デイリーニュースダイジェスト - 2026-08-19

🔒 セキュリティ

📢 サマリー

CISAが4件の脆弱性をKEVカタログに追加（Microsoft IKE Service Extensions、VMware vCenter、Microsoft SharePoint、Apple macOS）。GitLabにはCVSS 9.4の未認証GraphQL脆弱性（CVE-2026-19478）が発見され緊急パッチが公開。RayフレームワークのRCE脆弱性も活発に悪用されている。国内ではさくらインターネットのレンタルサーバで583アカウントへの不正ログインが発覚。また、ランサムウェア関連組織「Ransom Busters」が被害者に有償のデータ削除サービスを装う新手口が確認された。AnthropicとEPFLの研究者はAIエージェント間で自己増殖する「Mind Virus」の実証に成功。AIセキュリティと脆弱性管理の両面で注目すべき発表が相次いだ。

📌 注目記事

CISA、4件の悪用確認済み脆弱性をカタログに追加

CISAがCVE-2026-33824（Microsoft IKE Service Extensions / Double FreeによるRCE）、CVE-2026-59310（Broadcom VMware vCenter / パストラバーサル）、CVE-2026-55040（Microsoft SharePoint / 弱い認証）、CVE-2026-65400（Apple macOS / Screen Sharingの不適切な認証）の4件をKnown Exploited Vulnerabilitiesカタログに追加した。いずれもネットワーク経由での攻撃が可能で、連邦機関には3日以内の対応が義務付けられている。

GitLab、未認証のGraphQL脆弱性（CVE-2026-19478, CVSS 9.4）に対する緊急パッチを公開

特定条件下で未認証の攻撃者がGitLabのパブリックプロジェクトやユーザーデータをリモートから改変・削除できる深刻な脆弱性。セルフマネージド版のCE/EEが影響を受ける。GitLabは直ちにアップデートを適用するよう強く推奨している。

さくらインターネットのレンタルサーバで583アカウントに不正ログイン、顧客領域まで到達

さくらのレンタルサーバで管理環境を経由した不正アクセスが発生し、583アカウントへの不正ログインと顧客環境へのマルウェア設置が確認された。顧客情報だけでなく「通信の秘密」に該当する情報へのアクセスも可能な状態だった。

AI「Mind Virus」がエージェント間で永続的プロンプトファイルを介して拡散可能

AnthropicとEPFLの研究者が、自律型AIエージェントがセッション間で状態を保持するために使用する編集可能なシステムプロンプトファイルを通じて、自己増殖型ペイロードがエージェント間で拡散できることを実証した。この研究はAIエージェントのサプライチェーンセキュリティに新たな課題を提起する。

Ransom Busters、ランサムウェア被害者に有償データ削除サービスを装う新手口

「Ransom Busters」と名乗るランサムウェア関連組織が、被害組織に2万〜6万ドルの料金でランサムウェアグループのサーバから盗難データを削除すると持ちかける手口が確認された。実際には身代金支払いを横取りする意図があると見られる。

TWINLOOT：Microsoftのクラウドサービス内で完全に動作するPythonインプラントフレームワーク

SharePointとTeamsをC2インフラとして悪用し、PyArmorで難読化されたモジュール型Pythonインプラント。Living-off-the-land戦術をクラウドネイティブな形で実現し、検出を極めて困難にしている。

期限切れドメインのドロップキャッチを悪用した攻撃インフラの実態

Infobloxの調査によれば、2026年上半期にgTLDだけで1日平均5万400件のドロップキャッチドメインが検出され、これは新規登録全体の約2割に相当する。攻撃者は期限切れドメインの再登録を悪用して正規ドメインの信頼性を乗っ取る手法を広く使用している。

Microsoft Copilot Personalの脆弱性、ワンクリックで接続アプリからデータを窃取可能

Varonis Threat LabsがMicrosoft Copilot Personalに3件の脆弱性を発見。細工されたリンクを1クリックするだけで、接続されたアプリやCopilotセッションから利用可能なデータをサイレントに引き出すことが可能になる。

MLflowのSSRF脆弱性を悪用したクラウド認証情報・シークレット窃取が活発化

オープンソースのAIプラットフォームMLflowとOT/産業自動化向けSCADAソフトウェアFUXAの深刻な脆弱性に対し、悪意のあるスキャンとエクスプロイト試行が急増している。特にMLflowのSSRF脆弱性はクラウド認証情報の窃取に悪用されている。

Apple、画像処理の脆弱性に対する緊急パッチを公開

AppleがmacOS、iOS、Vision Pro向けのセキュリティアップデートを公開。数十件のWebKit脆弱性も同時に修正され、Safariのクラッシュ、メモリ破損、機密データ漏洩、サンドボックス脱出などに対応している。

