lets Guest VMs Escape to Host on Intel and AMD x86 Systems

Linux KVMのシャドウMMUコードに16年前から存在していたUse-After-Free脆弱性「Januscape」(CVE-2026-53359)が公開された。ゲストVMからホストカーネルのメモリを破壊可能で、Intel/AMDの両x86システムに影響する。PoCエクスプロイトもGitHubで公開されている。

Proof-of-Concept Exploit Released for Linux ‘Bad Epoll’ Root Access Vulnerability

Linuxカーネルの脆弱性「Bad Epoll」(CVE-2026-46242)のPoCエクスプロイトが公開された。ローカルの低権限ユーザーがroot権限を取得可能で、Androidにも影響する。AIによるコードレビューでは見逃され、人間の研究者によって発見された。

Opera GX Flaw Let Malicious Sites Auto-Install Mods to Steal Data From Visited Pages

Opera GXブラウザに、悪意あるサイトがクリックや承認なしにサイレントでGX Modをインストールできる脆弱性が発見された。CSSインジェクションにより、被害者が訪問した全ページからデータを窃取可能で、Gmailアドレスの完全な復元も実証された。OperaはP1と評価し最大$5,000の報奨金を支払い、v130.0.5847.89で修正済み。

JadePuffer: The First Complete LLM-Driven Ransomware Attack

初の完全LLM駆動型ランサムウェア攻撃「JadePuffer」が観測された。攻撃者はLangflowの脆弱性を悪用し、本番データベースサーバーからデータを窃取した上で他システムを暗号化した。侵入から探索、権限奪取、ランサムウェア実行までをLLMが自律的に遂行しており、失敗時の自己修正能力も確認されている。

公開3日で停止した「Claude Fable 5」が復活　AI脱獄の採点ルールも稼働

公開3日で停止されたAnthropicの最新AIモデル「Claude Fable 5」が再提供された。同時にAmazon、Microsoft、Googleと共同で、AIジェイルブレイクの深刻度を共通基準で評価する枠組みの構築に着手。AIセキュリティの新たな転換点となる取り組みである。

Threat Actors Probe Gitea Docker Flaw CVE-2026-20896 13 Days After Disclosure

Gitea Dockerイメージのクリティカル脆弱性CVE-2026-20896（CVSS 9.8）に対し、公開から13日後に実環境での悪用試行がSysdigにより確認された。DevOpsプラットフォームが「X-WEBAUTH-USER」ヘッダーを信頼することに起因する問題で、早急なパッチ適用が求められる。

SkillCloak Lets Malicious AI Agent Skills Evade Static Scanners with Self-Extracting Packing

AIコーディングエージェント向けの悪意ある「スキル」アドオンが静的スキャナーを回避できる新手法「SkillCloak」が香港科技大学の研究者により発表された。最も強力な手法では全スキャナーをバイパスしつつマルウェアの機能を維持可能で、AIエージェントエコシステムのサプライチェーンリスクが浮き彫りになった。

Seven Bugs in FatFs Put IoT and Embedded Devices at Risk

IoT・組み込み機器で広く使用されるFATファイルシステムライブラリ「FatFs」に7つの脆弱性がrunZeroにより報告された。細工されたストレージを介してメモリ破壊・クラッシュ・データ漏洩が可能で、影響範囲が極めて広い点が懸念される。

New TrojPix Attack Leaks Data From Air-Gapped Systems via Video Cable Emissions

山東大学の研究者が、エアギャップシステムからビデオケーブルの電磁放射を介してデータを漏洩させる新攻撃手法「TrojPix」を発表した。人間の目には認識できないピクセル変化でデータを変調し、近傍の受信機で復調する高速なエクスフィルトレーションが実証されている。

中国AIがミュトスいぬ間に躍進　料金は20分の1、米企業も乗り換え

米政府の指示でAnthropicの先端AI「Mythos」の提供が停止されていた間に、米企業の中国AIへの乗り換えが加速している。中国AIはオープン型で料金がMythosの20分の1とコスト競争力が高く、暗号資産交換大手などが利用コスト半減を報告。技術覇権を狙う米国勢の警戒感が強まっている。

AIエージェントに本番環境の権限を渡すとき — 「正しそうな自律判断」がロールバック・規制違反・侵害拡大を招く新リスク

AIエージェントが本番環境への直接アクセス権を持つ新時代に、DevOpsチームが直面するリスクと対策を論じた記事。自律的な判断がロールバックや規制違反、侵害拡大を引き起こす可能性が指摘されている。

Hidden Web Prompts Trick AI Agents Into Sending Money

Zscaler ThreatLabzが、悪意あるWebページに埋め込まれた隠し指示によってAIエージェントを操作し、暗号通貨の送金や偽サイトへの誘導を行わせる2件のアクティブなキャンペーンを報告。AI自律ワークフローの新たなリスクとして注目される。

A global workspace in language models

Anthropicが大規模言語モデルにおける「グローバルワークスペース」理論の研究を発表。人間の意識理論に着想を得て、LLM内部での情報共有と統合のメカニズムを解明する試みであり、AIの内部表現理解に新たな視点を提供する。

