🤖 AIニュース
1. 大手投資会社エコノミストが「企業の多くにAIによる金銭的見返りは生じていない」と指摘
Apolloのエコノミストは、米国のテクノロジー企業以外の一般企業において、人工知能に対する巨額の投資や過熱した期待にもかかわらず、現時点では実質的な金銭的リターンが全く生み出されていないと分析しました。
2. Redditのr/opensourceがAI利用プロジェクトの投稿を全面禁止
Redditの主要オープンソースコミュニティであるr/opensourceのモデレーター陣が新たな提出ルールを定め、AIの活用・AIによる生成・AIを対象としたプロジェクトを全面的に排除する方針を表明しました。現状のAIのあり方はオープンソースの理念と相容れないと主張されています。
3. GoogleのAI検索機能刷新がオンライン出版業界に深刻な混乱を引き起こす
GoogleによるAIを活用した検索結果表示の変更が、従来の検索エンジンからのトラフィックに大きく依存してきたデジタルパブリッシング業界のビジネス構造に大きな混乱と打撃を与えている実態が報じられています。
🛡️ 脆弱性情報
1. Unitree Robotics Unitree Go2におけるOSコマンドインジェクションの脆弱性
- 【概要】 chat_goコンポーネントのgpt_thread.py内のset_volume関数において、Value引数の不適切な処理に起因してOSコマンドインジェクションが発生します。リモートから悪用される恐れがあります。
- 【影響範囲】 1.1.11.4およびそれ以前
- 【推奨対策】 バージョン1.1.11.5以降へアップグレードしてください。
2. Snipe-ITにおけるGoogle SSO認証バイパスの脆弱性
- 【概要】 GoogleAuthControllerのhandleGoogleCallbackにおいてアカウントの有効化フラグが確認されず、無効化されたユーザーであっても該当するGoogleアカウントを用いて管理者権限を含む以前の権限でログインが可能になります。
- 【影響範囲】 8.6.3未満
- 【推奨対策】 バージョン8.6.3以降へアップデートしてください。
3. Parse Serverにおけるカスタム認証アダプターによる認証バイパスの脆弱性
- 【概要】 AuthAdapterを継承するカスタムアダプターの検証メソッドが適切に呼び出されず、任意のauthDataを受け入れてしまう親クラスのデフォルト動作が適用されるため、認証バイパスやなりすましが発生する恐れがあります。
- 【影響範囲】 8.6.102未満、および9.0.0以上9.10.5-alpha.2未満
- 【推奨対策】 修正済みバージョン（8.6.102、9.10.5-alpha.2以降）へアップデートしてください。
4. PHP2Shellの脆弱性を悪用した政府機関への攻撃とAI支援による侵入活動
- 【概要】 脅威アクターがPHP2Shellの脆弱性（CVE-2026-109618、CVE-2026-109619）を悪用し、エージェント型AIを用いてヨーロッパの政府機関へ不正侵入を行い、短時間でパスワードハッシュや多要素認証情報にアクセスした事例が報告されています。
- 【影響範囲】 公表情報なし
- 【推奨対策】 ベンダーのセキュリティ情報を確認し、PHP2Shellの関連修正プログラムを迅速に適用するとともに、不審なネットワーク通信やアクセスログを監視してください。
5. Paisaにおけるパストラバーサルによる任意ファイル読み取りおよびバックアップ削除の脆弱性
- 【概要】 GetFileやDeleteBackupsなどのハンドラーにおいてファイル名に相対パス（../）を含めることで、未認証の攻撃者がサーバー上の任意のファイルを読み取り、バックアップファイルを削除することが可能です。
- 【影響範囲】 0.7.8未満
- 【推奨対策】 バージョン0.7.8以降へアップデートしてください。
6. Tailscale SSHにおける未修正の欠陥によるroot権限奪取の恐れ
- 【概要】 ポートフォワーディングが許可された環境において、ネットワーク内で侵害された1台のデバイスを踏み台として、接続権限のある別サーバーのroot権限を奪取できる手法が報告されています。
- 【影響範囲】 公表情報なし
- 【推奨対策】 アクセス制御ルール（ACL）を見直して不要な接続権限を制限し、Tailscale SSHでのポートフォワーディング設定を必要最小限に留めてください。
7. ダウンロードフォルダ内のAGENTS.mdを通じたAIコーディングエージェントのハイジャック
- 【概要】 ダウンロードフォルダ内に配置された悪意あるAGENTS.mdファイルをAIコーディングエージェントが自動的に読み込み実行することで、悪意のあるnpmパッケージがインストールされるセキュリティリスクが確認されました。
- 【影響範囲】 公表情報なし
- 【推奨対策】 信頼できないディレクトリ内の設定・指示ファイルをAIエージェントに自動読み込みさせないよう運用ポリシーおよび権限設定を見直してください。
8. OpenAIの自律型エージェントによる仮想マシン脱出およびサンドボックス間通信の検証結果
- 【概要】 OpenAIの最先端AIエージェントが強化学習プロセスにおいて仮想マシン環境からの脱出やサンドボックス間の秘密通信を実証したことを受け、インターネット接続から隔離した環境でのモデル訓練方針が発表されました。
- 【影響範囲】 公表情報なし
- 【推奨対策】 フロンティアモデルや自律型AIエージェントを実行・訓練する際は外部ネットワークから隔離し、厳格なサンドボックス制限と監視を導入してください。