2026-07-19 のニュースまとめ

AI

習近平、「世界AI協力機関」を設立——途上国5000枠と並行AI秩序の構築

習近平がWAICOを設立し、グローバルサウス向けにAI訓練枠5000席を提供。 ASEAN・アフリカ連合・BRICSと協力センターを設置し、西側と並行したAIガバナンス体制構築を鮮明にした。

オープンウェイトモデルが最前線のサイバー性能に4〜7ヶ月差まで接近——英AI安全機関報告

GLM-5.2やDeepSeek V4-Proが最前線クローズドモデルとのサイバー能力差を4〜7ヶ月差に縮小。安全対策はほぼ機能せず、防御側の準備時間が著しく短縮されていると英国AI安全機関が警告。

米海軍、艦上LLM搭載の「AI-first」戦略——遅い採用こそ最大リスクと断言

米海軍が艦船上でLLMを直接稼働させる「AI-first」戦略に署名。アライメントの不完全さより「導入の遅さ」を最大リスクと位置付け、迅速展開を優先する方針。

AnthropicがClaude Fable 5の利用上限を削減——MaxとTeam PremiumはAPI課金へ誘導

7月20日からFable 5をMaxおよびTeam Premiumに含めるが利用上限を通常の50%に制限。 Proユーザーには100ドルクレジット付与後にAPI従量課金へ移行させる方針。

GPT-5.6がフルアクセス時にユーザーファイルを削除——OpenAIが誤動作を認める

GPT-5.6がファイルシステムへのフルアクセス付与時にホームディレクトリを削除する事例が複数発生。 OpenAIは意図しない動作と認め、エージェント型AIへの広範な権限付与のリスクが改めて注目される。

Kimi K3がDeepSeekに続き西側のコンピュート優位を問い直す

Moonshot AIのKimi K3が300人の従業員でAnthropicのOpus 4.8に匹敵する性能を達成と報告。米国の輸出規制の実効性を問う声が再燃し、西側AI企業の競争優位の根拠に疑問が呈されている。

MetaがAnthropicに余剰AIコンピュートを貸し出す交渉中——Zuckerbergの副業収益化計画

MetaがAnthropicと余剰データセンターリソースのリース交渉を進めていると報じられた。競合他社のハードウェアを借りるという構図は異例で、AIインフラ競争の多様化を示している。

OpenAIがAI時代のROI指標「スコアカード」を発表——有益な作業量・タスク単価・信頼性を評価軸に

OpenAI CFOがAI投資対効果を測る「スコアカード」を発表し、4指標で評価する枠組みを提示。企業のAI導入効果の定量化を容易にし、エンタープライズ採用加速を狙う。

AIレビューは「収束判定をモデルに任せると終わらない」——Fable 5とGPT-5.6での実験報告

マルチエージェントのコードレビュー実験で、AI同士のレビューが収束しない問題が確認された。外部から明示的な停止条件を定義し、収束判定を人間かルールベースで行う設計が推奨される。

Claude CodeとCodexを「人生の秘書」に——Personal AI System構築ガイド

Claude CodeとCodexを組み合わせてセッション横断の記憶を持つPersonal AI Systemを構築する実践ガイド。 Markdownベースのコンテキスト管理で日常業務全体をAIに委譲する設計思想が紹介されている。

セキュリティ

WordPress wp2shellのRCE脆弱性、公開エクスプロイトが出現——即時パッチ適用を

WordPressコアのSQLインジェクション経由の認証不要RCE（CVE-2026-63030/60137）の公開エクスプロイトが流通。 WordPress 6.8.6・6.9.5・7.0.2でパッチ済みのため即時アップデートが強く推奨される。

OpenSSL「HollowByte」DoS脆弱性——11バイトのTLSリクエストでサーバメモリを枯渇

わずか11バイトの悪意あるTLSペイロードで最大131KBのメモリを確保させ、繰り返しでサービス停止を引き起こす。 OpenSSLは膨大なサービスの基盤であり、影響範囲が広いため早急なパッチ適用が必要。

7-ZipがRCE脆弱性を修正——悪意あるアーカイブで任意コード実行、バージョン26.02へ更新を

7-Zipに悪意ある圧縮ファイルを開かせることで任意コード実行が可能な脆弱性が発見され修正された。自動更新機能がないため、ユーザーが手動でバージョン26.02をダウンロードする必要がある。

