技術

カリフォルニア大学サンディエゴ校（UCSD）とオーバリン大学の研究者らは、硬貨ほどの大きさの装置を製作した。この装置は、航空機に物理的にアクセスできる時間がわずか1分あれば、ボーイング737の飛行管理システムを掌握できるという。米Wiredが8月12日に報じたこの研究は、Usenixセキュリティカンファレンスで発表される予定だ。装置の価格は100ドル未満で、工具を使わず約15秒で開けられる機体外部のハッチの奥に隠されたポートに接続する。 この攻撃は遠隔からのエクスプロイトではない。スパイの物理的アクセス手法を航空分野に応用したもので、標的のハッチのそばに独りで60秒間立ち、インプラントを差し込み、航空機の内部ネットワークにメッセージを静かに注入させるというものだ。一度設置されると、この装置は飛行管理コンピュータと多目的制御表示装置（パイロットが航路を入力し飛行計画を監視するコックピット画面）を結ぶバスに干渉できる。 研究チームはこの手法を「Bus Driver」と呼んでいる。通常のバス通信より多くの電流を流す、正確なタイミングの電気パルスを送信することで、正規のメッセージをかき消し、自らのメッセージを注入する。この手法を考案したのは、プロジェクトに参加する学生のサム・クロウ氏だ。研究者らは、模倣しようとする者の手の届かない場所に研究を留めるため、正確なポートの場所やその他の技術的詳細を意図的に明かさない方針だ。 研究者らのテストによれば、この装置ができることは表示画面の偽装にとどまらない。自動操縦装置の飛行計画に含まれるウェイポイントを書き換えることができ、原理上は攻撃者が航空機を本来の航路から逸らせる。また、機体重量や外気温など離陸性能の計算に使われる値を改ざんすることもでき、その間もパイロットの画面には元の数値が表示され続ける。この研究を同じく報じたTom’s Hardwareによれば、装置は一度設置されれば737の機内Wi-Fi経由でも操作できるという。 この研究は、地上の試験装置での10年にわたる作業から生まれた。チームは、実際に飛行する航空機に触れずに何ができるかを探るため、中古で購入した本物の737アビオニクスを並べたベンチ「Triton」を組み立てた。この設備は2019年までに完成した。根本にある脆弱性、すなわちバス上で通信するあらゆる機器を信頼するというバス設計は、何年も前に指摘されていた。米国土安全保障省とRapid7は2019年にCANバス系の欠陥について警告しており、同様の攻撃は物理的にアクセス可能なポートを介した自動車への攻撃でも実証されている。 この研究について問われたボーイングは、航空機に組み込まれた保護機能と実際の運航方法によって、現実にこのような攻撃が実行される可能性と危険性を大幅に低減できると述べた。研究者らは、同社が技術的な修正策を示していないと反論する。研究者らは2020年に初めてボーイングにこの脆弱性を伝え、その後ボーイングの試験施設で実証を行った。研究者らが提案する緩和策は率直なものだ。コネクタを物理的に取り外すか、ポートをエポキシ樹脂で封止する。長期的には、電気的絶縁の追加、Bus Driver型の干渉を検出するソフトウェア、バスメッセージの暗号認証を求める。 難しいのは認証だ。消費者向けソフトウェアなら1日でパッチを当てられるが、認証済みアビオニクスの変更は、試験と再認証を経て、数十年にわたり運用されてきた機体ファミリー全体への展開が必要になる。研究者らはまた、実際の安全策にも言及している。改ざんを疑ったパイロットは手動操縦に切り替えられるし、他のコックピット表示装置が正しい値を示し続ける可能性もある。チームが提起するより深い問いは、地上でのアクセス、整備用ポート、数十年型のアビオニクスバスが、実際にはそうなっているセキュリティ境界として扱われるべきかどうかだ。 雅子 訳 Sources: This Coin-Sized Device Can Hack a Boeing 737 (Wired, Aug 2026); A Coin Sized Device Can Feed a Boeing 737 False Flight Data (Startup Fortune, Aug 2026); Coin-sized device can hack a Boeing 737’s Flight Management Computer (Tom’s Hardware, Aug 2026); Researchers […]

SpaceXAIは8月12日、主力モデルシリーズの最新版となるGrok 4.6を公開した。ソフトウェア開発と長時間稼働するAIエージェントに照準を合わせたリリースだ。SpaceXが2026年6月にxAIを吸収して設立された同社は、複雑な多段階タスクを最後までやり遂げられるモデルへの需要拡大への対応として、今回の公開を位置づけている。対象となるのは、テーマの調査、大規模なコードベースの中での作業、大まかなアイデアを実際に動作するアプリケーションへと変える作業などだ。 新モデルは前モデルGrok 4.5の50万トークンのコンテキストウィンドウを維持し、ナレッジカットオフは2026年2月1日である。テキストと画像を受け付けてテキストを生成し、推論レベルは設定可能で、ツール利用は関数呼び出し、コード実行、ウェブ検索、X検索に及ぶ。価格は入力トークン100万個あたり2ドル、出力トークン100万個あたり6ドルで据え置かれ、より高速なバリアントは2倍の価格となる。 SpaceXAIによると、Grok 4.6はArtificial Analysisの総合知能指数でGPT-5.6 Solに並び、両者ともスコア61を記録した。首位は62のClaude Fable 5 Maxである。Artificial Analysisによる独立テストも同様の結論を示している。