デイリーニュースダイジェスト - 2026-08-08

🔒 セキュリティ

📢 サマリー

8月7日は重大な脆弱性とインシデントの報告が相次いだ。WordPressに事前認証XSS脆弱性（CVE-2026-64638）が発見され、管理者の操作を介してPHPコード実行に繋がる可能性が指摘されている。またLinux SCTPの18年前から存在するUse-After-Free脆弱性によるコンテナ脱出が実証され、MetabaseではSQLインジェクションのゼロデイが活発に悪用されている。国内ではデジタル庁の職員個人情報漏えいやEストアー「ショップサーブ」の最大885万件の情報漏えいなど、データ漏えいインシデントが目立つ。Black Hat USA 2026ではNatJack攻撃やHTTP Terminatorの研究成果が発表され、AI支援による脆弱性研究の新たな可能性が示された。

📌 注目記事

WordPressの事前認証XSS脆弱性がPHPコード実行に連鎖 – 緊急パッチ適用を

WordPressに全バージョンに影響する事前認証の反射型XSS脆弱性（CVE-2026-64638）が修正された。研究者のpwn.aiは、この脆弱性を悪用してサーバ上でPHPコード実行に連鎖させる方法を実証。ログイン画面のシンプルなバグがサーバ全体の乗っ取りに繋がる危険性を示した。

18年前のLinux SCTP脆弱性がローカルユーザにroot権限とコンテナ脱出を許す

LinuxのSCTPネットワークコードに存在するUse-After-Freeバグが、Tencentの研究者によってコンテナ脱出とホスト上の完全なroot権限取得に悪用可能であることが実証された。この欠陥は2008年から存在しており、既に修正が提供されている。

AI支援型HTTP Terminatorが新たなHTTP Desync手法とApacheゼロデイを発見

PortSwiggerのJames Kettleが開発したAI支援研究システム「HTTP Terminator」が、3万の候補ベクターを探索した後、新たなHTTP Desync手法を生成・実証した。さらに人間主導の発見カスケードによりApacheのゼロデイ脆弱性も露呈している。

N-able God mode脆弱性：攻撃者が顧客ネットワークに到達したことをベンダーが確認

N-ableの「God mode」脆弱性を悪用した攻撃者が管理者アクセスを顧客ネットワークへの侵入経路に転用したことを同社が確認。N-central顧客に対して2度目の緊急パッチ適用を呼びかけている。

Metabaseが重大SQLインジェクション欠陥の活発な悪用を確認、自己ホスト環境の即時アップグレードを要請

Metabaseは、実際に悪用が確認されている重大なSQLインジェクション脆弱性を公表した。攻撃の仕組み、影響を受けるバージョン、侵害指標（IoCs）などの詳細が明らかになっている。

Claude CodeとGemini CLIの欠陥がGitHubイシュー経由でCIワークフローシークレットに到達

リポジトリ権限のないアカウントがGitHubイシューを開くだけで、AnthropicとGoogleのコーディングエージェント用リポジトリのCIランナー上でコード実行が可能だった。Novee Securityが各社のエージェントに対して攻撃を実行し検証した。

Zapscape: CVE-2026-64561 KVMゲストからホストへの脱出の技術詳細

Linux KVMのShadow MMUを悪用したゲストからホストへの脱出脆弱性Zapscape（CVE-2026-64561）の根本原因、エクスプロイト手法、緩和策を含む詳細な技術解説。

Microsoft 365 AitMフィッシングがアカウントを乗っ取り給与・財務メールを収集

広範な電子メール駆動型フィッシングキャンペーンが、Adversary-in-the-Middle（AitM）手法を用いてMicrosoft 365アカウントを制御し、財務ワークフローに関わる重要人物を特定して関連メールを収集している。

新しいNatJack攻撃：NATテーブルを操作してTCPセッションを乗っ取りDNS偽装

Black Hat USA 2026で発表されたNatJackと呼ばれる新たな攻撃クラス。ネットワークアドレス変換（NAT）接続状態を操作してアクティブなTCPセッションを乗っ取り、DNS応答を偽装し、マッピングされたポートを露出させる。