300,000のWordPressサイトがフォームプラグインの脆弱性でハッキングの危険にさらされる

CVE-2026-15748として追跡されている任意ファイルアップロードの脆弱性により、未認証の攻撃者が実行可能ファイルをアップロードできる。影響を受けるWordPressサイトは約30万件に上る。

16個のタイポスクワッティングRubyGemsパッケージがブラウザ認証情報と暗号通貨ウォレットを窃取

StubMakerと名付けられた新たなタイポスクワッティングキャンペーンがRubyGemsユーザーを標的に、Windowsベースの情報窃取マルウェアを配布している。2026年8月15日に発見された。

MFA だから安心？ 認証プロセスを7段階に分解して、守り方を組み直す

MFA（多要素認証）を導入していても侵害される事例が続いている現状を分析。認証プロセスを7段階に分解し、各段階での攻撃手法と防御策を体系的に解説。MFAが「突破された」のではなく、認証プロセス全体の弱点を突かれている実態を明らかにする。

医療サイトを乗っ取り「賭博サイト」へ、攻撃者が狙ったGoogle検索の"信用"

医療機関のWebサイトにWebシェルを侵入させ、Google Search Consoleの所有権を奪取し、検索エンジン経由で違法賭博サイトへ誘導する攻撃チェーンの全容をフォレンジック解析で追跡。SEOポイズニングとサイト乗っ取りの組み合わせによる新たな攻撃手法の詳細が明らかになった。

📰 セキュリティニュース (42件)

CVE, 脆弱性

• CISA Adds Four Known Exploited Vulnerabilities to Catalog — CISA — CVE-2026-33824（Microsoft Internet Key Exchange (IKE) Service Extensions / Double Free）、CVE-2026-59310（Broadcom VMware vCenter / Path Traversal）、CVE-2026-55040（Microsoft SharePoint / Weak Authentication）、CVE-2026-65400（Apple macOS / Improper Authentication）を悪用リストに追加。
• ─── — ** — GitLab CVE-2026-19478 関連（3件）
• GitLab Patches Critical Unauthenticated GraphQL Vulnerability — Security Affairs — GitLabがCVSS 9.4の深刻なGraphQL脆弱性（CVE-2026-19478）に対する緊急パッチを公開。未認証の攻撃者がセルフマネージドサーバ上のパブリックプロジェクトをリモートから改変・削除可能。
• GitLab Patches Critical Code Injection Vulnerability — SecurityWeek — 未認証の攻撃者がユーザーデータとパブリックプロジェクトを改変・削除できるGitLabの脆弱性に対する修正パッチが公開された。
• Critical GitLab GraphQL Flaw Could Let Unauthenticated Attackers Delete Public Projects — The Hacker News — 特定条件下で未認証の攻撃者がGitLab CE/EEのパブリックプロジェクトやユーザーデータをリモートから改変・削除できる深刻な脆弱性（CVE-2026-19478）が修正された。
• ─── — ** — Ray CVE-2025-62593 関連（3件）
• U.S. CISA adds a Ray-Project Ray flaw to its Known Exploited Vulnerabilities catalog — Security Affairs — CISAがRay-Project Rayの脆弱性（CVE-2025-62593, CVSS 9.4）をKEVカタログに追加。活発な悪用の証拠に基づく。
• CISA Flags Actively Exploited Ray Flaw That Can Trigger Browser-Based RCE — The Hacker News — 分散コンピューティングフレームワークRayの深刻な脆弱性がCISAのKEVカタログに追加。ブラウザベースのRCEが可能で、フィッシングやマルバタイジングを通じた攻撃が確認されている。
• CISA gives feds 3 days to fix actively exploited Ray RCE bug — The Register — CISAが連邦機関に対し、活発に悪用されているRayのRCE脆弱性を3日以内に修正するよう指示。フィッシングやマルバタイジング攻撃で開発者が標的にされる可能性がある。
• ─── — ** — Apple WebKit/macOS 脆弱性修正 関連（2件）
• Dozens of WebKit Vulnerabilities Patched With Fresh macOS, iOS Security Updates — SecurityWeek — 数十件のWebKit脆弱性が修正され、Safariのクラッシュ、メモリ破損、機密データ漏洩、サンドボックス脱出、データ流出などに対応。
• Apple plugs image-processing hole ripe for spyware abuse — The Register — 現行デバイスから旧型のiPhone、Mac、Vision Proまで幅広く対象とするパッチバッチを公開。画像処理の脆弱性がスパイウェアに悪用される可能性があった。
• 300,000 WordPress Sites Potentially Exposed to Hacking Due to Form Plugin Flaw — SecurityWeek — CVE-2026-15748として追跡される任意ファイルアップロードの脆弱性により、未認証の攻撃者が実行可能ファイルをアップロード可能。約30万サイトに影響。
• Microsoft Copilot Personal Flaws Could Let One Click Exfiltrate Data From Connected Apps — The Hacker News — VaronisがMicrosoft Copilot Personalに3件の脆弱性を発見。細工されたリンクの1クリックで接続アプリやCopilotセッションからデータをサイレントに窃取可能。
• SafePal Hardware Wallet Maker Says Flaw Exposed Data of Nearly 40,000 Customers — The Hacker News — 注文追跡プラグインの認証不備により、約39,798人の顧客の氏名、メールアドレス、配送先住所、電話番号、購入詳細が流出した。
• Snowflake GitHub Actions Flaw Lets Crafted Issues Trigger Command Injection — The Hacker News — WizがSnowflakeの公開リポジトリでGitHub Actionsワークフローインジェクション脆弱性を発見。細工されたGitHub Issueを通じて内部Jiraチケットを含むワークフローでコマンド実行が可能。

