🤖 AIニュース
1. Google DeepMind、次世代世界シミュレーションモデル「Genie 4」を発表
Google DeepMindは、リアルタイムで極めて高いリアリズムを持つ世界モデル「Genie 4」を発表した。Gemini 3.8 Flashを活用し、シーンの一貫性をGenie 3の2倍となる最大2分間維持可能となったほか、物理演算の向上、オーディオ生成への対応、自然言語プロンプトによるリアルタイムなシミュレーションの制御機能などが導入されている。
2. Google Cloud、「Gemini Robotics Embodied Reasoning 2」の提供を開始
Google Cloudは、ロボットの高度な頭脳として機能する特化型モデル「Gemini Robotics Embodied Reasoning 2 (ER 2)」の提供を開始した。固定アームからヒューマノイドまで多様なロボット形態に対応し、時空間的な動画理解と長期計画機能、組み込みの安全ガードレールを組み合わせることで、数百の判断を伴う複数分間のタスク遂行や人間との自然な対話を実現する。
3. Google Cloud、自律型AIエージェントのアクセス管理を自動化する「IAM Helper」を発表
Google Cloudは、自律型AIエージェントの導入拡大に伴う権限・アクセス管理の課題に対応するため「IAM Helper」を発表した。エージェント向けビルディングブロック群として提供され、Google Cloud IAMのPolicy IntelligenceやPrivileged Access Managerなどを拡張し、インフラ構築やCI/CDにおける複雑なIAMワークフローを安全かつ自動的に調整・実行する。
4. Apple、Keynote・Pages・NumbersにOpenAI技術連携のAIアシスタントを統合
Appleは、Keynote、Pages、Numbersなどの生産性スイートにAIアシスタント機能を導入した。AppleとOpenAIのモデルをベースに構築されており、ドキュメントの文脈を理解してKeynoteでのスライド設計やアニメーション生成、Pagesでの文章ドラフト作成や構造の見直しなどを自律的にサポートする。
5. OpenAIとOracle、ChatGPTへのビジネスアプリおよびAIエージェント統合に向け提携拡大
OpenAIとOracleはパートナーシップを拡大し、Oracleのビジネスアプリケーション群や自律型AIエージェントをChatGPT環境へ統合するとともに、Oracleの新たなサービス群にOpenAIモデルを採用していく計画を発表した。
6. AWS、SageMaker AIジョブの起動を大幅短縮するSOCIインデックス対応を発表
AWSは、Amazon SageMaker AIの学習・処理ジョブにおいてSeekable OCI（SOCI）インデックスのサポートを開始した。ジョブ定義を変更することなくコンテナイメージを遅延読み込み（lazy-load）し、イメージ全体のダウンロード待機を排除することで、コンテナの起動時間を数分から数秒へと大幅に短縮する。
7. Opera、ブラウザ上でローカルAIを実行可能にする新ウェブ標準「WebAI」を提案
Operaは、Webブラウザ内でローカルにAIモデルを配備・実行できるように設計された新たなウェブ標準仕様「WebAI」を発表した。多様なAIモデルとの連携を想定しており、外部クラウドに依存しないブラウザ完結型のAI処理環境の実現を目指す。
8. Mozilla、開いているタブを参照して自動入力を行うFirefoxのAI機能「Smart Window」を発表
Mozillaは、FirefoxのAI支援ブラウジング環境「Smart Window」をアップデートし、開いているタブの情報を元にウェブフォームを自動入力する新機能を追加した。ポートフォリオやLinkedInなどの別タブに表示された職歴データを抽出し、求人応募フォームに自動転記するなどの利用が可能になる。
9. Check Point、OpenAI Daybreakを活用した脆弱性リサーチと防御適用の迅速化を発表
Check Pointは、OpenAIのDaybreakを活用して脆弱性リサーチを加速させている事例を公表した。脆弱性インテリジェンスの解析からセキュリティ保護機能の開発までのプロセスを短縮し、顧客防御策の実装を劇的に早める運用を実現している。
10. OpenAI、数学・計算機科学・物理学における発見と学術界との協調アプローチを発表
OpenAIは、数学、計算機科学、物理学の領域において指数時間仮説（ETH）の反証などを含む重大な成果をモデルが導出したと発表した。これに伴い外部専門家を「シェパード」として迎え、検証や研究方針を共同で導く新たな学術的連携の枠組みを導入している。
🛡️ 脆弱性情報
1. Adobe CommerceおよびMagentoにおける危険なファイル形式の無制限アップロードの脆弱性（CISA KEV登録）
- 【概要】 Adobe CommerceおよびMagentoにおいて、危険なファイル形式の無制限アップロードを許す脆弱性が確認された。攻撃者によって現在のユーザー権限のコンテキストで任意のコードを実行され、セッションやアカウントの制御権を奪取される危険性がある。本脆弱性は悪用が確認され、CISAのKEVカタログに登録されている。
- 【影響範囲】 公表情報なし
- 【推奨対策】 ベンダーの指示に従ってセキュリティパッチまたは緩和策を適用する。連邦機関はBOD 26-04のガイダンスおよびフォレンジックトリアージ要件に従い優先的に更新を行うこと。