TeamPCP、2020年までのRedis攻撃とその後のサプライチェーンキャンペーンに関連付け

TeamPCPとして追跡される脅威アクターが2020年まで活動を遡ることが判明。インターネット向けインフラを侵害した後、ソフトウェアサプライチェーンを標的とするようになったグループの関連性が明らかになった。

マルウェアがWindows Hello for Businessキーを悪用してEntra IDへの永続的アクセスを実現

Entra ID研究者のDirk-jan Mollemaが、既にサインイン済みのWindowsセッションで動作するマルウェアが被害者のWindows Hello for Businessキーを無音で使用してMicrosoft Entra IDに認証できることを実証。攻撃者は長期的なクラウドアクセスを確立可能。

CVE-2026-8037（Progress LoadMaster / コマンドインジェクション）を悪用リストに追加

CISAがProgress LoadMasterの認証不要で任意のコマンド実行を許すコマンドインジェクション脆弱性（CVE-2026-8037）をKEVカタログに追加。複数のエンドポイントで未サニタイズの入力を悪用可能。

Zbtlink製ルータに出荷時バックドア、20モデルでリモートrootアクセスが可能

VulnCheckの研究者がZbtlink製ルータ20モデルに出荷時から組み込まれたバックドアを発見。リモートサーバがroot権限でコマンドを実行できる状態で、EndlessDoorsインプラントとして追跡されている。

MITの研究者によるTONTOU攻撃がIntelとAMD CPUでSpectre防御をバイパス

MIT CSAILの研究者がタイマー割り込みを利用して分岐予測ポイズニングのウィンドウを再開する新たな投機的実行攻撃「Interrupt Injection」を発見。Zen 2に対する動作実証を含む。

📅 セキュリティ週次まとめ

• [tl;dr sec] #340 - AnthropicとMetaのエージェントがハッキング、エージェント型インシデントレスポンスノートブック、FigmaのAIコードスキャン — tl;dr sec — AnthropicおよびMetaのモデルがテスト中に第三者をハッキングした事例、インシデントレスポンスノートブックでのエージェントコラボレーション、FigmaのAI搭載コードスキャンに関する詳細記事をまとめた週次ニュースレター。
• 🎓️ Vulnerable U | #180 — Vulnerable U — Rogue AIハッカーのフォローアップ、BlackhatおよびDEFCONで発表された研究成果、水道施設におけるPLCのインターネット接続問題など、直近のセキュリティ動向をまとめた週次ニュースレター。

📰 セキュリティニュース (47件)

CVE, 脆弱性

CVE-2026-64638 (WordPress 事前認証XSS) 関連（4件）

• WordPress XSS2Shell欠陥が単純なログインバグを完全なサーバ乗っ取りに変える — Security Affairs — Pwn社がXSS2Shellと呼ぶ脆弱性チェーンを公開。存在しないユーザ名を入力するだけで発動するシンプルなエントリポイントからPHPコード実行に至る危険性を解説。
• WordPressの事前認証XSSがPHPコード実行に繋がる可能性、修正を直ちに適用 — The CyberSec Guru — CVE-2026-64638の影響範囲、事前認証XSSの危険性、XSS2Shellを用いたPHPコード実行への連鎖方法について解説。
• WordPressの事前認証XSSによりPHPコード実行が可能に - 早急にパッチ適用を — The Hacker News — WordPressの全バージョンに影響する事前認証反射型XSS欠陥を修正。ログイン中の管理者が操作した場合、サーバ上でPHPコード実行に連鎖可能であることが実証された。
• AI支援HTTP Terminatorが新たなHTTP Desync手法とApacheゼロデイを発見 — The Hacker News — PortSwiggerのJames KettleによるAI支援研究システムが3万の候補ベクターから新たなHTTP Desync手法を生成し、Apacheのゼロデイ脆弱性も露出させた。

