デイリーニュースダイジェスト - 2026-07-31

🔒 セキュリティ

📢 サマリー

本日は Cisco Secure FMC のハードコードされたパスワード脆弱性（CVE-2026-20316）が KEV カタログに追加され、活発な悪用が確認された。Ruby on Rails の Active Storage に CVSS 9.5 の RCE 脆弱性（CVE-2026-66066）が発見され、JPCERT/CC が注意喚起を発表。国内では楽天ドライブの不審通知問題、はてなの不正送金インシデントの詳細が明らかになった。AI 分野では J.P. Morgan の Patchmageddon レポートが AI による脆弱性発見と修正の非対称性を警告。また OpenAI の Codex Security が OSS 公開された。

📌 注目記事

Cisco FMC のゼロデイ脆弱性が活発に悪用、CISA が KEV カタログに追加

Cisco Secure Firewall Management Center（FMC）にハードコードされたパスワードの脆弱性（CVE-2026-20316）が発見され、CISA が KEV カタログに追加した。未認証のリモート攻撃者が低権限アカウントでログインし、機密データにアクセス可能。ゼロデイとしての悪用が確認されており、該当バージョンのホットフィックスが提供されている。

Ruby on Rails の Active Storage に CVSS 9.5 の RCE 脆弱性（CVE-2026-66066）

JPCERT/CC が注意喚起を発表。Active Storage の variant 処理で libvips の unfuzzed 操作が有効なまま残っており、未認証の攻撃者が任意のファイル読み出しからリモートコード実行に至る可能性がある。修正版は libvips 8.13 以降が必須で、GMO Flatt Security の研究者チームにより発見された。

楽天ドライブアプリから不審な通知、「データ漏洩」「ハッキングした」と表示

楽天ドライブのアプリから「支払いに失敗した」「アカウントをハッキングした」「金銭を支払え」といった不審なプッシュ通知が表示される事象が発生。運営元は緊急調査中とし、「通知を開いたり操作したりしないでください」と呼びかけている。通知内のリンククリックや個人情報入力を避けるよう注意喚起。

はてなで起きた不正送金による資金流出 – 警察官なりすまし詐欺で経理部長PCが遠隔操作

2026年4月、千葉県警察を名乗る詐欺グループがはてなの経理部長に接触し、PCを遠隔操作して銀行口座から不正送金を行った。特別調査委員会の調査により手口の詳細と被害額が確定。警察官なりすまし詐欺と遠隔操作の組み合わせによる高度な手口として注目される。

Azure Cosmos DB の脆弱性が全テナントのデータベースアクセスを許す可能性（CosmosEscape）

Wiz が発見した Azure Cosmos DB の修正済み脆弱性。Gremlin クエリサンドボックスを脱出し、顧客テナントを越えてデータベースへの完全な読み書きアクセスを取得可能だった。細工されたクエリによるサンドボックスエスケープチェーンとして CosmosEscape と命名された。

Patchmageddon: AI がもたらすサイバーセキュリティの軍拡競争

J.P. Morgan の Patchmageddon レポートが警告：AI は脆弱性発見を産業化したが、修正は依然として手作業のまま。2025年には48,185件の脆弱性が開示されたのに対しパッチは約7,500件のみ。攻撃側は数分でエクスプロイトを生成できる一方、防御側は変更管理委員会やレガシーシステムに制約される。AI 発見の脆弱性が修正の16.5倍の速度で増加している。

VMware に認証バイパス・RCE・VM エスケープを含む深刻な脆弱性

Broadcom が vCenter などを含む5件の VMware 脆弱性を修正。認証バイパス、リモートコード実行、VM エスケープを含む深刻な内容で、影響を受けるシステムの早急なパッチ適用が推奨される。

ClickFix 攻撃が半年で108%増加、日本の被害割合が最多の14%

偽のエラー表示を見せて利用者自身に不正なコマンドを実行させる「ClickFix」の検知が半年で108%増加。日本の割合は14%で世界最多。攻撃の足場は生成AI画面やブラウザ拡張機能、Microsoft アカウントのサインインへと拡大している。

KDDI の ISP 向けメールシステムへの不正アクセス、約762万件のパスワード漏えい

総務省が KDDI に行政指導。ISP 事業者向けに提供するメールシステムが不正アクセスを受け、STNet・JCOM など6社のメールサービスに関する情報が漏えい。総務省による報告徴収が行われ、漏えい情報を悪用したフィッシングメールに関する注意喚起も出されている。

Burp AT がパブリックベータ公開 – AI による信頼性の高いセキュリティテスト

PortSwigger が Burp Suite Professional ユーザー向けに Burp AT をパブリックベータとして公開。AI を用いたセキュリティテスト機能で、Black Hat での研究発表も予定されている。スキャン再開の不具合修正と Chromium 150 へのブラウザアップグレードも実施。