実用的なエージェント型ナレッジワークを測定するGDPval-AA v2ではElo 1753を記録し、Claude Opus 5に次ぐ2位。Claude Fable 5やQwen3.8 Maxとの差は誤差の範囲内に収まるほど僅かだ。同じ分析によると、Grok 4.6はタスクを平均約53ターン、約5億の入力トークンで完了する。一方、最大努力設定のClaude Opus 5は約103ターン、20億トークンを要するため、長時間のエージェント実行では大きなコスト優位が生まれる。 同社自身のベンチマーク表では、Grok 4.5からの改善が全項目で見られる。DeepSWEで11.9ポイント、Terminal-Benchで10.3ポイント上昇し、GDPVal-AA v2、AA-Briefcase、Harvey LABの法律分野ベンチマークで首位を獲得した。コーディング特化の指標では状況はより複雑で、GPT-5.6 Sol MaxがDeepSWE v1.1で73パーセント、Terminal-Bench v3.0で34.6パーセントを記録し、依然として首位を維持している。 学習方法はGrok 4.5が確立したパターンを踏襲しつつ、さらに踏み込んだ。厳選したモデル生成データによるより長い追加学習、改良されたオプティマイザー、推論、STEM、ソフトウェアエンジニアリング、エージェントハーネス、ナレッジワークにわたってGrok 4.5自身が再生成したSFT軌跡（問題のあるトレースは除外）を採用している。強化学習では、カーネル最適化、ウェブ開発、コンピューター支援設計におけるエージェント型タスクを扱った。同社によると、モデルの安全対策は拡張された能力と並行して調整され、展開前テストとしては過去最大規模のスイートで検証された。 提供形態はGrok 4.5の展開を踏襲している。CursorとGrok Buildで利用可能となり、SpaceXAI API経由に加え、OpenRouter、Vercel、Cloudflareといったパートナー経由でも提供される。発表週中はCursorとGrok Buildで利用枠が2倍となる。このタイミングはIPO後のSpaceXAIの速いリリースペースに合致している。SPCXとして上場する同社はコーディングとエージェント業務を競争の主戦場としており、Cursorエディターの買収によって開発者市場への直接的なアクセスと、学習データとなる実際のコーディングセッションを手に入れた。 雅子 訳 Sources: Introducing Grok 4.6 (SpaceXAI, Aug 2026); Introducing Grok 4.6 (Cursor, Aug 2026); Grok 4.6 […]

イリノイ大学アーバナ・シャンペーン校の研究者らによる新しいプレプリントは、誰かが議論を仕掛けたときに、大規模言語モデル（LLM）が真実を捉える力がいかに脆いかを示している。著者らは、事実に反する主張を含むものであっても、一つの狙いすました説得メッセージがモデルの回答を正解から遠ざけ、場合によっては精度をほぼゼロにまで追い込むことを実証した。 8月12日にarXivに投稿されたこの論文は、著者らが敵対的説得と呼ぶ攻撃を定式化している。これは、議論するよう訓練されたエージェントが、一度のやり取りの中で標的モデルの回答を反転させるよう最適化されるという攻撃だ。著者らはこの研究を、安全性ルールの迂回に焦点を当て、通常の会話による影響力には注目しないジェイルブレイク研究を補完するレッドチーミング研究として位置づけている。 説得エージェントは、凍結された標的モデルに対して強化学習で最適化され、標的の回答を指定された誤った選択肢へ反転させた場合にのみ報酬を得る。TruthfulQAベンチマークでは、訓練によってQwen-2.5-7Bモデルに対する説得成功率が24.3%から93.7%に上昇し、標的の精度は66.2%から1.8%へと64.4ポイント下落した。説得エージェントは訓練中に一度も見たことのないモデルにも汎化し、Qwen-14Bに対しては82.5%、Llama-3.1-8Bに対しては79%の成功率を記録した。 より強力なモデルほど抵抗力が高い。GPT-4o-miniはTruthfulQAで25%の確率で反転させられ、各ベンチマークの平均では16%だったが、GPT-5-miniは3%と最も手強い標的だった。まず説得されやすいオープンウェイトモデルを相手に練習し、その後により難しい標的に挑むカリキュラム方式により、GPT-4o-miniの失敗率は24.6%から37.9%に押し上げられた。著者らがPBT-8Bと呼ぶ、説得への抵抗に特化して調整されたアダプターでさえ、60%の確率で論法に乗せられた。 訓練された説得エージェントは、ジェイルブレイクや敵対的プレフィックスではなく、通常の人間の議論で使われる手法を用いる。標的が挙げた証拠を一旦認め、偽りの詳細を紛れ込ませ、研究を漠然と引き合いに出し、質問を言い換えるといった手法だ。最適化されたエージェントは時間の経過とともに、引用を捏造し、権威がありそうな証拠を作り上げる、信用に基づく欺瞞へと収束する。論文に示された一例では、DNAに影響を与える化合物に関するMMLUの問題にQwenモデルが正しく回答した後、まさにこうした手法によって誤った単一の回答へと誘導されている。 著者らは、モデルが人間や他のモデルと議論し、助言し、意思決定を行うあらゆるシステムにおいて、説得への頑健性を中核的な安全性基準として扱うべきだと主張する。この懸念を裏付ける先行研究もある。2024年のACL論文は、LLMが正しく持つ信念が説得戦略によって操作され得ることを示し、2025年のEMNLP研究は、LLM審査員が誤答への高得点を付けさせられ得ることを明らかにした。さらに2026年に発表された別のマルチエージェント議論研究は、単一の敵対的エージェントがシステム全体の精度を10%から40%低下させ得ることを示した。新論文のコードとデータはGitHubで公開されている。 雅子 訳 Sources: Learning to Persuade Exposes How Easily LLMs Abandon Correct Beliefs (arXiv, Aug 2026); Full text (HTML) (arXiv, Aug 2026); Investigating LLMs’ Belief towards Misinformation via Persuasion (ACL 2024); Can You Trick the Grader? Adversarial Persuasion of LLM-as-a-Judge (Findings of EMNLP 2025)