2. Google Brotliにおける戻り値未検証によるメモリ破損および任意コード実行の脆弱性（CISA KEV登録）
- 【概要】 Google Brotliにおいて戻り値のチェック不備が存在し、リモートの非認証攻撃者が細工されたBrotli圧縮ストリームを送信することで、デコーダーのメモリ破損、機密情報の漏洩、サービス拒否（DoS）、または任意コード実行を引き起こす可能性がある。悪用が確認されCISA KEVに追加された。
- 【影響範囲】 公表情報なし
- 【推奨対策】 ベンダーの指示に従って速やかに更新を適用する。BOD 26-04のガイダンスに従い修正プログラムを優先展開すること。
3. PHPにおけるOOMメモリ破損起因のリモートコード実行の脆弱性（PHP2Shell / 悪用確認済み）
- 【概要】 PHPにおいてメモリ不足（OOM）処理時のメモリ破損に起因する重大なリモートコード実行の脆弱性（PHP2Shell）が確認された。Ciscoを含むPHPを採用する多くの製品に影響を及ぼし、すでに実際の攻撃で悪用されていることが報告されている。
- 【影響範囲】 公表情報なし（ベンダーアドバイザリ参照）
- 【推奨対策】 PHP Foundationが公開したクリティカルセキュリティリリースを適用する。Cisco等の各ベンダーが提供するパッチ情報を確認しアップデートを実施すること。
4. NVIDIA NeMo Agent Toolkitにおける認証欠落による任意コード実行の脆弱性
- 【概要】 NVIDIA NeMo Agent Toolkitにおいて認証処理が欠落している重大な脆弱性が判明した。攻撃者により遠隔から認証を経ずにコード実行、権限昇格、データ改ざん、サービス拒否、情報漏洩を引き起こされる危険性がある（CVSS 10.0）。
- 【影響範囲】 公表情報なし
- 【推奨対策】 NVIDIAが提供する修正プログラムや最新のアップデートを適用する。
5. Adobe Campaign ClassicにおけるSQLインジェクションによる任意コード実行の脆弱性
- 【概要】 Adobe Campaign Classic（ACC）においてSQLコマンドで使用される特殊要素の中和不備が存在する。攻撃者はユーザー操作なしに任意のSQLコマンドを実行可能で、現在のユーザー権限での任意コード実行やアカウント・セッションの制御奪取につながる（CVSS 10.0）。
- 【影響範囲】 公表情報なし
- 【推奨対策】 Adobeが提供する最新のセキュリティアップデートを適用する。
6. AgnoにおけるFunctionCallのeval()呼び出しに起因する任意コード実行の脆弱性
- 【概要】 AIモデル実行コンポーネントにおいて、FunctionCall入力フィールドのfield_typeパラメータがPythonの組み込みeval()に直接渡されていた。これにより、ユーザー入力やモデル出力を介してAgnoプロセス内で任意のPythonコードを実行される危険性がある（CVSS 9.8）。
- 【影響範囲】 < 2.3.24
- 【推奨対策】 Agnoバージョン2.3.24以降へアップデートする。
7. 日立JP1/Automatic Job Management System 3における認証回避の脆弱性
- 【概要】 日立が提供するJP1/Automatic Job Management System 3 – Managerにおいて、認証回避を許す極めて深刻な脆弱性が確認された（CVSS 9.8）。認証を迂回されることで管理システムの不正制御を招く危険性がある。
- 【影響範囲】 10-00 から 13-50-31 未満
- 【推奨対策】 ベンダーが提供するバージョン13-50-31以降のパッチまたは修正版へアップデートする。
8. MONAILabelにおける細工されたDICOMファイルによるサービス停止および推論破損の脆弱性
- 【概要】 pydicomのDS/IS値の検証不備に起因し、認証不要のREST APIを通じて細工された約132KBのDICOMファイルをアップロードされると、NaNや無限大の値がML推論パイプラインに伝播し、MONAILabelサーバーのクラッシュや医療AI推論結果のサイレントな破損を引き起こす（CVSS 9.3）。
- 【影響範囲】 < 1.6.1
- 【推奨対策】 monaiをバージョン1.6.1以降に更新する。
9. better-authにおけるOAuthステート悪用によるマジックリンクログイン・アカウント乗っ取りの脆弱性
- 【概要】 better-authにおいて、データベース保存のOAuthステートがマジックリンクのトークンとして誤認され、攻撃者が他者としてサインインできる状態が生じる。これによりアカウントの完全な乗っ取りが可能となる（CVSS 9.1）。
- 【影響範囲】 >= 1.4.0-beta.18, < 1.7.7
- 【推奨対策】 better-authバージョン1.7.7以降に更新する。
10. Apple CoreGraphicsにおける境界外書き込みによる任意コード実行の脆弱性（悪用確認済み）
- 【概要】 CoreGraphicsにおいて悪意を持って細工されたファイルを処理する際に境界外書き込みが発生し、任意コード実行に至る可能性がある。標的型攻撃において極めて高度に悪用されたことが確認されており、旧世代のiPhone/iPad向けにも修正がバックポートされた。
- 【影響範囲】 公表情報なし（旧iOS/iPadOSバージョン対象）
- 【推奨対策】 Appleがリリースした最新のセキュリティアップデートを適用する。