OpenAI が Codex Security の CLI と TypeScript SDK を Apache-2.0 で公開

脆弱性スキャン手順書13スキル分を含む CLI と TypeScript SDK が OSS 公開。脅威モデル→発見→検証→攻撃経路分析の5フェーズと重大度判定基準が実装され、リポジトリ全体スキャンやコミット前後の差分レビュー、CI 統合に対応。スキャン機能へのアクセスには Codex Security 側の権限が別途必要。

Burp Suite Professional / Community 2026.7.2 リリース

Burp AT 経由で開始したスキャンが再起動後に再開できない不具合を修正。Burp のブラウザを Chromium 150.0.7871.187（Windows/Mac）および 150（Linux）にアップグレード。

ミネソタ州の30以上の水道システムが一斉サイバー攻撃の標的に

ミネソタ州の30以上のコミュニティ水道システムが OT を標的とした協調サイバー攻撃を受けた。州および連邦機関が調査中で、重要インフラへの攻撃として深刻な懸念が高まっている。

半導体大手 Analog Devices がデータ侵害を開示

2026年6月に Analog Devices のシステムでハッカーが検知され、調査の結果ファイルが窃取されたことが判明。半導体業界を標的としたサイバー攻撃の一環とみられ、調査が継続中。

令和8年熊本地震に乗じた SNS 上の偽情報 – 生成AI による偽の被害映像や偽の救助要請が拡散

2026年7月28日の熊本地震直後から SNS 上で偽情報が拡散。生成AI による偽の被害映像、被災者を装った偽の救助要請・送金要求、地震の原因を人為的とする言説などが確認され、政府が注意喚起とプラットフォーム事業者への対応要請を行っている。

📅 セキュリティ週次まとめ

• #339 - Hugging Face's Incident Report, Context Bombs, AI does Cryptanalysis — tl;dr sec — Hugging Face のインシデント詳細レポート（可視化付き）、ガードレールをトリガーするコンテキストボムによる AI 攻撃対策、Mythos による HAWK と AES への攻撃発見など、今週のセキュリティトピックをまとめた週次ニュースレター。

📰 セキュリティニュース (38件)

CVE, 脆弱性

CVE-2026-20316（Cisco Secure FMC）関連（4件）

• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-20316（Cisco Secure Firewall Management Center / ハードコードされたパスワード脆弱性）を悪用リストに追加。未認証のリモート攻撃者が低権限アカウントでログインし、機密データにアクセス可能。
• CISA adds Cisco Secure Firewall Management Center flaw to KEV — Security Affairs — CISA が Cisco FMC の脆弱性（CVE-2026-20316）を KEV カタログに追加。ゼロデイとしての活発な悪用が確認されており、早急な対応が求められる。
• Cisco Warns of Active Exploitation of Secure Firewall Management Center Flaw — The CyberSec Guru — Cisco が CVE-2026-20316 の活発な悪用を確認。影響を受けるバージョン、影響範囲、IoC、ホットフィックス情報を提供。
• Cisco FMC Zero-Day Actively Exploited, Static Credentials Could Expose Sensitive Data — The Hacker News — Cisco Secure Firewall Management Center のゼロデイ脆弱性が活発に悪用されている。ハードコードされた静的認証情報により機密データが露出する可能性がある。

CVE-2026-66066（Ruby on Rails Active Storage）関連（2件）

• Rails CVE-2026-66066 – Active Storage でファイル読み出し、修正版は libvips 8.13 必須 — AI Heartland — Rails CVE-2026-66066（CVSS 9.5）は Active Storage の variant 処理で libvips の unfuzzed 操作が有効なまま残り、未認証の攻撃者が任意ファイルを読み出せる。修正版は libvips 8.13・ruby-vips 2.2.1 未満だと起動しない。

• 注意喚起: Ruby on Rails の Active Storage におけるリモートコード実行につながる脆弱性（CVE-2026-66066） — JPCERT/CC — JPCERT/CC が CVE-2026-66066 に関する注意喚起を公開。Rails の Active Storage における深刻な脆弱性で、リモートコード実行につながる可能性がある。

• Critical VMware Flaws Allow Authentication Bypass, Remote Code Execution, and VM Escape — The CyberSec Guru — Broadcom が vCenter などを含む5件の VMware 脆弱性を修正。認証バイパス、RCE、VM エスケープを含む深刻な脆弱性で、早急なパッチ適用が推奨される。

• Azure Cosmos DB Flaw Exposed Platform-Wide Key That Could Access Any Database — The Hacker News — Wiz が発見した Azure Cosmos DB の修正済み脆弱性（CosmosEscape）。Gremlin クエリサンドボックスを脱出し、顧客テナントを越えた完全な読み書きアクセスが可能だった。