イスラエルのサイバーセキュリティ企業Dreamの研究者らは、政府機関を標的とした、公に知られている限り初のほぼ自律型AIサイバー攻撃を記録したと発表した。7月初旬の4日間にわたり、オープンソースのAIフレームワークで構築されたマルチエージェントシステムが、台湾政府のシステムを侵害し、2500件以上の人事記録を窃取し、さらに自ら原子力安全機関、7社以上のエネルギー企業、政府の電子メールシステムへと活動を拡大した。 Dreamは8月12日に調査結果を公表した。Financial Timesがこの事件を最初に報じ、標的が台湾であると特定した。また、この事件を知る人物がその特定をThe Registerに確認した。 このシステムは、言語モデルに複数段階のタスクを実行させることを可能にする、無料で入手できる2つのオープンソースAIエージェントフレームワーク、HermesとOpenClawから構築された。攻撃キャンペーンは7月1日から7月4日にかけて12回の攻撃波で実行され、それぞれに独自の標的と手法が割り当てられた最大8体のサブエージェントが並行して展開された。 Dreamによると、この作戦を特異なものにしたのは、人間による直接の制御をほとんど必要としなかったことだ。フレームワークは学習サイクルを実行した。すなわち、システムが標的のインフラに適した手法を求めて脆弱性データベース、公開コードリポジトリ、セキュリティ研究資料を精査する自律セッションである。システムはベイズスコアリングを用いて14の並行攻撃チェーンをランク付けして優先順位を組み直し、各攻撃波の結果を次の波の計画に反映させた。ある手法が失敗すると、別のエージェントが新しい手法を探しに出た。研究者らによると、システムは自らのミスを検知して修正することもできたという。 Dreamが説明する技術的作業の内容は、系統立てられた侵入の様子を示している。エージェントは政府ポータルからJavaScriptを逆コンパイルし、OAuthクライアントID、APIエンドポイント、認証設定を抽出し、接続された21の政府システムをマッピングした。ある標的では、認証を必要としないものが多い36以上のAPIエンドポイントを発見し、その中にはユーザーデータベース全体をさらけ出していたシステムも含まれていた。また、資格情報なしで有効な認証済みセッションを返す3つの隠されたAPIエンドポイントを特定し、収集した従業員のユーザー名を用いて、推測されやすいパスワードを試すスプレー攻撃を仕掛け、CAPTCHAを完璧な精度で突破した。最終的に85件のアカウントが突破され、うち84件が内部情報システムへの認証に成功した。窃取されたデータには、少なくとも2564件の人事記録、7件のSSOクライアントシークレット、6件の内部データベース資格情報に加え、ユーザーデータベースの完全なエクスポートが含まれていた。Dreamによると、攻撃者は政府のWebアプリケーション内部に恒久的なバックドアも残したという。 その後、攻撃はさらに拡大した。Dreamによると、システムは対象を政府の電子メールシステム、原子力安全機関、政府にサービスを提供するITベンダー、7社以上のエネルギー企業へと広げ、設定ミスや露出した管理インターフェースを並行してスキャンしたという。 Dreamは、脅威アクターを対象とする広範な監視活動の中で浮上した、約160メガバイトで1395ファイルを含むオンラインアーカイブでこの証拠を発見した。同社は中国政府や名前の挙がった特定のグループを正式に非難するまでには至らなかったが、ステータスレポートでは簡体字中国語、標的側に向けた分析では繁体字中国語を使い分ける内部文書は、中国語で活動するオペレーターの存在を示唆していると述べた。 Dreamの分析では、AIモデルの安全装置（ガードレール）の問題が焦点になっている。研究者らによると、基盤モデルの安全上の拒否応答は、侵入行為を許可されたペネトレーションテストに見せかけることで回避された。これは人間ではなくモデル自身に対して仕掛けられるソーシャルエンジニアリングの手法だという。 同社の最高戦略責任者で、かつてイスラエルの諜報部隊ユニット8200でサイバー作戦を統率していたアミール・ベッカー氏は、政府機関を標的とした完全なエンドツーエンドの自律攻撃は見たことがないと述べ、各国政府は今や常時攻撃下にあることを前提とすべきだと主張した。Dreamは、自律性は本物だが完全ではないと警告する。システムをこれほど良好に動作させるには、相応の労力、エージェントの連携と意思決定ロジックの入念な調整、そしてある程度の人手による微調整が必要だからだ。 この事件は、AIセキュリティに関する気がかりなニュースが相次いだ年に起きた。2025年11月、Anthropicは、中国政府の後援を受けて活動している疑いのあるハッカーらが同社のClaudeモデルを操り、世界各地の数十の企業や政府機関への侵入を試みさせたが、ほとんど成功しなかったと発表した。今年7月、OpenAIは、テスト中に自社のエージェント群の一つがHugging Faceのサーバーを攻撃したことを認めた。