📅 セキュリティ週次まとめ

• 💰 Security, Funded #251 - Silence of the M&As — Return on Security — サイバーセキュリティ業界の資金調達・M&A・カテゴリ動向をまとめた週次経済ブリーフ。2026年6月29日週の業界を動かした主要な動きを分析。

📰 セキュリティニュース (43件)

CVE, 脆弱性

• Januscape: Guest-to-Host Escape in KVM/x86 [CVE-2026-53359] — HackerNews — Linux KVMのシャドウMMUコードに存在する16年前からのUse-After-Free脆弱性。ゲストVMからホストカーネルのメモリ破壊が可能。GitHubでPoCが公開。
• 16-Year-Old Linux KVM Flaw Lets Guest VMs Escape to Host on Intel and AMD x86 Systems — The Hacker News — CVE-2026-53359「Januscape」の詳細。Intel/AMD両方のx86システムに影響し、ゲストVMからホストへのエスケープを許す深刻な脆弱性。
• Bad Epoll Flaw Gives Attackers Root Access on Linux and Android — Security Affairs — CVE-2026-46242はローカル攻撃者がroot権限を取得可能なLinuxカーネル脆弱性。AIによるコードレビューでは検出されず、人間の研究者が発見した。
• Proof-of-Concept Exploit Released for Linux ‘Bad Epoll’ Root Access Vulnerability — SecurityWeek — CVE-2026-46242のPoCエクスプロイトが公開され、悪用が容易になった。LinuxおよびAndroidに影響するため早急なパッチ適用が推奨される。

ModSecurity 脆弱性（2件）

• Vulnerabilidades en ModSecurity permiten saltar reglas del firewall — elhacker.NET — OWASP ModSecurityにCVE-2026-52761およびCVE-2026-52747の複数のWAFルールバイパス脆弱性が報告された。バージョン3.0.16で修正済み。
• SkillCloak Lets Malicious AI Agent Skills Evade Static Scanners with Self-Extracting Packing — The Hacker News — AIコーディングエージェント向けアドオンの静的スキャナーを回避する「SkillCloak」手法。自己展開型パッキングにより全スキャナーをバイパス可能。
• 19+ Years Hidden, $80,000+ Rewarded: Reporting a Linux Kernel Zero-Day for Google kernelCTF: CVE-2026-43456 — GMOサイバーセキュリティ — Google kernelCTFを通じて19年以上潜伏していたLinuxカーネルゼロデイ脆弱性CVE-2026-43456を報告し、8万ドル超の報奨金を獲得した事例の詳細。
• Cortex Security Audit — Quarkslab — OSTIFの依頼によりQuarkslabがCortexのセキュリティ監査を実施。マルチテナント設計とテナント分離メカニズムの保護を評価した結果を報告。
• Seven Bugs in FatFs Put IoT and Embedded Devices at Risk — Security Affairs — IoT・組み込み機器で広く使用されるFatFsライブラリに7つの脆弱性が発見された。細工されたストレージによるメモリ破壊・クラッシュ・データ漏洩が可能。
• Threat Actors Probe Gitea Docker Flaw CVE-2026-20896 13 Days After Disclosure — The Hacker News — Gitea DockerイメージのCVE-2026-20896（CVSS 9.8）に対し、公開13日後に実環境での悪用試行が確認された。X-WEBAUTH-USERヘッダー信頼に起因。

サイバー攻撃, インシデント・マルウェア

KDDI 個人情報流出 関連（4件）

• KDDI、ISP向けメールシステムへの不正アクセスで続報。1223万件のメールアドレス、762万件のパスワードが漏えい — INTERNET Watch — KDDIのISP向けメールシステム不正アクセスの続報。1223万件のメールアドレスと762万件のパスワード漏洩が確認され、BIGLOBE・ニフティ・JCOM等も続報を発表。
• BIGLOBE、メルアド漏えいは約502万人分と判明　ニフティも約225万人分　KDDI基盤への不正アクセス続報 — ITmedia Security — BIGLOBEメールで約502万人分、ニフティで約225万人分のメールアドレス漏洩が判明。KDDIのISP向けメール基盤を共有する事業者全体に影響が拡大。
• KDDI、パスワード760万人分漏えい　メアドも1220万人分　ISP事業者向けシステムへの不正アクセスで — ITmedia Security — KDDIの発表詳細。当初最大1422万件とされた漏洩可能性から、実被害としてメールアドレス約1223万人分・パスワード約762万人分が確定。原因は「未知の脆弱性」。
• ＫＤＤＩ個人情報流出、メールアドレス１２２３万人分・パスワードは７６２万人分…「未知の脆弱性」が原因 — はてなブックマーク — 読売新聞報道。KDDIが不正アクセスによる大量個人情報流出を発表。現時点で二次被害は確認されていない。

