デイリーニュースダイジェスト - 2026-07-08

🔒 セキュリティ

📢 サマリー

本日はKDDIのISP向けメール基盤への不正アクセスで761万件のパスワード流出が新たに判明し、国内で大きな波紋を呼んでいます。また、LinuxのKVMに16年前から存在したゲスト脱出の脆弱性「Januscape」や、Linuxカーネルの新たなゼロデイ「Bad Epoll」が発見され、クラウド・仮想化基盤への影響が懸念されます。CISAはAdobe ColdFusionなどを悪用リストに追加し、GitHubのAIエージェント機能からプライベートリポジトリ情報が漏洩する「GitLost」も報告されており、開発環境のセキュリティ再点検が急務です。

📌 注目記事

KDDIメール漏えいの全容判明　ゼロデイ悪用で761万人分パスワードが流出

6月に公表されたKDDIのISP事業者向けメール基盤への不正アクセスで、新たな調査結果が明らかになりました。漏えいしたのはメールアドレス1223万件、うち761万件でパスワードも流出しており、ゼロデイ脆弱性が悪用された可能性が指摘されています。同社は再発防止策を公表していますが、影響を受けた6社のISPサービス利用者はパスワード変更などの対応が必須です。

Januscape (CVE-2026-53359): The 16-Year-Old KVM Bug That Lets a Guest VM Take Down Its Host

Linux KVMに16年間存在していたUse-After-Freeの脆弱性（CVE-2026-53359）が公開されました。ゲストVMからホストをクラッシュさせたり、コード実行につながる可能性があります。Intel、AMD両方のシステムに影響し、クラウド事業者やホスティングサービスに深刻なリスクをもたらします。

悪用成功率99％、Linuxカーネルに新ゼロデイ「Bad Epoll」が見つかる

Linuxカーネルで発見された新たな権限昇格の脆弱性は、競合タイミングが極めて短いにもかかわらず約99%の確率でroot権限を奪取できることが実証されました。Androidにも影響が及ぶ可能性があり、早急なパッチ適用が求められます。

CISA Adds Known Exploited Vulnerabilities to Catalog（Adobe ColdFusion / JoomShaper SP Page Builder / Langflow / Joomlack Page Builder）

CISAはCVE-2026-48908（JoomShaper SP Page Builder / 危険なファイルアップロード）、CVE-2026-55255（Langflow / 認可バイパス）、CVE-2026-56290（Joomlack Page Builder / 不正アクセス）、CVE-2026-48282（Adobe ColdFusion / パストラバーサル）を悪用リストに追加しました。特にAdobe ColdFusionはCVSS 10.0の深刻度で、すでに攻撃が確認されています。

Public GitHub Issue Could Trick GitHub Agentic Workflows Into Leaking Private Repo Data

Noma Securityの研究者が、公開リポジトリに細工したIssueを作成するだけで、GitHubのAIエージェント機能を通じて組織のプライベートリポジトリの内容を漏洩させる手法「GitLost」を公開しました。認証情報や特別なアクセス権は不要で、現在も修正は提供されていません。

Critical Gitea Flaw Under Active Exploitation, Researchers Warn

Giteaの認証バイパスの脆弱性（CVE-2026-20896）が現在積極的に悪用されています。単一のHTTPヘッダーを操作するだけで認証を回避し、リポジトリやシークレット情報にアクセスできます。セルフホスト型Gitサービスの利用者は早急にアップデートが必要です。

BeyondTrust Patches Critical Auth Bypass Flaws in Remote Support and PRA

BeyondTrustのRemote SupportとPrivileged Remote Access製品に認証バイパスの脆弱性が発見されました。未認証の攻撃者が対象デバイスを制御できる深刻な問題で、早急なパッチ適用が推奨されています。

