デイリーニュースダイジェスト - 2026-09-03

🔒 セキュリティ

📢 サマリー

本日はCISAが7件の悪用確認済み脆弱性をKEVカタログに追加した。SonicWall SMA1000に2件のゼロデイ脆弱性（CVE-2026-83548, CVE-2026-83549）が発見されアクティブに悪用されている。AISLEがcurlに6件のゼロデイを発見し、OpenAIとAnthropicのAIツールは0件と報告していたことが判明。23年続いたSality P2Pボットネットが法執行機関により無効化された。BGPハイジャックによるVirtualizor悪意あるアップデート配信も確認。AI分野ではGoogleがGemini 3.8 FlashおよびFlash Cyberを発表、OpenAIがAstraモデルのサイバーセキュリティ能力について報告した。

📌 注目記事

CISA Adds Seven Known Exploited Vulnerabilities to Catalog

CISAが7件の悪用確認済み脆弱性をKEVカタログに追加した。CVE-2026-59822（BerriAI LiteLLM / 不正認証）、CVE-2026-48710（Kludex Starlette / HTTPリクエストスマグリング）、CVE-2026-49869（Kestra OSS / OSコマンドインジェクション）、CVE-2026-82329（JFrog Artifactory / 不正認証）、CVE-2026-9586（Sangoma Switchvox / SQLインジェクション）、CVE-2026-83548（SonicWall SMA1000 / SSRF）、CVE-2026-83549（SonicWall SMA1000 / OSコマンドインジェクション）が含まれる。いずれもリモートからの攻撃が可能な深刻な脆弱性である。

Attackers Exploit Two SonicWall SMA 1000 Zero-Days That May Form an Attack Chain

SonicWall SMA1000シリーズVPNアプライアンスに2件のゼロデイ脆弱性（CVE-2026-83548: SSRF、CVE-2026-83549: OSコマンドインジェクション）が発見され、アクティブに悪用されている。両脆弱性を連鎖させることで認証なしのリモートコード実行が可能となる。SonicWallは既にセキュリティアップデートをリリースしている。

Six curl CVEs after OpenAI and Anthropic came back with zero

AISLEがcurlに6件のゼロデイ脆弱性を発見し、curlのセキュリティチームが検証してCVEを割り当てた。OpenAIのCodex SecurityとAnthropicのMythosはいずれもcurlに残存するセキュリティ問題は0件と報告していた。世界で最も堅牢化されたコードベースの一つに対して6対0という結果となった。

Authorities Turn Sality's P2P Network Against Itself, Cutting Off New Malware Payloads

米司法省は23年間稼働していたP2Pボットネット「Sality」のテイクダウンを発表した。米国、ブルガリア、ハンガリー、ルーマニアの当局がCrowdStrikeと協力し、2026年8月31日にピアリスト操作とペイロードURLの無効化によりボットネットを無力化した。

BGP Hijack Delivers Malicious Virtualizor Update That Establishes Persistent Root Access

攻撃者がBGPハイジャックを使用してSoftaculousのトラフィックを不正なサーバーに転送し、悪意のあるVirtualizorアップデートを配信した。有効なTLS証明書を使用しており、一部のインストールで永続的なルートアクセスが確立された。5台中34台のVirtualizorハイパーバイザーで感染が確認されたとホスティングプロバイダーが報告している。

OpenAI's Astra Crosses 'Critical' Cyber Threshold After Finding Zero-Days

OpenAIのAstraモデルが、多数の堅牢に防御されたシステムに対して独立してゼロデイ脆弱性を発見・悪用できる「Critical」閾値に達した最初のモデルとなった。OpenAIはPreparedness Frameworkの下でモデルの評価方法と安全対策の進歩についてプレビューを公開している。

Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code

Manifold Securityが7つのコマンドラインAIコーディングエージェントに8件のセキュリティ脆弱性を発見した。リポジトリのGit設定がコマンドを指定し、AIエージェントが開発者のマシン上でそのコマンドを実行してしまう。4件は公開時点で未パッチである。

Attackers Exploit Critical Switchvox Flaw to Deploy Reverse Shells Without Credentials

Sangoma Switchvoxの深刻な脆弱性CVE-2026-9586（CVSS 9.3）がアクティブに悪用されている。認証なしのSQLインジェクションにより、リモートコード実行が可能。攻撃者はリバースシェルを展開している。

Researchers Use Claude to Port Pre-Auth RCE Exploit From One PLC Model to Another