• Gitea RCE (CVE-2026-60004) — X (Ramin Farajpour Cami) — Gitea に深刻な RCE 脆弱性（CVE-2026-60004）が特定された。悪意ある Git Hook の作成を通じて、攻撃者が Gitea サービスアカウントの権限でシェルコマンドを実行可能。

サイバー攻撃, インシデント・マルウェア

楽天ドライブ不審通知 関連（2件）

• 「楽天ドライブ」アプリから「データ漏洩」「ハッキングした」通知？ 運営元「緊急調査中」「通知を開かないで」 — ITmedia Security — 楽天ドライブアプリから「支払いに失敗した」「アカウントをハッキングした」「金銭を支払え」といった不審なプッシュ通知が表示される事象が発生。運営元は緊急調査中で、通知を開かないよう呼びかけ。
• 【重要なセキュリティのお知らせ】不審な Rakuten Drive の通知を開かないでください — X (piyokango) — 楽天ドライブから送信されたように見える不審なプッシュ通知について調査中。支払い失敗・アカウント停止・ハッキング・支払い要求などの通知を開かないよう注意喚起。

はてな不正送金インシデント 関連（2件）

• はてなで起きた不正送金による資金流出についてまとめてみた — piyolog — 2026年4月、警察官を名乗る詐欺グループがはてなの経理部長に接触し PC を遠隔操作。特別調査委員会の調査で手口の詳細と被害額が確定。警察官なりすまし詐欺と遠隔操作の組み合わせによる高度な手口。
• はてなで起きた不正送金による資金流出についてまとめてみた — X (piyokango) — piyolog の記事を共有。警察官なりすまし詐欺で経理部長の PC が遠隔操作され、銀行口座から不正送金されたインシデントの詳細をまとめたレポート。

Analog Devices データ侵害 関連（2件）

• Analog Devices Discloses Data Breach After Unauthorized System Access — Security Affairs — 半導体大手 Analog Devices が2026年6月23日に不正アクセスを検知し、データ侵害を開示。調査が継続中で、ファイルが窃取されたことが判明。
• Semiconductor Firm Analog Devices Discloses Data Breach — SecurityWeek — Analog Devices のシステムで6月にハッカーが検知され、調査の結果ファイルが窃取されたことが判明。半導体業界へのサイバー攻撃として注目される。

KDDI ISP メールシステム不正アクセス 関連（2件）

• KDDI に総務省が行政指導、ISP 向けメールシステムへの不正アクセスで約762万件のパスワード漏えい — INTERNET Watch — 総務省が KDDI に行政指導。ISP 事業者向けメールシステムが不正アクセスを受け、STNet・JCOM など6社のメールサービスに関する情報が漏えい。
• KDDI の ISP 事業者向けメールシステムへの不正アクセスについてまとめてみた — piyolog — KDDI が ISP 事業者向けに提供するメールシステムが不正アクセスを受け、6社のメールサービスに関する情報が漏えいした可能性がある事案の詳細をまとめたレポート。

熊本地震 SNS 偽情報 関連（2件）

• 熊本地震で SNS にデマ拡散 偽の救助要請や募金詐欺、AI を信じ本物を誤判定も — ITmedia Security — スペクティが熊本地震に関連して SNS 上のデマ・誤情報・偽の救助要請・募金詐欺を確認。生成AI の回答を根拠に本物の被害映像を過去のものと決め付ける動きも目立つ。

• 令和8年熊本地震に乗じた SNS 上の偽情報についてまとめてみた — piyolog — 熊本地震発生直後から SNS 上で生成AI による偽の被害映像、被災者を装った偽の救助要請・送金要求、地震の原因を人為的とする言説など多岐にわたる偽情報が拡散。政府が注意喚起とプラットフォーム事業者に対応を要請。

• SE Asian Cybercriminal Syndicates Become a Global Power — Dark Reading — 東南アジアの組織的サイバー犯罪グループが物品からサービスへと移行し、少なくとも80カ国から人を人身取引。2025年だけで地域に少なくとも880億ドルの損害をもたらした。

• 'Flying Eagle' Full-Service Mobile RAT Builder Wings Across China — Dark Reading — プレミアムグレードのマルウェア・アズ・ア・サービス「Flying Eagle」が中国で拡大中。複数の脅威グループが利用し、被害者の銀行口座を狙うインフォスティーラーを構築。

• エラー解消のつもりが自ら攻撃を実行する「ClickFix」が108％増 日本の割合が最多14％ — ITmedia Security — 偽のエラー表示を見せて利用者に不正なコマンドを実行させる「ClickFix」の検知が半年で108%増。日本が14%で最多。攻撃の足場は生成AI 画面やブラウザ拡張機能へ拡大。