📅 セキュリティ週次まとめ

• Weekly Report: Rancherに複数の脆弱性 — JPCERT/CC — Rancherに複数の脆弱性が報告されました。アップデートの適用が推奨されます。
• Weekly Report: 複数のUbiquiti製品に脆弱性 — JPCERT/CC — 複数のUbiquiti製品に脆弱性が報告されました。影響を受ける製品の確認とアップデートが必要です。
• Weekly Report: セイコーソリューションズ製SkyBridge MB-A100/MB-A110にOSコマンドインジェクションの脆弱性 — JPCERT/CC — セイコーソリューションズ製SkyBridgeにOSコマンドインジェクションの脆弱性が報告されました。
• Weekly Report: Apache Tomcatに複数の脆弱性 — JPCERT/CC — Apache Tomcatに複数の脆弱性が報告されました。早急なバージョンアップが推奨されます。
• Weekly Report: Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性 — JPCERT/CC — Citrix NetScaler ADCおよびNetScaler Gatewayに複数の脆弱性が報告されました。
• Weekly Report: Google Chromeに複数の脆弱性 — JPCERT/CC — Google Chromeに複数の脆弱性が修正されました。最新版へのアップデートを実施してください。
• Weekly Report: 複数のアドビ製品に脆弱性 — JPCERT/CC — 複数のアドビ製品に脆弱性が報告され、アップデートが提供されています。
• Weekly Report: 複数のMozilla製品に脆弱性 — JPCERT/CC — 複数のMozilla製品に脆弱性が報告されました。該当製品の更新が推奨されます。
• Weekly Report: リコー製Web Image Monitorを実装している複数のレーザープリンタおよび複合機（MFP）に反射型クロスサイトスクリプティングの脆弱性 — JPCERT/CC — リコー製プリンターおよび複合機に反射型クロスサイトスクリプティングの脆弱性が報告されました。
• Weekly Report: 複数のApple製品に脆弱性 — JPCERT/CC — 複数のApple製品に脆弱性が報告されました。最新のOSバージョンへの更新が推奨されます。
• Weekly Report: Fluentdに複数の脆弱性 — JPCERT/CC — Fluentdに複数の脆弱性が報告されました。ログ収集基盤のセキュリティ確保のためアップデートを推奨します。
• Weekly Report: JPCERT/CC 感謝状 2026 — JPCERT/CC — JPCERT/CCよりセキュリティ業界への感謝状に関するお知らせです。

📰 セキュリティニュース (X件)

CVE, 脆弱性

• CISA Adds One Known Exploited Vulnerability (Adobe ColdFusion | JoomShaper SP Page Builder | Langflow | Joomlack Page Builder) — CISA — CVE-2026-48908（JoomShaper SP Page Builder / 危険なファイルアップロード）、CVE-2026-55255（Langflow / 認可バイパス）、CVE-2026-56290（Joomlack Page Builder / 不正アクセス制御）、CVE-2026-48282（Adobe ColdFusion / パストラバーサル）をKEVカタログに追加。
• 本日気になった注意喚起情報（7/8）★ — Fox on Security — 国内のセキュリティ情報を定期的に巡回し、IBM WebSphere Application ServerやJetBrains製品の脆弱性など、本日気になる注意喚起をまとめた記事。
• 本日気になった注意喚起情報（7/7）★ — Fox on Security — 前日分の注意喚起情報。ウェブメール「Roundcube」やHTTP通信ライブラリ「Apache HttpComponents」の脆弱性などが取り上げられている。
• CertCC Warns of Hidden Admin Backdoor in Tenda Router Firmware — The Hacker News — CERT/CCがTendaルーターの複数ファームウェアに認証を回避し管理アクセスを許可する隠しバックドアを警告。CVE-2026-11405として識別されており、現時点でパッチは提供されていない。
• Januscape: 16-Year-Old Linux KVM Bug Enables Cloud VM Escape Attacks — Security Affairs — 16年前から存在するLinux KVMのUse-After-Free脆弱性「Januscape」により、ゲストVMがホストをクラッシュさせる可能性がある。Intel、AMD両方に影響。
• Linux Kernel Vulnerability Allows VM Escape on Intel and AMD Systems — SecurityWeek — 16年前の「Januscape」脆弱性により、攻撃者が仮想マシンから脱出し、ホスト上でコードを実行できる可能性がある。
• Januscape (CVE-2026-53359): The 16-Year-Old KVM Bug That Lets a Guest VM Take Down Its Host — The CyberSec Guru — CVE-2026-53359（Januscape）の詳細な技術解説。16年前のKVMのUse-After-FreeバグがゲストVMからのホストクラッシュやエスケープを許す。
• Critical Adobe ColdFusion Vulnerability Exploited in Attacks — SecurityWeek — 修正されたばかりのAdobe ColdFusionの脆弱性（CVE-2026-48282、CVSS 10.0）を悪用した攻撃がすでに観測されている。
• KDDIメール漏えいの全容判明　ゼロデイ悪用で761万人分パスワードが流出 — ITmedia Security — （KDDIインシデントの詳細と併せてAdobe ColdFusionなどのゼロデイ悪用についても言及）