サイバー攻撃, インシデント・マルウェア

• #StopRansomware: Gunra Ransomware — CISA — Gunraランサムウェアに関するCISAのサイバーセキュリティアドバイザリ。TTPs、IoC、緩和策を含む。
• ─── — ** — Ransom Busters 関連（2件）
• 'Ransom Busters': Ransomware Actor Poses as Incident-Recovery Service — Dark Reading — ランサムウェア関連組織が被害者に接近し、身代金支払いを横取りする意図を隠して支援を申し出る新手口が確認された。
• Ransom Busters Claims It Hacked Ransomware Servers, Asks Victims for Up to $60,000 — The Hacker News — Ransom Bustersと名乗るランサムウェア関連組織が被害組織にメールを送り、2万〜6万ドルの料金でランサムウェアグループのサーバから盗難データを削除すると主張。実際には身代金支払いの横取りを狙う。
• ─── — ** — TWINLOOT 関連（2件）
• Silent 'TwinLoot' Cyber Threat Operates Entirely From Microsoft's Cloud — Dark Reading — PythonベースのマルウェアフレームワークがLiving-off-the-land戦術をクラウドネイティブに進化させ、認証情報窃取と永続化を実現するモジュール型インプラント。
• TWINLOOT Abuses SharePoint and Teams to Steal Credentials and Move Across Networks — The Hacker News — PyArmorで難読化されたモジュール型Pythonインプラント。SharePointとTeams内でC2インフラ全体を運用し、検出を極めて困難にする。
• ─── — ** — Heights Finance データ侵害 関連（2件）
• Hackers Expose Data of 1.2 Million Heights Finance Customers — Security Affairs — サードパーティのクラウドプラットフォームが侵害され、120万人以上のHeights Finance顧客の個人情報・金融情報が流出した。
• Heights Finance Data Breach Impacts at Least 1.2 Million Individuals — SecurityWeek — ハッカーがサードパーティプラットフォームから氏名、住所、電話番号、社会保障番号、金融情報を窃取した。
• ─── — ** — さくらインターネット不正アクセス 関連（2件）
• さくらのレンタルサーバ不正アクセスとは｜583アカウントの意味と、利用者が今すぐ確認すべきこと — AI Heartland — 公式発表の「当社管理環境を経由して」の意味、影響なしとされたサービスの境界、FreeBSD環境で有効な確認コマンド、2つの報告期限を一次ソースだけで整理。
• さくらインターネットで583アカウントに不正ログイン　「顧客領域」まで到達 — ITmedia Security — さくらのレンタルサーバで管理環境を経由した不正アクセスが発生。583アカウントへの不正ログインと顧客環境へのマルウェア設置が確認され、顧客情報と通信の秘密に該当する情報へのアクセスが可能な状態だった。
• 医療サイトを乗っ取り「賭博サイト」へ　攻撃者が狙ったGoogle検索の"信用" — ITmedia Security — Webシェル侵入、Google Search Console所有権奪取、偽サイト構築へと連なる攻撃チェーンをフォレンジック解析で追跡。SEOポイズニングとサイト乗っ取りの組み合わせ。
• New Mirai-Based Evooo1Bot Botnet Targets Linux Devices — Security Affairs — 2026年7月から活動するMiraiベースのLinuxボットネット。ルーターやIoTデバイスを乗っ取り、DDoS攻撃、認証情報窃取、犯罪用プロキシサービスに悪用。
• Attackers Exploit MLflow SSRF Flaw to Steal Cloud Credentials and Secrets — The Hacker News — オープンソースAIプラットフォームMLflowとOT向けSCADAソフトウェアFUXAの深刻な脆弱性に対し、悪意のあるスキャンとエクスプロイト試行が急増。
• 16 Typosquatted RubyGems Packages Steal Browser Credentials and Crypto Wallets — The Hacker News — StubMakerと名付けられた新たなタイポスクワッティングキャンペーン。Windowsベースの情報窃取マルウェアを配布する16個の悪意あるパッケージがRubyGemsで確認された。
• One Attacker Has Scraped Both Salesforce and ServiceNow Portals Since 2025 — The Hacker News — 単一のインフラが2025年から複数業界にわたるSalesforceとServiceNowのカスタマーポータルからレコードを引き出し続けている。Recoが「City Forum」キャンペーンと命名。
• ホワイトエッセンス、不正アクセスで予約サイトなどを一時停止 — サイバーセキュリティ.com — ホワイトエッセンス株式会社が運営する予約サイトと基幹システムへの不正アクセスを受け、2026年8月5日に両システムを一時停止した。
• ウェブサービスが不正アクセス被害で会員情報漏えいの可能性│五大開発株式会社 — サイバーセキュリティ.com — 五大開発株式会社が管理するウェブサービス「いさぼうネット」のサーバが第三者による不正アクセスを受け、会員の個人情報が外部に漏えいした可能性がある。
• 期限切れドメインのドロップキャッチを悪用した攻撃インフラの調査についてまとめてみた — piyolog — Infobloxの調査によれば、2026年上半期にgTLDだけで1日平均5万400件のドロップキャッチドメインが検出され、新規登録の約2割を占める。上位15TLDに約92%が集中。
• 株式会社GHP 公式ホームページにおけるお客様情報流出 — X — 2026年8月17日、株式会社GHPの公式ホームページでお客様情報流出が発生した。
• 株式会社VOISING BIツールへの不正アクセスおよび個人情報漏えい — X — 2026年8月18日、株式会社VOISINGが利用するBIツールへの不正アクセスにより個人情報が漏えいした。
• 株式会社大仙 不正アクセスおよび情報流出の可能性（第2報） — X — 2026年8月17日、株式会社大仙の不正アクセスに関する第2報が公開された。
• 株式会社ロジックベイン 不正アクセス第4報・続報 — X — 2026年8月17日、株式会社ロジックベインの不正アクセスに関する第4報・続報が公開された。

