🤖 AIニュース
1. OpenAI、ライフサイエンス研究支援に向け学術機関向けGPT-Rosalind提供プランを発表
OpenAIは、対象となる学術研究室に対してGPT-Rosalindへのスポンサー付きアクセスと研究推進ツールを提供するRosalind Academic Planを発表しました。本取り組みにより、最先端のAIモデルを活用して生物学や創薬をはじめとするライフサイエンス分野の先端研究の加速を目指します。
2. Meta、オープンウェイトのマルチモーダルMoEモデル「Muse Spark Open」をAmazon SageMaker JumpStartで提供開始
Metaが開発したコーディング最適化オープンウェイトモデル「Muse Spark Open」が、Amazon SageMaker JumpStartで利用可能になりました。開発者はSageMaker StudioやPython SDKを通じて自身のAWS環境に推論エンドポイントを迅速にデプロイし、高度なマルチモーダル処理やコーディング支援タスクを実行できます。
3. AWS、自律型AIエージェントの安全な運用を実現する多層防御アプローチ「Trust in Depth」を提示
AWSは、企業がAIエージェントに自律的なタスク遂行を任せつつ制御を失わないための多層的アプローチ「Trust in Depth」を発表しました。スコープ定義、知識付与、境界設定、観測、検証の各層を設けることで、検証可能な処理はエージェントに自動実行させ、重要な判断のみを人間に委ねる枠組みを提案しています。
4. MIT、組織形成における細胞間コミュニケーションの言語を解読するAIモデルを発表
MITの研究チームは、細胞同士がどのように情報伝達を行い組織を構築していくかを解読する新しい計算科学的AIアプローチを発表しました。細胞間のシグナル伝達言語を可視化・解析することで、幹細胞工学の進展や高精度な疾患モデルの構築、新たな標的治療法の開発促進が期待されます。
5. Meta、Appleシリコン上でローカル実行可能なモデル「Muse Spark Open」をAppleと共同展開
MetaはAppleと提携し、最新のオープンウェイトモデル「Muse Spark Open」を発表しました。本モデルはMacのAppleシリコン上でローカル動作するよう最適化されており、クラウドを介さず端末上でセキュアかつ高速に高度な推論を実行できる環境を開発者に提供します。
6. Anthropic、AI安全性評価のためMETR研究者に社員同等の内部アクセス権を付与
Anthropicは、AIリスク評価を行う研究組織METRに対し、従業員と同等レベルのモデル内部アクセス権を提供しました。METRはリスクやインシデントに関する独立した評価レポートを公開可能であり、Anthropic側はその公開を差し止める権利を放棄することで、フロンティアAIモデルの安全性検証における透明性を高めています。
7. Bluesky、自然言語でアプリやWebサイトを制作できる実験機能「Attie」を拡充
分散型SNSのBlueskyは、実験的アプリ「Attie」にAIを用いたコーディング支援機能を導入・拡充しました。ユーザーは専門知識がなくても、自然言語指示によってゲームやクイズ、Webサイトなどのインタラクティブなコンテンツを作成し、Blueskyのソーシャルグラフを活用して即座に共有できるようになります。
8. Amazonデバイス部門トップ、アンビエントAIによる「アプリ不要」の将来像を展望
TechCrunch Disruptにおいて、Amazonのデバイス部門責任者パノス・パネイ氏は、環境に溶け込むアンビエントAIデバイスが背景で動作し、ユーザーがアプリを操作せずとも意図を先回りしてタスクを完結させる未来のインターフェース像を語りました。
9. Google、Androidに詐欺メッセージや不正転送コールを検知・防御するAIセキュリティを実装
Googleは、Android端末向けにSMS詐欺や通話転送の悪用を未然にブロックするAI駆動の防御機能を発表しました。不審なメッセージの文脈や発信パターンを端末側のAIでリアルタイム分析し、ユーザーを金融詐欺やアカウント乗っ取りから保護する仕組みで、順次ロールアウトが進められています。
10. Rivian、車両システムへの自律型AIエージェント搭載計画を発表
電気自動車メーカーのRivianは、自社車両に自律型AIエージェントを導入する計画を明らかにしました。車内体験の高度化や運転支援機能との統合が図られる見込みであり、詳細は近日開催される「AI & Autonomy Day」イベントにて正式発表される予定です。
🛡️ 脆弱性情報
1. Collabora Onlineにおけるコマンド実行の脆弱性を突くバックドア設置攻撃
- 【概要】 Nextcloud向けのCollabora Online組み込みCODEサーバーアプリに深刻なコマンド実行の脆弱性が存在し、攻撃者によりサーバー上にバックドアを設置する悪用が確認されています。
- 【影響範囲】 Nextcloud向け richdocumentscode アプリの脆弱なバージョン