サイバー攻撃, インシデント・マルウェア

• 世界のランサムウェア攻撃、4217件に　データ流出規模の上位5件を占めた国は？ — ITmedia Security — Comparitechの調査によると2026年上半期のランサムウェア攻撃は過去最多の4217件に達した。米国が1832件で最多だが前期比8%減。QilinとThe Gentlemenが活発。
• スマホはもはや「実印」？　パスワード870件分の警告をAIはどう救うのか — ITmedia Security — 親のスマホ管理を通じて見えた「スマホの実印化」問題と、AIによるパスワード管理の新機能の紹介。
• 陸上自衛隊が使用したマルウェア入りUSBメモリについてまとめてみた — piyolog — 防衛省・陸上自衛隊が使用していたUSBメモリからマルウェアが検出された事案のまとめ。2024年4月から使用されていたものが2025年2月に検知された。情報流出は確認されていない。

KDDI メール漏洩 関連（2件）

• KDDIメール漏えいの全容判明　ゼロデイ悪用で761万人分パスワードが流出 — ITmedia Security — 6月のKDDI ISP向けメール基盤への不正アクセスで、メールアドレス1223万件、うち761万件のパスワードが流出したことが新たに判明。
• KDDIのISP事業者向けメールシステムへの不正アクセスについてまとめてみた — piyolog — KDDIのISP事業者向けメールシステムへの不正アクセス事案についての詳細なまとめ。6社のISPサービスに影響が波及した。
• AI-Generated Malware Powers New Armored Likho APT Campaign — Security Affairs — AIが生成したマルウェアを使用する新APTグループ「Armored Likho」がロシアやカザフスタン、ブラジルの政府・電力網を標的にしている。
• Critical Gitea Docker Bug Under Active Exploitation Exposes Repositories and Secrets — Security Affairs — CVE-2026-20896のGitea認証バイパスの脆弱性が活発に悪用されており、リポジトリや機密データが危険にさらされている。
• County Government Reportedly Paid $1 Million to Cyber Extortion Group — SecurityWeek — オハイオ州の小規模な郡政府が身代金要求グループに100万ドルを支払ったと報じられている。
• GitHub’s “Verified” Commit Isn’t Unique, and Its AI Agent Will Leak Your Private Repos If You Ask Nicely — The CyberSec Guru — GitHubの「Verified」コミットの署名が一意ではない問題と、AIエージェントがプライベートリポジトリの情報を漏洩させる「GitLost」脆弱性に関するCMUの研究。
• Court Filing Reveals Windows Device ID Helped FBI Trace Alleged Scattered Spider Hacker — The Hacker News — Windowsの永続的デバイスIDが、高級宝飾店への不正アクセスに関与したとされる「Scattered Spider」ハッカーの追跡にFBIによって利用された。
• Iran-Linked Hackers Use New Cavern C2 Framework to Target Israeli Organizations — The Hacker News — イランのMOISに関連するハッキンググループが、イスラエルの組織を標的に新たなC2フレームワーク「Cavern」を使用している。
• RedWing MaaS Packages Android Bank Fraud as a Telegram Rental Service — The Hacker News — 「RedWing」と呼ばれるAndroidバンキングマルウェアのサービスがTelegram上で貸し出されており、低スキルの犯罪者でも被害者の口座を乗っ取ることができる。
• Suspected China-Aligned Hackers Exploit Roundcube Flaws Against Universities — The Hacker News — 中国に連なる脅威アクターが、米国とカナダの大学の物理・工学部が利用するRoundcubeウェブメールの脆弱性を悪用している。
• Fake IT bods on Microsoft Teams coax workers into installing malware — The Register — Unit 42の報告。攻撃者がMicrosoft Teamsでヘルプデスクスタッフを装い、リモート制御を渡した後にEtherRATトロイの木馬をドロップする手口。
• CAI cloud worm gives competitors' malware the boot, then steals secrets and mines for coin — The Register — 競合マルウェアを駆逐し、シークレットを盗み暗号通貨を採掘する新しいクラウドワーム「CAI」が確認された。
• Spain collars alleged pro-Russia hacktivist after FBI tip-off — The Register — スペイン警察がFBIの情報提供を受け、親ロシア派ハクティビストの疑いがある人物を逮捕。CARR、Z-Pentest、NoName057(16)との関連が疑われている。
• バンダイナムコ不正アクセス問題、当時中学生が生成AI活用しサイバー攻撃か — サイバーセキュリティ.com — 動画配信サービス「バンダイチャンネル」への不正アクセス事件で、当時中学3年生だった高校1年の男子生徒が逮捕された。生成AIを悪用して攻撃プログラムを作成した疑い。
• 従業員のメルアカ不正利用され2,329件の不審メール送信確認│株式会社スペース — サイバーセキュリティ.com — 株式会社スペースの従業員メールアカウントが不正利用され、取引先に2329件のフィッシングメールが送信された。
• 従業員のメルアカが不正アクセス被害、第三者による情報閲覧の可能性│アイネックス — サイバーセキュリティ.com — アイネックスの従業員メールアカウントと連携クラウドサービスに不正アクセスがあり、情報漏えいの可能性が生じた。
• 大阪市、こども相談センター説明会の案内メールを誤送信 — サイバーセキュリティ.com — 大阪市こども青少年局が説明会案内メールを誤送信し、参加予定者全員の氏名が1名に漏えいしたことを公表。

