🤖 AIニュース
1. OpenAI、第三者によるAIモデルのサイバーセキュリティ評価インシデントと新たな安全策を発表
OpenAIは、同社AIモデルが関連する第三者機関によるサイバーセキュリティ評価インシデントについて説明し、モデルのテストおよび評価を強化するための新しい安全対策の取り組みを公表しました。
2. Amazon Bedrock、基盤モデルの回答精度向上を実現するWeb検索機能を一般提供開始
AWSは、Amazon Bedrockにおいて基盤モデルの回答を最新のWeb情報に基づかせるWeb検索機能の一般提供を開始しました。外部APIのオーケストレーションや追加のセキュリティ審査を必要とせず、ネイティブ機能として利用可能です。
3. オープンウェイトAIモデルの性能が最先端に迫る一方、安全対策の格差が課題に
SaferAIのレポートによると、Z.aiのオープンウェイトモデル「GLM-5.2」などが最先端AIの能力に近づいているものの、重要な安全対策が不足しており、強力なオープンモデルの進化がガバナンスや保護策の整備を上回る懸念が高まっています。
4. Anthropic、AIクラウドスタートアップのVoltaと100億ドル規模の契約を締結
Anthropicがクラウドパートナーシップの拡大を続けており、新たにAIクラウドスタートアップであるVoltaと100億ドル規模のパートナーシップを締結したことが報じられました。
5. Nvidia主導の業界団体「Open Secure AI Alliance」、設立1週間でAIエージェント防御案を提出
Nvidiaが主導し120社以上が参加するOpen Secure AI Allianceが設立からわずか1週間で、AIエージェントの脅威からシステムを防衛するための具体的提案を公表するなど、迅速な進展を見せています。
6. Spotify、Merlinとの提携によりAI楽曲リミックスおよびカバー機能を拡大
Spotifyは、3万以上のインディーズレーベル等を代表するMerlinとの提携を発表しました。アーティストのオプトインと適切な報酬支払いを前提に、有料ユーザーがAIを活用したカバー曲やリミックスを作成できるツールを展開します。
7. 医療支援AIの効果はユーザーの専門性によって差が出ることがMITの研究で判明
MITの研究によると、専門知識を持たない利用者はLLMによる診断支援が誤っている場合でもそれを鵜呑みにしがちである一方、臨床医はAIのエラーを適切に見抜くことができるという実態が判明しました。
🛡️ 脆弱性情報
1. cPanelにおけるデータベースRoot権限でのSQL実行を許す深刻な脆弱性
- 【概要】 cPanelのアカウント権限とサーバー管理者権限の境界を越え、認証済みのホスティング顧客がデータベースのrootコンテキストでSQLを実行できてしまう重大な脆弱性が判明し、パッチが公開されました。
- 【影響範囲】 パッチ適用前のcPanelバージョン
- 【推奨対策】 修正済みのセキュリティリリースへ即時アップデートを行う
2. N-able N-centralにおける不完全な修正に起因する脆弱性（CISA KEV追加）
- 【概要】 CVE-2026-18556の不完全なパッチ適用に起因する高深刻度の脆弱性が、実際の攻撃で悪用されているとして米CISAの悪用確認済み脆弱性（KEV）カタログに追加されました。
- 【影響範囲】 影響を受けるN-able N-centralの各バージョン
- 【推奨対策】 CISA指示書およびベンダー提供の修正ガイドラインに従い即時パッチを適用する
3. Google Agent Development Kitにおけるプロンプトインジェクション経由の特権エージェント制御の脆弱性
- 【概要】 GitHub上の問題報告を介してプロンプトインジェクションを行い、トリガーエージェントを操作してコード修正を行う特権エージェントを実行させることができる脆弱性が発見され、Googleは関連する3つのワークフローを削除しました。
- 【影響範囲】 Google ADK Python内の影響を受けるAIエージェントワークフロー
- 【推奨対策】 対象ワークフローの使用を停止し、最新のコードベースに更新する
4. TP-Link Omadaのゼロタッチプロビジョニングにおけるリモートコード実行の脆弱性
- 【概要】 TP-Link Omadaネットワークデバイスのゼロタッチプロビジョニング（ZTP）メカニズムにおいて、他の脆弱性と組み合わせることでリモートコード実行（RCE）が可能になる15件の脆弱性が修正されました。
- 【影響範囲】 影響を受けるTP-Link Omadaネットワークデバイス
- 【推奨対策】 ベンダーが提供する最新ファームウェアへアップデートする
5. keyv等をはじめとする多数のnpmパッケージに対するサプライチェーンワーム攻撃
- 【概要】 keyv@6.0.0を起点として資格情報を窃取する自己拡散型ワーム「ChainDrop」が感染を広げ、数百のパッケージおよびバージョンが改ざんされてClaude CodeやVS Codeのフックが植え付けられました。
- 【影響範囲】 keyv@6.0.0および影響を受けた各種npmパッケージの特定バージョン
- 【推奨対策】 影響を受けるパッケージバージョンをプロジェクトから排除し、安全なバージョンへダウングレードまたは修正版に移行する
6. Ruby on Railsにおける重大な脆弱性「KindaRails2Shell」
- 【概要】 Ruby on Railsに重大な脆弱性「KindaRails2Shell」が存在することが確認され、各種セキュリティ診断ツールによる利用検出および個別の警告が行われています。
- 【影響範囲】 Ruby on Rails 影響対象バージョン
- 【推奨対策】 ベンダーの案内に従い修正バージョンへ即時アップデートする
7. freo2におけるアップロードファイル検証不備の脆弱性
- 【概要】 refirioが提供するfreo2において、アップロードされるファイルの検証が不十分な脆弱性が存在することが公表されました。
- 【影響範囲】 freo2
- 【推奨対策】 開発者が提供する情報に基づき対策版へ更新する