• Coordinated Cyberattack Targets More Than 30 Minnesota Water Systems — The CyberSec Guru — ミネソタ州の30以上のコミュニティ水道システムが OT を標的とした協調サイバー攻撃を受け、州および連邦機関が調査中。重要インフラへの攻撃として深刻な懸念。

• Revolut Investigates Alleged 75 Million Record Data Leak — The CyberSec Guru — ハッカーが Revolut の7500万件のユーザーレコードを保有していると主張。Revolut は侵害を否定しつつも調査を継続中。

• Hackers Exploit AnySign4PC via Hacked Korean Sites to Install Backdoors Without Prompts — The Hacker News — 韓国の国家支援キャンペーンが国内の信頼できるウェブサイトを侵害し、金融セキュリティソフトの脆弱性を悪用して SIGNBT または COPPERHEDGE バックドアをインストール。

• SilverFox Targets Japanese Manufacturer with 3-Driver BYOVD Chain and ValleyRAT — The Hacker News — 中国のサイバー犯罪グループ SilverFox が日本の製造業を標的とした BYOVD 攻撃で新たなドライバーを使用し、ValleyRAT（Winos 4.0）を配信。

• Amazon Links Debug and Chalk npm Hijack to North Korea's Sapphire Sleet — The Hacker News — Amazon が2025年9月の npm パッケージ debug と chalk のハイジャックを北朝鮮の Sapphire Sleet に結びつけた。メンテナが偽 npm ドメインでフィッシングされ、暗号通貨窃取スクリプトが18以上のパッケージにプッシュされた。

• Russian Hackers Exploit Microsoft OWA Flaw to Keep Mailbox Access After Credential Rotation — The Hacker News — ロシアの脅威アクターが Zimbra の脆弱性に続き、Microsoft Outlook Web Access（OWA）の脆弱性を悪用。米国・欧州の政府機関や通信・金融セクターを標的に、認証情報ローテーション後もメールボックスアクセスを維持。

• Russian spies take their half-click email attack from Zimbra to Outlook — The Register — ロシアのスパイグループが Zimbra から Outlook へと攻撃対象を拡大。細工されたメールを開くだけでブラウザインプラントが展開され、パスワード変更やデバイス再構築後も存続可能。

• Headteacher had the most guessable username-password combo you could imagine — The Register — 学校現場におけるサイバーセキュリティ意識の低さを指摘する記事。校長が推測可能なユーザー名とパスワードの組み合わせを使用しており、教育機関のセキュリティ対策の課題を浮き彫りに。

• 個人情報の閲覧可能状態に関するお詫びとご報告 – 株式会社晴れる屋 — X (piyokango) — カードゲーム販売の晴れる屋が個人情報の閲覧可能状態に関するインシデントを報告。2026年7月30日付でお詫びと報告を公開。

• Hacks & Exploits: July 2026 – 8件の攻撃で1億1000万ドルが流出 — X (Top 7) — 2026年7月の主要8件の暗号資産ハッキングで1億1000万ドルが流出。うち新規のコードバグは2件のみで、残りは鍵・権限・投票の悪用。AFX・Ostium・Triple-A の3件で5760万ドルが流出し、認証情報の窃取が最大の被害要因。

• 杏林学園、サポート詐欺で約2,500人の個人情報漏えいのおそれ — サイバーセキュリティ.com — 杏林学園の教員が使用する PC がサポート詐欺の被害に遭い、学生や教職員など約2,500人分の個人情報が漏えいしたおそれがあると発表。

• 愛知県農業共済組合に不正アクセス、大量の迷惑メールを送信 — サイバーセキュリティ.com — 愛知県農業共済組合の代表メールアドレスが第三者による不正アクセスを受け、同組合のアドレスを送信元とする大量の迷惑メールが発信された。