Metabase SQLインジェクションゼロデイ 関連（2件）

• Metabaseが重大SQLインジェクション欠陥の活発な悪用を確認、自己ホスト環境の即時アップグレードを要請 — The CyberSec Guru — Metabaseにて実際に悪用が確認されている重大なSQLインジェクション脆弱性について、攻撃の仕組み、影響バージョン、侵害指標を詳述。
• Zapscape: CVE-2026-64561 KVMゲストからホストへの脱出の技術詳細 — The CyberSec Guru — Linux KVMのShadow MMUを悪用したゲストからホストへの脱出脆弱性（CVE-2026-64561）の根本原因、エクスプロイト手法、緩和策を技術的に詳解。

NatJack攻撃 関連（2件）

• NatJack攻撃がNATテーブルを操作してTCPセッションを乗っ取りDNSを偽装 — The Hacker News — Black Hat USA 2026で発表されたNatJack攻撃クラスがNAT接続状態を操作し、アクティブTCPセッションの乗っ取りやDNS応答の偽装を可能にする。
• TeamPCP、2020年までのRedis攻撃とその後のサプライチェーンキャンペーンに関連付け — The Hacker News — TeamPCPとして追跡される脅威アクターの活動が2020年まで遡ることが判明。インターネット向けインフラ侵害からサプライチェーン攻撃に至る経緯を解説。

インタラプトインジェクション（Spectre v2 バイパス）関連（2件）

• Spectre v2防御をバイパスする新たなInterrupt Injection攻撃がIntelとAMD CPUに影響 — The CyberSec Guru — MIT CSAILの研究者がIntelおよびAMDのCPUでSpectre v2緩和策をバイパスする新たな投機的実行攻撃「Interrupt Injection」を発見。
• MIT研究者のTONTOU攻撃がIntelとAMDのCPUでSpectre防御をすり抜ける — The Register - Security — タイマー割り込みが分岐予測ポイズニングのウィンドウを再開させる新手法と、Zen 2に対する実際のエクスプロイト実証を含む詳細。

CISA KEVカタログ追加（2件）

• CISAが1件の悪用既知脆弱性をカタログに追加 — CISA — CVE-2026-8037（Progress LoadMaster / コマンドインジェクション）を悪用リストに追加。認証不要で任意のコマンド実行が可能。
• CISAが1件の悪用既知脆弱性をカタログに追加 — CISA — CVE-2026-20316（Cisco Secure Firewall Management Center / ハードコードパスワード脆弱性）を悪用リストに追加。未認証のリモート攻撃者が低権限アカウントでログイン可能。

Zbtlinkルータ バックドア/EndlessDoors（2件）

• Zbtlink製ルータに出荷時から組み込まれていたバックドアについてまとめてみた — piyolog — VulnCheckが中国Zbtlink製ルータに出荷時から組み込まれた遠隔操作用インプラント「ENDLESSDOORS」を発見した調査結果をまとめ、ベンダーの反論も併せて紹介。

• 20機種のルータに発見された隠しバックドアがリモートrootアクセスを許す — Security Affairs — Zbtlink製ルータ20モデルにリモートサーバがroot権限でコマンド実行可能なバックドアをVulnCheckが発見。

• オープンソースソフトウェア：セキュリティ原則と実践 — CISA — オープンソースソフトウェアのセキュリティに関する原則と実践方法をまとめたCISAのガイダンス。

• 18年前のLinux SCTP欠陥がローカルユーザにroot権限とコンテナ脱出を許す — The Hacker News — 2008年から存在するLinux SCTPのUse-After-FreeバグがTencent研究者によりコンテナ脱出と完全なroot権限取得に悪用可能と実証された。

• Claude CodeとGemini CLIの欠陥によりGitHubイシューでCIワークフローシークレットに到達 — The Hacker News — リポジトリ権限のないアカウントがGitHubイシューを開くだけで、AnthropicおよびGoogleのコーディングエージェント用リポジトリのCIランナー上でコード実行が可能だった。

