最新記事一覧
「もうAIに勝てる人間はほとんどいない」。CTFは競技として崩壊し、脆弱性探索は“パチンコ”と化し、CVEの所持は何の実績にもならなくなった。日本有数の実績を持つ現役ハッカーが語る、AIの華々しい性能向上の裏にある負の側面とは。
()
アイドルグループJuice=Juiceの元メンバー宮本佳林氏が、AIを使った開発に取り組み始めた。プログラミング未経験から、自身の生配信企画を支えるシステムを自作するまでに至った。その過程で何を学んだのか。
()
New RelicはAIコーディングの利用状況やコストを可視化するMCPサーバ「Preflight」をオープンソースで公開した。トークン浪費をはじめとするAIコーディング特有の課題解決を支援するという。
()
コード補完を超え、自律的に調査・実行・検証を回せるようになった「Claude Code」。本連載の初回は、この1年でソフトウェア開発の「常識」が一変したClaude Codeの5つの進化を解説。AIを「開発の司令塔」として生かすために押さえておくべきポイントを紹介します。
()
OpenSSLで、少量の通信でサーバのメモリを消費させる新たなDoS問題が見つかった。特徴は、TLS通信が始まる前の処理を悪用し、一般的な接続数制限だけでは十分に防げない可能性があることだ。多くのソフトウェアが利用するライブラリーで何が起きていたのか。
()
多要素認証を導入したからといって安心できる時代ではなくなった。設定ミスで外部公開された攻撃者のサーバを解析したところ、GitHubで入手できるコードと安価なクラウドサービスを組み合わせるだけで、高度なフィッシング基盤を構築していた実態が判明したという。
()
MicrosoftはAIサービスを装う悪質な拡張機能を確認し、Googleに報告後削除されたことを明らかにした。利用者には導入元や権限の確認を促した。
()
GitHub Security Labのジョセフ・カツィオルーデス氏は、OSSメンテナーが短時間で有効化できる6つの無料セキュリティ設定を紹介した。
()
Microsoftは「認証ロンダリング」と呼ぶ新たな攻撃モデルについて解説した。攻撃者はCalendlyやGoogle、Cloudflareといった正規サービスを巧みに組み合わせ、電子メール認証をすり抜ける手口を展開するという。
()
Proofpointは、北朝鮮系アクター「UNK_DeadDrop」が開発者を標的にした大規模フィッシング活動を展開していると報告した。攻撃者は、約6週間で250通を超える攻撃メールを送信し、100以上の組織が標的になっているという。
()
AnthropicのAIコーディングツール「Claude Code」が注目を集めている。プログラマー向けの製品と思われがちだが、自然言語の指示で実際の成果物を出力する特性は、IT管理者やマーケティング担当者といった非開発者にこそ大きな価値がある。本Tech TIPSでは、コマンドライン不要で手軽に導入できるWindows 11向けのデスクトップアプリを活用し、環境構築から実際の簡易ツール作成、知っておくべき運用のコツまでを分かりやすく解説する。
()
Elasticは、「セキュリティ」「サーチ」「オブザーバビリティー」向けに、AIチャット上でインタラクティブなUIを出力するMCPサーバを公開した。
()
開発者が日常的に利用するJavaScriptテストフレームワーク「Vitest」に複数の深刻な脆弱性が見つかった。細工されたURLや特定の通信経路を悪用されると、開発環境そのものが攻撃者の足場になる可能性があるという。
()
Microsoftは「Build 2026」で、AI特化型デスクトップPC「Surface RTX Spark Dev Box」を発表した。NVIDIAの「RTX Spark」を搭載し、最大1ペタフロップスの演算性能と128GBのメモリにより、1200億パラメータ超のモデルのローカル推論や学習を可能にする。各種開発ツールもプリインストールされる。
()
CAMELORSがフリーランス／副業向け「JavaScript案件の年収レポート」を公開した。「平均年収814万円」「AI案件が約7％ある」といった実態が明らかとなった。
()
バイブコーディングの普及で社内ソフトウェアの開発は身近になった。一方でプロトタイプから本番利用へ移行する際の品質やセキュリティの確保に悩む企業もある。その課題に着目し、解決を図るのが「バイブ清書」だ。
()
