当サイトではアフィリエイト広告を利用しています。
今日のAIニュース5選
PHPで未認証のリモートコード実行につながる重大な脆弱性が公表され、修正版が公開されました。AIを使った調査が脆弱性の発見と修正準備を支えた点も注目されています。研究では数千のAIエージェントが膨大なマウス脳データを32分で分析し、Claude Duetはユーザーが離れた後も作業を続ける研究プレビューを始めました。セキュリティ、科学、日々の仕事で、それぞれ異なる形のAIエージェントが登場しています。
1. OpenAIの協調調査でPHPの重大脆弱性に修正版
10月21日、PHP公式は認証なしで外部からコードを実行されるおそれがある重大な脆弱性2件（CVE-2026-109618とCVE-2026-109619）と、修正版のPHP 8.5.12、8.4.27、8.3.36、8.2.35を公表しました。同日、OpenAIは「Patch the Planet」の取り組みを通じ、今回の脆弱性に関する調査と修正準備を支援したと発表しました。影響対象はWebリクエストを処理するPHP環境で、PHP-FPM、Apache mod_php、php-cgi、FrankenPHP、LiteSpeedなどが例示されています。CVE-2026-109618はメモリー確保時の異常処理に、CVE-2026-109619は処理後に残った内部状態に関係する問題です。
OpenAIの説明では、AI企業CalifがGPT-5.6 Solを利用して脆弱性の一つを発見し、Wizも2件を独立に発見して報告しました。PHPのメンテナーが修正とリリースを主導し、OpenAIやWiz、Cloudflareなどが調査、技術支援、調整を担いました。複数の関係者が公開前に対策を準備する時間を取り、各系列の更新版と案内をそろえた点が、今回の対応の大きな特徴です。
PHPはWebサイトやWebアプリケーションを動かすプログラミング言語です。問題が見つかった時点で知らせるだけでなく、利用中の構成を特定し、修正を配布するまでの連携が欠かせません。PHP公式は、サポート対象の各系列で更新版を確認するよう呼びかけています。PHP 8.1以前の系列はPHPプロジェクトで通常の更新提供が終了しており、利用者はディストリビューションや長期サポート提供元が用意する修正を確認します。運用者にとっては、PHPのバージョンと稼働方式を確認し、ホスティング事業者やパッケージ提供元の更新案内を追うことが、自分の環境へ修正版を反映する第一歩です。AIによる脆弱性発見を実際の防御につなぐには、メンテナーやホスティング事業者、利用者まで修正を届ける過程が重要になります。
2. AnthropicのClaude Duet、離席中も仕事を続ける研究プレビュー
10月21日、Anthropicは個人向けエージェント「Claude Duet」の研究プレビューを発表しました。利用者はiOS・AndroidアプリやWebから依頼でき、Claude Duetはクラウド上の専用環境とブラウザーを使って、利用者がアプリを閉じた後も作業を続けます。朝にメールや予定を確認して優先事項をまとめたり、接続したアプリを使って調査や資料作成を進めたりする使い方が示されています。
主な違いは、毎回の質問に返答するだけでなく、しばらく続く仕事を預かり、節目で知らせる設計です。Claudeのメモリー、スキル、接続済みアプリを引き継ぎ、作業の完了時や判断が要る場面で通知します。AnthropicはClaude Opus 5.5を使い、接続アカウントを数時間ごとに確認すると説明しています。確認頻度や利用枠への負荷も考慮しながら、ユーザーへ連絡するタイミングを調整している段階です。
メール送信、支払い、書類への署名、削除などは実行前に内容を示し、利用者の承認を求めます。一方、プレビュー中はブラウザー操作を画面上で見たり、途中で引き継いだりできません。対象は米国のClaude Pro・Max利用者で、ウェイトリストから順次案内される研究プレビューです。Pro・Maxプランに追加料金なしで含まれますが、バックグラウンド確認や長い作業も契約プランの利用上限に含まれます。Microsoft 365は現在の対応範囲に含まれていません。エージェントに仕事を預ける便利さと、どの操作を本人が確定するかを一緒に設計している例です。
3. Microsoft、AIを活用した攻撃と毎分2,900回のサインイン試行を報告
10月21日、Microsoft Security ResearchとMicrosoft Threat Intelligenceは、中国国家と連携する主体と評価するStorm-0940が、エージェント型の侵入テスト用フレームワーク「ARTEX」を攻撃に利用したと報告しました。Microsoftによれば、活動は早ければ2026年9月に始まり、航空宇宙、金融、政府、製造など幅広い分野の数百組織が標的になりました。同社はStorm-0940がConnectWiseのマルチテナントアプリ侵害に関与したと評価しています。
ARTEXはAIモデルを使って偵察や認証の試行などを自動化できるオープンソースの侵入テスト用フレームワークです。攻撃側は侵害されたConnectWiseアプリの認証情報を使い、接続先のMicrosoft 365環境へサインインを試みました。Microsoftは2,250を超えるテナントへの試行、毎分2,900回に達するサインインのペースを説明しています。10月10日から14日にかけて、8組織の327アカウントを対象にしたパスワードスプレー（同じパスワード候補を複数のアカウントで試す攻撃手法）では、15万件を超える認証失敗イベントを観測しました。
