デイリーニュースダイジェスト - 2026-08-05

🔒 セキュリティ

📢 サマリー

Keyvを含む複数のnpmパッケージに対する大規模なソフトウェアサプライチェーン攻撃が発生し、GitHubアカウントの侵害を経由して認証情報窃取型マルウェアが拡散されました。CISAはFortinet FortiOSの情報漏洩脆弱性（CVE-2025-68686）とArista VeloCloud OrchestratorのOSコマンドインジェクション（CVE-2026-16812）を悪用リストに追加。DEFCON 34のBug Bounty Villageでは、AIを標的としたバグバウンティで$50K超を獲得した研究者による講演や、Meta AIの脆弱性（プロンプトインジェクションによるATOを含む）の公開が予定されています。

📌 注目記事

Keyv npm Supply Chain Attack: GitHub Account Compromise Led to Credential-Stealing Malware Across the JavaScript Ecosystem

人気npmパッケージKeyv v6.0.0およびCacheableエコシステムの複数パッケージが侵害され、大規模なソフトウェアサプライチェーン攻撃が発生しました。GitHubアカウントの侵害を経由して、認証情報を窃取するマルウェアがJavaScriptエコシステム全体に拡散されました。影響範囲の全容は現在も調査中です。

CISA Adds Two Known Exploited Vulnerabilities to Catalog

CVE-2025-68686（Fortinet FortiOS / 認可されていないアクターへの機密情報漏洩）、CVE-2026-16812（Arista VeloCloud Orchestrator / OSコマンドインジェクション）を悪用リストに追加。FortiOSの脆弱性は、シンボリックリンク永続化メカニズムのパッチをバイパスし、細工されたHTTPリクエストで悪用可能。VeloCloudの脆弱性はリモートからの特権的内部機能へのアクセスとVCOホストへの影響を許します。

巨大製造企業のセキュリティ意識を変えよ　YKK APセキュリティ担当者の泥臭い"仕掛け"と"立ち回り"

セキュリティ施策の推進を阻む組織文化をどう変えるか。YKK APのセキュリティ担当者が、正論だけでは動かない組織を、意図的な演出や交渉術でどう動かしたかについて赤裸々に語りました。製造業におけるセキュリティ意識改革の実践的な知見が共有されています。

CI Fortify – Advice for isolating vital systems

CISAが重要インフラシステムの隔離に関するアドバイス「CI Fortify」を公開しました。重要システムを隔離し、外部からの攻撃に対する防御を強化するための実践的なガイダンスです。

📰 セキュリティニュース (8件)

CVE, 脆弱性

• CISA Adds Two Known Exploited Vulnerabilities to Catalog — CISA — CVE-2025-68686（Fortinet FortiOS / 認可されていないアクターへの機密情報漏洩）、CVE-2026-16812（Arista VeloCloud Orchestrator / OSコマンドインジェクション）を悪用リストに追加。

サイバー攻撃, インシデント・マルウェア

Keyv npm サプライチェーン攻撃（2件）

• Keyv npm Supply Chain Attack: GitHub Account Compromise Led to Credential-Stealing Malware Across the JavaScript Ecosystem — Feedly (The CyberSec Guru) — 人気npmパッケージKeyv v6.0.0およびCacheableエコシステムの複数パッケージが侵害され、GitHubアカウント侵害を経由して認証情報窃取型マルウェアが拡散されました。
• 2026年8月4日に発生した、keyv 等 複数著名パッケージへのソフトウェアサプライチェーン攻撃を掘り下げて解説するウェビナーを開催します — X Bookmarks (GMO Flatt Security株式会社) — 8月7日(金)12時より、Flatt SecurityがKeyvサプライチェーン攻撃の詳細を解説するウェビナーを開催。登壇者は米内貴志氏。

セキュリティツール, 研究

• CI Fortify – Advice for isolating vital systems — CISA — 重要インフラシステムを隔離し、外部攻撃からの防御を強化するための実践的ガイダンス。
• Learn the tips & tricks from a security researcher who has just earned Immunefi's $100K"BoughttheBMW"badge](https://x.com/immunefi/status/2084708500278558833)—\ast XSearch(Immunefi)\ast —Immunefi\mathrm{が}$ — X Search (Immunefi) — Immunefiが$100Kのバグバウンティを獲得した研究者へのインタビューを公開。攻撃対象の事前調査、新しい手法の継続的学習、誠実なプログラム選びの重要性を強調。
• How do you actually audit a wallet? — X Search (TUNDE) — セキュリティ監査の方法論を解説。脅威モデリング、信頼マッピング、攻撃対象分析、手動コードレビュー、AI支援分析、ペネトレーションテストなどを組み合わせた多層的アプローチを紹介。