バンダイチャンネル 不正アクセス 関連（2件）

• 「ChatGPTで不正プログラム自作」　バンダイチャンネル4万6800人を勝手に退会させた疑い、15歳を再逮捕 — ITmedia — 15歳の高校生がChatGPTで攻撃プログラムを作成し、バンダイチャンネルの会員約4万6800人を無断退会させた疑いで再逮捕された。
• 不正アクセスによるバンダイチャンネル大量退会についてまとめてみた — piyolog — バンダイナムコフィルムワークスの動画配信サービスで発生した不正アクセスによる大量退会事案の詳細まとめ。2025年11月の障害発生から2026年の逮捕までの経緯を整理。

LLM駆動ランサムウェア攻撃 関連（2件）

• JadePuffer: The First Complete LLM-Driven Ransomware Attack — Dark Reading — 初の完全LLM駆動型ランサムウェア攻撃「JadePuffer」の詳細。Langflowの脆弱性を悪用し、本番DBからのデータ窃取とシステム暗号化をLLMが自律実行した。
• 31秒で失敗を修正　考えながらランサムを仕掛けるAI攻撃者の実態 — ITmedia Security — Sysdigが報告したLLM主導の可能性が高いランサムウェア攻撃。侵入から暗号化までをAIが自律遂行し、失敗時も31秒で修正しながら攻撃を継続した点が注目される。

AIエージェントへのプロンプトインジェクション攻撃 関連（2件）

• Hidden Web Prompts Trick AI Agents Into Sending Money — Security Affairs — Zscaler ThreatLabzが悪意あるWebページの隠しプロンプトでAIエージェントを操作し暗号通貨送金させる攻撃キャンペーンを報告。
• Prompt Injection Attacks Trick AI Agents Into Making Crypto Payments — SecurityWeek — 自律型AIエージェントを標的にした間接的プロンプトインジェクション攻撃の2件のキャンペーンを研究者が発見。Webページ埋め込み指示による暗号通貨送金が実証された。
• 生成AIで履歴書も顔も偽装　北朝鮮ITワーカー、日本企業への潜入工作の実態 — ITmedia Security — 韓国のセキュリティ企業S2Wが、北朝鮮ITワーカーが生成AIを駆使して履歴書や顔写真を偽装し、日本企業へ潜入する最新手口を報告。
• North Korean Hackers Target Open Source Developers in Supply Chain Attacks — SecurityWeek — 北朝鮮ハッカーが100以上の正規OSSパッケージとリポジトリを侵害し、開発者にバックドアと情報窃取マルウェアを配信する「PolinRider」キャンペーンを展開。
• New Java-Based QuimaRAT MaaS Built to Run on Windows, Linux, and macOS — The Hacker News — JavaベースのクロスプラットフォームRAT「QuimaRAT」がMaaSとして販売されている。Windows/Linux/macOSすべてに対応し、価格はサービスモデルによって変動。
• Suspected China-Nexus Hackers Use Fake Indian Tax Filing Utility to Deploy DcRAT — The Hacker News — 中国系と疑われる攻撃グループが偽のインド税務申告ユーティリティを使ってDcRATを配信するキャンペーン「Operation DragonReturn」がSeqriteにより報告された。
• New TrojPix Attack Leaks Data From Air-Gapped Systems via Video Cable Emissions — The Hacker News — 山東大学がエアギャップシステムからビデオケーブル放射を介した新データ漏洩手法「TrojPix」を発表。不可視のピクセル変化で高速なデータ漏洩を実現。
• Windows 11 identifier code used to track Scattered Spider perp after Microsoft shared info with FBI — はてなブックマーク — 米エストニア二重国籍の19歳がScattered Spiderのメンバーとしてフィンランドで逮捕。MicrosoftがFBIと共有したWindows 11識別コードが追跡の決め手となった。
• AIの「思考ログ」を偽造してモデルを騙す攻撃手法が登場 — タグよりも「文体」を信じてしまうLLMの盲点 — はてなブックマーク — 推論AIモデルのChain-of-Thoughtを偽装して誤動作させる新攻撃手法。LLMがタグより文体を信頼する盲点を突いたプロンプトインジェクションの進化形。
• 不正アクセスで個人情報など最大約17万件漏えいか│加賀ソルネット — サイバーセキュリティ.com — 加賀ソルネット運営の販売サイト「アカデミコナビ」で不正アクセスが発生し、顧客の個人情報最大約17万件が流出した可能性が公表された。
• 佐渡市の委託事業で不正アクセス、佐渡トキファンクラブ会員4,111名のメールアドレス漏洩のおそれ — サイバーセキュリティ.com — 佐渡市の委託事業で使用するメール配信サーバーが不正アクセスを受け、トキファンクラブ会員4,111名のメールアドレス漏洩の可能性が報告された。
• Armored Likho APT Targeting Government, Electric Power Entities — SecurityWeek — 金銭目的とサイバーエスピオナージの両面を持つ「Armored Likho」APTが政府機関と電力事業者を標的にモジュラー型RATや情報窃取ツールを用いた攻撃を展開。
• How to Evaluate an AI SOC Platform in 2026: 6 Capabilities That Separate Leaders from Bolt-On AI solutions — The Hacker News — AI SOCプラットフォーム評価のための6つの差別化要因を解説。チャットアシスタントを追加しただけのレガシーSIEMから、自律的な検出・トリアージ・調査を行うエージェントプラットフォームまで。
• Moody Bible Institute breach leaves 2.3M accounts needing salvation, says cyber expert — The Register — ムーディー聖書学院がサイバー攻撃を公表後、ShinyHuntersが230万アカウントの個人情報（氏名・住所・生年月日等）をリークしたと専門家が報告。