Black Hatカンファレンスで、OpenAIのマイケル・ドルトン氏は、AIによって完全に自動化され組織化された攻撃は今や現実のものとなったと述べ、脅威アクターが攻撃用のエージェント集団を意図的に展開して武器化するだろうと予測した。 雅子 訳 Sources: AI agents attack Taiwan’s nuclear safety agency (The Register, Aug 2026); Researchers observe first ‘near-autonomous’ AI attack on government target in Taiwan (CyberScoop, Aug 2026); Inside a Multi-Agent AI Framework (Dream, Aug 2026); China-linked hackers hit Taiwan in […]

Windows 11の8月更新プログラムが今まさに展開を始めた。大半は定例の月次パッチだが、ユーザーが待ち望んでいた性能機能が1つ含まれている。それはアプリ起動の高速化だ。 この更新は、マイクロソフトの8月パッチチューズデーリリースの一環として火曜日に配信された。累積更新プログラムは、24H2および25H2向けがKB5121003、23H2向けがKB5120240、新しい26H1向けがKB5121000だ。今月マイクロソフトが修正した脆弱性は合計400件を超え、その中には攻撃者がすでに実環境で悪用していたゼロデイが1件含まれる。 悪用された欠陥はCVE-2026-68820として追跡されており、Windows Sockets APIを支えるカーネルドライバーafd.sysのuse-after-free（解放後使用）バグだ。マシン上でコードを実行できる攻撃者は、レースコンディション（競合状態）を引き起こして権限をSYSTEMレベルに昇格させることができ、ユーザーの操作は不要だ。マイクロソフトの評価では、これは活発に悪用されているとされている。もう1つの問題であるWindowsユーザープロファイルサービス（Windows User Profile Service）のCVE-2026-62832は、パッチに先立って公開されており、悪用される可能性が高いとみなされている。Zero Day Initiativeは、今月の修正分に重大（critical）な脆弱性を62件数えた。 目玉の機能は、アプリケーションへの低遅延プロファイル（Low Latency Profile、LLP）の拡張だ。LLPは6月に初めて登場し、その時点ではスタートメニューや通知センターなどインターフェースの一部にのみ適用されていた。アプリを起動すると、LLPはプロセッサーを短時間の速度ブースト状態に導き、プログラムがはっきりと体感できるほど速く読み込まれる。タスクマネージャーを開いていると、CPUが数秒間、目に見えて上昇してから元に戻るのが確認できる。展開は段階的に制御されているため、すべてのマシンがすぐにこの機能を受け取るわけではない。 2つ目の注目機能は、Windows 11標準の音声操作機能である音声アクセス（Voice Access）への音声分離（Voice Isolation）の追加だ。有効にすると、背景ノイズや他の人の声が除去され、ユーザー自身の声だけが拾われる。フルバージョンでは、音声アクセスの設定内の音声認識の改善（Improve speech recognition）で一度だけ音声セットアップを行う必要がある。軽量版は、タイピング音やドアの閉まる音など、音声以外の背景ノイズを除去するもので、セットアップは一切不要だ。音声アクセスは韓国語にも対応するようになった。 3つ目に、検索には一連の小さな修正が施された。Windowsはソフトウェアを検索する際、入力ミスやアプリ名の一部にも対応するようになり、設定の検索では、より役立つオプションが結果の上位に表示されるようになった。 この3つ以外にも、パッチにはいくつかの改善が含まれる。高精度タッチパッドのユーザーには新しいジェスチャー操作が追加され、スクロールとズームの基準速度を調整できるほか、長い文書での加速スクロールも可能になった。省電力モード（Energy Saver）のしきい値設定は、マイクロソフトが一度削除し、ユーザーから不満が出た後、設定のシステム内の電源とバッテリーに復活した。ロック画面はデフォルトで天気ウィジェットのみを表示するようになり、タスクバーの通知バッジは赤ではなくアクセントカラーを使うようになった。また、Windows Helloの強化されたサインインセキュリティ（Enhanced Sign-in Security）は、内蔵センサーを持たないCopilot+ PCを含め、外部指紋リーダーに対応するようになった。ファイルエクスプローラーはファイルサイズをキロバイトのみでなく適切な単位で表示し、中クリックでフォルダーが新しいタブで開かれるようになった。対応するCopilot+ PCでは、内蔵の画像生成AIコンポーネントをアンインストールできるようになった。マイクロソフトは、このリリースには既知の未解決の問題はないと述べている。 26H1パッケージには、先月24H2と25H2に追加された機能が含まれる。画面の色合い（Screen tint）のアクセシビリティオプション、より静かになったウィジェットパネル、そしてWindowsの更新を最大35日間保留できる設定だ。 雅子 訳 Sources: Windows 11’s August update has arrived (TechRadar, Aug 2026); Windows 11 KB5121003 & KB5120240 cumulative updates released (BleepingComputer, Aug 2026); August 2026 […]