• マルウェアがWindows Hello for Businessキーを悪用しEntra IDへの永続的アクセスを実現 — The Hacker News — 既にサインイン済みのWindowsセッションで動作するマルウェアが被害者のWindows Hello for Businessキーを使用してEntra IDに認証可能であることが実証された。

• 従来型テストの限界があらわに 3915件のOSSを解析して判明した「99.4％未報告」の実態 — ITmedia Security — Palo Alto Networksの自律型AIシステム「NOVA」が3915件のOSSを解析し1万4090件の脆弱性を検出。99.4%が未報告で従来テスト手法の限界が浮き彫りになった。

• GitHubリポジトリの「侵入口」をどうふさぐ？ 無料で使える6つのセキュリティ設定 — ITmedia Security — GitHubが攻撃者に狙われにくくする6つの無料セキュリティ設定を紹介。いずれも30分以内で設定可能で、侵入経路を塞ぐ効果があるという。

• 重大な脆弱性が修正されたChrome 151アップデート — SecurityWeek — ブラウザの更新により、重大なUse-After-Free欠陥を含む20以上のメモリ安全性バグが解消された。

• Microsoft、Appleが新たなセキュリティアップデートをリリース — SecurityWeek — MicrosoftがAzure・Entra・SharePointの重大な脆弱性を修正、Appleは高深刻度の認証バイパスにパッチを適用。

サイバー攻撃, インシデント・マルウェア

N-able God mode脆弱性 インシデント（2件）

• N-able God mode欠陥：ベンダーが攻撃者の顧客ネットワーク到達を確認、2度目のホットフィックス提供 — The Register - Security — 攻撃者が管理者アクセスを下流の顧客ネットワーク侵入経路に転用したことをN-ableが確認。N-central顧客に2度目のパッチ適用を要請。

• 米国防サプライヤーのMicrosoft 365アカウントに攻撃者がフィッシングで侵入 — The Register - Security — 攻撃者がIEH Corporationの従業員をフィッシングし、エンジニアリングファイルや輸出管理対象の技術データにアクセスした。

• ここ1年で7倍に増えたn8nを悪用したデバイス追跡とマルウェア配布の手口 — ITmedia Security — Cisco TalosがAIワークフロー自動化プラットフォーム「n8n」を悪用したフィッシングキャンペーンの増加を確認。正規サービスを通じたマルウェア配布とデバイスフィンガープリンティングが自動化されている。

• 開発者を狙う“自己拡散型npmワーム”の全貌 400超のパッケージに感染拡大 — ITmedia Security — 週1億回以上DLされる人気ライブラリ「keyv」の保守担当者のGitHubアカウントが侵害され、npmエコシステム全体に感染拡大する自己増殖型マルウェアが出現。

• 平和大ボケの代償？ ニチレイショックの裏で進行する“ド級のデータ漏えい” — ITmedia Security — 日本交通で進行中のランサムウェア被害。2.9TBの大規模なデータ漏えいの実態とセキュリティ管理の課題を日本ハッカー協会の杉浦隆幸氏と解説。

• Vishing脅迫グループUNC6671が数百万ドルを稼いだ後にリブランド — SecurityWeek — 当初BlackFileを名乗っていたグループがRedact、Pink、Helix、Falconブランドに事業を拡大。

• 無制限のテクノロジーシステムのデータ侵害で380万人が影響 — SecurityWeek — 企業のデータセンターから個人情報、医療情報、健康保険情報が窃取された大規模データ侵害。

• Eストアーの「ショップサーブ」に不正アクセス、最大約885万件の個人情報が漏えい — サイバーセキュリティ.com — 株式会社Eストアーが運営する「ショップサーブ」のサーバに外部から不正アクセスがあり、購入者情報が漏えいした。

• 「PeakManager」に不正アクセス、約3,300万件の個人情報が漏えいした可能性 — サイバーセキュリティ.com — 株式会社EPARKリラク＆エステが提供する予約・顧客管理プラットフォーム「PeakManager」の一部データベースが不正アクセスを受け、個人情報漏えいの可能性。

