🤖 AIニュース
1. OpenAI、モデルのミスアライメント追跡・報告フレームワークを公表
OpenAIは、AIモデルの予期せぬ挙動や問題のある動作を追跡・調査・開示するための新たなフレームワークを発表し、併せて懸念されるモデルの挙動に関する6つの報告事例を公開した。
2. AIエージェントによるGoogle Homeデバイスの直接操作が可能に
GoogleはGoogle Home向けModel Context Protocol（MCP）サーバーの早期アクセスを開始し、ClaudeやChatGPTなどのAIエージェントが自然言語を用いてスマートホーム機器の操作やカメラの要約確認を行える環境を提供した。
3. OpenAIとAARP、高齢者の日常的なAI活用支援ワークショップを開催
OpenAIとAARPは米国の10都市で1,000名の高齢者を対象に、ChatGPTの安全で実践的な活用スキルを学べる無料の体験型ワークショップを提供することを発表した。
4. OpenAI、AI搭載広告ソリューション「Sponsored Agents」などを発表
OpenAIは、Sponsored Agentsやマーケティング担当者向けツール、HubSpotおよびShopifyとの統合機能を含む、AIを活用した新しい広告・顧客体験の展開を発表した。
5. AnthropicとOpenAI、内部安全性評価者の配置を検討も独立性に課題
AnthropicとOpenAIはAIラボ内部に独立した安全性評価者を常駐させる計画を進めているが、有意義な監視を行うには真の独立性と透明性、法的規制が不可欠であると専門家から指摘されている。
6. MIT、低侵襲手術の安全性と精度を向上させるAI技術「xvr」を開発
MITの研究チームは、整形外科や脳神経外科などの低侵襲手術において、X線画像を基にした手術ナビゲーションを支援する患者個別のAI手法「xvr」を開発した。
7. AWS、ヘルスケア・生命科学領域のAI推論精度を高めるエージェントスキルを公開
AWSは基盤モデルAIエージェントが医療ガイドラインを正しく適用できるよう、11のヘルスケア・ライフサイエンス領域にわたる38のオープンソースエージェントスキルを公開した。
8. AWS、Amazon Bedrock AgentCoreによるシステムプロンプト自動最適化技術を解説
AWSは、運用トレースから設定変更案を自動生成して検証するAmazon Bedrock AgentCoreのプロンプト最適化エンジンの仕組みとベンチマーク結果を公表した。
🛡️ 脆弱性情報
1. Issabel Frameworkにおける未認証のOSコマンド実行の脆弱性
- 【概要】 オープンソースの統合通信PBXソフトウェア向けWebフレームワークであるIssabel Frameworkにおいて、ハードコードされた処理に起因する脆弱性が存在し、未認証の遠隔攻撃者による任意のOSコマンド実行が可能となる。現在、野外での悪用が確認されている。
- 【影響範囲】 Issabel Framework
- 【推奨対策】 開発元が提供する最新のセキュリティパッチの適用。
2. WSO2 API ManagerにおけるJWT署名検証不備によるアカウント乗っ取りの脆弱性
- 【概要】 WSO2 API Managerにおいて暗号署名の不適切な検証に起因する脆弱性が発見された。偽造された管理者トークンを用いることでJWT認証をバイパスしアカウントを乗っ取られる恐れがあり、アクティブな攻撃が報告されている。
- 【影響範囲】 WSO2 API Manager
- 【推奨対策】 開発元が配布する修正パッチまたはアップデートの適用。
3. WooCommerce Wholesale Lead Captureプラグインにおける任意ファイルアップロードの脆弱性
- 【概要】 WordPress向けプラグイン「WooCommerce Wholesale Lead Capture」に未認証の攻撃者がPHPバックドアを含む任意ファイルをアップロードし、リモートコード実行を可能にする深刻な脆弱性が存在し、悪用が確認されている。
- 【影響範囲】 WooCommerce Wholesale Lead Capture
- 【推奨対策】 プラグインの最新版への即時アップデート。
4. ConnectWise ScreenConnectにおける深刻な脆弱性の悪用確認（CISA KEV）
- 【概要】 ConnectWise ScreenConnectに存在するクリティカルな脆弱性が、実際に攻撃で悪用されているとして米CISAが警告を発出した。
- 【影響範囲】 ConnectWise ScreenConnect
- 【推奨対策】 ConnectWiseが提供する最新パッチの即時適用。
5. Google Pixelのセルラーモデムにおける権限昇格のゼロデイ脆弱性
- 【概要】 Google Pixelのセルラーモデムにおけるコードのロジックエラーにより権限昇格が起こる脆弱性が判明した。限定的な標的型攻撃で悪用された形跡があり、Googleはセキュリティアップデートをリリースした。
- 【影響範囲】 Google Pixel デバイス
- 【推奨対策】 2026年9月以降のセキュリティパッチの適用。
6. Acronis Backup cPanel用プラグインにおけるローカル権限昇格の脆弱性
- 【概要】 cPanelおよびWHM環境向けAcronis Backupプラグインにおいて、不適切なファイルアクセス権限に起因するローカル権限昇格の脆弱性が報告され、標的型攻撃での悪用が確認された。
- 【影響範囲】 Acronis Backup plugin for cPanel & WHM (Linux)
- 【推奨対策】 ベンダーが提供するセキュリティパッチの適用。
7. Parallels Desktop for Macにおけるローカル特権昇格の脆弱性
- 【概要】 Parallels Desktop for Macにおいて、標準ユーザー権限のローカルアカウントがroot権限でコードを実行できる脆弱性が発見された。修正はバージョン27で提供されるが、Intelプロセッサ搭載Macでは当該バージョンをインストールできない制限が存在する。
- 【影響範囲】 Parallels Desktop 27未満（Intel Macでは修正版非対応）
- 【推奨対策】 Apple Silicon環境においてParallels Desktop 27へアップデート。
8. MLflowにおけるpickleデシリアライズ制御回避の脆弱性
- 【概要】 MLflowのdspyおよびstatsmodelsフレーバーにおいて、pickleのデシリアライズ制御を回避されるセキュリティ上の弱点が公表された。
- 【影響範囲】 MLflow該当バージョン
- 【推奨対策】 CERT/CC等の公式アドバイザリに基づく適切なアップデートの実施。