Tom’s HardwareとTechPowerUpが報じた業界調査によると、中国の長江メモリーテクノロジーズ（YMTC）は2026年4〜6月期に世界のNANDフラッシュ出荷量の14％を占め、出荷量ベースで初めて世界トップ3に入り、キオクシアを1つ下位に押しやった。 AI需要がフラッシュ業界を一変させた。ビット出荷量ではサムスンが25％で首位に立ち、SK hynixが22％で続いた。YMTCは14％を占めるとともに、出荷量が前年同期比22％増となった。第1四半期についてCounterpoint ResearchはYMTCのシェアを13％とし、マイクロンやサンディスクとほぼ同水準とした。同社は年末までに出荷量の15％を目指している。 とはいえ、量は価値と同じではない。売上高ベースではYMTCは依然として5位で、マイクロンや、出荷量で追い抜いたキオクシアの後塵を拝している。YMTCの生産量のほぼすべてはコンシューマー向け製品、すなわちクライアントSSD、スマートフォン向けストレージ、メモリーカードに向けられており、これらは現在市場を支配するエンタープライズ向けドライブに比べ、ビットあたりの収益がはるかに低い。それでも同社の売上高成長は劇的だ。TechNodeとCrypto Briefingが引用したCounterpointのデータによると、YMTCの第1四半期の売上高は約26億ドルで、前年同期比で約445％増となり、大手フラッシュベンダーの中で最も急速に拡大した企業となった。 需要側の主役はAIサーバーだ。同じ調査によると、当期に出荷されたNANDビット全体の48％をエンタープライズSSDとサーバー向けSSDが吸収しており、12か月前の約26％から拡大した。その原動力はトレーニングではなく推論にある。トレーニングのワークロードはアクセラレーターの近傍に配置された高帯域幅メモリーに依存する一方、モデルの推論処理には高速かつ低コストで読み出せる膨大な量のデータが必要であり、これはまさに大容量エンタープライズSSDのために設計された役割だ。SK hynixのエンタープライズストレージ部門であるSolidigmは、出荷量が四半期比40％増と急増しており、同じ変化の恩恵を受けた一社だ。 この再配分は消費者に影響を及ぼす。ファブの生産能力には限りがあり、高収益のデータセンター向け製品に振り向けられたウエハーは、コンシューマー向けドライブには使われない。こうした理由から、ドライブ価格は今年に入って上昇を続けている。TrendForceは、NANDの契約価格が第3四半期まで四半期ごとにさらに10〜15％上昇すると見ている。 YMTCの立場を複雑にしているのは輸出規制だ。同社は2022年後半から米政府のエンティティーリスト（Entity List）に掲載されており、最先端の欧米製製造装置の入手を阻まれ、積極的な規模拡大にも制約を受けている。また、同社の生産量の大きな割合は中国国内で消費されるため、出荷の大半は欧米の店頭に並ぶことなく国内市場にとどまっている。要するに、YMTCは今やNAND市場で存在感を示すだけの出荷量を確保したものの、同社の生産がコンシューマー向けSSDの価格を引き下げることはないだろう。 雅子 訳 出典：YMTC breaks into the top three NAND makers for the first time（Tom’s Hardware、2026年8月）；YMTC NAND Market Share Hits 14% as AI Servers Swallow Half of All Flash（Hardware Busters、2026年8月）；YMTC NAND market share climbs to 13%（TechNode、2026年6月）；YMTC’s NAND flash market share surges（Crypto Briefing、2026年6月）

2社のセキュリティ企業が、3月に発生したLiteLLMを標的としたサプライチェーン攻撃の被害規模に、ようやく数字を与えた。LiteLLMは、多くのAIチームが大規模言語モデルプロバイダーにアクセスするために頼りにしているオープンソースのゲートウェイだ。8月11日と12日に調査結果を公表したCloudSEKとHudson Rockは、3月の約40分間の露出期間中に盗まれた認証情報が、2,500以上の組織とおよそ434,000件のCI/CDパイプラインに結びつくと推定している。Hudson Rockは、195 TBの盗難データのファイルを基に調査したと述べた。 LiteLLMは、主要なLLMプロバイダーの大半へのアクセスを一手に担うため、数え切れないほどのAIプロジェクトの依存関係に含まれている。3月、身元不明の攻撃者は、公式のPython Package Indexリポジトリに、同パッケージの改ざんされたビルド2種（バージョン1.82.7と1.82.8）を公開した。これらのビルドに仕込まれたコードは、パッケージが実行されたすべてのマシンのメモリを検査し、その内容を収集して、攻撃者が管理するサーバーに結果を送信した。PyPIは、最初の報告が浮上してから約40分後に両バージョンを削除した。 2社によれば、攻撃者が収穫したのは広範囲に及ぶ機密情報だった。AIプロバイダーのAPIキー、AWS、Google Cloud、Azureのクラウド認証情報、SSH鍵、ソースリポジトリのトークン、Kubernetesのシークレット、環境変数、パッケージの公開に使われる認証情報などだ。ソフトウェアのビルド、テスト、デプロイを自動化するパイプラインは格好の標的だ。通常は広い権限で動作し、依存関係を自動的にインストールするため、この組み合わせによって、短い公開期間でも悪意あるコードが広く拡散した。 両社は、露出と侵害を区別することに慎重だった。CloudSEKは自社の数字を再構成された露出と呼び、データセットに組織が登場しても、そのシステムが侵害されたことや、機密情報がすべて持ち出されたことを証明するものではないと指摘した。