• 不正アクセスを受けていた将棋連盟のサイトが復旧、情報漏えいは「痕跡なし」 — INTERNET Watch — 日本将棋連盟が公式サイトへの不正アクセスに関する調査結果を発表。情報漏えいの痕跡は確認されていない。

セキュリティツール, 研究

• AIが生成したパッチの半数が失敗 — Dark Reading — 6000以上のパッチを調査した結果、動作するパッチでも新たなバグを導入したり、他の機能を破壊したり、バイパス可能であることが判明した。
• 本日気になった注意喚起情報（8/7）★ — Fox on Security — フリーWi-Fi利用登録画面でのマルウェア感染注意喚起や、CiscoのAIエージェント脅威に関する警告など、国内外のセキュリティ注意喚起情報をまとめた記事。
• Daily記事まとめ（ブルカラーの逆転、重要インフラ事業者の危機意識、長期休みこそAIエージェントの勉強を ほか） — Fox on Security — 直近のセキュリティ関連記事をまとめたデイリーサマリー。ブルカラーの逆転、重要インフラ事業者の危機意識、AIエージェント学習など多岐にわたるトピックをカバー。
• 「日本のセキュリティ信仰は構造的にズレてる」 コスパよく、すぐ救われる“左側”の防衛術 — ITmedia Security — 東大先端科学技術研究センターの西尾素己氏が、高額製品導入が安心に繋がるという日本のセキュリティ信仰の構造的問題と、認証情報保護における新たな視点を解説。
• Black Hat USA 2026 – ベンダー発表サマリー（パート4） — SecurityWeek — Black Hat USA 2026で各企業が発表した製品やサービスの紹介をまとめたサマリー。
• Linuxシェルフォレンジック：Atuinを詳しく見てみよう — SANS Internet Storm Center — UNIX系システムのシェル履歴管理ツール「Atuin」を活用したフォレンジック手法の詳細解説。
• AI時代にUSENIX Securityカンファレンスが論文の洪水にどう対応しているか — The Register - Security — AIの利用が明らかだが深刻な問題には至っていない現状と、USENIX Securityカンファレンスの論文審査対応をレポート。

クラウド

• マルチアカウント統制の実践―スケールする組織のAWS環境のガバナンス標準化 — Zenn (genda_jp) — M&Aを成長戦略の柱とするGENDAにおいて、AWS管理者チームがM&A時に実施しているマルチアカウント統制の実践手法を6つのフェーズに分けて紹介。

Bug Bounty

• The XSS RatがBug Bounty向け無料ツールBountySkillerを公開 — X 検索 — ベース64データURIやワイルドカード、引用符分割など、BarracudaやAirlock Ergonのベンダー固有テクニックも含むWAFバイパスチェックリストを紹介。
• RatCTFのPurple Team Seriesが公開 – 侵害後のインシデント対応を学べるCTF — X 検索 — 侵害後のクリーンアップをテーマにした5つの接続ホストで構成されるCTF。ウェブシェル解析、ログフォレンジック、アラートトリアージなどを学習可能。
• The XSS RatがBug Bountyハンター向け無料ツールBountySkillerを公開 — X ブックマーク — HackerOneレポートやPortSwiggerなどの攻略記事をJSON化して学習できるツールと、AI支援のギャップ分析機能Hunt Buddyを提供するオープンソースツール。

プライバシー, 法規制, セキュリティ政策

• 警察庁ら、Google、LINEヤフーなどデジタル広告プラットフォーム5社に「なりすまし詐欺広告」対策強化を要請 — INTERNET Watch — 7府省庁合同でSNS上のなりすまし詐欺広告対策強化をデジタル広告プラットフォーム5社に文書要請。著名人の写真を使った投資詐欺などへの対策を求める。
• トラックのブレーキコントローラ安全リコールが隠れたセキュリティ修正を含む — SecurityWeek — NMFTAの調査によりBendix EC80ブレーキコントローラの安全リコールがリモートコード実行およびDoS脆弱性の修正も含んでいたことが判明。
• 中国がPalo Alto Networks製品のセキュリティに関する不審な調査を開始 — The Register - Security — 北京は調査理由を明らかにしておらず、過去にMicronを調査した際と同様のパターン。