オープンソースソフトウェア（OSS）の脆弱性に懸賞金をかけて発見を促し、対応を支援してきた米セキュリティ企業のHackerOneが、新規の報告受け付けを停止している。AIで生成された質の低い脆弱性報告の激増が原因といい、影響は主要OSSプロジェクトに及ぶ。同様の懸賞金プログラムを提供してきたGoogleも対応を強いられるなど、AIの影響が深刻化している現実が浮き彫りになった。
()
「TypeScript」エンジニアの平均年収が952万円となり、「Python」を上回った。INSTANTROOMの調査レポートを基に、TypeScript案件の年収水準や案件構成、働き方の傾向などを整理する。
()
GitHubで史上最速の勢いを見せるAIエージェント基盤「OpenClaw」。LLMが自らコードを書き、システムを操作する「実行レイヤー」の登場は、従来のデータ保護の概念を根本から覆す。情シスは「誰がデータを見るか」ではなく「AIがどう判断し動くか」という未知の壁にどう立ち向かうべきか。
()
AIがソフトウェアを書く時代が、いよいよ本格的に始まりつつある。「GitHub」の公開コミットの約4％が、米AnthropicのAIエージェント「Claude Code」によって書かれていて、2026年末には20％以上に達するという。この変化は、単なる「AIコーディングツール」の普及ではない。PCの使い方そのものが変わり始めている。
()
Aikido SecurityはAxiosの脆弱性「CVE-2026-40175」を分析し、重大とされた攻撃シナリオは「Node.js」の仕様によって成立しにくいと指摘した。ライブラリ自体の不備は認めており、修正版への更新など適切な対応を求めている。
()
オープンソースのJavaScript HTTPクライアント「Axios」に不正なコードが仕込まれたサプライチェーン攻撃。発端となったソーシャルエンジニアリングの手口が明らかになったことで、標的はAxiosにとどまらず、オープンソースエコシステムを狙った攻撃が他にも多発している実態が浮かび上がった。
()
ソフトウェア開発者を狙い、採用プロセスを装って悪意あるコードを実行させるソーシャルエンジニアリング攻撃が進化を続けている。Microsoftは公式ブログでサイバー攻撃の手口と対策について解説した。
()
2026年3月31日、毎週約1億ダウンロードされていた主要HTTPクライアントライブラリ「axios」の主要開発者アカウントが乗っ取られ、同ライブラリの依存関係にマルウェアが仕込まれた悪意のあるバージョンが公開された。影響範囲は大きく、侵害の全体像と対応の指針を示したGMO Flatt Securityのブログ記事が注目を集めた。本稿は同社で記事を執筆した米内貴志氏にインタビュー。記事では書かれなかった執筆者としての思い、相次ぐ「ソフトウェアサプライチェーン攻撃」の教訓を聞いた。
()
コーレは、AIコーディングエージェントを活用してスライド資料を作成・編集するためのオープンソースツール「DexCode」を公開した。開発者はターミナルを離れずに自然言語でスライドを作成できる。
()
レガシーなシステムの移行やモダナイゼーションを自然言語で効率的に実施したい――。この期待に応えるのがAWSの「AWS Transform Custom」だ。同サービスで実際に成果を出した事例を紹介する。
()
開発支援のAIツール「Claude Code」の名前を耳にする機会が増えている。現場が試し始める前に仕組みや扱い方を理解しておきたい場合に備えて、導入手順と活用例、利用時の注意点を紹介する。
()
GitHubは、AI支援開発ツールの「断片化」を解決する統合プラットフォームを紹介した。成功ビルドが84％増加し、「後で修正」の手戻り作業が大幅に減少するなどの成果を確認しているという。
()
Googleは「Antigravity」と「Gemini CLI」の選び方を解説するブログ記事を公開した。IDE型の統合環境を重視するか、CLIベースの自動化を重視するかで選択が分かれるという。
()
米Amazon Web Services（AWS）は、仮想プライベートサーバ（VPS）のAmazon Lightsailで簡単にOpenClawが導入できる、事前設定されたOpenClawインスタンスイメージの提供を開始しました。
()
JAXAは、地球観測データを利用するためのPythonパッケージ「JAXA Earth API for Python」のv.0.1.5を公開した。MCPをサポートし、生成AIツールで地球観測データを表示、分析できるという。