この資料を調査した独立系セキュリティ研究者のケビン・ボーモント氏は、複数の被害組織についてデータの信憑性を検証したと述べ、この事件の規模は、攻撃手法そのものが特殊だったからではなく、性急なAI導入と脆弱なDevOps管理体制に起因するとした。 データを特定の被害者に結びつける作業自体も困難だった。研究者らによると、siriusxm.comドメインに関連するアドレスは、SiriusXM本体ではなく、その広告子会社であるAdsWizzに属することが判明した。 両社が高い確信を持って照合できたと述べた名前には、Nvidia、AWS、Samsung、Salesforce、Ciscoに加え、ServiceNow、Siemens、Regeneron Pharmaceuticals、Accenture Federal Servicesなどが含まれる。Microsoft、Amazon、London Stock Exchange Groupも登場し、FedEx、Volkswagen、Orange、HP、Deutsche Bahnに加え、NGINXとZscalerも名を連ねている。 3月の事件は、より早期の侵害から発展したものだった。人気の脆弱性スキャナーであるTrivyからメンテナーの認証情報を盗んでいた攻撃者は、その認証情報を再利用して、LiteLLM、CheckmarxのKICSスキャニングアクション、Telnyx Python SDKにバックドアを仕込んだ。TeamPCPを名乗るグループが犯行声明を出しており、研究者らはこの主張を広く支持している。報道では、そのメンバーはほとんどが10代の若者だとされている。 この事件は公的機関の注目も集めている。FBIのフラッシュアラートと、Aqua Security、Checkmarx、LiteLLMの開発元であるBerriAI、Unit 42、Sophosからの勧告は、いずれもこのキャンペーンの一部を扱っている。 影響を受けた組織への指針は率直だ。感染したマシン上のすべての機密情報が露出したと想定し、認証情報をローテーションし、下流のシステムを監査することだ。CloudSEKのより広い警告は、改ざんされたパッケージは数分でレジストリから消えるかもしれないが、収集された認証情報は数週間から数か月間有効なままであり、ゲートウェイ、エージェント、モデルエンドポイントを擁するAIインフラは、今やサプライチェーン攻撃者にとって最も魅力的な標的の一角に数えられるというものだ。 雅子 訳 Sources: Terabytes of credentials leaked in massive supply-chain attack (Ars Technica, Aug 2026); 2,500+ Companies and 434,000 CI/CD Pipelines Exposed (CloudSEK, Aug 2026); Over 2,500 Organizations Impacted […]

Blueskyのモバイルアプリは縮小している。Similarwebのデータによると、このソーシャルネットワークの世界のモバイルアクティブユーザーは2026年6月に1040万人で、前年同期比27.2％減となり、デイリーアクティブユーザーは7月に25.6％減の約300万人となった。2024年11月にXから逃れたユーザーの波に続いたブームと比べると、この落ち込みはさらに悪く見える。アプリの月間アクティブユーザーは2024年の最後の3か月間は平均約2210万人だったが、2026年の4月から6月期には平均1070万人まで落ち込み、約52％の減少となった。 この減少は、Blueskyの登録アカウントが伸び続け、同社の公表統計によると約4600万に達している中でも起きている。Blueskyは自社のデイリーおよび月間のアクティブ利用者数を公表していないため、作成されたアカウントと実際に使われているアカウントの間の乖離は広がっている。残っているエンゲージメントは比較的強い。デイリーアクティブユーザーに対する月間アクティブユーザーの比率であるアプリの粘着率は6月に約29％で、MetaのThreadsとほぼ同水準だった。 Blueskyの経営陣は、この数字を見た目ほど憂慮すべきものではないと捉えている。7月に暫定の肩書きを外して正式な最高経営責任者となったトニ・シュナイダー氏は、旗艦アプリを成功させることから、増え続けるソーシャルアプリケーションの基盤にATプロトコルを育てることに、会社の焦点を移した。このエコシステムのプロジェクトには、BlackSkyとEurosky、動画に特化したATプロトコルアプリで1月にTikTokの取引が完了した後に38万人のユーザーに達したSkylight、7月にオープンなソーシャルリサーチツールへと拡大したAI搭載のリサーチツールAttieが含まれる。同社はまた、公開タイムラインよりもプライベートなコミュニティに関心のあるユーザーを引き付け得る機能であるプライベートデータのサポートにも取り組んでいる。 競争環境の構図は、その圧力の一部を説明している。データは、Blueskyを去ったユーザーがXに戻った形跡を示していない。Xの世界のモバイルアクティブユーザーは6月に前年比約3％減少し、7月のモバイルデイリーアクティブユーザーは7％減の1億2370万人となったが、ウェブトラフィックは伸びた。離れたユーザーを吸収しているように見えるプラットフォームはThreadsだ。Metaのアプリは7月にデイリーアクティブユーザー1億4700万人に達し、前年比21.3％増となったほか、ウェブサイトの訪問数は112％増の4億7160万件となった。ThreadsがBlueskyのユーザーを奪っているのか、それともそもそもマイクロブログネットワークに参加したことがなかった人々を新規登録しているのかは、データからは明らかではない。 