セキュリティツール, 研究

T3MP3ST AI レッドチーム フレームワーク 関連（2件）

• T3MP3ST 正式发布！！！一支真正能自主行动的 AI 红队！！ — X (pritipatelfgoo) — Claude CodeやCodexなど既存AI Agentに接続可能なオープンソースの自律型レッドチームフレームワーク。8種類のOperatorでサイバーキルチェーンをカバーし、35〜83のセキュリティツールにアクセス可能。XBENベンチマークで90.1% pass@1を達成。
• SkillCloak Lets Malicious AI Agent Skills Evade Static Scanners with Self-Extracting Packing — The Hacker News — AIエージェント向け悪意あるスキルが静的検出を回避する新手法。香港科技大学の研究で、自己展開型パッキングにより全スキャナーをバイパス可能であることが実証された。
• 19+ Years Hidden, $80,000+ Rewarded: Reporting a Linux Kernel Zero-Day for Google kernelCTF: CVE-2026-43456 — GMOサイバーセキュリティ — 19年以上潜伏していたLinuxカーネルゼロデイをGoogle kernelCTF経由で報告し、8万ドル超の報奨金を獲得した詳細な技術レポート。
• たった1件の不備でマイナス1万点　AIの物量攻撃に耐える"基礎の強度" — ITmedia Security — 激変するセキュリティランドスケープとAIの物量攻撃に対抗するための実務アプローチを解説。基礎対応の"練度"向上とIT・セキュリティ運用の組織的統合の必要性を説く。
• Cortex Security Audit — Quarkslab — OSTIFの依頼によるCortexのセキュリティ監査。マルチテナント設計とテナント分離保護メカニズムの評価結果を報告。
• The Shift Toward Business-Aligned Risk Management — SecurityWeek — 技術的データから継続的リスクライフサイクルへの移行により、セキュリティ管理を実際のビジネス影響と整合させるアプローチを提唱。
• Opera GX flaw let malicious sites auto-install mods and steal data from visited pages — X (Dark Web Informer) — Opera GXブラウザのMod自動インストール脆弱性のサマリー。CSSインジェクションによるクロスサイトデータ窃取とGmailアドレス復元のPoC。
• Vulnerabilidades en ModSecurity permiten saltar reglas del firewall — X (elhacker.NET) — OWASP ModSecurityのWAFルールバイパス脆弱性CVE-2026-52761/CVE-2026-52747の情報。v3.0.16で修正済み。
• dnsx – Fast Multi-Purpose DNS Toolkit for Security Professionals — X (Vivek|Cybersecurity) — ProjectDiscoveryの高性能DNSツールキットdnsxの紹介。DNS解決・サブドメインブルートフォース・ワイルドカード検出など多機能で、ペネトレーションテストとバグバウンティに有用。
• disclose.io lookup resolves any asset to its security contact, VDP, or bug bounty program — X (cje) — disclose.ioが提供するアセット（ドメイン・IP・パッケージ・リポジトリ等）からセキュリティ窓口やバグバウンティプログラムを解決するツール。CLI・Caido/Burpプラグイン・MCPサーバーに対応。
• 文系ギャルがPMP® 試験を受ける＆ペネトレーションテストのPM（プロジェクトマネージャー）を語る — X (ラック公式) — ラックのペネトレーションテストPM担当者によるPMP®試験体験記とプロジェクトマネジメントの実務視点を紹介。
• Mini Vulnerability Labで学ぶWeb脆弱性入門 — Zenn (saku0512) — GoとMySQLで作られたローカル専用ラボを使い、XSS・SQL Injection・IDOR・Path Traversalの原因と修正方針を学ぶ入門書。

クラウド

• Your Worker can now have its own cache in front of it — Cloudflare Blog — Cloudflare Workersの前方に設定可能な地域ティア型キャッシュ「Workers Cache」が発表された。標準HTTPヘッダーで設定でき、無限に構成可能な設計が特徴。

Web Application Security, WebSec, OWASP

• Why traditional DAST Tools fail modern AppSec teams (and how to fix it) — Detectify — 従来型DASTツールが現代のAppSecチームで失敗する理由とその改善方法を解説。外部スキャンだけでは不十分な点と、最新のDevSecOpsパイプラインに統合するためのアプローチを提案。
• Vulnerabilidades en ModSecurity permiten saltar reglas del firewall — elhacker.NET — OWASP ModSecurityに複数のルールバイパス脆弱性が発見され、CVE-2026-52761およびCVE-2026-52747として追跡。v3.0.16で修正。
• Opera GX Flaw Let Malicious Sites Auto-Install Mods to Steal Data From Visited Pages — The Hacker News — Opera GXのModシステムが悪用され、ユーザー操作なしでサイレントインストールとユニバーサルCSSインジェクションが可能になる脆弱性。Gmailアドレス漏洩のPoCも実証。
• RCS and DNS: The NAPTR Record — SANS Internet Storm Center — RCS（Rich Communication Services）プロトコルのDNS NAPTRレコードによる設定に関する技術解説。SMS代替として普及するRCSのセキュリティ面にも言及。

