🤖 AIニュース
1. OpenAI、大規模AI開発に対応するGit互換バックエンド「Pando」を発表
OpenAIは、CodexなどのAI支援による急速なコード生成・開発規模の拡大に対応するため、Git互換の分散ストレージバックエンド「Pando」を構築したことを発表しました。従来のGit基盤では耐えきれなくなった膨大なコミットやリポジトリ操作をスケーラブルに処理し、エンジニアおよびAIエージェントの開発生産性を維持するインフラとして機能します。
2. Anthropic、Claude Codeによるレトロゲーム等の複製利用を制限するプロンプト更新を実施
Anthropicは、コーディング支援ツール「Claude Code」のシステムプロンプトを改定し、既存の商用ビデオゲームの逆コンパイルや複製（クローン作成）を用途とする利用をブロックする制限を導入しました。AIを用いたゲーム移植や再現開発の急増に伴う知的財産侵害リスクを低減させるためのガバナンス措置の一環とみられます。
3. 米ニューヨーク・タイムズなど報道各社、AIスクレイピングと有料壁回避でBraveを提訴
The New York Timesを含む米主要報道機関は、Webブラウザ「Brave」が著作権で保護された記事コンテンツを無断でスクレイピングし、AnthropicやPerplexityなどのAI企業に提供するとともに、有料記事の壁を不正に迂回させているとして著作権侵害訴訟を起こしました。AIデータエコシステムにおけるデータプロバイダーとメディア間の対立が一段と激化しています。
4. OpenAI、データセンターの電力を非常時に融通する「Grid Protectors Program」を開始
OpenAIは、急増するAIデータセンターの電力消費に対する地域住民や自治体の懸念に応えるため、電力会社と連携する「Grid Protectors Program」を発表しました。ジョージア州のエフィンガム郡でパイロット運用が予定されており、異常気象や電力危機発生時に施設側で最大1,000メガワット（一般家庭約70万世帯分）の負荷を削減し、地域の電力網維持を支援します。
5. OpenAI、日常生活タスクの完遂能力を測る新ベンチマーク「LifeVal」を公開
OpenAIは、保育支援先の探索や家計管理、行政書類の手続きなど、現実世界の日常生活における複雑な課題をAIがどの程度自律的かつ正確に解決できるかを評価する新ベンチマーク「LifeVal」を発表しました。従来の学術的テストや推論タスクから、実生活に密着したエージェントの実用性検証へと評価軸を進展させる取り組みです。
6. AWS、SageMaker AIでの系列レベル知識蒸留による高効率エージェント構築手法を解説
AWSは、高性能なフロンティアモデルを用いたマルチステップ型エージェントの高額な運用コストを抑制するため、Amazon SageMaker AI上で系列レベル知識蒸留（SeqKD）を活用する手法を公開しました。高度なエージェント挙動を軽量・安価な小型モデルへ転移することで、商用プロダクション環境におけるコストパフォーマンスを大幅に向上させます。
7. AWS、Crawl4AIを用いたAmazon Bedrockナレッジベース向けコンテンツ前処理パイプラインを提示
AWSは、オープンソースのWebクローラー「Crawl4AI」を前処理レイヤーとして導入し、JavaScriptのレンダリングや不要ノイズの排除、メタデータ付与を行った上でAmazon Bedrock Knowledge Basesへ連携するアーキテクチャを紹介しました。動的なWebコンテンツを高品質なナレッジとしてRAG環境に安全かつ正確に取り込む設計手法です。
8. AIスタートアップ42AI、人間の行動予測ワールドモデルを掲げ6,250万ドルを調達してステルス解除
新興AI企業42AIは、未知の環境や状況においても人間の行動を予測可能なワールドモデルの開発を目的に、6,250万ドルの資金調達を実施してステルスモードから事業を公表しました。シミュレーション空間内での高度な意思決定モデルの構築を進め、次世代のインタラクションや予測技術への応用を目指しています。
🛡️ 脆弱性情報
1. Ultra Addons for Contact Form 7におけるパス検証不備による任意ファイル削除の脆弱性
- 【概要】 WordPress向けプラグインUltra Addons for Contact Form 7の_getObjAttr関数にはパス検証の不備が存在し、未認証の攻撃者がサーバー上の任意ファイルを削除可能です。PDF Generator機能が有効な環境下でPOPガジェットチェーンが悪用された場合、wp-config.php等の重要ファイル削除を通じてリモートコード実行（RCE）に至る恐れがあります。
- 【影響範囲】 3.5.54以下のすべてのバージョン
- 【推奨対策】 ベンダーが提供する最新バージョンへのアップデートを行ってください。
2. Joomla向けCustom Tables拡張機能における未認証の任意ファイルアップロードの脆弱性
- 【概要】 Joomlaの拡張機能Custom Tablesにおいて、一般公開された送信フォームを通じて細工されたポリグロットファイルをWeb公開ディレクトリ（tmp）へアップロードできる不備が確認されました。未認証のリモート攻撃者により、被害者ドメイン配下に悪意あるファイルやフィッシングページを設置されるリスクがあります。
- 【影響範囲】 3.7.8未満
- 【推奨対策】 Custom Tables 3.7.8以降へ速やかにアップデートしてください。
3. WSO2 System REST APIにおけるアクセス制御不備による管理者権限機能の不正実行の脆弱性