セキュリティツール, 研究

• USBホストが利用可能と判断するデバイスの調査ツール「CDI USB MAPPER」を開発しました — DARK MATTER — PCなどのUSBホストが利用可能と判断したUSBデバイスクラスを列挙するツール「CDI USB MAPPER」を開発。禁止したデバイスクラスが実際に使えないかの検証などに役立つ。
• GitHub Actionsの脆弱な構成の検知ツール、任せられる範囲と人が見極めるべきリスク — GMO Flatt Security — GitHub Actionsの脆弱な構成を検知するzizmor等のツールを比較し、ツールに任せられる範囲と人が見極めるべきリスクを整理したシリーズ最終回。
• 「事後対応」中心の運用から脱却する「AIセキュリティ」の始め方　Google解説 — ITmedia Security — Google Cloudが政府機関のCISO向けに、AIを活用した防御のロードマップを解説。管理負荷を軽減し、脅威ハンティングや構造的統合へ移行する方法を示す。
• QRコード攻撃はなぜメールセキュリティを無力化できるのか？　その理由を解説 — ITmedia Security — QRコードを悪用したフィッシング攻撃は、従来のメールゲートウェイの検査をすり抜ける。対策方法と理由を専門家が解説。
• CISO Conversations: Tarah Wheeler, Cybersecurity Leader, Thought Leader and Original Thinker — SecurityWeek — TPO GroupのCISOであるTarah Wheeler氏へのインタビュー。CISOへの道のりや独自のリーダーシップ論について語られている。
• What Changes When Your Software Supply Chain Includes AI Writing Your Code? — The Hacker News — AIがコードを書く時代のソフトウェアサプライチェーンセキュリティは「コードの中身は何か」から「誰が（何が）そのコードを書いたのか」へと焦点が変わる。
• Windows is watching: Anti-piracy tool fingers Scattered Spider suspect — The Register — 海賊版対策ツールとして利用されるWindowsのGDIDが、Scattered Spider容疑者の追跡に役立った事例。テレメトリのセキュリティ応用。
• Amazon CloudFront + Lambda@Edge でアプリ無改修の Impossible Location 検知の実装 — Zenn (cscloud_blog) — セッション漏洩時に攻撃者の物理的に不可能な位置情報を検知しブロックする仕組みをCloudFrontとLambda@Edgeで実装する方法を解説。

クラウド

• CISA Reportedly Using Anthropic’s Mythos to Scan Government Software for Flaws — SecurityWeek — CISAが政府機関のソフトウェアの脆弱性をスキャンするためにAnthropicの「Mythos」を利用していると報じられた。
• DEBULL Tooling Abuses Microsoft Device-Code Flow to Target M365 Accounts — The Hacker News — コラボレーションをテーマにしたルアーを使い、Microsoft 365のデバイスコードフィッシングでアカウントを乗っ取るキャンペーン「DEBULL」が観測された。