複数の環境ではクラウドの特権アクセスが取得され、Microsoftは標的の選定から特権アクセスまで3時間未満だった事例も挙げています。今回注目すべきは、既存の認証情報悪用や偵察を自動化し、攻撃を速めて対応時間を縮めた点です。Microsoftは、顧客データへのアクセスや流出を確認するには、成功したサインインや対象アプリの存在に加えて個別の証拠を調べる必要があると説明しています。組織にとっては、サードパーティーアプリに与えた権限と、クラウド内で各アプリを識別するサービスプリンシパル（アプリ用のIDと権限設定）のサインイン記録を調べる重要性が改めて示されました。
4. 数千のGPT-Rosalindエージェント、マウス脳データを32分で解析
10月21日、OpenAIはPerturbAI、Scripps Researchと共同で、数千のAIエージェントを使って大規模な生物学データを解析したと発表しました。チームが対象にしたのは、遺伝子を操作したときにマウス脳の各細胞で何が起きるかを記録した全脳CRISPRアトラスです。GPT-Rosalindを使うエージェントは、遺伝子ごとに細胞の反応を読み、関連する科学文献を調べ、結果を説明する仮説を提案しました。既存データの分析と結果の統合は32分で完了したと報告されています。
研究チームは、同様の文献調査と分析を一つずつ人手で行うと数か月から1年かかると見積もっています。単一エージェントとの比較では、最大規模の課題で分散型のエージェントが700件超の文献を参照した一方、単一エージェントは11件でした。同じモデルと利用資源で行った盲検比較（評価者に報告の生成方式を知らせない評価）では、75%のケースで分散型エージェントの報告が単一エージェントの報告より好まれました。
解析では、関連する二つの遺伝子Tsc1とTsc2を損なった場合の差や、神経変性疾患に関係するDCTN1とコレステロール代謝とのつながりが候補として示されました。こうした出力は、大量の測定データと分野をまたぐ文献の中から、次に検証する価値のある問いを見つける研究支援として位置づけられています。研究者が仮説を選び、実験で確かめる工程を前に進めるため、分散型の解析がどれだけ探索範囲を広げられるかを示す事例です。
5. Perplexity Computer、Mac上でモデルからタスク実行までローカル対応
10月20日、Perplexityは「Computer」をMac上で完全ローカル実行できるモードを発表しました。対応するApple silicon搭載Macでは、AIモデルだけでなく、エージェントの実行基盤やタスク処理も端末上で動かせます。許可したローカルファイルや、Notes、Messages、Mail、Numbersなどの対応アプリを使い、複数段階の作業を進める設計です。利用できるローカルモデルとしてQwen 3.6と、Qwenを追加学習したPPLX Proが案内されています。
これまでのHybrid Computeは、クラウド側の推論とMac上のファイル処理を組み合わせる方式でした。今回のローカル実行ではタスクの計画、推論、ファイル処理をMac内で行う選択が加わり、データをどこで処理するかを利用者が選びやすくなります。ブラウザーで最新情報を調べる、クラウド上のサービスと連携するなど、追加機能が必要な仕事は許可に応じてクラウドへ切り替えられます。ローカルのモデル実行と外部サービスの利用を分けて考えられる点が、データの扱いを選ぶうえでの特徴です。例えば、端末に保存した資料の処理はMac上で行い、最新情報の検索は許可に応じてクラウドの機能を使うといった分け方ができます。
対象はPerplexity Pro、Max、Enterpriseの利用者で、最新のMacアプリとApple silicon搭載機が必要です。Perplexityはローカル実行に36GB以上のメモリーを推奨しています。ローカルAIを業務へ持ち込む際は、処理場所を選べる利点と、手元のMacでモデルを動かすためのメモリー・計算資源を合わせて検討できます。ブラウザーやオンラインサービスを使う作業では、ローカル実行中もネット接続が必要です。
まとめ
PHPの脆弱性をめぐる協調対応と、Microsoftが報告した攻撃の高速化。今回のニュースでは、AIを使う防御側と攻撃側の動きが対照的でした。数千のエージェントによるマウス脳データの32分解析も、研究の進め方を考えさせる成果です。Claude Duetは離席中の仕事を引き受け、Perplexity ComputerはMac内でタスクを動かす選択肢を示しました。それぞれの技術が、実際の仕事や研究でどう使われていくか注目したいところです。
今日の注目アイテム
ゲームやクリエイティブ用途で大容量と高速アクセスを求めるPCに向く内蔵SSDです。PCIe Gen4×4対応で7,000MB/s超えの読み込みに対応し、片面実装のM.2 2280タイプと5年保証も選ぶ理由になります。
最新のグラフィックスカードを使う自作PCに対応しやすい、750Wの80 PLUS BRONZE認証電源です。ATX 3.1・PCIe 5.1対応に加え、120mmファンと複数の保護機能を備え、安定性を重視して選びたい方に向いています。
第13・12世代Intel Coreプロセッサー向けのLGA1700対応mATXマザーボードです。PCIe 5.0やPCIe 4.0 M.2、USB Type-Cを備え、冷却性と拡張性を重視したコンパクトな自作PCに向いています。