Forescout ResearchはAnthropicのClaudeを使用して、WAGO PLCの認証前RCEエクスプロイトを別モデルに移植することに成功した。コストは536ドル、所要時間は8時間。ただし後のAI生成ペイロードがハードウェアを誤って破壊する事故も発生した。

Nvidia and CrowdStrike are pairing offensive and defensive models

NvidiaとCrowdStrikeが攻撃用と防御用のAIモデルを組み合わせ、シミュレートされた企業環境で相互に対戦させるシステムを開発している。セキュリティテストは定期的なペネトレーションテストから継続的自動レッドチーミングへと移行しつつある。

Malicious Apache Modules Hijack Brazilian Government Site Traffic to Push Betting Pages

中国語圏のサイバー犯罪クラスター「Gambling Goblin」がブラジル政府機関や教育機関のWebサーバーに悪意のあるApacheモジュールをインストールし、訪問者をオンラインギャンブルページに誘導している。

Fake Software Installers Disable Windows Update and Weaken Microsoft Defender

正規ベンダーを装った偽のソフトウェアダウンロードサイトを通じて、Windows Updateを無効化しMicrosoft Defenderを弱体化させるマルウェアキャンペーンが展開されている。複数の組織と業界で被害が確認されている。

Extradited Russian Hacker Faces Charges Over Excel Malware Campaign That Infected Thousands

キプロスから米国に引き渡されたロシア人ハッカーが、2016年から2017年にかけてフリーランスプラットフォームの約255の偽アカウントを使用し、約8万人のユーザーにマルウェア入りExcelファイルを送信した罪で起訴された。

GeoNetwork Fixes Unauthenticated RCE Chain Affecting Government Geoportal Backends

多くの政府機関のジオポータルバックエンドで使用されるGeoNetworkに、認証なしのリモートコード実行を可能にする2件の脆弱性が連鎖的に発見された。バージョン4.4.12および4.2.17で修正済み。

UK Moves to Block High-Risk Tech Suppliers From Critical Infrastructure

英国のサイバーセキュリティ・レジリエンス法案の修正により、重要インフラからの高リスク技術サプライヤーの排除権限が大臣に付与される。サプライチェーン攻撃の激化を受けた措置。

📅 セキュリティ週次まとめ

• Microsoft Edgeに複数の脆弱性 — JPCERT/CC — Microsoft Edgeに複数の脆弱性が報告された。
• PaperCut NGおよびPaperCut MFに複数の脆弱性 — JPCERT/CC — PaperCut NGおよびPaperCut MFに複数の脆弱性が報告された。
• Apache Tomcatに複数の脆弱性 — JPCERT/CC — Apache Tomcatに複数の脆弱性が報告された。
• OpenSSLに複数の脆弱性 — JPCERT/CC — OpenSSLに複数の脆弱性が報告された。
• 複数のUniFi製品に脆弱性 — JPCERT/CC — 複数のUniFi製品に脆弱性が報告された。
• GitLabに複数の脆弱性 — JPCERT/CC — GitLabに複数の脆弱性が報告された。
• 複数のWatchGuard製品に脆弱性 — JPCERT/CC — 複数のWatchGuard製品に脆弱性が報告された。
• Next.jsに複数の脆弱性 — JPCERT/CC — Next.jsに複数の脆弱性が報告された。
• SonicWall NetExtender Linux Clientに複数の脆弱性 — JPCERT/CC — SonicWall NetExtender Linux Clientに複数の脆弱性が報告された。
• 複数のVeeam製品に脆弱性 — JPCERT/CC — 複数のVeeam製品に脆弱性が報告された。
• Google Chromeに複数の脆弱性 — JPCERT/CC — Google Chromeに複数の脆弱性が報告された。
• Keycloakに複数の脆弱性 — JPCERT/CC — Keycloakに複数の脆弱性が報告された。
• SKYSEA Client ViewおよびSKYMEC IT Managerに複数の脆弱性 — JPCERT/CC — SKYSEA Client ViewおよびSKYMEC IT Managerに複数の脆弱性が報告された。
• WordPress用プラグイン「miniOrange SAML Single Sign On」の脆弱性に関する悪用観測状況 — JPCERT/CC — WordPress用プラグイン「miniOrange SAML Single Sign On」の脆弱性に関する悪用観測状況が報告された。
• 警察庁が「令和8年版 警察白書」を公開 — JPCERT/CC — 警察庁が「令和8年版 警察白書」を公開した。

📰 セキュリティニュース (48件)