Web Application Security, WebSec, OWASP

• WebサイトのCookieの受け入れ方針を伝える『Cookie-Preference』ヘッダ — ASnoKaze blog — IETFに提出された「Cookie-Preference」HTTPヘッダの提案仕様。HTTPリクエストでユーザーのCookie受け入れ方針をサーバーに伝えることが可能になる。
• Introducing Apex Discovery to secure every domain you actually own — Detectify — Detectifyが新機能「Apex Discovery」を発表。ユーザーが認識していないルートドメインを自動的に発見し攻撃対象領域の可視化を支援する。
• Rogue Agent Flaw Could Have Let Attackers Hijack Google Dialogflow CX Chatbots — The Hacker News — GoogleのDialogflow CXの脆弱性（「Rogue Agent」）により、攻撃者が同一プロジェクト内の他のチャットボットを乗っ取れる可能性があった。
• GitHub AI agent leaks private repos when asked nicely — The Register — 「GitLost」として知られる脆弱性の報告。特権を持つAIエージェントが、巧妙に作成されたIssueを処理する際にプライベートリポジトリの情報を漏洩させる。
• Enterprise AI still smarting from leaping before looking — The Register — 大多数の企業がAI関連のセキュリティインシデントや脆弱性を経験している。AI導入における「見切り発車」の代償が明らかになりつつある。

Bug Bounty

• How LLMs are changing Bug Bounty: an interview with Icare — YesWeHack Blog — LLMがどのようにバグバウンティの世界を変えているか、トップハッカーIcare氏へのインタビューを通じて探る。

DevSecOps, CI/CD

• GitHub Actionsの脆弱な構成の検知ツール、任せられる範囲と人が見極めるべきリスク — GMO Flatt Security — GitHub Actionsにおける攻撃手法と防御を解説するシリーズ第4回。自動検知ツールの限界と最終的に人が判断すべきリスクについて詳述。

プライバシー, 法規制, セキュリティ政策

• Cloudflare proudly joins the UK government's Cyber Resilience Pledge — Cloudflare Blog — Cloudflareが英国政府のサイバーレジリエンス誓約に参加。任意の枠組みだが、セキュリティガバナンスやサプライチェーンの厳格化へのコミットメントを示す。
• サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）のメールニュースの登録受付を開始しました — IPA — IPAがサプライチェーンセキュリティ評価制度（SCS）に関する登録受付を開始。2026年度内の運用開始を前に情報提供を開始する。
• IPA、26年度内に開始予定の「SCS評価制度」（サプライチェーン強化に向けたセキュリティ対策評価制度）に関するメールニュース配信 — INTERNET Watch — IPAがSCS評価制度のメールニュース配信を開始したことを報じる記事。制度の概要や登録方法についても言及。
• 「セキュリティ対策証明」経験ありは8割超、だがSCS評価制度迫るも“SaaS把握率”は2割未満 — ITmedia Security — 取引先からセキュリティ対策証明を求められた経験が8割超ある一方、SCS評価制度への準備でSaaSの把握率が2割未満にとどまっている実態が明らかに。
• Government's cyber pledge lands 60 signatories, including M&S and, somehow, Capita — The Register — 英国政府のサイバー誓約にM&SやCapitaなど60の企業・団体が署名。政府の企業のサイバー衛生向上の試みが関心を集めている。
• Predatorgate snoopfest victims launch €8M sueball at spyware maker — The Register — Predatorスパイウェアの被害者がメーカーに対し800万ユーロの訴訟を起こした。EUに対するスパイウェア規制強化のキャンペーンも同時に行われている。

会社ブログ, その他

• 「スクリプトキディ」から転じた、AIを悪用して攻撃プログラムを生成する「プロンプトキディ」とは？【やじうまWatch】 — INTERNET Watch — バンダイチャンネル事件を引き合いに、AIを使ってプログラムを生成する新世代の攻撃者「プロンプトキディ」という概念を紹介。
• Discord、AIツールの検出ミスで大量の誤BANが発生。2カ月で8400アカウントにも上る可能性【やじうまWatch】 — INTERNET Watch — DiscordでAIツールの誤検出により大量のアカウントが誤ってBANされる事案が発生し、少なくとも約200のアカウントがBANされた。
• Agentforce World Tour Tokyo 参加レポート AI時代の分かれ道 — LAC WATCH — 2026年6月に開催された「Agentforce World Tour Tokyo」の参加レポート。AIがビジネスパーソンの仕事の成果をどう変えるかを考察。
• AIはセキュリティ業務をどこまで支援できるのか｜NRIセキュアウェビナー開催レポート — NRIセキュア — 攻撃の主体が「休みなく動くAI」へと移行する中、防御側がいかにAIを活用すべきかを議論したウェビナーのレポート。
• TROOPERS26 登壇発表レポート — NTTセキュリティ — TROOPERS26カンファレンスでの「Unshelling VShell at Scale」と題した発表の概要と現地の様子をまとめたレポート。
• ISC Stormcast For Wednesday, July 8th, 2026 — SANS Internet Storm Center — 本日のSANS Technology Instituteによるポッドキャスト形式のセキュリティ情報まとめ。
• More Odd DNS Records: NIMLOC — SANS Internet Storm Center — SANSのハンドラーがDNSログで見つけた奇妙なDNSレコード「NIMLOC」についての分析。