セキュリティツール, 研究

• BGP Role model: tracking the adoption of RFC 9234 — Cloudflare Blog — RFC 9234によりルーターがBGP RolesとOTC属性を使用して自律的にルートリークを拒否できるようになった。Cloudflareは2つのTier 1ネットワークが予期せずOTCを除去していることを発見した。
• AIが賢くなるほど、人間は弱くなる？　セキュリティ業務に潜む「承認するだけ」のわな — ITmedia Security — AIによってセキュリティ業務の分析や判断が高速化・正確化する一方で、人間が単なる「承認者」になるリスクを指摘。AIに任せるべき仕事と人間に残すべき仕事の境界線を考察する。
• 泥棒をダマして守る？　攻撃者心理を逆手に取る最新セキュリティ戦略「サイバーデセプション」 — ITmedia Security — IPAが公開したサイバーデセプション資料を基に、攻撃者を欺く防御手法を解説。従来のハニーポットとの違いや、防御側の構造的不利を覆す戦略としての位置づけを紹介。
• Project noRecognition: Teaching AI to Fool Surveillance Cameras — Security Affairs — カンザスシティの研究者が3100万パターンのテストを通じて監視AIを妨害する手法を研究。シミュレーションと実世界の間には依然として大きなギャップがあるものの、有望な結果が得られている。
• AI-Driven Vulnerability Surge Breaks the Traditional Patching Model — SecurityWeek — Rapid7が、従来のパッチサイクルではAIによって加速する脆弱性公開と高速化するエクスプロイトに追いつけないと警告。深刻度スコアより露出度を優先した防御が求められる。
• Fortinet Acquires AI Security Company Virtue AI — SecurityWeek — FortinetがAIセキュリティ企業Virtue AIを買収。AIモデル、アプリケーション、エージェントシステム向けのセキュリティポートフォリオを強化する。
• Xpander Raises $7.5 Million for AI Management and Governance — SecurityWeek — XpanderのプラットフォームはAIエージェントをポータブルワークロードとして実行し、必要に応じてインターフェースを安全にレンダリングするユニバーサルエージェントハーネスを採用。
• AI "Mind Viruses" Can Spread Between Agents Through Persistent Prompt Files — The Hacker News — AnthropicとEPFLの研究者が、自律型AIエージェントがセッション間で状態を保持するために使用する編集可能なシステムプロンプトファイルを通じて自己増殖型ペイロードが拡散できることを実証。
• Copilot tricked into telling reseachers how to hack itself — The Register — AIの推論エンジンをソーシャルエンジニアリングする手法の詳細。研究者がCopilotを騙して自身のハッキング方法を開示させることに成功した。
• Security Hub 刷新を起点に、脆弱性管理プロセスを整備した話 - MNTSQ Techブログ — X ブックマーク — Security Hubの刷新を契機に、脆弱性管理プロセスを体系的に整備した実践的な取り組みを紹介。
• MFA だから安心？ 認証プロセスを 7 段階に分解して、守り方を組み直す — Zenn (microsoft) — MFA導入後も侵害が続く現状を分析し、認証プロセスを7段階に分解。各段階の攻撃手法と防御策を体系的に解説する。
• Claude Codeに見せない技術: AIに入力できないデータを分析する — Zenn (green_tea) — データ分離、permissions、sandbox、hooks、運用ルールの5層で機密情報をAIに見せない状態を作る方法と、設定漏れ・劣化を自動検知する仕組みを解説。