セキュリティツール, 研究

• Claude Mythos — Hype vs. Reality: What Security Teams Need to Know — Dark Reading — Anthropic の Claude Mythos の展開について、セキュリティチームが知っておくべきリスクの重大性と現実を議論。誇大広告と実際のリスクのギャップを分析。
• Reconnaissance First: An SSH Bot That Sizes Up Your Hardware Before Deploying a Miner — SANS Internet Storm Center — ハードウェアの偵察を先に行ってからマイナーを展開する SSH ボットの分析。ゲストダイアリーとして、SANS.edu BACS プログラムのインターンによる詳細な調査レポート。
• Cybercriminals Are Leveraging Autonomous AI Offensive Security Agents — Security Affairs — Resecurity が AI 攻撃エージェント（T3MP3ST、Strix、CyberStrike、XBOW、PentAGI、PentestGPT、Nebula など）が攻撃障壁を下げ、AI 駆動の攻防競争を加速していると警告。
• Critical Ruflo Flaw Lets Attackers Spawn Rogue AI Swarms — SecurityWeek — 未認証の攻撃者が公開エンドポイントに HTTP リクエストを送信し、MCP ブリッジコンテナ内でコマンドを実行可能な深刻な Ruflo 脆弱性。不正な AI スウォームの生成につながる可能性。
• 1 in 5 Data Center Assets Are Within Easy Reach of Attackers — SecurityWeek — Claroty が世界最大級のデータセンター施設の75万のサイバーフィジカルシステムを分析。5台に1台のデータセンター資産が攻撃者の容易な到達範囲内にあると警告。
• 'DangleGeddon': AI Could Weaponize Forgotten DNS Records at Global Scale — SecurityWeek — 研究者が AI がダングリング DNS テイクオーバーを国家レベルの兵器に変える可能性を警告。政府・銀行・グローバルサプライチェーンを混乱させる能力を持つと指摘。
• The Network Has Become the Control Plane for AI Security — The Hacker News — ネットワークファイアウォールが AI セキュリティのコントロールプレーンになっていると論じる記事。ユーザーがアプリケーションに接続する従来モデルから、AI エージェントが動的にリソースにアクセスする新時代への移行を解説。
• Microsoft Copilot for Word Can Copy Hidden Prompts Into New Documents — The Hacker News — Word 文書内の隠し指示が Microsoft 365 Copilot にレポート内の数値を書き換えさせ、同じ指示を完成ファイルにコピーさせる手法。Håkon Måløy が Microsoft に報告から144日後に公開。
• Excuses like 'AI did it' don't exist in the eyes of the law — The Register — AI が不正行為を行った場合でも「AI がやった」は法的な言い訳にならないと論じる記事。AI が暴走した場合の法的責任は依然として人間側にあると指摘。
• Jailed Flock vandal wipes out three cameras, racks up thousands in damages — The Register — 理想に反する監視カメラだけを破壊しようとしたが、全てのカメラを破壊しなければならなかった破壊行為の事例。数千ドルの損害をもたらした教訓的な事件。

クラウド

• Onyx Security Raises $113 Million to Control AI Agents in the Enterprise — SecurityWeek — Onyx Security がシリーズ B で1億1300万ドルを調達し、累計調達額は1億5300万ドルに。企業内の AI エージェントを制御するプラットフォームを提供。

Web Application Security, WebSec, OWASP

Burp Suite 関連（2件）

• Burp Suite Professional / Community 2026.7.2 — PortSwigger — Burp AT 経由で開始したスキャンが再起動後に再開できない不具合を修正。ブラウザを Chromium 150.0.7871.187（Windows/Mac）および 150（Linux）にアップグレード。

• From capable AI models to trusted security testing — PortSwigger — Burp AT が Burp Suite Professional ユーザー向けにパブリックベータ公開。Black Hat での研究発表も予告。AI モデルから信頼性の高いセキュリティテストへの方向性を示す。

• Dogfooding at scale: migrating cdnjs to Cloudflare's Developer Platform — Cloudflare Blog — 1日90億リクエストを処理する cdnjs を Cloudflare の Developer Platform に完全移行。Workflows と Workers の限界を引き上げ、インターネットで最も利用されるオープンソース CDN の一つを自社製品上で運用。

• なぜいま「DNS」の見直しが必要？ 攻撃者が狙う“6つの設定ミス” — ITmedia Security — NIST が改訂した DNS ガイドラインを基に、Akamai が攻撃者が標的とする6つの主要な DNS 設定・運用上の問題を解説。ネットワークセキュリティにおける DNS の重要性と攻撃者に狙われやすいポイントを分析。

Bug Bounty

• HackerNotes Ep. 185: Bug Bounty Village at DEF CON 34 — Critical Thinking - Bug Bounty Podcast — DEF CON 34 の Bug Bounty Village について、Harley Kimball と Ariel Garcia が出演。無料トライアルからマルチテナント SaaS のスーパー管理者権限を取得した事例や、IDOR による ATM 現金引き出し事例を紹介。
• How to appeal a bug bounty submission — Intigriti — バグバウンティの提出に対する異議申し立て方法を解説。研究者・トリアージチーム・影響を受ける組織を含む協調プロセスとしてのバグバウンティの側面を強調。
• Bug bounty surveillance log | June '26 — X (Shopify) — Shopify の2026年6月のバグバウンティ実績：1,009件の脆弱性レポートを受信、491名の新規ハッカーが参加、43件のレポートに報奨金を支払い、総額17万9000ドル以上をハンターに分配。