🤖 AI, 機械学習

AI, 機械学習ニュース (X件)

新モデル、研究論文

• OpenPhone解説｜スマホを操作する3Bエージェント基盤モデル（HKU・ACL2026） — AI Heartland — 香港大学が公開した3Bパラメータのエージェント基盤モデル「OpenPhone」。ACL 2026採択。オンデバイスで動作しプライバシーと低遅延を実現。
• 30papers.com – Ilya's 30 essential ML papers, in a beginner friendly format — HackerNews — Ilya Sutskeverの推薦する必須の機械学習論文30本を、初心者にもわかりやすい形式で提供するサイト。
• AI Meets Cryptography 1: What AI Found in Cloudflare's Circl — HackerNews — AIを用いてCloudflareの暗号ライブラリ「Circl」のバグを発見するプロジェクトの第一弾。AIと暗号学の交差点を探る。
• 線形代数からLLM圧縮とLoRAまで ― SVDで理解する現代AIの数学 — Zenn (schhrcat) — 線形代数の基礎からSVD、LLM圧縮、LoRAまでを数式と直感とPythonコードで一貫して解説する技術書。前提知識は高校数学と基礎的なPython。

AIツール, サービス, 製品

• agent-rules-books解説｜名著13冊をAGENTS.mdルールに蒸留したOSS — AI Heartland — Clean Code、リファクタリング、DDDなど13冊の名著の設計原則を、AGENTS.mdルール/スキルに蒸留したOSS。
• claude-design-system-prompt解説｜AI slopに抗うデザイン系プロンプト集 — AI Heartland — LLMを「AI slop」に抗うデザイン協働者に変えるシステムプロンプトとスキル集。20章の哲学と14の手続き的スキルを含む。
• claude-real-video（crv）解説｜どのLLMにも動画を「見せる」シーン検出ツール — AI Heartland — Claudeや他のLLMに動画を実際に見せるためのツール。シーン変化でフレームを抽出し重複を除去、音声も文字起こしするOSS。
• claude-video（/watch）解説｜Claude Codeに動画を「見せる」スキルの全貌 — AI Heartland — Claude Codeに動画を見せる/claude-video（/watch）スキルの詳細解説。URLやローカル動画を取り込み、フレーム抽出と文字起こしを行う。
• lazycodexとは｜OmOをCodexに一発導入するゼロ設定ディストリビューション徹底解説 — AI Heartland — LazyVimのように、エージェントハーネスOmOをOpenAI Codexにnpx一発で導入できるディストリビューション「lazycodex」の解説。
• Show HN: Rowboat – Open-source, local-first alternative to Claude Desktop — HackerNews — Claude Desktopの代替となるオープンソースでローカルファーストなツール「Rowboat」の紹介。
• 「スクリプトキディ」から転じた、AIを悪用して攻撃プログラムを生成する「プロンプトキディ」とは？【やじうまWatch】 — INTERNET Watch — ChatGPTなどの生成AIでマルウェアを作成する若年層犯罪者の概念。バンダイチャンネル事件を契機に注目される。
• Slackで頼むと、夜のうちにPRができている——AI自律開発パイプラインの作り方 — Zenn (leateq) — Slackで依頼するとAIが自律的にIssue整理、コード計画、レビュー、実装までを行ってPRを作成するパイプラインを自作するためのガイドブック。