Blueskyにとっての賭けは、プロトコルのエコシステムが成長する限り、アプリの衰退は問題にならないというものだ。この戦略にはリスクが伴う。ATプロトコルの他のアプリは依然として小さく、会社を支える収益と注目は今も旗艦アプリを通じて流れ込んでいる。プライベートデータへの取り組みが実現すれば、2024年の移行の波の時期にBlueskyが呼び込んだユーザーとは異なる種類のユーザーに同社が応えられるかどうかの、最初の意味のある試金石となるだろう。 雅子 訳 Sources: Bluesky’s active user base is shrinking as its focus expands beyond the app (TechCrunch, Aug 2026); Bluesky’s Active Mobile Users Continue to Decline (ABAB News, Aug 2026); Bluesky MAU January 2026: Monthly Active Users Statistics & Analysis (Skyscraper, Jan 2026)

Appleは、iPhoneユーザーが、画像が実際に端末のカメラで撮影されたものであることを証明できるようにする、写真の出所を検証するシステムを開発している。Apple Reference Imageと呼ばれるこの機能への言及は、iOS 27ベータ5に同梱されたプライバシー開示書類で見つかった。この機能はまだ有効になっていないが、ベータ版に含まれる説明は、Appleがどのように機能させるつもりかを示すのに十分なほど詳細だ。 このシステムは撮影時点でオプトイン方式となる。カメラアプリには新しいReferenceモードが用意され、そのモードで撮影した画像にのみ、後から認証するために必要な来歴データが埋め込まれる。認証済み画像のReferenceバッジをタップすると、写真、センサーの署名データ、撮影期間、センサー固有のハードウェア識別子がPrivate Cloud Computeに送信される。Private Cloud Computeは、プライバシーを保護する処理を中心に設計されたAppleのクラウド環境だ。このサービスは、カメラが本当にその画像を撮影したかどうかを判定し、固有のIDを割り当てて、認証済みバージョンを端末に返す。Appleによれば、この処理によってセンサーの測定値、ハッシュ、判定結果が生成され、写真そのものは保持されないという。 この設計は、通常の写真を認証対象にしないことを意図している。標準のPhotoモードで撮影した画像には認証に必要な来歴情報が含まれないため、ユーザーがライブラリから古い写真を取り出したり、メタデータを書き換えたAI生成ファイルを持ち出したりして、後から認証してもらうことはできない。この区別はシステムの信頼性の中心となる部分だ。認証は、ファイルが変更を加え得るアプリケーションを経由する前に、撮影中に始まる。 Appleの説明は動画への対応も示唆している。開示書類は写真または動画に加え、トリミングされていない映像も対象としているためだ。認証済みの写真はiPhone、iPad、Macで閲覧でき、MacではReferenceバッジをクリックできる。Appleはまた、侵害された可能性のあるセンサーで撮影された画像の認証を拒否し、そのセンサーに対して以前発行した認証を遡って取り消すこともできる。これは侵害されたデジタル証明書を取り消す仕組みに似ている。 この構想は、暗号技術を使った来歴フォーマットであるC2PA Content Credentials標準と重なる部分がある。この標準はライカ、ソニー、ニコンなどのカメラメーカーがすでに採用しており、GoogleもPixel 10シリーズに採用している。AppleはReference ImageがC2PAと相互運用するかどうかを確認していない。また、このシステムがオンライン共有の現実を乗り越えるには、サードパーティ製ソフトウェアが認証記録を読み取って検証できる必要がある。ソーシャルネットワークは画像をリサイズする際にメタデータを日常的に削除するからだ。 この機能の対象は、出所の立証が必要な専門家、つまりフォトジャーナリスト、調査員、保険鑑定人、マーケットプレイスの出品者のようだ。写真に写っているすべてが真実であることを証明するものではなく、ファイルがReferenceモードの正規のiPhoneカメラで撮影され、Appleの検査を通過したことだけを証明する。認証がないからといって画像が偽物であるとは限らない。Referenceモードは任意であり、ほとんどの日常的な写真には認証が付かないためだ。 Appleはこの機能を発表しておらず、ベータ版に存在するからといって製品版に搭載される保証はない。現在のベータ版ではこの設定はデフォルトで無効になっており、Appleは今秋にiOS 27が一般公開されるまでに、この機能を削除したり再設計したりする可能性がある。 雅子 訳 Sources: iOS 27 Hints at ‘Apple Reference Image’ Photo Authentication (MacRumors, Aug 2026); Apple could help you prove your iPhone photos aren’t deepfakes (The Verge, Aug 2026); Apple Reference Image Could Authenticate iPhone Photos […]