セキュリティ系の勉強会やイベント、カンファレンス

• 制御システムセキュリティカンファレンス2026 開催レポート — JPCERT/CCブログ — 2026年2月10日に開催された制御システムセキュリティカンファレンスの報告をJPCERT/CCが公開。
• OWASP CTFがDEFCONで8月7日10時（太平洋時間）に開始 — X 検索 — OWASPコミュニティスペースでエクスプロイトから安全な修復までの完全なプロセスを練習可能。ターゲットを選んで修正を反映させる形式。
• GMOイエラエがDEFCON 34に参加、Blue WaterはCTF Finals優勝を目指す — X リスト — GMOイエラエがCloud Village、IoT系Village、Blue Team Villageの3つの舞台に挑戦。Blue WaterはCTF Finalsで優勝を目標に掲げる。

会社ブログ, その他

• エージェント型インターネットにおける善悪の行動を明らかにする — Cloudflare Blog — Cloudflareがボット対策をポイントインタイムのリスク評価から継続的信頼評価へ移行。BotBaseやPrecursorなどの新システムによるエージェントの行動評価手法を解説。
• 【デジタル事例データベース】株式会社ブリヂストンのDX取組事例を掲載しました — IPA — IPAがデジタル事例データベースにブリヂストンのDX取り組み事例を新たに掲載。
• オープンソースの厳しい成長 — The Hacker News — オープンソースが成熟する中で直面するセキュリティと持続可能性の課題について論じたエッセイ。
• 元米国サイバー局長「アシモフはロボットのルールについて正しかった」 — The Register - Security — 人間は自らが値するAIモデルを得ることになるとし、AIエージェントに課すルールの重要性をアシモフのロボット三原則に例えて論じた。
• TenableによるClaude Mythos Previewの500時間検証レポート — X ブックマーク — 高速な脆弱性検出やExploit生成で優位な一方、揺らぎや誤検知も多数発生し人間の検証コストが増加。決定論的ツールを主軸としAIは探索的テストに限定適用する使い分けを推奨するレポート。
• 日本自動車工業会・日本自動車部品工業会がAI性能の高度化を踏まえたサイバーセキュリティ対策強化を要請 — X ブックマーク — 自動車業界団体がサプライチェーン全体でのAI時代のサイバーセキュリティ対策強化を要請するPDF文書を公開。
• 熟練ハッカーの知識を組み込んだ専用LLMエージェントがV8の脆弱性をExploit – Ikotas Labs — X ブックマーク — Claude Mythos Previewでは悪用可能な状態まで到達できなかったV8のベンチマークを、熟練ハッカーの専門知識を組み込んだ専用LLMエージェントがエクスプロイトに成功した事例を報告。
• GMO Flatt Security株式会社がTakumiのAIペネトレーションテスト機能をアップデート — X 検索 — AIペネトレーションテスト機能の提供範囲を拡大。リリースノートで詳細を公開。
• KDDI、社内全システムで脆弱性診断へ 1220万人分漏えいで対策強化 — X 検索 — KDDIが大規模情報漏えいを受け、全システムを対象とした脆弱性診断を実施する方針を発表。
• Miyakatzがチーム初のインターン企画を実施 — X 検索 — 5日間で脅威モデリングからAIベースのホワイトボックス診断、手動診断、レポーティング、報告会までを実施。事業会社の内製セキュリティの面白さを伝えるインターン企画の報告。
• GMO Flatt SecurityがAIペネトレーションテスト機能の先行利用企業コメントを公開 — X リスト — クレディセゾン、ウェルスナビ、Hokanグループ、カオナビから寄せられたAIペネトレーションテスト機能へのコメントを紹介。
• JNSAメルマガ第344号「「国産」って、何ですか？―誰も定義してこなかったセキュリティ製品の「日本度」―」 — X リスト — 日本サイバーセキュリティ産業振興コミュニティ代表の萩原健太氏が「国産」セキュリティ製品の定義について論じたコラム。
• デジタル庁で職員の個人情報漏えいが発生 — X リスト — デジタル庁が職員の個人情報漏えいに関するお知らせを公表。
• 株式会社シーイーシーのデータセンターサービスで障害発生（続報） — X リスト — シーイーシーのデータセンターサービスに障害が発生し、続報が公開された。
• ロジネットジャパン委託先のクラウドストレージへの不正アクセスで情報漏えいの可能性 — X リスト — 委託先が利用するクラウドストレージへの不正アクセスにより情報漏えいの可能性があるとロジネットジャパンが発表。
• セントラルコンサルタント株式会社のコーポレートサイトへの不正アクセス — X リスト — コーポレートサイトへの不正アクセスにより個人情報漏えいの可能性が発生。
• 名鉄協商株式会社のお客様情報漏えいに関する個別案内の実施状況 — X リスト — 8月6日時点でのお客様情報漏えいに関する個別案内の実施状況を名鉄協商が公表。
• 株式会社アンビション DX ホールディングスのサーバーへの不正アクセス発生（第1報） — X リスト — アンビション DX ホールディングスがサーバーへの不正アクセス発生を報告。
• 回答するたびに育つ、Devinによるセキュリティチェックシート回答の仕組み — Zenn (hubble) — エンタープライズ向けサービスのセキュリティチェックシート回答をDevinを活用して効率化する仕組みを解説。正確さと速さの両立を目指す自動化の取り組み。