MicrosoftがACR Stealer攻撃の急増を警告——ClickFix手法でブラウザトークン奪取

ACR Steaerマルウェアによるエンタープライズ向け攻撃が急増し、Microsoftが警告を発出。 ClickFixでマルウェアを実行させ、ブラウザ保存パスワード・認証トークン・MS365ファイルを窃取する。

NadMeshボットネット、露出したAIサービスを標的にAWSキーを大量収集

Go製ボットネットNadMeshが公開状態のComfyUI・Ollamaを標的にスキャンし、3,811件のAWSキーを収集。認証設定とネットワーク露出の最小化が、AIサービス運用における必須対策となっている。

7件の悪意あるVite npmパッケージ、ブロックチェーンC2でRATを配布——サプライチェーン攻撃

Viteを狙った7件の悪意あるnpmパッケージが、ブロックチェーンベースの4層C2でRATを展開。 C2サーバのブロックが困難な新手口で、依存パッケージの審査と公式パッケージとの一致確認が重要。

中国系グループGoldenEyeDogがDigiCert侵害とコード署名証明書盗難に関与

2026年4月のDigiCert侵害がGoldenEyeDogサブグループによるものと特定された。コード署名証明書の盗難でマルウェアへの正規署名を狙った攻撃であり、CAインフラへの信頼を脅かす。

Abbott Laboratoriesが2件のサイバーインシデントを調査——恐喝要求も発生

医療機器大手Abbottが旧来システムへの不正アクセスとポータル侵害疑いの2件を同時調査中。レガシーシステムのリスクと、医療・製薬分野が攻撃者の高価値標的となっている現実が浮き彫りに。

（収集エラー: Reddit r/netsec）

その他 IT

Waymo、停電によるサンフランシスコサービス停止から再開——インフラ依存の脆弱性が露呈

停電を起因としてWaymoが一時運行停止し、その後再開した。 AVサービスが都市交通として拡大する中、電力・通信インフラ障害への耐性設計が商業展開の鍵となる。

連邦職員、業務用スマホへのTikTokインストールが再び可能に——司法省が方針転換

米司法省が連邦政府職員の業務デバイスへのTikTokインストール禁止を撤廃した。データプライバシー問題は依然未解決であり、今後も米中間で政策が揺れ動く可能性がある。

LGゲーミングモニター、Windows Updateを悪用してユーザー同意なしにアドウェアをインストール

LGモニターをHDMIで接続するとMcAfee等のアプリがWindows Update経由で自動インストールされると判明。周辺機器メーカーがOSの更新機構を利用してソフトを配布する手口への批判が高まっている。

無料オープンソースのオフラインマップアプリ「CoMaps」——広告なし・追跡なし

OpenStreetMapベースのオフラインナビアプリCoMapsが、プライバシー重視ユーザーの選択肢として注目。徒歩・自転車・ドライブに対応し、インターネット不要・位置情報の外部送信なしで利用できる。

Hardcore IndieWeb：完全独立のウェブサイトを1日0.01ドルで運営する方法

VPS・静的サイト・自己ホスト型ソフトウェアを組み合わせ、外部プラットフォームに依存しないウェブを実現。中央集権型SNSやクラウドへの依存を減らしたいエンジニアへの実践ガイドとしてHacker Newsで高評価。

AI生成デザイン案を指示に使うと「仕様が曖昧」でデザイナーと揉める問題が拡大

AI画像を発注の参考資料に使うケースが増えているが、実装仕様が不明確でトラブルになるケースが多発。グリッドやインタラクション設計を含まないAI画像は「デザイン仕様書」として機能しない点が問題の核心。

2026年に米国で販売終了・廃止されたEVモデル一覧——Honda Prologueも撤退

Honda Prologueを含む複数のEVモデルが2026年に米国市場から撤退し、中間価格帯の淘汰が進む。一方でEV充電インフラは急速に改善されており、市場再編と普及基盤整備が同時進行する過渡期にある。

ニューヨーク市長、不動産広告でのAI生成画像の非開示を禁止へ——賃貸詐欺対策

ニューヨーク市がAI生成の物件画像に開示義務を設ける方針を表明し、賃貸詐欺への対策を強化。地方自治体レベルのAI生成コンテンツ規制は今後も増加が見込まれる。

（収集エラー: Ars Technica, The Verge）