- 【概要】 WSO2製品のSystem REST APIにおいてアクセス制御機構が適切に適用されていないため、低権限ロールのユーザーが本来制限されるべき管理操作を実行できる脆弱性が存在します。悪用されると、管理機能の実行を含む不正なシステム操作が行われる危険性があります（API Gateway経由のAPIは影響を受けません）。
- 【影響範囲】 公表情報なし
- 【推奨対策】 ベンダーが提供する修正パッチまたはアップデートを速やかに適用してください。
4. Amazon Virtual Engineering Workbenchにおけるテンプレート注入による任意コード実行の脆弱性
- 【概要】 Amazon Virtual Engineering Workbench（VEW）の発行コンポーネントにおいて、テンプレートエンジン内の特殊要素の無害化処理に欠陥が存在します。製品バージョニングAPIを介して細工されたCloudFormationテンプレートを送信することで、発行用LambdaのIAMロール権限で任意コードを実行され、全テナントのデータやリソースにアクセスされる恐れがあります。
- 【影響範囲】 公表情報なし
- 【推奨対策】 awslabs/virtual-engineering-workbenchのリポジトリから最新バージョンを取得し、環境を再デプロイしてください。
5. Joomla向けDJ-Classifieds拡張機能における任意ファイルアップロードおよびSQLインジェクションの脆弱性
- 【概要】 Joomla向け拡張機能DJ-Classifiedsにおいて、低権限ユーザーによるファイルアップロードから完全なリモートコード実行（RCE）に至る脆弱性、およびフロントエンド検索機能における未認証のSQLインジェクション脆弱性が公表されました。リモートからデータベース情報の漏洩やサーバーの完全な掌握を許す恐れがあります。
- 【影響範囲】 3.11.3未満
- 【推奨対策】 DJ-Classifieds 3.11.3以降へアップデートしてください。
6. Secure AccessサーバーにおけるCSRFによる管理者アカウント作成および認証バイパスの脆弱性
- 【概要】 Secure Accessサーバーにおいて、セキュリティ制限の不備に起因して管理者を誘導し攻撃者制御のアカウントを作成させるCSRFの脆弱性（CVE-2026-97718）、およびサーバーを介してクライアントのセキュリティ設定を不正に改変可能な認証バイパスの脆弱性（CVE-2026-116769）が発見されました。
- 【影響範囲】 CVE-2026-97718: バージョン14.60、CVE-2026-116769: バージョン13.0以上14.61未満
- 【推奨対策】 ベンダーの指示に従い、バージョン14.61以降へアップデートしてください。
7. Barracuda Email Security Gatewayにおける認証バイパスによるアプライアンス設定改変の脆弱性
- 【概要】 Barracuda Email Security Gateway（ESG）において認証バイパスの脆弱性が確認されました。未認証のリモート攻撃者が設定インポート機能を呼び出し、細工されたバックアップアーカイブをリストアすることで、アプライアンスの全体設定を不正に変更される恐れがあります。
- 【影響範囲】 9.4.0.030未満
- 【推奨対策】 バージョン9.4.0.030以降へアップデートしてください。
8. ape-volo-adminにおけるハードコードされたJWT鍵に起因する管理者認証バイパスの脆弱性
- 【概要】 ape-volo-adminの設定ファイル（appsettings.json）にハードコードされたJWT署名鍵が存在するため、未認証の攻撃者がオフラインで管理者トークンを偽造できる脆弱性があります。初期管理者IDを用いて偽造トークンを作成することで、ユーザー、権限、データに対する完全なAPI制御権を奪取される危険性があります。
- 【影響範囲】 3.6.1未満
- 【推奨対策】 バージョン3.6.1以降へアップデートし、署名鍵を安全な独自の値に変更してください。
9. Control Web Panelにおけるリダイレクト後の処理継続による認証バイパスおよびOSコマンド実行の脆弱性
- 【概要】 Control Web Panel（CWP）において、リダイレクトヘッダ出力後のexit()呼び出し漏れにより認証なしで保護機能へ到達できる脆弱性（CVE-2026-73696）、およびprotected_directoryモジュールで入力値がそのままshell_execに渡されるOSコマンドインジェクション（CVE-2026-77876）が発見されました。未認証攻撃者によるコード実行の恐れがあります。
- 【影響範囲】 CVE-2026-73696: webpanel_version 1.12未満、CVE-2026-77876: webpanel_version 1.16未満
- 【推奨対策】 Control Web Panelをwebpanel_version 1.16以降へ更新してください。
10. kanikoにおける正規表現不備に起因するAzureアクセストークンの外部漏洩の脆弱性
- 【概要】 コンテナビルドツールkanikoが利用するAzureコンテナレジストリ認証ヘルパーにおいて、ホスト名判定の正規表現のアンカー指定が不十分なため、ドメイン内に「.azurecr.io」等の文字列を含む任意の攻撃者ホストがACRとして誤判定されます。悪意あるベースイメージ指定を含むDockerfileをビルドさせた場合、Microsoft Entra IDのアクセストークンが攻撃者サーバーへ送信される危険があります。
- 【影響範囲】 1.25.20未満
- 【推奨対策】 kanikoをバージョン1.25.20以降へアップデートしてください。