CVE, 脆弱性

• CISA Adds Seven Known Exploited Vulnerabilities to Catalog — CISA — CVE-2026-59822（BerriAI LiteLLM / 不正認証）、CVE-2026-48710（Kludex Starlette / HTTPリクエストスマグリング）、CVE-2026-49869（Kestra OSS / OSコマンドインジェクション）、CVE-2026-82329（JFrog Artifactory / 不正認証）、CVE-2026-9586（Sangoma Switchvox / SQLインジェクション）、CVE-2026-83548（SonicWall SMA1000 / SSRF）、CVE-2026-83549（SonicWall SMA1000 / OSコマンドインジェクション）を悪用リストに追加。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-60004（Gitea / コードインジェクション）を悪用リストに追加。リポジトリ書き込み権限を持つ攻撃者が悪意のあるパッチを送信し、Gitフックを植え付けてシェルコマンドを実行可能。
• CISA Adds One Known Exploited Vulnerability to Catalog — CISA — CVE-2026-21962（Oracle HTTP Server / Oracle Weblogic Server Proxy Plug-in / 不正アクセス制御）を悪用リストに追加。
• SonicWall Patches Two New Actively Exploited Zero-Days in SMA 1000 VPNs — Feedly (Security Affairs) — SonicWallがSMA 1000 VPNの2件のゼロデイ脆弱性（CVE-2026-83548: CVSS 10の認証前SSRF、CVE-2026-83549: OSコマンドインジェクション）を修正。両方ともアクティブに悪用されている。
• Exploit Published for Fresh Cleo Harmony Vulnerability — Feedly (SecurityWeek) — Cleo Harmonyの認証バイパス脆弱性に対するエクスプロイトが公開された。リモート攻撃者がBearerトークン操作により認証をバイパス可能。
• Rockwell Automation Patches Over a Dozen Vulnerabilities Across Products — Feedly (SecurityWeek) — Rockwell AutomationがRSLinx Classic、ArmorStart、ControlFLASH、FactoryTalkなど複数製品の12件以上の脆弱性に対するアドバイザリを公開。
• GeoNetwork Fixes Unauthenticated RCE Chain Affecting Government Geoportal Backends — Feedly (The Hacker News) — 多くの政府機関のジオポータルバックエンドで使用されるGeoNetworkに、認証なしRCEを可能にする2件の脆弱性の連鎖が発見された。v4.4.12およびv4.2.17で修正済み。
• Malicious .git Configs Can Make Claude, Codex, Cursor, and Other AI Agents Run Attacker Code — Feedly (The Hacker News) — Manifold Securityが7つのCLI AIコーディングエージェントに8件の脆弱性を発見。リポジトリのGit設定がコマンドを指定し、AIエージェントが開発者のマシン上で実行してしまう。4件は未パッチ。
• 「Hugging Face Transformers」に脆弱性、ユーザーの同意前にPythonファイルを保存 — Feedly (INTERNET Watch) — Hugging Face Transformers（v4.49.0～v5.8.1）に、ユーザー同意前に外部Pythonファイルをローカルディスクに保存する脆弱性が発見された。記事公開時点で修正パッチは未公開。
• Six curl CVEs after OpenAI and Anthropic came back with zero — HN — AISLEがcurlに6件のゼロデイを発見。OpenAIのCodex SecurityとAnthropicのMythosはいずれも0件と報告していた。世界で最も堅牢化されたコードベースの一つに対して6対0。
• OpenAI's Codex Security and Anthropic's Mythos both reported 0 remaining security issues in curl — X ブックマーク — AISLEがcurlに6件のゼロデイを発見し、curlのセキュリティチームがCVEを割り当てた。OpenAIとAnthropicのAIツールは0件と報告していた。
• As we prepare to release Astra, we're focused on making increasingly capable AI safe — X ブックマーク — OpenAIがAstraモデルのリリース準備を進めており、Preparedness Frameworkの下でCritical閾値に達したサイバーセキュリティ能力について評価方法と安全対策をプレビュー公開。

