技術

colleague.skill、yourself-skill、nuwa-skillなど「人間蒸留」OSSが中国を中心に爆発的に広がっている。同僚を蒸留するツールを見て「逆に自分を蒸留したら？」と思い、実際のやり方を調べた。

CVE-2026-40175: 3月のサプライチェーン侵害とは別件。axiosの設定マージがprototype pollution経由の汚染値をHTTPヘッダに流し、CRLF注入からSSRFまで連鎖する。1.15.0で修正済み。

2025年12月から悪用が続いていたAdobe Acrobat ReaderのプロトタイプPollution RCEに、2026年4月11日にパッチが配布された。CVSS 8.6、Priority 1。72時間以内の適用が推奨される。

AnthropicのClaude CoworkがリサーチプレビューからGA（一般提供）に移行。RBAC、グループ支出上限、利用分析、OpenTelemetryサポート、Zoom MCPコネクタ、ツール単位のアクセス制御の6機能を追加した。

UC BerkeleyのRDIチームがSWE-benchやWebArenaなど主要8ベンチマークを、タスクを一切解かずにほぼ満点まで操作できることを実証。7つの脆弱性パターンと自動攻撃ツールBenchJackも公開された。

ソフトバンクを中心にNEC・ホンダ・ソニーの4社が中核となり、3メガバンクや日本製鉄なども出資する国産AI新会社が発足。1兆パラメーター級の基盤モデルでフィジカルAI実現を目指す。

GoogleがChrome 146のWindows版でDevice Bound Session Credentials（DBSC）を正式リリース。TPMに秘密鍵を封じ込め、情報窃取マルウェアが盗んだクッキーを別デバイスで使えなくする仕組みを解説する。

2025年Maintainers Summitの合意に基づき、AIツールによるカーネル貢献のルールを定めた coding-assistants.rst がマージされた。Signed-off-by禁止、Assisted-byタグによる帰属表示、人間の全責任負担が柱。

GlassWormキャンペーンの最新波がZig言語でコンパイルしたネイティブバイナリをVS Code拡張機能に同梱し、マシン上のVS Code・Cursor・Windsurf・VSCodium・Positron全てに第2段ペイロードをサイレントインストールする。

Python notebookのMarimoでCVSS 9.3の未認証RCEが悪用された事例と、uvとruffを開発するAstralが公開したCI/CDパイプライン保護・Trusted Publishing・Sigstore attestationの包括的なOSSセキュリティ対策を対比する。

Google DeepMindのAI画像透かしSynthIDを、FFTベースのスペクトル分析で逆解析した研究。V3バイパスでSSIM 0.997を維持しつつ91%の位相除去を達成。不可視の透かしを除去する行為は著作権侵害になるのか、DMCA・EU AI Act・不正競争防止法の観点から検討する。

Sentence Transformers v5.4がマルチモーダル対応を追加。Qwen3-VL、NVIDIA Nemotronなど8つのEmbeddingモデルと4つのRerankerを統一APIで扱えるようになった。