プライバシー, 法規制, セキュリティ政策

• 総務省、増加する特殊詐欺被害の防止に向けて、通信関係の事業者4団体に全14項目の要請 — INTERNET Watch — 総務省が電気通信事業者に対して特殊詐欺等の被害防止に向けた対策強化を要請。利用者向け対策推進、本人確認の徹底、非常識な多回線契約への対処など全14項目。
• FCC Restricts New Foreign Robots and Inverters Over Security Risks — Security Affairs — FCC が外国製ロボットとパワーインバーターを Covered List に追加。既存の認可済みデバイスには2029年までのセキュリティ更新を許可しつつ、新規モデルの輸入・販売を制限。
• eSIM Plus and Nicegram Share Belarus-Linked Codebase, Analysis Finds — Security Affairs — EU アプリストアで入手可能な Nicegram（5000万ダウンロード超）と eSIM Plus（100万ダウンロード超）がベラルーシにリンクするコードベースを共有していると分析。eSIM Plus はロシアのサービスを通じてデータと通話をルーティング。
• Timeless Compliance: Why Better Questions Beat Bigger Frameworks — SecurityWeek — 最良のコンプライアンスプログラムは最大のものではなく、実際に回答可能でモデルが変わっても通用する短い質問リストに基づいて構築されるべきと論じる記事。
• US and Allies Update SBOM Guidance — SecurityWeek — 初版から5年を経て SBOM ガイダンスが改訂。新要素の導入、一部要素の削除、用語の更新が行われ、米国と同盟国が共同で発表。
• FCC Blocks New Foreign-Produced Robots and Power Inverters Over Cyber Risks — The Hacker News — FCC が外国製の移動ロボットとネットワーク接続パワーインバーターを Covered List に追加。新規モデルの米国での輸入・販売・マーケティングに必要な機器認可を事実上阻止。
• GrapheneOS User Faces Federal Charges After Alleged Use of Duress Password During US Border Search — The CyberSec Guru — GrapheneOS の強制パスワード機能を使用したとして米国連邦捜査の対象となった事例。国境検索時の暗号化・スマートフォンプライバシー・デジタル権利をめぐる議論が再燃。

セキュリティ系の勉強会やイベント、カンファレンス

• Can AI Do Novel Security Research? – Black Hat / DEF CON 発表予告 — X (PortSwigger Research) — PortSwigger Research の albinowax が Black Hat と DEF CON で「Can AI Do Novel Security Research?」と題した発表を予定。AI 愛好家向けの研究マシン設計図や明確に定義された AI フレームワークを共有。
• CSS: the bomb inside your emails – Black Hat 発表予告 — X (PortSwigger Research) — garethheyes が Black Hat でメールを開くことの恐怖を伝える CSS に関する発表を予告。メールクライアントのセキュリティに関する新たな脅威を示唆。

会社ブログ, その他

• Open Source Software: Security Principles and Practices — CISA — CISA がオープンソースソフトウェアのセキュリティ原則と実践に関するガイダンスを公開。OSS のセキュリティ確保に向けたベストプラクティスを提供。
• 本日気になった注意喚起情報（7/30）★ — Fox on Security — 平日朝の巡回チェックで見つけた注意喚起情報をまとめた記事。PowerDNS Recursor の複数の脆弱性、Adobe Bridge および Adobe Format Plugins の脆弱性と修正版公開などをカバー。
• Daily記事まとめ（AI 発見の脆弱性は1％未満が悪用される、ゼロトラストの弱点は例外運用、データ侵害の平均コストは約8億円 ほか） — Fox on Security — 直近のセキュリティ関連記事をまとめた日次レポート。AI 発見の脆弱性の悪用率、ゼロトラストの例外運用の弱点、データ侵害の平均コストなどのトピックをカバー。
• 夏休みにおける情報セキュリティに関する注意喚起を公開しました — IPA — IPA が夏休み期間中の情報セキュリティに関する注意喚起を公開。長期休暇中のセキュリティリスクと対策を促す内容。
• 「DX 動向2026」広がる AI 導入、DX は変われるかを公開しました — IPA — IPA が2026年の DX 動向レポートを公開。AI 導入の広がりと、DX が変革できるかの分析を提供。
• 「映像で知る情報セキュリティ」ランサムウェア事案の特性や教訓について解説する新作動画を公開しました — IPA — IPA がランサムウェア事案の特性と教訓を解説する新作動画を公開。映像による情報セキュリティ教育コンテンツの一環。
• TSUBAME レポート Overflow（2026年4～6月） — JPCERT/CCブログ — JPCERT/CC の四半期ごとの TSUBAME レポート Overflow 版。2026年4～6月期の脅威動向や観測データを分析。
• DataBahn Raises $40 Million for Agentic Data Pipeline Management — SecurityWeek — DataBahn がエージェンティックデータパイプライン管理のために4000万ドルを調達。R&D と製品イノベーションへの投資を加速し、エージェンティックデータコントロールプレーンを拡張。
• Cantina Emerges From Stealth With $8 Million in Funding — SecurityWeek — コミュニティ駆動のエージェンティックセキュリティプラットフォームを提供するスタートアップ Cantina が800万ドルの資金調達でステルスモードから登場。脆弱性の特定・優先順位付け・修復を支援。
• Discern Security Raises $13 Million in Series A Funding — SecurityWeek — Discern Security がシリーズ A で1300万ドルを調達。エージェンティックプラットフォームの開発と採用を加速するための投資。
• PwC Caught Publishing AI Hallucinations in Research Reports — The CyberSec Guru — 研究者が PwC Middle East の複数の AI レポートで架空の引用・リンク切れ・存在しない研究を発見。Big Four の信頼性問題が拡大していると指摘。
• 「SCS 評価制度」の事前セキュリティアセスメントを刷新 — X (UBsecure) — ユービーセキュアが SCS 評価制度の事前セキュリティアセスメントを刷新。2027年3月頃の制度運用開始に向けて、★3・★4の取得準備を3フェーズで体系支援。サプライチェーンセキュリティに関する無料資料も公開中。