サイバー攻撃, インシデント・マルウェア

SonicWall SMA1000 ゼロデイ関連（4件）

• SonicWall Warns of Two SMA1000 Zero-Days Exploited in Attacks — Feedly (SecurityWeek) — CVE-2026-83549とCVE-2026-83548を連鎖させることで認証なしのリモートコード実行が可能。両方ともアクティブに悪用されている。
• Attackers Exploit Two SonicWall SMA 1000 Zero-Days That May Form an Attack Chain — Feedly (The Hacker News) — SonicWall SMA1000シリーズに2件のゼロデイ脆弱性が発見され、攻撃者がアクティブに悪用中。両方を連鎖させることで認証なしRCEが可能。
• SonicWall's SMA1000 boxes under active attack again — Feedly (The Register) — サードパーティSOCは「さらなる攻撃はほぼ確実」と警告。SMA1000が再びアクティブな攻撃を受けている。
• SonicWall Patches Two New Actively Exploited Zero-Days in SMA 1000 VPNs — Feedly (Security Affairs) — CVSS 10の認証前SSRFを含む2件のゼロデイを修正。アクティブな悪用を確認。

Salityボットネットテイクダウン関連（3件）

• 23-Year-Old Sality P2P Botnet Disrupted — Feedly (SecurityWeek) — ピアリスト操作とSalityペイロードURLのテイクダウンを含む無効化作戦が実施された。
• Authorities Turn Sality's P2P Network Against Itself, Cutting Off New Malware Payloads — Feedly (The Hacker News) — 米司法省が23年間稼働のP2Pボットネット「Sality」のテイクダウンを発表。米国、ブルガリア、ハンガリー、ルーマニアの当局がCrowdStrikeと協力。
• Cops, CrowdStrike disrupt Sality botnet by poisoning the network — Feedly (The Register) — 23年続いたボットネットが無効化された。ネットワークへのポイズニングとシンクホールへの転送により達成。

BGPハイジャック / Virtualizor関連（3件）

• Malicious Virtualizor Update Served via BGP Hijacking — Feedly (SecurityWeek) — 有効なTLS証明書を使用してSoftaculousのドメインへのトラフィックを不正なソフトウェアアップデートに転送。

• BGP Hijack Delivers Malicious Virtualizor Update That Establishes Persistent Root Access — Feedly (The Hacker News) — BGPハイジャックによりSoftaculousトラフィックを転送し、悪意のあるVirtualizorパッケージを配信。5台中34台のハイパーバイザーで感染確認。

• AI agents carried out every step of this ransomware attack — Feedly (The Register) — AIエージェントがランサムウェア攻撃の全ステップを実行し、被害者に80ページのセキュリティ監査レポートを残した。

• Attackers Exploit Critical Switchvox Flaw to Deploy Reverse Shells Without Credentials — Feedly (The Hacker News) — CVE-2026-9586（CVSS 9.3）がアクティブに悪用され、認証なしのSQLインジェクションによりリバースシェルを展開。

• Hackers Target Langflow in CVE-2026-0768 Attacks — Feedly (Security Affairs) — AI向けローコードプラットフォームLangflowの深刻な脆弱性CVE-2026-0768（CVSS 9.8）が悪用され、認証なしでPythonコードをリモート実行可能。

• Old, Unpatched Flaws Give Attackers Access to Philippines Nuclear Agency — Feedly (Dark Reading) — 攻撃者がownCloudの既知の脆弱性を悪用してフィリピン原子力機関に侵入し、原子炉データベース、人事記録、認証情報ストアを窃取。

• Threat Gang 'Springs' Vishing Attacks on Microsoft Teams Users — Feedly (Dark Reading) — 「Spring Ring」作戦がMicrosoft Teamsユーザーを標的としたビッシング攻撃を展開し、セッションのリモートアクセスやマルウェア拡散を狙う。

• Iran-linked APT Mirage Kitten Uses Fake Job Tests to Spread Malware — Feedly (Security Affairs) — イラン関連のAPT「Mirage Kitten」が偽のLinkedInコーディングテストを使用してNodeRabbitおよびPollCatマルウェアを拡散。AIツールの使用禁止を求めることでマルウェア検出を回避。

• Anthropic Details Response to Security Incidents, Unveils Enterprise Safeguards — Feedly (SecurityWeek) — AnthropicがEnterprise Frontier Safeguards（EFS）を発表。ゼロデータ保持と自動化された悪用監視を組み合わせたシステム。

• Extradited Russian Hacker Faces Charges Over Excel Malware Campaign That Infected Thousands — Feedly (The Hacker News) — キプロスから引き渡されたロシア人ハッカーが、約255の偽アカウントを使用して約8万人にマルウェア入りExcelファイルを送信した罪で起訴。

• Fake Software Installers Disable Windows Update and Weaken Microsoft Defender — Feedly (The Hacker News) — 正規ベンダーを装った偽ソフトウェアダウンロードサイトがWindows Updateを無効化しMicrosoft Defenderを弱体化させるマルウェアを配布。