- 【推奨対策】 提供元が案内する修正済みバージョンへ直ちにアップデートしてください。
2. ゲストVMからホストメモリの参照が可能なLinuxカーネルの脆弱性（PwnEscape）
- 【概要】 Linuxカーネルのネットワーク処理に重大な脆弱性が発見されました。仮想マシン（VM）内のコードから実行ホスト側のメモリデータを直接読み取ることが可能であり、Vercelのクラウドサンドボックス等でも実証されています。
- 【影響範囲】 脆弱なネットワークコードを含むLinuxカーネル稼働環境
- 【推奨対策】 各ディストリビューションおよびクラウド基盤が提供する最新のカーネル修正パッチを適用してください。
3. Langflowにおける認証済みリモートコード実行の脆弱性とハニーポットでの悪用試行
- 【概要】 AIアプリケーションやエージェントワークフローを構築するオープンソース基盤Langflowに、CVSSスコア9.9のリモートコード実行の脆弱性が存在し、ハニーポット環境で1,400回以上の悪用試行が観測されています。
- 【影響範囲】 CVE-2026-105740の影響を受けるLangflowバージョン
- 【推奨対策】 開発元が公開した最新の修正パッチを直ちに適用してください。
4. Next.jsにおけるキャッシングおよびSVG処理に起因する未認証RCEの脆弱性
- 【概要】 Next.jsにおいて、React Server Componentsの処理およびlibrsvgを用いたSVG画像処理に起因する、未認証でリモートコード実行が可能な重大な脆弱性2件が判明し、緊急アウトオブバンドパッチが公開されました。
- 【影響範囲】 修正パッチ適用前のNext.js各バージョン
- 【推奨対策】 2026年10月14日にリリースされた最新の修正版Next.jsへ直ちに更新してください。
5. Drupal Field UIにおけるコントリビュートモジュール経由の未認証RCEの脆弱性
- 【概要】 Drupal coreのField UIモジュールにコード実行が可能な深刻な脆弱性が発見されました。コア単体では成立しないものの、特定のコントリビュートモジュールを併用している場合に認証不要で悪用可能な攻撃経路が存在します。
- 【影響範囲】 Drupal 11.4.10未満、11.3.19未満、10.6.19未満
- 【推奨対策】 Drupal 11.4.10、11.3.19、または10.6.19へ速やかにアップデートしてください。
6. PAN-OS管理インターフェースにおけるリモートコード実行の脆弱性と実攻撃での悪用
- 【概要】 Palo Alto NetworksのPAN-OS管理インターフェースにおいて、認証済みの攻撃者がリモートで任意コードを実行可能となるCVSS 8.6の脆弱性が確認され、実際の攻撃において悪用が確認されています。
- 【影響範囲】 影響を受けるPAN-OSバージョン
- 【推奨対策】 Palo Alto Networksが公開したセキュリティアップデートを適用し、管理インターフェースへの外部露出を遮断してください。
7. Ivanti Connect Secureにおける認証回避およびRCEゼロデイ脆弱性
- 【概要】 Ivanti Connect Secureにおいて認証回避とリモートコード実行が組み合わさる高深刻度の脆弱性が、不完全なパッチ対応の隙を突かれ、ゼロデイ攻撃の標的となっています。
- 【影響範囲】 Ivanti Connect Secureの該当バージョン
- 【推奨対策】 ベンダから提供される最新のアドバイザリに従い、追加パッチの適用と侵害痕跡の確認を行ってください。
8. AhsayCBSにおけるWebシェル配置につながる認証回避および任意コマンド実行の脆弱性
- 【概要】 バックアップソリューションAhsayCBSに存在する2件の脆弱性を連鎖させることで、攻撃者が認証を迂回し任意コマンドを実行してWebシェルや仮想通貨マイナーを展開する攻撃が観測されています。
- 【影響範囲】 パッチ未適用のAhsayCBSバージョン
- 【推奨対策】 Ahsay Backupがリリースした最新のセキュリティアップデートを適用してください。
9. NGINXにおけるクライアント証明書検証回避および潜在的コード実行の脆弱性
- 【概要】 NGINXにおいて、ワーカープロセスのクラッシュや潜在的なコード実行につながるメモリ破損の欠陥、およびTLSセッション偽造によってクライアント証明書検証を回避可能な脆弱性など、計5件の欠陥が修正されました。
- 【影響範囲】 NGINX 1.30.6未満および1.31.7未満の各バージョン
- 【推奨対策】 NGINX 1.30.6または1.31.7へアップデートしてください。
10. Bishengにおける複数の認証回避の脆弱性
- 【概要】 オープンソースのドキュメント基盤Bishengにおいて、複数の認証回避の脆弱性が報告され、CERT/CCより注意喚起アドバイザリが公開されました。
- 【影響範囲】 影響を受けるバージョンのBisheng
- 【推奨対策】 CERT/CCおよび開発元のアドバイザリを確認し、推奨されるアップデート等の対策を実施してください。