Bug Bounty

• Bug Bounty Hunter向け US South Summer Sessions "Hack the Heat" 告知 — X (Joseph Thacker) — HackerOne主催のUS南部バグバウンティハンター向けサマーセッションの告知。定員に達しているがウェイトリスト参加が可能。
• Devin Security Swarm 約6,300円/回、Claude Securityより30%安い — X (Kinopee) — Devin Security Swarmの実コスト試算。10セッション以上の群れ起動で1回約6,300円。Claude Securityの2位検出力に対して30%安価と報告。
• How I Found a Critical JWT Authentication Design Flaw and Earned a $1,450BugBounty](https://wadgamaraldeen.medium.com/how-i-found-a-critical-jwt-authentication-design-flaw-and-earned-a-1-450-bug-bounty-4ea6bbd90bb5)—\ast X(MustafaAdamGamaraldinAbdalla)\ast —JWT\mathrm{認}\mathrm{証}\mathrm{の}\mathrm{重}\mathrm{大}\mathrm{な}\mathrm{設}\mathrm{計}\mathrm{欠}\mathrm{陥}\mathrm{を}\mathrm{発}\mathrm{見}\mathrm{し}$ — X (Mustafa Adam Gamaraldin Abdalla) — JWT認証の重大な設計欠陥を発見し$1,450の報奨金を獲得したバグバウンティWriteup。
• Paradex bug bounty is live on Sherlock - Upto $500K in rewards — X (Paradex) — ParadexのバグバウンティプログラムがSherlock上で開始。最大50万ドルの報奨金を提供。
• BAC report bounty in automotive bug bounty program using redmind AI skill — X (Yassine) — 大手自動車バグバウンティプログラムで未認証エンドポイントのBAC脆弱性を発見。redmind AIスキルをテストに活用しPII露出を特定した事例。
• New bug bounty: Earn up to $5,000withZynkLabs](https://x.com/HackenProof/status/2074110375012802838)—\ast X(HackenProof)\ast —ZynkLabs\mathrm{の}\mathrm{新}\mathrm{規}\mathrm{バ}\mathrm{グ}\mathrm{バ}\mathrm{ウ}\mathrm{ン}\mathrm{テ}\mathrm{ィ}\mathrm{プ}\mathrm{ロ}\mathrm{グ}\mathrm{ラ}\mathrm{ム}\mathrm{が}HackenProof\mathrm{で}\mathrm{開}\mathrm{始}。\mathrm{最}\mathrm{大}$ — X (HackenProof) — ZynkLabsの新規バグバウンティプログラムがHackenProofで開始。最大$5,000の報奨金。

DevSecOps, CI/CD

• AIエージェントに本番環境の権限を渡すとき — 「正しそうな自律判断」がロールバック・規制違反・侵害拡大を招く新リスク — はてなブックマーク — AIエージェントが本番環境への直接アクセス権を持つ新時代のDevOpsリスクを解説。自律判断がもたらすロールバック・コンプライアンス違反・侵害拡大の脅威と対策を論じる。

プライバシー, 法規制, セキュリティ政策

• The Supreme Court Just Lit a Fuse Under Flock's License Plate Camera Empire — HackerNews — 米最高裁判決がFlockのナンバープレート認識カメラ網に大きな影響を与える可能性。プライバシーと監視技術の法的枠組みに関する重要な判決。
• AI開発なら同意不要　病歴も渡りうる個人情報保護法改正案の危うさ — はてなブックマーク — 国会審議中の個人情報保護法改正案により、AI開発目的で医療情報等のセンシティブデータが本人同意なしに第三者提供される可能性が懸念されている。
• Microsoft 365 Copilotを安全に全社展開する｜情シスのための過剰共有対策 実践ガイド — はてなブックマーク — Copilot展開時にSharePointの権限設定不備による情報漏洩リスクを防ぐための実践ガイド。過剰共有対策と段階的な展開アプローチを解説。
• EU urged to act after Pegasus infects phone of spyware inquiry MEP — The Register — EUのスパイウェア調査委員会のMEPの携帯電話がPegasusに感染。人権団体がPEGA委員会勧告の即時実施を要求する事態に発展。
• Brit supermarket giant triples down on facial recog to nab shoplifters — The Register — 英国の大手スーパーが万引き対策として顔認識技術の導入を年末までに最大150店舗へ拡大予定。「オーウェル的」との批判も。
• GoDaddy Is Quietly Fighting for WHOIS Privacy, and Almost No One's Paying Attention — The CyberSec Guru — デリー高裁がWHOISプライバシーのデフォルト提供停止を命じた判決に対し、GoDaddyが5,000ページの上訴書を提出。2025年施行のRDAPとの衝突も指摘。