• Malicious Apache Modules Hijack Brazilian Government Site Traffic to Push Betting Pages — Feedly (The Hacker News) — 中国語圏のサイバー犯罪クラスター「Gambling Goblin」がブラジル政府機関のWebサーバーに悪意のあるApacheモジュールをインストールし、訪問者をギャンブルページに誘導。

• Meta Ads Push StreamRat Android Trojan That Can Gain Near-Complete Device Control — Feedly (The Hacker News) — スペイン語圏ユーザーを標的とした偽のテレビストリーミングキャンペーンを通じて、ほぼ完全なデバイス制御が可能なAndroidバンキングトロイの木馬「StreamRat」が拡散。

• Legacy Lenovo login opens 5,000 Dropbox accounts to attackers — Feedly (The Register) — 旧式のLenovoログイン統合により5,000のDropboxアカウントが攻撃者に公開された。Dropboxは統合を切断し、被害者に認証情報のリセットを要請。

• まんだらけに不正アクセス、個人情報漏えいの可能性 — Feedly (サイバーセキュリティ.com) — まんだらけのサーバーが第三者による不正アクセスを受け、一部顧客情報が漏えいした可能性がある。通販停止とオークション延期を発表。

• 「CINRA JOB」に不正アクセス、会員の個人情報が漏えいしたおそれ — Feedly (サイバーセキュリティ.com) — CINRA, Inc.運営の求人サービス「CINRA JOB」が不正アクセスを受け、会員や元会員の個人情報が漏えいしたおそれ。

• 個人情報（名刺情報）の外部流出に係るお詫びとご報告 - 安藤・間 — X リスト — 2026年8月31日、株式会社安藤・間が個人情報（名刺情報）の外部流出について発表。

• 第三者のなりすましログインに関する注意喚起 - 三井不動産商業マネジメント — X リスト — 2026年9月1日、三井不動産商業マネジメントが第三者によるなりすましログインについて注意喚起。

• 弊社メールシステムへの不正アクセスに関する最終報告 - DAIKO NEXT LINK — X リスト — 2026年9月1日、DAIKO NEXT LINKがメールシステムへの不正アクセスに関する最終報告を発表。

• 当社コーポレートサイトへの不正アクセスに関する調査結果 - セントラルコンサルタント — X リスト — 2026年9月1日、セントラルコンサルタントがコーポレートサイトへの不正アクセスに関する調査結果を発表。

• 生物多様性センターホームページへの不正アクセス - 千葉県 — X リスト — 2026年9月1日、千葉県が生物多様性センターホームページへの不正アクセスについて発表。

• 弊組ウェブサイト改ざんに関するお詫びとご報告 - 東京都管工事工業協同組合 — X リスト — 2026年9月1日、東京都管工事工業協同組合がウェブサイト改ざんについて発表。

• 不正アクセスによるシステム障害発生に関するお知らせ（第3報） - チャーム — X リスト — 2026年9月2日、チャームが不正アクセスによるシステム障害の第3報を発表。

• 当社サービスへの不正アクセスに関するお知らせ - ペーパーロジック — X リスト — 2026年9月1日、ペーパーロジックがサービスへの不正アクセスについて発表。

• 不正アクセスによる情報漏えいの可能性について - 三井不動産 — X リスト — 2026年9月1日、三井不動産が不正アクセスによる情報漏えいの可能性について発表。

セキュリティツール, 研究

• $536 and 8 Hours: AI Learns to Attack a Different PLC — Feedly (Security Affairs) — Forescout ResearchがClaudeを使用してWAGO PLCのエクスプロイトを別モデルに移植。コスト536ドル、8時間。ただし後のAI生成ペイロードがハードウェアを誤って破壊。
• Researchers Use Claude to Port Pre-Auth RCE Exploit From One PLC Model to Another — Feedly (The Hacker News) — Forescout ResearchがClaudeを使用してWAGO PLCの認証前RCEエクスプロイトを別モデルに移植し、実機でARMシェルコードを実行することに成功。
• How to Secure Enterprise AI: From Adoption to Incident Readiness — Feedly (The Hacker News) — エンタープライズAIのセキュリティ確保に関する包括的ガイド。導入からインシデント対応準備までをカバー。
• OpenAI's Astra Crosses 'Critical' Cyber Threshold After Finding Zero-Days — Feedly (SecurityWeek) — OpenAIのAstraが多数の堅牢に防御されたシステムに対して独立してゼロデイを発見・悪用できる「Critical」閾値に達した最初のモデルに。
• Burp AT: One prompt. 9 minutes. A lot of ground covered. — X ブックマーク — Burp ChampionがBurp ATを初めて使用し、SQLインジェクションを発見してデータベースをダンプした事例を紹介。
• Today we're releasing abliterated-model-large-v2 — X ブックマーク — GLM-5.3ベースのabliterated-model-large-v2をリリース。Terminal-Bench 4.0で3位、5.2の2倍のサイバーエクスプロイト能力。オフェンシブサイバー、レッドチーミング、エージェントテスト用。