()
Java×Spring AIで始めるAIプログラミングの入門連載。前回までは、Spring AIを使ってMCPサーバを構築し、ファイル検索やリソース提供といった機能を実装する方法を解説してきました。今回は、作成したMCPサーバを「実際に使いこなし、システムとして完成させる」ステップへと進みます。
()
GitHubは「GitHub Copilot SDK」のテクニカルプレビュー版を発表した。計画立案やツール呼び出し、ファイル編集、コマンド実行などが可能なエージェント機能を、あらゆるアプリケーションに組み込むことが可能になるという。
()
Jamf Threat Labsは、北朝鮮に関連するとされる脅威アクターが悪意あるGitリポジトリを送付する手法を分析した結果を公開した。偽の採用プロセスを装って開発者を標的にしているという。
()
Googleは「Google Antigravity」と「Gemini CLI」という2つのAI開発ツールを提供している。両者共にシステム開発や運用、コーディングに利用可能なツールだが、どのような違いがあるのか。
()
2025年、GitHubにおける「最も成長している言語」の座を「TypeScript」が獲得した。なぜこの変化が起きたのか。「Python」すら押しのけてTypeScriptが選ばれた理由は何か。その技術的必然を解説する。
()
Node.jsは、全サポート系統を対象に複数の脆弱性を修正するセキュリティアップデートを公開した。重要度が高いVMモジュールのメモリ初期化不備や権限回避、HTTP/2の停止問題などへの対応が含まれる。利用者は速やかに最新版への更新が求められる。
()
React Routerは、Node.js用パッケージなどに深刻な脆弱性が存在すると報告した。署名なしCookieとの併用時に、指定外のファイルを読み書きされる恐れがある。CVSSスコアは9.1と高く、開発者は最新版への更新が推奨される。
()
技術トレンドの読み違えは、将来の「技術的負債」と「エンジニア採用難」に直結する。数百万サイトの追跡調査で判明した、口先だけの流行ではない「実戦で選ばれているWeb技術」の勝者を公開する。
()
開発者が何げなくたたくコマンドが、組織への侵入経路になる――。GitHubが警告する、npm環境を狙った自己増殖型ワーム「Shai-Hulud」。その狡猾な侵入プロセスと、情シスが講じるべき防衛策とは。
()
Microsoftは、Visual Studio CodeのInsiders版において「JavaScript/TypeScript Modernizer」（プレビュー）を公開した。古いJavaScript/TypeScriptアプリケーションのパッケージ更新やソースコードのモダナイズを支援するという。
()
Next.jsとReactの脆弱性を悪用し、短期間で数万台のサーバを侵害した大規模攻撃キャンペーン「PCPcat」が確認されている。攻撃は無差別に公開アプリを探索し、侵入後は認証情報を窃取して踏み台化する危険なキャンペーンだという。
()
IT人材が低収益な領域に偏り、日本はデジタル国難に直面している。IPA登大遊氏はこの構造を問題視し、GDP1000兆円達成へ向け、労働価値がスケールする領域への人材転換を提言した。
()
AWSは組織固有のレガシーコードの変換やランタイムのアップグレードに対応する「AWS Transform Custom」の一般提供を開始した。
()
AnthropicはAIアプリケーションを外部システムへ接続するための共通仕様「MCP」をLinux Foundation傘下の新組織AAIFへ寄付した。同社の狙いとは。
()
セキュリティSaaSを手掛けるAikido Securityは、npmパッケージを標的とした自己複製型ワーム「Shai Hulud」による2回目の大規模サプライチェーン攻撃を観測したと発表した。
()
セキュリティ研究者は速度測定アプリを装う不正ソフトウェアを発見した。Node.js環境や難読化JavaScriptを展開し、外部から任意の命令を受け付ける仕組みとなっていた。公式配布元からの入手徹底などの対策が求められている。
()
本連載ではローカルLLMの導入方法から活用方法に至るまで、「手元にハイエンドPCがあって、生成AIをローカル環境で動かしてみたい」という初心者の方にも分かりやすく連載で解説する。
()