クラウド

• Snowflake GitHub Actions Flaw Lets Crafted Issues Trigger Command Injection — The Hacker News — WizがSnowflakeの公開リポジトリでGitHub Actionsワークフローインジェクション脆弱性を発見。細工されたGitHub Issueを通じて内部Jiraチケットを含むワークフローでコマンド実行が可能。

Web Application Security, WebSec, OWASP

• Add anchor link buttons and bookmarkable nav filter to WSTG (#1468) — OWASP — OWASP Web Security Testing Guideにアンカーリンクボタンとブックマーク可能なナビゲーションフィルターを追加。
• OWASP MCP Top 10草案に対するApollo MCP Serverの評価 — X — OWASPが公開したMCP Top 10草案に対し、Apollo MCP Serverがどの程度適合しているかを検証。デプロイメントをテストするためのインタラクティブチェックリストも提供。

Bug Bounty

• IntigritiのHacker Summer Camp 2026 参加レポート — X — BSides Las Vegas、Black Hat、DEF CONでのBug Bounty Villageスポンサー活動やCrowd Recon紹介など、IntigritiのHacker Summer Camp参加報告。
• AppleがSentry創業者にPrivate Cloud Computeの脆弱性報奨金$150,000\mathrm{を}\mathrm{支}\mathrm{払}\mathrm{い}](https://x.com/HackRead/status/2089688175010607185)—\ast X\ast —Sentry\mathrm{創}\mathrm{業}\mathrm{者}CTO\mathrm{の}DrinorSelmanaj\mathrm{が}Apple\mathrm{の}PrivateCloudCompute\mathrm{で}\mathrm{ル}\mathrm{ー}\mathrm{ト}\mathrm{フ}\mathrm{ァ}\mathrm{イ}\mathrm{ル}\mathrm{書}\mathrm{き}\mathrm{込}\mathrm{み}\mathrm{と}AppleIntelligence\mathrm{テ}\mathrm{レ}\mathrm{メ}\mathrm{ト}\mathrm{リ}\mathrm{の}\mathrm{リ}\mathrm{ダ}\mathrm{イ}\mathrm{レ}\mathrm{ク}\mathrm{ト}\mathrm{が}\mathrm{可}\mathrm{能}\mathrm{な}\mathrm{脆}\mathrm{弱}\mathrm{性}\mathrm{を}\mathrm{発}\mathrm{見}\mathrm{し}、$ — X — Sentry創業者CTOのDrinor SelmanajがAppleのPrivate Cloud Computeでルートファイル書き込みとApple Intelligenceテレメトリのリダイレクトが可能な脆弱性を発見し、$150,000の報奨金を獲得。
• GregoAIのAIセキュリティエージェントがバグバウンティで$500K\mathrm{以}\mathrm{上}\mathrm{を}\mathrm{獲}\mathrm{得}](https://x.com/TheTradMod/status/2089759052863791168)—\ast X\ast —GregoAI\mathrm{が}\mathrm{構}\mathrm{築}\mathrm{す}\mathrm{る}AI\mathrm{セ}\mathrm{キ}\mathrm{ュ}\mathrm{リ}\mathrm{テ}\mathrm{ィ}\mathrm{エ}\mathrm{ー}\mathrm{ジ}\mathrm{ェ}\mathrm{ン}\mathrm{ト}\mathrm{は}\mathrm{既}\mathrm{に}50\mathrm{万}\mathrm{ド}\mathrm{ル}\mathrm{以}\mathrm{上}\mathrm{の}\mathrm{バ}\mathrm{グ}\mathrm{バ}\mathrm{ウ}\mathrm{ン}\mathrm{テ}\mathrm{ィ}\mathrm{を}\mathrm{獲}\mathrm{得}\mathrm{し}\mathrm{て}\mathrm{お}\mathrm{り}、AI\mathrm{に}\mathrm{よ}\mathrm{っ}\mathrm{て}\mathrm{発}\mathrm{見}\mathrm{さ}\mathrm{れ}\mathrm{た}\mathrm{最}\mathrm{大}\mathrm{の}\mathrm{バ}\mathrm{グ}\mathrm{バ}\mathrm{ウ}\mathrm{ン}\mathrm{テ}\mathrm{ィ}$ — X — GregoAIが構築するAIセキュリティエージェントは既に50万ドル以上のバグバウンティを獲得しており、AIによって発見された最大のバグバウンティ$250Kを含む。
• フランス財務省、DGFiPへのサイバー攻撃を受けバグバウンティプログラムを導入 — X — フランス財務省が税務当局DGFiPへの相次ぐサイバー攻撃を受け、バグバウンティ、二要素認証の義務化、AIを活用した防御強化、独自AIの開発を含む包括的なセキュリティ強化計画を発表。
• Bug Bountyを始めるならツールよりワークフロー、Claude Codeを組み込め — X — バグバウンティ再開時に100個のツールを集めるのではなく、Claude Codeを組み込んだ1つの強固なワークフローを構築するアプローチを推奨。
• バグバウンティの実力を上げた5つの無料リソース — X — PortSwigger Academy、HackerOne Hacktivity、Bugcrowd University、NahamSecのRecon Course、Jason Haddixの講演など、実践的なバグバウンティ学習リソース5選を紹介。
• HackingHubの無料CTFラボでWebアプリハッキングの基礎を固める — X — 実際のWebアプリの脆弱性、開示されたペネトレーションテスト報告書、実際のバグバウンティ発見事例から構築された100%無料のCTF形式ラボを提供。
• Zenitysec Labs Podcast: 攻撃的AIとレッドチーミングの未来 — X — BT6、StealthBench、攻撃的AIハーネスの構築、バグバウンティ向けAIエージェント、ロボット犬のハッキングなど、AIレッドチーミングの未来を議論。