セキュリティ系の勉強会やイベント、カンファレンス

DEFCON 34 Bug Bounty Village 関連（2件）

• i got $50K+inbountieshackingai,100$ — X Search (Inti De Ceukelaire) — DEFCON 34 Bug Bounty Villageで、AIを標的としたバグバウンティで$50K超を獲得した手法を公開予定。重複なし・精度100%の成果を達成。
• Just got cleared to disclose some vulnerabilities I found in Meta AI! — X Search (Minty Fresh Racc) — DEFCON Bug Bounty VillageでMeta AIの脆弱性（$130K超の報奨金）を公開予定。プロンプトインジェクションによるアカウント乗っ取り（ATO）を含む。
• Real-world scenario [2]: (Path Traversal Grants Silent Admin) — X Search (𝗗𝘀𝗼𝗸𝗲𝗩🧑‍💻) — パストラバーサル脆弱性を利用して管理者権限をサイレントに取得する実践的なシナリオをCTF/バグバウンティ向けに動画で解説。

会社ブログ, その他

• 巨大製造企業のセキュリティ意識を変えよ　YKK APセキュリティ担当者の泥臭い"仕掛け"と"立ち回り" — Feedly (ITmedia Security) — 製造業YKK APのセキュリティ担当者が、正論だけでは動かない組織を演出や交渉術で動かした実践的アプローチを紹介。
• -AIが認証し、AIが認証を書く- AI Agent 時代の認証ライブラリ Better Authを理解する — X Bookmarks (はまだ | Offers DevRel) — ENECHANGEの柿海斗氏がAIエージェント時代の認証ライブラリ「Better Auth」について解説した登壇資料を公開。
• セキュリティのアレ ポッドキャスト第312回 — X List (piyokango) — 上半期の脆弱性、Teams Vishing、脆弱性テンプレートの3トピックを扱うポッドキャストの新エピソードが公開。

🤖 AI, 機械学習

AI, 機械学習ニュース (5件)

新モデル、研究論文

• When AI Benchmarks Plateau: A Systematic Study of Benchmark Saturation — HackerNews — AIベンチマークが飽和状態に達した際の影響を体系的に研究した論文。ベンチマークスコアの向上が頭打ちになる中で、モデル評価の新たな視点を提示。
• Waymo CEO explains why Tesla's camera-only self-driving falls short — HackerNews — Waymoの共同CEOが、Teslaのカメラのみの自動運転アプローチの限界について解説。センサーフュージョンの重要性を強調。
• AIの最前線は、モデルの規模からエージェントの持久力へ移る — X Search (Open Weights AI) — AI競争の軸がモデルサイズからエージェントの持続的実行能力へ移行していると分析。Alibabaの16日間稼働するコーディングエージェントやDeepSeekのポストトレーニング最適化を詳述。

AIツール, サービス, 製品

• LLMをもっと賢くする：ナレッジグラフ実践入門 — X Bookmarks (Takanori Suzuki) — RAGの回答揺らぎや長期記憶の欠如といったLLMの課題に対して、ナレッジグラフ（KG）を活用した解決アプローチをZennのBook形式で解説。

AI政策, 倫理, 動向

• 令和8年版防衛白書を公表 — X Bookmarks (防衛省・自衛隊) — 「未来につながる安全保障」をテーマに、安全保障環境や防衛力強化の取組を紹介。防衛生産・技術基盤の内容も充実。

📌 その他注目技術

その他注目技術ニュース (3件)

ブラウザのアップデート, 新機能

• Chrome Stable for iOS Update — Feedly (Google Chrome Releases) — iOS向けChromeの安定版アップデートがリリースされました。

開発ツール, プラットフォーム

• 90% of system design in 2026 comes down to 10 concepts most teams learn the hard way — X Search (Abhishek Singh) — 2026年のシステム設計で重要な10の概念を解説。SLO、負荷形状、データモデル、冪等性、キューとバックプレッシャー、キャッシング、デプロイ安全性、可観測性、本番デバッグ、セキュリティ基盤を網羅。

その他

• Google Analytics Users Report Widespread Issues as Dashboard Access and Reporting Appear Disrupted — Feedly (The CyberSec Guru) — Google Analyticsでダッシュボード、レポート、リアルタイム機能に広範な障害が発生し、多数のユーザーが影響を受けています。

📋 掲載除外リスト

取得状況