技術

Shai-HuludワームがGitHubでオープンソース化、TeamPCPがBreachForumsで派生攻撃チャレンジを開催

2026年5月12日にTeamPCPがShai-HuludワームをGitHub公開。Datadog解析でモジュール構成（Loader/Provider/Collector/Dispatcher/Sender/Mutator）とClaude Code SessionStartフック実装が判明、5月15日にBreachForumsで金銭報酬付き派生攻撃チャレンジが始動、コピーキャットによるFreeBSD対応PRも既に投下。検知の追加ポイントまで整理

OpenClawのClaw ChainはAIエージェント侵害として見るべき脆弱性連鎖

OpenClaw 2026.4.22で修正されたClaw Chain（CVE 4件の連鎖）を、対応優先度・検知ログ・ローテーション対象まで整理。OpenShellのTOCTOU、heredoc展開、MCPループバックのowner偽装を、AIエージェント基盤の運用視点でつなげて読む。

BERTはキーワード検索から文脈検索へ何を変えたか

DEV CommunityのBERT解説を、Google Searchでの2019年導入、masked language model、OCR校正やEmbedding検索との違いから読み直す。生成ではなく文脈を読むエンコーダーとして見ると使いどころがはっきりする。

Khalaは24GB VRAM前提のオープン音楽生成システム

KhalaをGitHubと論文から確認した。64層RVQの音響トークン、Backbone＋Super-resolutionの二段構成、約52GBのモデル、24GB VRAM推奨、tags/naturalで投げる生成リクエスト、現行リリースの品質不安定告知まで。

DellのジャンクノートにMageia Linuxを入れる実機作業ログ

ジャンクで買ったDellノートにMageia Linuxを入れる過程を、機材紹介からUSB書き込み、実機ブート、初回設定まで作業順に記録する。

xAIのx-algorithm更新でXのFor Youフィードが手元で少し動かせるようになった

2026-05-15のx-algorithm更新を確認した。Phoenixの実行パイプライン、約3GBのモデル成果物、Grox、広告混合が入り、1月公開版より検証できる範囲が広がっている。

Anima-Base v1.0をM1 Maxで動かしてpreview3-base / WAI-Animaと比較、既存LoRA互換性と Turbo LoRA を多軸で検証した

CircleStone LabsがAnimaの正式版 Anima-Base v1.0 を公開した。M1 Max 64GBで preview3-base / WAI-Anima と並べると生成時間は275〜285秒でほぼ同じ。WAI-Anima向けに学習した既存 kanachan LoRA を v1.0 に当てると、軽い指定では3シードとも崩壊、Turbo 1.0 × kana 0.75 のスイートスポットでも9シードヒット率22%。一方で衣装パーツを明示する重い指定 + Turbo + kana 1.0 を9シード回すと約67%まで上がる。閾値はプロンプト側にあって、WAI-Anima ベースとの差は aesthetic tuning と追加学習データに由来する、v1.0 で多様な衣装も含めて運用するなら再学習が必要というのが結論。

Bunの100万行Rust移植がmainに入った

Bun PR #30412でZig製コアのRust移植がmainに入った。6755コミット、100万行超の追加、canaryで試せる状態まで進んだ。通常版へ入る前に最適化とクリーンアップが残る。

node-ipc 9.1.6、9.2.3、12.0.1に開発者シークレット窃取バックドア

node-ipcの悪意ある3バージョンはpostinstallではなくCommonJSのrequire時に動く。9.xと12.0.1の実行条件、lockfile、__ntwプロセス、DNS TXT流出の痕跡まで確認する。

楕円曲線とモジュラー形式が同じものになる理由とついでにフェルマーの最終定理

楕円曲線 y² = x³ + ax + b の群構造、モジュラー形式とのL関数による同一視（谷山-志村）、フライの曲線でフェルマーの最終定理がどう矛盾に追い込まれるか、を図と数式で追う

Next.jsのWebSocketアップグレードSSRFはセルフホストだけが踏むCVE-2026-44578

CVE-2026-44578は、Next.jsの組み込みNode.jsサーバーをセルフホストしている環境でWebSocketアップグレードリクエストから内部HTTPリクエストを投げられるSSRF。Vercel上は対象外で、15.5.16または16.2.5以上への更新が修正になる。

Composer CVE-2026-45793でGitHub ActionsトークンがCIログに平文露出

Composer 2.9.8と2.2.28で修正されたCVE-2026-45793。GitHubの新形式GITHUB_TOKENがハイフンを含むことで検証に落ち、CIログへ平文表示される条件と、GitHubの再ロールアウト前に確認する範囲を整理する。