クラウド

• パスワードも2FAも盗まない――攻撃者が狙った「Claudeのログイン済みセッション」の正体 — Feedly (ITmedia Security) — AnthropicのClaudeで、インフォスティーラーが盗んだログイン済みセッションを悪用し利用量を不正に消費する事案が確認された。パスワードや2FAが有効でもAIサービスが不正利用される可能性がある。
• GuardDuty × DevOps Agent エージェントアクションにより調査から封じ込めまでできる世界線 — X ブックマーク — AWS GuardDutyとDevOps Agentの連携により、セキュリティ調査から封じ込めまでの自動化が可能になる展望を解説。

Web Application Security, WebSec, OWASP

• Not Only SSRF But Also RCE – HTTPクライアントに潜むセキュリティリスク — Feedly (GMOサイバーセキュリティ) — WebアプリケーションのSSRF脆弱性に加え、HTTPクライアントに潜むRCEリスクについて解説。オフェンシブセキュリティ部高度診断課による技術記事。
• Authlete主催勉強会「OWASP ASVSから読み解くセキュアなOAuth/OIDCサーバー実装のポイント」 — X ブックマーク — OWASP ASVSに基づくセキュアなOAuth/OIDCサーバー実装の勉強会の録画とスライドを公開。

Bug Bounty

• Kaggleコンペ「AI Agent Security - Multi-Step Tool Attacks」ソリューション共有会 — X ブックマーク — 9月20日にElithオフィスとオンラインのハイブリッドで開催。AIエージェントセキュリティに関するKaggleコンペのソリューション共有会。発表者募集中。

DevSecOps, CI/CD

• Zero-Touch Remediation: The self-healing software supply chain — Feedly (JFrog) — JFrogがswampUP New YorkでZero-Touch Remediationを発表。Broadcom、Chainguard、IBM、Red Hat等と連携し、アーティファクト全体に自動で修正を適用・証明するポリシー駆動パイプラインを提供。

プライバシー, 法規制, セキュリティ政策

• Communicating Under Pressure: Best Practices for Service Providers — CISA — サービスプロバイダー向けのプレッシャー下でのコミュニケーションのベストプラクティスを公開。
• A Tale of Two SOCs: Insights From Two Red Team Assessments — CISA — 2つのSOCに対するレッドチーム評価から得られた洞察をまとめたサイバーセキュリティアドバイザリ。
• pixiv・note・ガールズちゃんねる・好き嫌いcomが指定、「情プラ法」って何だ？ — Feedly (INTERNET Watch) — 情報流通プラットフォーム対処法に基づき、総務省が4サービスの運営者を大規模プラットフォーム事業者に指定。
• UK Moves to Block High-Risk Tech Suppliers From Critical Infrastructure — Feedly (SecurityWeek) — 英国のサイバーセキュリティ・レジリエンス法案の修正により、重要インフラからの高リスク技術サプライヤー排除権限が大臣に付与。
• UK cyber bill targets AI users, not the vendors building it — Feedly (The Register) — 英国のサイバー法案がAIベンダーではなくAIユーザーを対象としている。大臣は提案されたレッドラインと緊急シャットダウン権限を拒否し、自主的セーフガードを指向。
• 【解説】CRI Profileアセスメントでよく検出される3つの課題と対策のポイント — Feedly (NRIセキュア) — 金融庁のサイバーセキュリティガイドラインで参照されるCRI Profileについて、金融機関向けアセスメントでよく検出される3つの課題と対策を解説。
• 【情報処理安全確保支援士】日立システムズ 宇野 文康様 インタビュー — Feedly (IPA) — 情報処理安全確保支援士のインタビュー記事を掲載。

セキュリティ系の勉強会やイベント、カンファレンス

• CODE BLUE 2026、CFPで採択された27本の講演を発表 — X ブックマーク — 9月2日、CODE BLUE 2026のCFP採択講演27本が発表された。
• 次回 12/3 Product Security Square #6 開催決定 — X ブックマーク — Anthropic JapanとOpenAI Japanの登壇者が決定。200名の参加枠で渋谷GMO Yours・フクラスにて開催。