DevSecOps, CI/CD

• 「セキュリティまで兼務なんて無理」「アラート見落としも不安」を解消　"少人数情シス"は何を変えた？ — ITmedia Security — 人手を増やせない中で、セキュリティ監視やインシデント対処をどう回すか。南条装備工業の少人数情報システム部門が実践した課題解決のアプローチを紹介。
• AI時代のDevSecOpsウェビナー（8/26開催） — X — 脆弱性とマルウェアに同時対応するAI時代のDevSecOpsをテーマに、GMO Flatt Security CTO米内氏が登壇するウェビナー。
• Takumi紹介・デモウェビナー：脆弱性診断とペネトレーションテストをAIでやる運用とコスト — X — GMO Flatt SecurityのAI脆弱性診断ツールTakumiのデモウェビナー。AIで脆弱性診断とペネトレーションテストを実施するリアルな運用とコストを解説。

プライバシー, 法規制, セキュリティ政策

• フランスで15歳未満のSNS利用を禁止する法律が可決も、憲法院で違憲とされる — INTERNET Watch — 仏憲法院が2026年7月に可決された「未成年者SNS保護法」の一部を違憲と判断。9月の施行予定が見送りに。
• Instagram、子どもが自殺や自傷行為に関して調べていることを保護者に通知する機能を追加 — INTERNET Watch — MetaがInstagramのペアレンタルコントロール利用中の保護者向けに、10代の子どもが自殺や自傷行為関連用語を繰り返し検索した場合に通知を送信する機能を日本国内で提供開始。
• Microsoft Entra ID、パスキーをデフォルトの認証に　SMS・音声認証は廃止 — ITmedia Security — MicrosoftがEntra IDのデフォルトサインイン方法をパスキーに切り替え。SMSおよび音声によるMFAは2027年2月1日に提供終了予定。
• フランス財務省がDGFiPへのサイバー攻撃後に包括的セキュリティ強化計画を発表 — X — 二要素認証の一般化、フィッシングシミュレーションの強化、AIによる防御と脆弱性検出、バグバウンティ導入、独自AIの開発を含むフランス税務当局のセキュリティ強化策。

セキュリティ系の勉強会やイベント、カンファレンス

• 【宣伝】塩尻サイバーセキュリティ勉強会（8/29 土） — Fox on Security — 8月29日13:30-17:30に開催される塩尻サイバーセキュリティ勉強会の告知。Zoom参加も可能で、ワイン試飲会付きの懇親会も予定。
• 実務者向けプログラム 重要インフラ分野におけるAIセキュリティトレーニング 2026年度 東京開催 — IPA — IPAが重要インフラ分野におけるAIセキュリティトレーニングの2026年度東京開催の申込み受付を開始。
• Webinar Today: Rethinking Cyber Defense for AI-Speed Attacks — SecurityWeek — AIの速度に対応できるか検知ベースのセキュリティ運用を再考し、予防を最強のデフォルトとするアプローチを探るライブウェビナー。
• NRIセキュア、実務応用に特化した新セキュリティ研修「セキュアWings」提供開始 — X — インシデント対応、フォレンジック、DevSecOpsなどの専門領域で実務を遂行できる人材育成を目的とした新研修コース群。既存の「セキュアEggs」の応用編を再編したもの。
• セキュリティキャンプ2026 事前学習資料（903ページ）公開 — X ブックマーク — TDXの解説に加え、Battering RAMやTEE.failの詳細解説スライドを含む日本語文献として貴重な資料群。
• セキュリティキャンプ講義スライド「能動的リスクとコンテナ環境の保護」 — X ブックマーク — セキュリティキャンプで使用された講義スライドをSpeakerdeckで公開。コンテナ環境のリスクと保護に関する内容。