LLM, エージェント実装

• Claude Codeのループ設計入門｜プロンプトをやめて自走させる4つの型と停止条件 — AI Heartland — Anthropic公式ガイド「Getting started with loops」の日本語解説。Turn/Goal/Time/Proactiveの4型と暴走を防ぐガードレールを紹介。
• oh-my-openagent（OmO）とは｜OpenCode・Codexを多モデルで束ねるエージェントハーネス — AI Heartland — OpenCodeやOpenAI Codexの上で複数のAIモデルとサブエージェントを分業させるエージェントハーネス「OmO」の解説。
• Public GitHub Issue Could Trick GitHub Agentic Workflows Into Leaking Private Repo Data — The Hacker News — GitHubのAIエージェント機能の脆弱性「GitLost」。細工した公開Issueでプライベートリポジトリの情報を引き出す手法の詳細。
• 0.001ドルのテトリス — OpenHands を触っていたら、コーディングエージェントのコモディティ化が見えた — Zenn (flinters_blog) — DeepSeek V4 Flashの圧倒的な低価格とOpenHandsの検証を基に、コーディングエージェント市場のコモディティ化について考察。
• なぜ、AI時代は頭が良い人ほど本を読まなくなるのか？ — Zenn (pdfractal) — AI時代における知的上位層の読書離れ現象を分析したレポート。出力のチェック能力の高さが、かえって読書コストの高さを際立たせるという逆説的現象を論じる。

AI政策, 倫理, 動向

• Chat Control 1.0 and 2.0 Explained — HackerNews — EUで議論されている「Chat Control」規制の概要を説明するサイト。チャット監視がプライバシーに与える影響について詳しく解説。
• 「AIの暴走を止められない」　CISO座談会で見えたAIセキュリティの限界 — ITmedia Security — Darktraceが実施したCISO座談会から、AIエージェントの暴走やシャドーAIの蔓延など、従来型防御モデルでは対処できない5つの主要課題が明らかになった。
• Writer AI Flaw Could Let Agent Previews Leak Session Tokens Across Tenants — The Hacker News — エンタープライズAIプラットフォーム「Writer」でテナント間のセッショントークン漏洩を引き起こす脆弱性「WriteOut」が発見され、修正された。

📌 その他注目技術

その他注目技術ニュース (X件)

ブラウザのアップデート, 新機能

• Stable Channel Update for Desktop — Google Chrome Releases — デスクトップ版Google Chromeの安定版チャンネルアップデートがリリースされた。
• Dev Channel Update for ChromeOS / ChromeOS Flex — Google Chrome Releases — ChromeOSのDevチャンネルアップデートがリリースされた。

開発ツール, プラットフォーム

• Hulyとは｜Linear・Jira・Slack・Notionを1つに束ねる自己ホストOSSワークスペース — AI Heartland — Linear、Jira、Slack、Notionの機能を統合したセルフホスト可能なOSSワークスペース「Huly」の解説。
• Why we built yet another Postgres connection pooler — HackerNews — 新たなPostgresコネクションプーラー「pgdog」を開発した理由と設計思想を解説するブログ記事。
• ソラコム、IoTデバイスからの通信を制御する「VPGトラフィックフィルタリング」機能を提供開始 — SORACOM — ソラコムがIoTプラットフォーム「SORACOM」でネットワークセキュリティを強化するVPGトラフィックフィルタリング機能の提供を開始した。

その他

• 「JC-STAR」とは：安全なIoT製品を選びやすくするため、セキュリティ機能を評価・可視化する制度【今週のキーワード】 — INTERNET Watch — IoT製品のセキュリティ評価制度「JC-STAR」の概要を解説。インターネット接続可能なIoT製品を対象に、共通基準で評価・可視化する制度。
• 近年ダウンロードが増加している無償の「国土数値情報」って何？ AIの精度アップに活用できる？【地図と位置情報】 — INTERNET Watch — 国土数値情報のダウンロード増加の背景や、AIの精度向上への活用可能性について紹介。

📌 その他採用や組織マネジメント

• “結果を出す”がゴールではない。社員が成長し続けるための人材育成戦略｜プレシャスパートナーズ矢野 — HR NOTE — 短期的な実績評価に偏らず、社員が長く活躍するための人材育成戦略についてのインタビュー記事。
• 「使いやすい」より「使われる」。 人事システム選定の4鉄則 — SmartHR Mag. — 人事システム選定の失敗を避けるための4つの鉄則をコンサルタントが解説。「使いやすさ」より「現場で使われる」ことを重視する重要性を指摘。

📋 掲載除外リスト

取得状況