会社ブログ, その他

• Okta導入、何から始める？検証から本格導入まで支援する「Oktaスターターパック」 — Feedly (ラック) — 企業のID管理課題を抱える担当者向けに、Oktaの役割とスターターパックの提供背景・特長・各プラン概要を紹介。
• Daily記事まとめ（日本を取り巻く地政学リスク、攻撃者も効率重視、MUFGのフロンティアAI対策） — Feedly (Fox on Security) — 直近のセキュリティ関連記事のまとめ。地政学リスク、攻撃者の効率重視傾向、MUFGのAI対策などをカバー。
• 本日気になった注意喚起情報（9/2） — Feedly (Fox on Security) — Google Cloud BuildのRCE脆弱性、Dell PowerStoreのアドバイザリ更新、Zabbix agentの脆弱性など、9月2日の注意喚起情報をまとめ。
• 顧客資料を Claude Code に入れたいのに「ダメ」で止まって困ってないか？ — Zenn (mika_and_coco) — Claude Codeで顧客資料を扱う際の契約・合意・設定のポイントを解説。NDAやセキュリティ部門の懸念に対応しつつ、安全に顧客データをAIで活用する方法を提示。
• Chainguardに学ぶセキュアなコンテナイメージの作り方 — Zenn (ymotongpoo) — Chainguard社のmelangeとapkoを使用したセキュアなコンテナイメージ作成手法を、概念説明とハンズオンで学ぶ書籍。
• そのDatabricksダッシュボード、誰の権限で誰に見えていますか — Zenn (genda_jp) — Databricksダッシュボードの権限管理とガバナンスの課題を解説。500以上のダッシュボードを横断的に管理する手法を紹介。
• ChatGPTにパスワードを投げて怒られた話 — Zenn (shotakada) — セキュリティ業界のベテランがChatGPTにパスワードを入力して警告を受けた体験談。知識として知っていても実際に体験しないと理解できない教訓を共有。

🤖 AI, 機械学習

AI, 機械学習ニュース (18件)

新モデル、研究論文

• vgpuとは｜Vercel Labs製WebGPUライブラリを実際に入れて3経路の実行を試した — Feedly (AI Heartland) — WebGPUをブラウザ・Node・モックの3経路で同じAPIから扱うライブラリ「vgpu」の実測レビュー。
• Gemini 3.8 Flash and 3.8 Flash Cyber — HN — GoogleがGemini 3.8 FlashおよびFlash Cyberモデルを発表。
• Quasar 438B: Europe's Leading AI Model — HN — Multiverse Computingが欧州最先端のAIモデル「Quasar 438B」を発表。
• The Emergent Symbolic Structure of Artificial Neural Networks — HN — 人工ニューラルネットワークの創発的記号構造に関する研究論文。
• WebLLM: high-performance in-browser LLM inference engine — HN — ブラウザ内で高性能なLLM推論を実現するエンジン「WebLLM」の紹介。
• Abliterated-model-large-v2 released — X ブックマーク — GLM-5.3ベース、Terminal-Bench 4.0で3位。オフェンシブサイバー、レッドチーミング用に最適化されたモデル。

AIツール, サービス, 製品

• Auto Companyとは｜14人のAIエージェントが自宅PCで24時間回るOSS — Feedly (AI Heartland) — 14人のAIエージェントが自宅PCで24時間稼働するOSS「Auto Company」の実測レビュー。
• Claude-OSINTとは｜9本のOSINTスキルの起動条件・常駐トークン・安全弁を実測 — Feedly (AI Heartland) — Claude Codeに外部偵察の手順書を持ち込むスキルパック「Claude-OSINT」の実測評価。
• Certimateとは｜SSL証明書の発行・配置・更新を自動化するセルフホストACMEツール — Feedly (AI Heartland) — SSL証明書のライフサイクル全体を自動化するセルフホストOSS「Certimate」の実測レビュー。
• Sentruxとは｜コード構造を測るRust製センサー — Feedly (AI Heartland) — コード構造を0〜10000点で評価するRust製ツール「Sentrux」の実測評価。開発は2026年3月で停止。
• Check if a file was made with Claude — HN — AnthropicがファイルがClaudeで作成されたかどうかを確認するツールを公開。
• Mistral now trains on user input by default, except on enterprise tier — HN — Mistralがエンタープライズティアを除き、デフォルトでユーザー入力をトレーニングに使用するように変更。
• Tangle – Visual ML Pipeline Editor — HN — ビジュアルMLパイプラインエディタ「Tangle」の紹介。
• Show HN: FrontierHarness Eval – 9 harness, same model, cost per pass varies 17x — HN — 9種類のハーネスで同じモデルを評価し、パスあたりのコストが17倍変動することを示す評価ツール。