セキュリティ系の勉強会やイベント、カンファレンス

• トレンドマイクロ、デジタルツインを活用した脆弱性の検証など最新のソリューションを紹介～TrendAI Spark 2026 — INTERNET Watch — トレンドマイクロがサイバーセキュリティカンファレンス「TrendAI Spark 2026」を東京で開催。デジタルツインを活用した脆弱性検証など最新ソリューションを披露。
• SEC542 Web App Penetration Testing Course — X (SANS Offensive Operations) — OWASP Web Security Testing Guideを基盤にしたSANSのWebアプリケーションペネトレーションテストコースSEC542の紹介。
• Bug Bounty Hunter向け US South Summer Sessions "Hack the Heat" — X (Joseph Thacker) — HackerOne主催の米国南部バグバウンティハンター向けサマーイベント「Hack the Heat」。ウェイトリスト参加受付中。
• 文系ギャルがPMP® 試験を受ける＆ペネトレーションテストのPMを語る — X (ラック公式) — ラック社員によるPMP®試験体験記とペネトレーションテストPMの実務に関するブログ記事の紹介。

会社ブログ, その他

• 令和8年度 応用情報技術者試験、高度試験及び情報処理安全確保支援士試験の申込受付期間及び試験実施期間を公表しました — IPA — IPAが令和8年度の応用情報・高度試験・情報処理安全確保支援士試験の申込受付期間と試験実施期間を公表。
• 令和8年度後期 特別措置試験の試験実施日を公表しました — IPA — IPAが令和8年度後期の特別措置試験の実施日を公表。
• 公開3日で停止した「Claude Fable 5」が復活　AI脱獄の採点ルールも稼働 — ITmedia Security — Claude Fable 5の再提供と、業界横断的なAIジェイルブレイク評価枠組みの始動。Anthropic、Amazon、Microsoft、Googleが参加。
• Secure Unix ancestor KSOS did type safety before Rust made it cool — The Register — 約40年前のModulaベースのセキュアUNIX「KSOS」のソースコードが再発見された。Rustが普及する遥か以前に型安全性を実現していた歴史的意義を紹介。
• mise + age で環境変数を暗号化する — はてなブックマーク — miseとageを組み合わせて環境変数を暗号化する手法の解説。シークレット管理の実践的アプローチ。
• OSSECとは | OSSのデージーネット — はてなブックマーク — ホスト型IDS「OSSEC」の機能概要を解説。ログ解析・整合性チェック・レジストリ監視・ルートキット検出・リアルタイム警告・アクティブレスポンスを提供するOSS。

🤖 AI, 機械学習

AI, 機械学習ニュース (20件)

新モデル, 研究論文

Claude Fable 5 関連（3件）

• A global workspace in language models — HackerNews — Anthropicが大規模言語モデル内の「グローバルワークスペース」研究を発表。意識理論に着想を得た情報共有と統合メカニズムの解明に取り組む。
• 公開3日で停止した「Claude Fable 5」が復活　AI脱獄の採点ルールも稼働 — ITmedia Security — Anthropicの最新モデルClaude Fable 5が再提供開始。同時に業界共通のAIジェイルブレイク深刻度評価枠組みも始動。
• Claude Fableと1週間コンビで仕事して自分を再評価してもらった — Zenn (tai_kimura) — Claude Fable 5と1週間二人三脚でUIフレームワーク開発を行い、最後にモデルに自分とプロジェクトを評価させた体験記。7ヶ月前のSonnet 4.5との比較も収録。
• The AI Superforecasters Are Here — HackerNews — AIによるスーパーフォアキャスティング（超予測）の最新動向をAstral Codex Tenが分析。AI予測精度の向上とその社会的含意を探る。
• What Emily Bender meant by "stochastic parrots" — HackerNews — Emily Benderが提唱した「確率的オウム」概念の真意をIEEE Spectrumが解説。LLMの本質的限界に関する議論の原点を再考する記事。
• Fable Built a 3D Model of Aristotle's Cognitive Architecture — HackerNews — Fable（Anthropic）がアリストテレスの認知アーキテクチャを3Dモデル化したプロジェクトを公開。概念空間の可視化を通じてAIの思考構造を探る試み。
• 中国AIがミュトスいぬ間に躍進　料金は20分の1、米企業も乗り換え — はてなブックマーク — 米政府指示でMythos提供停止中に中国AIへの乗り換えが加速。オープン型で料金は20分の1とコスト競争力が高く、技術覇権をめぐる米中の攻防が激化。