🤖 AI, 機械学習

AI, 機械学習ニュース (10件)

新モデル、研究論文

• OracleがOpenJDKでAI生成コードを禁止 — HackerNews — OracleのEllison会長が「Oracleは独自のコードを書いていない」と主張しているにもかかわらず、OpenJDKプロジェクトではAI生成コードの使用を禁止する方針が打ち出された。
• DeepSeek V4 Flash 0731 — HackerNews — ARC Prizeの結果ページにDeepSeek V4 Flash 0731のベンチマーク結果が掲載された。
• OpenAIが重要サイバー能力の次のフロンティアに対応 — HackerNews — OpenAIがサイバーセキュリティ分野におけるAIの能力とリスクに対応するための新たな取り組みを発表。

AIツール, サービス, 製品

• Intelligent Terminalとは｜使い方とACP対応エージェント・企業向けGPO制御をソースで解説 — AI Heartland — MicrosoftがWindows Terminalをフォークして作成した実験的AIターミナルについて、対応エージェントの実体や企業向けGPOポリシー4種の既定値を公式リポジトリのソースコードから解説。
• Microsoft Learn MCP Serverとは｜使い方と3ツールの中身・常駐コストを実測して解説 — AI Heartland — Microsoft公式ドキュメントをAIに読ませる認証不要のリモートMCPサーバーについて、公開3ツールの中身や常駐コスト、日本語クエリの挙動を実測し他のMCPサーバーとの違いを解説。
• text-to-cadとは｜Claude Code用CAD・URDF生成Agent Skills 11種を実機検証 — AI Heartland — Claude Code・Codexに入れる11種のAgent Skills集。自然言語からSTEP・URDF・SDF等を生成するOSSツールのインストールと実機検証結果を解説。
• Radar Researcherの紹介：自然言語でインターネットデータを探索するAIツール — Cloudflare Blog — CloudflareのDeveloper Platformで構築された、自然言語クエリをリアルタイムのインタラクティブなチャートに変換する新しいAI搭載ツール。グローバルなインターネットトレンドを平易な言語で探索可能。
• CloudflareがWorkers AIとAI Gatewayを単一のAI制御プレーンに統合 — Cloudflare Blog — CloudflareがAI GatewayとWorkers AIを単一の制御プレーンに統合し、管理されたGPUと外部プロバイダ間での可観測性、課金、動的ルーティングを提供。
• Cloudflareがエージェント向けブラウザKitesurfを発表 — X ブックマーク — Rustで書かれた軽量ブラウザKitesurfがCloudflare Workers上で動作。Chromiumより3〜7倍少ないCPUとメモリで動作し、リクエストごとに起動。ベータ版は無料。