LLM, エージェント実装

• LLMs: Intelligence vs. Cost — HN — LLMの知能とコストのトレードオフに関する分析記事。
• ナレッジ設計 — Zenn (boku_yaji) — AI AgentやRAGにおけるナレッジ管理の設計手法を解説。Stock/Flow/SSOT、信頼の根拠、参照・判断・実行への配置、Outputから学ぶ更新の循環を整理。
• null/undefinedの罠から学んだ、ジュニアエンジニアの多段AIデバッグ術 — Zenn (jinjer_techblog) — 元営業・実務経験ゼロのジュニアエンジニアがAIを「思考を深める家庭教師」として活用し、2か月で新規実装を任されるまでに成長したデバッグ手法を紹介。
• 判断はAIに渡さない。非エンジニアの業務自動化、設計の記録 — Zenn (atoshimatsu) — 請求書処理・経費精算・表記ゆれ対応をAIと共に設計した非エンジニアの業務自動化の記録。

AI政策, 倫理, 動向

• Three sites made 215,128 "best software" pages for AI. Perplexity cites them — HN — 3つのサイトがAI向けに215,128ページの「ベストソフトウェア」ページを生成し、Perplexityがそれらを引用している問題を調査。
• A third of Perplexity's citations don't contain the number they're cited for — HN — Perplexityの引用の3分の1が、引用元に実際には存在しない数字を含んでいるという監査結果。

📌 その他注目技術

その他注目技術ニュース (12件)

ブラウザのアップデート, 新機能

• Chrome Beta for Desktop Update — Feedly (Google Chrome Releases) — Chrome Betaのデスクトップ版アップデートがリリースされた。
• Chrome Beta for iOS Update — Feedly (Google Chrome Releases) — Chrome BetaのiOS版アップデートがリリースされた。
• Chrome Beta for Android Update — Feedly (Google Chrome Releases) — Chrome BetaのAndroid版アップデートがリリースされた。
• Chrome and Firefox Updates Patch Dozens of Vulnerabilities — Feedly (SecurityWeek) — ChromeとFirefoxのアップデートにより、Use-After-Free、サンドボックスエスケープ、権限昇格など多数の脆弱性が修正された。
• Firefox's AI Switch Is Off. Telemetry Isn't — HN — Firefox 155のAIキルスイッチがオフでもテレメトリーが継続している問題の再テスト結果。
• GrapheneOS says Pixel 11 has MTE support after all — HN — GrapheneOSがPixel 11にMTE（Memory Tagging Extension）サポートがあることを確認したと発表。

開発ツール, プラットフォーム

• デジタル庁の発足から5年、取組と成果をまとめたページを公開 — Feedly (INTERNET Watch) — デジタル庁が発足5年の取り組みと成果を紹介するページを公開。マイナンバーカード保有枚数が1億枚を突破。
• Paint.net 5.2 alpha now runs on Linux — HN — Paint.net 5.2 alphaがLinuxで動作するようになった。
• Mythos 対策プロジェクトの 2 ヶ月(ハーネス編) — X ブックマーク — Cybozu Inside OutがMythos対策プロジェクトのハーネス編を公開。サイボウズのセキュリティ対策の取り組みを紹介。

その他

• Appleの新CEOにジョン・ターナス氏が就任 — Feedly (INTERNET Watch) — Appleの新CEOに9月1日付でジョン・ターナス氏が就任。Xアカウントで第一声を発した。
• 家電見本市ではなくなって10年、いま「CEATEC 2026」は — Feedly (INTERNET Watch) — CEATEC 2026が10月13日～16日に幕張メッセで開催。「Transformation」をテーマに社会実装を加速する舞台へ。
• SteamdDB Joins Nexus Mods — HN — SteamDBがNexus Modsに参加した。

📌 その他採用や組織マネジメント

• 会社で使うWi-Fi、小さなオフィスでも"法人向け"製品を選ぶべきですか？ — Feedly (INTERNET Watch) — 小規模オフィスにおける法人向けネットワーク機器選びのポイントをバッファローに取材。「仕事を止めない」を最優先すべきと解説。

📋 掲載除外リスト

取得状況