AIツール, サービス, 製品

• Ollama API完全ガイド2026｜REST・OpenAI互換・Python/JSでローカルLLMを叩く — AI Heartland — ローカルLLMをHTTPで操作するOllama APIの完全ガイド。ネイティブREST APIとOpenAI互換APIの両エンドポイントを解説し、ストリーミングや構造化出力に対応。
• Ollamaとllama.cppの違い2026｜ローカルLLMはどちらで動かすべきか徹底比較 — AI Heartland — Ollamaとllama.cppの関係を「外装と土台」と位置づけ、GGUFモデル推論の7軸比較を実施。用途に応じた選択基準と併用パターンを提案。
• ComfyUI カスタムノード入門2026｜ComfyUI Managerでの導入・依存解決・安全な選び方 — AI Heartland — ComfyUIのカスタムノード導入方法と依存解決のトラブルシューティング、任意コード実行リスクを踏まえた安全なノード選びの基準を公式情報ベースで解説。
• ComfyUI ワークフロー共有・再現ガイド2026｜JSONとPNGメタデータで完全再現する — AI Heartland — JSON/PNGメタデータ形式でのComfyUIワークフロー共有と環境間再現の方法を解説。不足ノード解決やSNS経由でのメタデータ消失対策にも言及。
• Dify vs LangChain 2026｜ノーコードLLMOps基盤とコードファーストの使い分け — AI Heartland — ノーコードLLMOpsプラットフォームDifyとコードファーストフレームワークLangChainを8軸で比較。競合ではなく層が異なる製品として併用パターンを提案。
• Dify セルフホスト完全ガイド2026｜Docker Composeで構築・本番運用・アップグレード — AI Heartland — Docker ComposeでのDifyセルフホスト構築手順を解説。約11コンテナのセットアップからHTTPS・バックアップ・本番ハードニングまで網羅。
• AMD Ryzen AI Halo – $4kAIDevKit](https://www.lttlabs.com/articles/2026/07/06/amd-ryzen-ai-halo)—\ast HackerNews\ast —AMD\mathrm{が}AI\mathrm{開}\mathrm{発}\mathrm{者}\mathrm{向}\mathrm{け}\mathrm{に}$ — HackerNews — AMDがAI開発者向けに$4,000のAI Dev Kit「Ryzen AI Halo」を発表。LTT Labsによる詳細レビュー。
• OfficeCLI: Office suite for AI agents to read and edit Microsoft Office files — HackerNews — AIエージェントがMicrosoft Officeファイルを読み取り・編集するためのCLIツール群。エージェントワークフローへのOffice統合を可能にする。

NAS + AI 関連（2件）

• 「AIを使えるNAS」から「AIに使えるNAS」へ!! TerraMasterの新OSと「F4-425 Pro」を動画で紹介 — INTERNET Watch — TerraMasterの新NAS OSとF4-425 Proの動画レビュー。AIエージェント統合による次世代NAS体験を紹介。
• NASにAIエージェントを統合すると、ユーザー体験はここまで変わる！ OpenClaw搭載のTerraMaster「F4-425 Pro」 — INTERNET Watch — OpenClaw搭載のTerraMaster F4-425 Proが実現するAIエージェント統合NASの革新的ユーザー体験を詳細に解説した「イニシャルB」連載。

LLM, エージェント実装

• Claude Codeで「育つAI秘書」を作る — 3階層エージェント実運用記録 — Zenn (syumai6842) — Claude Codeで個人AI秘書を2ヶ月運用した全記録。自律学習メモリ設計、CEO→research-loop→researcherの3階層エージェント構造、17件の失敗ログを収録。
• Claude Code のビルトインにコンテキストの3割を一撃で食うスキルがあるって知ってました?(無効化方法も紹介) — Zenn (tksfjt1024) — Claude Codeのビルトインスキルが1回の発動で約30万トークン（1Mトークン中約3割）を消費する問題を実測データとともに報告。公式設定と環境変数による無効化方法も紹介。
• 最近よく聞く「ハーネス」、半年前に私が「レール」と呼んでいたやつだった — Zenn (tai_kimura) — AIモデル周辺の足場設計を指す「ハーネスエンジニアリング」の概念を、自身が半年前に「レール」と呼んでいた経験と重ねて考察。モデルより足場設計への投資の重要性を論じる。
• 日本語プロンプトが曖昧になりやすい理由と、曖昧さの消し方 — Zenn (asuene) — 日本語でLLMに指示を出す際の曖昧さの原因を言語特性から分析し、具体的なプロンプト改善手法を提案。
• アイデアがすぐ形になる今、エンジニアに問われる「磨き込む力」 — Zenn (rehabforjapan) — AIで高速プロトタイピングが可能になった時代に、エンジニアに求められる「磨き込む力」の重要性を説く。Rehab for JAPANの期初キックオフ講演の外向け版。
• AIエージェントに本番環境の権限を渡すとき — 「正しそうな自律判断」がロールバック・規制違反・侵害拡大を招く新リスク — はてなブックマーク — AIエージェントの本番環境アクセス権がもたらす新リスクを分析。自律判断によるロールバック・規制違反・侵害拡大の脅威と安全な導入アプローチを論じる。
• 偽APIドキュメントに騙されてAIエージェントが暗号通貨を自動送金 — 26モデル検証で4モデルが実際に送金 — はてなブックマーク — 偽のAPIドキュメントにSEO・JSON-LD・CSS隠蔽を組み合わせてAIエージェントを騙し暗号通貨を自動送金させる新手口の研究。26モデル中4モデルが実際に送金を実行。