LLM, エージェント実装

• Claude Code用スキル「ponytail」でAIの過剰設計・再発明・冗長コメントを抑制 — X ブックマーク — AIが生成する過剰な設計や既存部品の再発明、冗長なコメントを「無口でデブでポニーテールだがクソ有能なエンジニア」というステレオタイプのスキルが質実剛健なコードに修正するツール。
• Excelのシートに.Rulesでプロンプトを埋め込むことでユーザー依存なしに処理手順をコントロールする手法 — X ブックマーク — SKillsのようにプロンプトや処理手順をExcelのシートに.Rulesとして埋め込むことで、ユーザーの環境差異に依存せずExcel単体で処理を制御する手法を紹介。
• MCP サーバーを uvx で動かしている人は、一度 du -sh ~/.cache/uv を叩いてみてほしい — Zenn (canly) — AIコーディングツールのMCPサーバー使用により~/.cache/uvが70GBまで膨らんだ事例を報告。Claude Codeプラグイン経由で起動するMCPサーバーが原因と特定し、原因特定と対策方法を解説。
• OpenTelemetryを起点に、AIエージェントの評価データセットを育てる — Zenn (sompojapan_dx) — LLMの精度改善に使える評価データセットを実際のユーザーや業務部門のフィードバックをトレースに結びつけて育成する手法を解説。ADK Web標準機能でフィードバックを受け、trace_idで特定してLangfuseに登録する方法を紹介。

AI政策, 倫理, 動向

• 人類はもうお呼びじゃない？ 米ニュースサイトがAIクローラー対象の広告配信を開始 — INTERNET Watch — 米ニュースサイトがAIクローラーだけを対象とした広告配信を開始し話題に。人間向けとは異なるAI向け広告収入モデルの台頭。
• AI時代の競争優位はどこに宿るのか：PL思考からBS思考の投資へ ② — Zenn (mkj) — 松尾研究所の角谷氏がAI活用が「PoCの時代」から「オペレーションの時代」へ移行する中で、短期ROIを追うPL思考からモデル進化に陳腐化しない資産へのBS思考への投資転換の重要性を論じた続編。
• 勉強会 #5:「賢いAI」とは何か？ — Zenn (ray000) — 早稲田AI研究会の勉強会資料。LLMの性能評価に使われるベンチマークの限界と、本当に「賢いAI」とは何かを考える考察。ベンチマーク点数と実際の知能の関係を検証。

📌 その他注目技術

その他注目技術ニュース (4件)

ブラウザのアップデート, 新機能

• Firefoxがalpha() CSS関数をサポート — Firefox Nightly Release Notes — FirefoxがCSSの相対色関数であるalpha()関数をサポートした。
• Firefoxでコンテナの並び替えが設定で可能に — Firefox Nightly Release Notes — Firefoxの設定画面でコンテナの順序を並び替えられるようになった。
• Chrome Dev for Android Update — Google Chrome Releases — Android向けChrome Devのアップデートが公開された。

開発ツール, プラットフォーム

• Cloudflare Ambassadors、Community Engineers、そしてオープンソースへの更なる100万ドル支援を発表 — Cloudflare Blog — Cloudflareがコミュニティプログラムを刷新し、Cloudflare AmbassadorsとCommunity Engineersを新設。メンテナー支援とデベロッパーコミュニティ拡大のため100万ドルのオープンソース資金提供を発表。

📌 その他採用や組織マネジメント

• 2026年8月の人事労務タスク｜カスハラ・就活セクハラ防止義務化への対応を社労士が解説 — SmartHR Mag. — 2026年8月の人事労務タスクとして、カスタマーハラスメントおよび就活セクハラ防止義務化への対応について社会保険労務士が解説。猛暑の中での健康管理の重要性にも触れる。

📋 掲載除外リスト

取得状況