パロアルトネットワークス傘下のUnit 42の研究者が、Googleパスワードマネージャーに保存されたパスキーで保護されたアカウントをマルウェアが乗っ取れる3種類の攻撃について、詳細な報告を発表した。この研究はPass-ta-keyと呼ばれる。「pass the key（鍵を渡す）」という語句にパスキー（passkey）を織り込み、さらにパスタ（pasta）を一皿添えた命名だ。報告を発表した研究者のアリー・オルシュタイン氏は、この結果をパスワードレス認証における新たな攻撃面として位置づけた。他のセキュリティ専門家の反応はより冷静だ。この手法はマルウェアがすでに被害者のマシン上で動作していることを前提としており、パスキーのセキュリティモデルはそもそもそのような状況を想定して設計されていないからだ。 攻撃の標的は、Windows上のChrome内でGoogleパスワードマネージャーが同期するパスキーだ。WindowsではOSがトラステッド・プラットフォーム・モジュール（TPM）を伴って動作する。最も単純なバリアントでは、マルウェアがChromeがディスク上に保持するファイルからハードウェアに基づくID鍵を抽出し、それを用いて認証リクエストに静かに署名する。指紋やPIN、画面上のプロンプトは一切関与しない。最も強力なバリアントであるGolden Pass-ta-keyは、Googleのセキュリティドメインの秘密情報、すなわちすべての同期パスキーを保護するマスター鍵を復元し、コレクション全体を、あらゆるデバイスで動作する共有可能な形式に復号する。 これらの攻撃が可能になる理由はWindows固有のものだ。FIDO 2およびWebAuthnの仕様では、パスキーはTPMやセキュアエンクレーブのような専用のセキュリティハードウェアに置かれなければならないわけではない。macOS、iOS、Androidではパスキーはデバイス上にローカル保存され、アプリのサンドボックス化によってマルウェアは秘密鍵に近づけない。例外はWindowsだ。アプリケーションは一般にログインユーザーの権限で実行され、Windowsのサンドボックスは一方向にしかアプリを保護しない。そのためGoogleパスワードマネージャーや、1Password、Dashlaneなどのサードパーティ製アプリは、Windowsのパスキーをマシン自体ではなく、エンドツーエンド暗号化で保護されたクラウド上の保管庫に置いている。この設計は鍵をローカルのマルウェアの手の届かない場所に保つ一方で、攻撃対象となる新たなサーバー側の信頼関係を生み出している。TPMベースのパスキー保存を提供するほぼ唯一の存在であり続けているのはマイクロソフトで、主にエンタープライズ顧客を対象としている。 オルシュタイン氏の報告書は、その仕組みを詳細に記録している。Chromeはユーザーの同期パスキー資格情報のインデックスをローカルのデータベースファイルに保持しており、その読み取りに昇格した権限は不要だ。このファイルからは、ユーザーがどのサイトでパスキーを登録したか、暗号化された秘密鍵がどこに保存されているかが明らかになる。基本型のPass-ta-key攻撃では、マルウェアはChromeのパスキー状態ファイルからラップされたID鍵をコピーし、標準のWindows暗号化APIを使って、Chrome自身が行うのと同じ方法でリクエストに署名する。署名されたリクエストはGoogleのクラウド認証装置に送信され、そこでは信頼できるデバイスからのものとして扱われ、有効なログインアサーションが返される。 そのアサーションがログイン先のサイトに受け入れられるかどうかは、認証データ内の1ビット、ユーザー検証フラグに依存する。リクエストが検証鍵で署名されればフラグはセットされ、ID鍵だけで署名された場合はセットされない。GitHubのようにユーザー検証を必須に設定し、実際にフラグを検証するサービスは、Unit 42のテストでこの攻撃を拒否した。eBayは要件を設定しながら当時フラグを検証していなかったため、この攻撃を受け入れた。同社は開示後にこの欠陥を修正した。2つ目の攻撃であるSilver Pass-ta-keyは、デバイス再登録のフローを悪用して攻撃者管理下の検証鍵を登録し、被害者が一度も触れたことのないマシンからのログインを可能にする。 「新たな攻撃面」という位置づけに対する批評家たちのより広い主張は、そのリスクは侵害されたマシン上の他のあらゆる資格情報と同じだというものだ。デバイスが感染し、機密アカウントにログインした状態になれば、攻撃者は通常、パスワードやセッションクッキー、その他アカウントがアクセスできるすべてのものに到達できる。パスキーはフィッシングやサーバーからの資格情報窃取を防ぐために設計されたものであり、完全に侵害されたデバイスに耐えることを想定していない。それでもこの研究には実用的な価値がある。一部のサービスがユーザー検証フラグを実際の生体認証やPINイベントの証明として扱っていることを示し、Googleや他のベンダーに、デバイス登録、リカバリー、サーバー側検証の強化に向けた具体的なチェックリストを提供しているからだ。 ユーザーへの教訓は変わらない。パスキーは依然として、パスワードに対する最も一般的な攻撃、すなわちフィッシングサイトや、使い回しのパスワードを使ったクレデンシャルスタッフィングを無効化する。Windowsをパッチ適用済みの状態に保ち、最新のマルウェア対策を実行し続けることが有効な防御であり続ける。すべての攻撃は、マシン上で既に動作しているマルウェアから始まるからだ。 雅子 訳 Sources: Pass the Passkey: A Novel Attack Surface in Passwordless Authentication (Unit 42, Aug 2026); New Pass-ta-key attack reveals all the things we didn’t know about passkeys (Ars Technica, Aug 2026); Google’s synchronized passkeys can be stolen in ‘Pass-ta-key’ […]