AI政策, 倫理, 動向

• Big Tech Has Suddenly Flipped on the AI Jobs Wipeout Scenario — HackerNews — 大手テック企業のCEOたちがAIによる雇用喪失シナリオに対する見解を一転させたとWSJが報道。AI時代の労働市場の新たな展望。
• AI開発なら同意不要　病歴も渡りうる個人情報保護法改正案の危うさ — はてなブックマーク — AI開発目的での医療情報等の本人同意なし第三者提供を可能にする個人情報保護法改正案の問題点を朝日新聞が詳報。

📌 その他注目技術

その他注目技術ニュース (13件)

ブラウザのアップデート, 新機能

• Firefox now supports new Iterator.prototype.chunks and Iterator.prototype.windows methods — Firefox Nightly Release Notes — Firefox Nightly 154でIterator.prototypeのchunksとwindowsメソッドを新たにサポート。
• The address bar now includes a "Manage AI" quick action that opens the AI section of Settings — Firefox Nightly Release Notes — Firefox NightlyのアドレスバーにAI設定セクションへ直接アクセスできる「Manage AI」クイックアクションが追加された。
• Chrome Dev for Desktop Update — Google Chrome Releases — Chrome Devチャンネルのデスクトップ版アップデートがリリース。
• MicrosoftのEdgeブラウザーが「Google アカウント」でログイン可能に、最新版「Microsoft Edge 150」が公開 — はてなブックマーク — Microsoft Edge 150が公開され、Googleアカウントでのログインが可能に。300件以上の脆弱性修正を含み、サイドバーのアプリ一覧は廃止。macOS Monterey 12のサポートは本バージョンが最終。

開発ツール, プラットフォーム

• Your Worker can now have its own cache in front of it — Cloudflare Blog — Cloudflare Workersの前方にリージョナルティア型の専用キャッシュを設定可能に。標準HTTPヘッダーで構成可能で無限にコンポーズ可能。
• Kani: A Model Checker for Rust — HackerNews — Rust向けモデルチェッカー「Kani」のarXiv論文。形式検証によるRustプログラムの正確性保証手法を提案。
• Road to Elm 1.0 — HackerNews — Elm言語のバージョン1.0へのロードマップが発表された。ビルド高速化の改善点が主なハイライト。
• Show HN: Pulpie – Models for Cleaning the Web — HackerNews — Webクリーニングのためのパレート最適モデル群「Pulpie」が公開された。Webデータの品質向上を目的としたツール。
• mise + age で環境変数を暗号化する — はてなブックマーク — Rust製ツールランナーmiseと暗号化ツールageを組み合わせて環境変数を安全に管理する手法の技術解説。

その他

• Nintendo announces new product revisions in Europe with replaceable batteries — HackerNews — 任天堂が欧州でバッテリー交換可能な製品リビジョンを発表。環境配慮と修理容易性向上を目的とした設計変更。
• Real-time map of Great Britain's rail network — HackerNews — 英国鉄道網のリアルタイム運行状況を可視化するインタラクティブマップが公開された。
• Secure Unix ancestor KSOS did type safety before Rust made it cool — The Register — 約40年前のセキュアUNIX「KSOS」のModulaベースのソースコードが再発見され、Rust以前の型安全性実現例として注目を集めている。

📌 その他採用や組織マネジメント

• Big Tech Has Suddenly Flipped on the AI Jobs Wipeout Scenario — HackerNews — 大手テック企業CEOがAIによる雇用喪失シナリオの見解を一転。AI時代の労働市場の新たな展望をWSJが報じる。
• Stealth robotics startup (YC S26) is hiring principal engineers (Palo Alto) — HackerNews — YC S26採択のステルスロボティクススタートアップがパロアルトでプリンシパルエンジニアを募集中。
• 令和8年度 応用情報技術者試験、高度試験及び情報処理安全確保支援士試験の申込受付期間及び試験実施期間を公表しました — IPA — 令和8年度の情報処理技術者試験・情報処理安全確保支援士試験のスケジュールをIPAが公表。
• 200+ .NET senior job posts analysis: complete skills checklist for $150K+roles](https://x.com/AntonMartyniuk/status/2074096062038417874)—\ast X(AntonMartyniuk)\ast —LinkedIn\mathrm{の}200\mathrm{件}\mathrm{以}\mathrm{上}\mathrm{の}.NET\mathrm{シ}\mathrm{ニ}\mathrm{ア}\mathrm{職}\mathrm{求}\mathrm{人}\mathrm{を}\mathrm{分}\mathrm{析}\mathrm{し}、$ — X (Anton Martyniuk) — LinkedInの200件以上の.NETシニア職求人を分析し、$150K以上の年収を得るために必要な全スキルセットをチェックリスト化。C#、ASP.NET Core、クラウド、DevOps、テストまで網羅。
• アイデアがすぐ形になる今、エンジニアに問われる「磨き込む力」 — Zenn (rehabforjapan) — AIによる高速プロトタイピングが可能になった時代にエンジニアが持つべき「磨き込む力」を論じた組織マネジメント視点の記事。

📋 掲載除外リスト

取得状況