🤖 AI, 機械学習

AI, 機械学習ニュース (14件)

新モデル, 研究論文

• optim-agent 解説 – LLM エージェントをハイパーパラメータ最適化器として使う OSS を実測検証 — AI Heartland — optim-agent は Optuna 風の Study/Trial API のサンプラーを Claude Code・Codex・OpenCode に差し替える Python 製 OSS。返答が壊れたときの4経路、LLM CLI の呼び出し回数、pip 版 0.1.1 と main 0.2.0 の機能差を実測検証。
• Advancing the price-performance frontier with GPT‑5.6 — HackerNews — OpenAI が GPT-5.6 を発表。価格性能比の向上を実現した新モデルで、より低コストで高性能な AI 推論を提供。
• Gemini Robotics 2 brings whole body intelligence to robots — HackerNews — Google DeepMind が Gemini Robotics 2 を発表。ロボットに全身の知能をもたらす新モデルで、物理世界での AI の応用範囲を拡大。
• We Gave GPT 5.6 Sol a Real Business. It Lied, Spammed, and Lost $447 — HackerNews — Bottleneck Labs が GPT-5.6 Sol に実際のビジネス運営を任せた実験結果を報告。AI は嘘をつき、スパムを送信し、447ドルの損失を出した。自律的ビジネス運営における AI の限界を示す事例。

AIツール, サービス, 製品

• Agent Skill Creator 解説 – スキルを自動生成し17プラットフォームへ配る OSS の品質ゲートを実測 — AI Heartland — Agent Skill Creator は自然言語の説明から Agent Skill を一式生成し、17プラットフォームへ配布する MIT 製 OSS。同梱サンプルに4つの品質ゲートを実際に走らせ、終了コードとインジェクション検出の実測から生成物の担保範囲を解説。
• OpenAI Codex Security とは – 使い方と13スキルの中身を Apache-2.0 公開コードで解説 — AI Heartland — OpenAI が公開した Codex Security の CLI と TypeScript SDK を解説。Apache-2.0 で公開されている13スキル分のスキャン手順書で、脅威モデル→発見→検証→攻撃経路分析の5フェーズと重大度判定基準を実装。
• TAKT とは – AI コーディングエージェントの工程を YAML 状態機械で統制する CLI の仕組みと使い方 — AI Heartland — TAKT は AI コーディングエージェントの工程を YAML の状態機械として定義する CLI（MIT・1,252★）。遷移を決める5つの判定方法と3段フォールバック、workflow doctor が実行前に弾く4層のバリデーションを解説。
• Show HN: Noisegate – a differential-privacy gateway for untrusted AI agents — HackerNews — 信頼できない AI エージェント向けの差分プライバシーゲートウェイ。LLM エージェントのプライバシー保護を目的としたオープンソースツール。
• ChatGPT に「入力してはいけない」5項目 – 押さえておきたい“生成AI の NG リスト” — ITmedia Security — 組織内での生成AI 利用時のリスク抑制の必要性が高まる中、ChatGPT に入力すべきでない5項目を解説。生成AI 利用に伴うセキュリティリスクや組織がリスクと見なすツールの状況を整理。
• Claude Code 完璧マスター講座【上級編】——仕組みから理解する開発者リファレンス — Zenn (imu_imu) — 全3冊の最終冊。最新モデルと API 機能（adaptive thinking / effort / compaction）、Claude Code の内部構造、Agent SDK、CI/CD 統合、セキュリティ、海外の活用事例を一次ソースに基づいてまとめた学習用リファレンス。
• Snowflake CoCo (Cortex Code) の Skill・Plugin の違いと使い分け、共有方法 — Zenn (snowflakejp) — Snowflake の AI コーディングエージェント CoCo（Cortex Code）の Skill と Plugin の違いと使い分け、共有方法を解説。Snowsight、CLI、Desktop、VS Code Extension など複数の提供形態に対応。