会社ブログ, その他

• Daily記事まとめ（Azureテナントからのデータ漏洩、AI vs AIの仁義なき戦い、大学生の倫理観が問われる ほか） — Fox on Security — 直近のセキュリティ関連記事をまとめた日次レポート。Excel配信からブログ記事への移行テスト運用中。
• 本日気になった注意喚起情報（8/18）★ — Fox on Security — SonicWall Email Securityの脆弱性、Vault Secrets Operatorの深刻な脆弱性など、8月18日に注目すべきセキュリティ注意喚起情報をまとめた記事。
• サプライチェーンに重大な脅威をもたらす脆弱性はわずか。一方で、サプライチェーンはランサムウェアの主要な攻撃経路に【海の向こうの"セキュリティ"】 — INTERNET Watch — Black Kiteの2つの調査報告書を基に、サプライチェーンセキュリティの現状を解説。重大な脅威となる脆弱性は少数だが、サプライチェーンがランサムウェアの主要攻撃経路になっている。
• あなたの適職は「CISO」？　それとも「技術営業」？　9職種から"一押しセキュリティ職"が分かる無料診断 — ITmedia Security — セキュリティ人材の9職種から自分に適した職種を診断できる無償ツールの紹介。CISOや技術営業など、セキュリティ職種の多様性を知ることができる。
• CISO Conversations: Nico Waisman – From Self-Taught Hacker to AI-Driven Offensive Security at XBOW — SecurityWeek — 独学のハッカーからAI駆動の攻撃的セキュリティ企業XBOWのセキュリティリーダーへと至るキャリアパスを紹介するインタビュー。
• 株式会社タイミー様 Okta導入支援サービスEIAM（企業向けID認証）事例 — 株式会社ラック LAC WATCH — タイミーがOktaを導入し、安全かつ利便性の高い認証基盤を整備した事例。予防だけでなく検知・対応力まで含めたセキュリティの実効性向上を目指す。

🤖 AI, 機械学習

AI, 機械学習ニュース (14件)

新モデル、研究論文

• Code-native generation of highly programmable 3D assets (2026) — HackerNews — コードネイティブな手法で高度にプログラム可能な3Dアセットを生成する研究論文。
• Superpowers, Not Superintelligence — HackerNews — 超知能ではなく超能力（スーパーパワー）という概念からAIの進化を捉え直す論考。
• ローカルLLM実務活用の現状：Deepseek V4 Flash、DGX Sparkの現場感覚 — X ブックマーク — 海外で大盛り上がりのローカルLLM（Deepseek V4 Flash、DGX Spark）が実務上どの程度使えるかを、現場の雰囲気まで含めて詳細に解説した日本語の貴重な情報源。
• ローカルLLM編成が単独のフロンティアAIを超えた日 — Zenn (nrs) — OpenAIやAnthropicのフロンティアモデルの経済性と制約に対する不満から、ローカルLLMの編成で単独のフロンティアAIを超える性能を実現した体験を共有。

AIツール, サービス, 製品

• Turbovec – Google's TurboQuant for vector search in Rust — HackerNews — GoogleのTurboQuantをRustで実装したベクトル検索ライブラリ。
• Launch HN: machine0 (YC S26) – Persistent CPU and GPU VMs from the CLI — HackerNews — YC S26発のスタートアップ。CLIから永続的なCPU・GPU VMを提供するサービス。
• Claude Code May–August 2026 weekly limits promotion — HackerNews — Claude Codeの2026年5月〜8月の週間利用制限に関するプロモーション。
• Google has acquired the data of failed US airline Spirit — HackerNews — Googleが経営破綻した米航空会社Spiritのデータをオークションで取得。AIトレーニング目的と見られている。
• 米Amazonが希少な紙の本をAIトレーニングのために大量購入中？ 海外メディアの追跡調査で発覚【やじうまWatch】 — INTERNET Watch — ある書店に注文が入った約千冊の希少本の輸送を追跡したところ、Amazonの極秘施設に行き着いたというレポート。AI企業による紙の本の大量スキャンと廃棄の実態。
• Amazon Bedrock の Web Search を英語と日本語で試す — Zenn (exwzd) — Amazon Bedrockに追加されたWeb Search機能を検証。推論リクエストにパラメータ1つ追加するだけでモデルがWeb検索で回答を裏付けてくれる機能の実力を英語と日本語でテスト。
• バイブコーディングバイブル 〜コードを書かずに、つくりたいものをつくる〜 — Zenn (yamitake) — Claude CodeとGitHubだけで「ないもの」を作り、公開し、数字で育て続けるためのバイブコーディング実践書。コードを書かずに開発する手法を体系化。

LLM, エージェント実装

• 文章レビューをAgent Skillにした「natural-japanese」 — X ブックマーク — 議事録、調査レポート、社内ガイド、スライド構成まで扱い、SudachiPyの形態素解析でAI臭さも機械検出する再利用可能なAgent Skill。
• 社員のAIコスト上限、Uberでは「給与の5%」と設定 — X ブックマーク — Uberが社員のAIコスト上限を「給与の5%」と設定している事例を紹介。AI利用のコスト管理に関する実践的な知見。
• 公式仕様とGoogle・Vercel・AWSの発信から考えるAgent Plugins 1.0.0の狙い — Zenn (epicai_techblog) — 2026年8月6日に公開されたAgent Plugins 1.0.0の仕様を解説。AWS、Anysphere、GitHub、Microsoft、OpenAI、Vercelの代表者が策定に関わったポータブルパッケージフォーマット。

AI政策, 倫理, 動向

• 5都県の知事とAI企業が自治体AXを語る、都営住宅の管理や下水点検でAI活用の成果も、課題は人材不足〜ガブテックカンファレンス — INTERNET Watch — 東京・石川・山梨・広島・香川の5都県知事によるパネルディスカッションと、デジタル庁・GovTech東京・AI関連4社によるプレゼンテーションのレポート。自治体AXの展望と人材不足の課題が議論された。

📌 その他注目技術

その他注目技術ニュース (11件)

ブラウザのアップデート, 新機能

• Firefox 156で検索バーへのタブ移動時の挙動が改善 — Firefox Nightly — Firefox Nightly 156において、検索バーへのタブ移動時のフォーカス動作が改善された。
• Firefox 155でアドレスバーにブロックしたトラッカー数を表示 — Firefox Nightly — Firefoxがアドレスバーにブロックしたトラッカー数を表示するようになり、組み込みのプライバシー保護機能が可視化された。
• Windowsインストーラーが/INI=パスをインストーラーからの相対パスとして解決可能に — Firefox Nightly — 展開の簡素化のため、Windowsインストーラーが/INI=パスをインストーラー自身からの相対パスとして解決するようになった。
• SitePoliciesポリシーがDisableServiceWorkersをサポート — Firefox Nightly — 管理者がService Workerをブロックできるようになり、企業環境でのセキュリティ管理が強化された。
• 全デバイスでWebRTCビデオ通話がハードウェアAV1デコードを利用可能に — Firefox Nightly — これまでソフトウェアデコードにフォールバックしていたWebRTCビデオ通話が、全デバイスでハードウェアAV1デコードを利用できるようになった。

開発ツール, プラットフォーム

• macOS data protection keychain for Electron apps — HackerNews — Electronアプリ向けのmacOSデータ保護キーチェーン実装。
• Openleetcode – local LeetCode runner where tests live in the repo — HackerNews — テストがリポジトリ内に存在するローカルLeetCodeランナー。

その他

• Fairphone is now officially available in the United States — HackerNews — Fairphone Gen 6が米国で正式に入手可能になった。
• Linux 7.3 improves performance when running out of vRAM — HackerNews — Linux 7.3がVRAM不足時のパフォーマンスを改善。
• Fixing a bricked Framework laptop — HackerNews — AMD 7040シリーズFramework 13ラップトップが文鎮化した際の修復手順を20のツールを使って解説。
• Vaulted Passkeys：デバイスバウンドパスキーの端末移行を可能にする仕組みの提案 — X ブックマーク — パスワードマネージャーなしでデバイスバウンドなパスキーの端末移行を可能にするVaulted Passkeysの研究論文（arXiv:2608.13806）。

📌 その他採用や組織マネジメント

• GitLab ソフトウェアエンジニアインターン（フルリモート全世界） — X — GitLabがAI搭載DevSecOpsプラットフォームで働く有給インターンを募集。Ruby on RailsまたはVue.jsの経験が必要で、非同期ファーストのアジャイル環境。
• Web3関連の43件の新規求人（2026年8月18日） — X — アプリケーションセキュリティエンジニア、DevSecOpsエンジニア、AI運用スペシャリストなど、Web3・ブロックチェーン分野の多様な求人を紹介。
• 社員のAIコスト上限、Uberでは「給与の5%」と設定 — X ブックマーク — Uberが社員のAIコスト上限を「給与の5%」と設定している組織マネジメントの知見。

📋 掲載除外リスト

取得状況