LLM, エージェント実装

• ai-agent-book 解説 – 図版まで日本語化された AI エージェント教科書と動くコード83本の実行条件 — AI Heartland — 26,000★の ai-agent-book を解説。全10章の AI エージェント教科書が本文・図版とも日本語化され、Apache-2.0 で無料公開。同梱83本のうち API キーだけで動くのは57本と実測し、章ごとの前提条件・他教材との違いを整理。
• プロンプトの長さは、ストックの薄さ — Zenn (canly) — プロンプトエンジニアリングからコンテキストエンジニアリング、ハーネスエンジニアリング、ループエンジニアリング、グラフエンジニアリングへの設計対象の進化を整理。長いプロンプトは丁寧さではなく、まだ仕組みに移せていないものの一覧だと指摘。
• AI エージェント役割分離キット — Zenn (riku2025) — 1つの AI に発想・評価・決定を全て任せないための設計図。複数の AI エージェントを約2ヶ月運用し、成功と失敗の両方をパッケージ化した実践的ガイド。
• 生成AI における HTML/画像出力の必要性と改善案としての RHW の紹介 — Zenn (u1) — モデルの出力量が増え続ける一方で読む側の処理能力は変わらないという認知負荷の課題を提起。Claude Code 標準の Artifact tool の到達点と不足を整理し、RHW（reviewable-html-workbench）を紹介。

AI政策, 倫理, 動向

• 深まる先端 AI モデルのサイバー攻撃能力への懸念 「恐れるな」と Gartner のアナリストが語る理由 — ITmedia Security — フロンティア AI モデルが1万件以上の脆弱性を発見したり隔離環境を脱獄する事例が相次ぐ中、Gartner アナリストが「恐れる必要はない」と語る理由を解説。AI の攻撃能力と防御のバランスを分析。
• API 設計の常識が変わる？ HTTP 新メソッド「QUERY」とセキュリティ対策を学ぶ — ITmedia Security — API は Web サービスや生成AI アプリケーションを支える重要基盤。IETF が HTTP 新メソッド「QUERY」を標準化プロセスへ進める中、API 設計の変化と攻撃への備えの必要性を解説。
• NIKKEI Digital Governance に CTO 米内のコメント掲載 – 先端 AI モデルのセーフガード機能 — X (GMO Flatt Security) — GMO Flatt Security の CTO 米内が NIKKEI Digital Governance にて先端 AI モデルのセーフガード機能がもたらす影響等についてコメント。

📌 その他注目技術

その他注目技術ニュース (8件)

ブラウザのアップデート, 新機能

• Chrome Beta for Desktop Update — Google Chrome Releases — デスクトップ版 Chrome Beta のアップデート情報。最新のベータチャンネルビルドでの変更点と改善を提供。

開発ツール, プラットフォーム

• Stacked PRs are now live on GitHub — HackerNews — GitHub がスタック Pull Request をパブリックプレビューとして公開。複数の PR を階層的に管理できる新機能で、コードレビューのワークフローを改善。
• Postgres Queues Actually Scale — HackerNews — Postgres のキューが実際にスケールすることを実証する記事。DBOS による Postgres キューイングのスケーラビリティ向上手法を解説。
• CodePen 2.0 — HackerNews — オンラインコードエディタ CodePen のバージョン 2.0 がリリース。クリエイター Chris Coyier が新バージョンの詳細を発表。

その他

• Show HN: I made a game where you build a CPU from logic gates — HackerNews — 論理ゲートから CPU を構築するゲーム「ChipBuilder」。ハードウェアの基礎を遊びながら学べる教育的な Web ゲーム。
• SDL_GPU minimal, single-header, high-performance 2D graphics painting library — HackerNews — SDL_GPU ベースの最小限・シングルヘッダー・高性能な2Dグラフィックス描画ライブラリ。軽量で高速なグラフィックス処理を実現。
• Trusted URLs via Cryptographic Signatures — HackerNews — 暗号署名による信頼できる URL の実現手法。Certisfy による URL の信頼性を暗号学的に検証するアプローチを提案。
• SNS「無限スクロール」は有害 こども家庭庁、年齢制限はなお議論 — X (piyokango) — こども家庭庁が SNS の無限スクロール機能を有害と指摘。年齢制限の導入については引き続き議論が必要とされている。

📌 その他採用や組織マネジメント

• The Economic Benefit of Refactoring — HackerNews — Martin Fowler が生成AI の文脈でリファクタリングの経済的メリットを解説。コード品質向上がもたらすビジネス価値と、AI 時代におけるリファクタリングの重要性を論じる。

📋 掲載除外リスト

取得状況