AI時短ラボ
検索
1面2026年（令和8年）10月22日（木）第5号10月22日 6:11発行ニュース約13分・コラム約4分

日刊AIニュース

10月22日（木）号

第5号・10月22日 6:11発行

きのうの要点　PHPの重大な脆弱性2件（10点満点中9.2）の修正版が公開され、日本では修正版の公開前から多くの会社がサービスを止めました。Anthropic は Claude API の新バージョンで temperature などを送ると400エラーにし、OpenAI のモデルは Google Cloud で招待制のプレビューに入っています。

重大な穴、修正版

PHPに重大な脆弱性2件、修正版が公開　OpenAIは自社モデルが発見を助けたと説明

PHP公式のアドバイザリによると、重大な脆弱性2件（CVE-2026-109618・CVE-2026-109619）は CVSS v4.0 で10点満点中9.2（Critical）で、修正版は 8.5.12・8.4.27・8.3.36・8.2.35 です。日本では国家サイバー統括室と高市早苗首相のアカウントが対応を呼びかけ、修正版の公開前から pixiv や BASE などがサービスを止めました。OpenAI は、Calif が GPT-5.6 Sol を使って欠陥を特定し、Wiz も同じ2件を独立に見つけたと説明し、PHPのバージョン確認ツールを GitHub で公開しています。

PHPに10点満点中9.2の重大な脆弱性2件、修正版が公開

なぜ大事か記事によると、WordPress本体やプラグインを最新にしても今回の穴は直りません。穴があるのはその下で動くPHPです。レンタルサーバーなら会社のお知らせと管理画面でPHPの版を確かめ、自分でVPSに入れたなら自分で更新します。公式は8.1以前には更新を出さないと書いています（7.4〜8.1にはソースから作る人向けの最小限の修正あり）。OpenAI の確認ツールは表示されたバージョンだけで判定し、「UNKNOWN」は修正済みを意味しないとREADMEにあります。「攻撃者より先に見つけた」は OpenAI の認識で、第三者の検証は記事が確認したページにありません。

API新版、3設定が400エラー

Claude APIに新バージョン「2026-10-21」　temperature・top_p・top_kは送ると400エラーに

Anthropic は10月21日、Claude API の新バージョン2026-10-21と、これを既定で送るSDK（Python 2.0.0、TypeScript 1.0.0など）と ant CLI 2.0.0 を公開しました。公式の移行ガイドによると、新しい版では temperature・top_p・top_k を送ると、値が既定値でも全モデルで400エラーになります。新しいSDKとCLIのライセンスは MIT から Apache 2.0 に変わります。

なぜ大事かSDKを上の新しい版（Python 2.0.0など）に上げると、2026-10-21が送られます。temperature を下げて出力を安定させていた処理は、送るのをやめるか、その処理だけ2023-06-01のままにする必要があり、ガイドは代わりの設定はないとしています。Claude 4.7以降のように既定値しか受け付けないモデルは挙動が変わりません。2023-06-01の提供終了日は、記事が確認したページに書かれていません。Amazon Bedrock で2026-10-21を使えるのは Claude 4.7以降のモデルだけです。

OpenAIのモデル、GCPで提供へ

OpenAIのモデルとCodexが Google Cloud の Model Garden に　いまは招待制のプライベートプレビュー

OpenAI と Google Cloud は10月21日、OpenAI のモデルと Codex を Google Cloud の Model Garden で提供すると発表しました。Google Cloud によると、GPT-6 Astra・GPT-6.1 Sol・GPT-6 Luna が一部の企業顧客向けにプライベートプレビューとして展開中で、OpenAI は一般提供を数週間以内に予定しています。購入は Google Cloud Marketplace 経由で、GCPの利用コミットメントを充てられると OpenAI は説明しています。

なぜ大事かGoogle Cloud の説明では、利用料は1枚の Google Cloud 請求書に載り、別々のベンダー契約は要りません。ただし OpenAI の申込フォームによると今は招待制で、プレビューは本番ではなく承認された開発・社内用途向けです。モデルごとの単価と日本での提供時期は記事が確認したページに無く、データ非保持（ZDR）は「近日」の扱いです。OpenAI は、Microsoft が主要クラウドパートナーであり続けるとも書いています。

AIの天気主要AIの稼働状況

開いた時点の各社の公式ステータスページの値。晴れ＝正常・くもり＝メンテナンス・雨＝障害

コラム

名札は確かめた、中身は見ていなかった──OpenSSHの「認証前の4,500行」が届かなくなるまで

玄関で来客の荷物を受け取り、宛名を確かめる前に箱を開けて中身を広げてしまう。Anthropic が10月20日に公開した研究に出てくる OpenSSH の話は、たとえるならそんな順番の問題でした。同社の説明によると、OpenSSH 10.4 の sshd では、耐量子署名 ML-DSA-44 のための約4,500行の新しい実験的コードに、認証前のクライアントから既定の設定で届いていました。ML-DSA は既定では有効ではありません。それでも管理者が明示的に外していても、デーモンはクライアントが送る鍵の種類をまず解析し、そのあとで許可された種類かを確かめていたといいます。約4,500行は、既定の sshd の認証前コードの約16%にあたるそうです。同社は OpenSSH の開発者に報告してパッチも送り、10.5 で確認が解析より前に移りました。話はここで終わりません。Claude は 10.5 の確認に2つの穴があると指摘しました。1つ目は、確認がクライアントの申告するアルゴリズム名を見る一方で、解析器は鍵のデータの中の型文字列で選ばれていたこと。ssh-ed25519 と名乗って確認を通り、ML-DSA の鍵を送れば解析された、と同社は書いています。2つ目は証明書で、攻撃者が用意した証明書があると、設定を確かめる前に埋め込まれた CA の署名検証が走っていました。宛名を確かめるようになっても、宛名と中身が同じとは限らなかったわけです。最終的に、鍵の種類と証明書の CA 署名アルゴリズムを、読み込みや検証の前に許可リストと突き合わせる変更が解析器の中に入り、同社によるとメンテナーは 10.6 でこれを出荷しました。既定のビルドで、認証前の未認証クライアントが到達できたコードの約5分の1が届かなくなった、というのが同社の説明です。この研究が投げかけているのは、脆弱性を1件ずつ探して直すやり方への問いです。同社は「重大な脆弱性を1件直しても、残りの脆弱性については何もわからない」と書き、外から届くコードそのものを減らせば、まだ見つかっていない脆弱性の深刻度もまとめて下げられる、と主張しています。その翌日、OpenAI は PHP の重大な脆弱性2件について、GPT-5.6 Sol を使った Calif が欠陥を特定したと説明し、「今後数か月で似た発見が急増すると予想する」とも書きました。AI が穴を見つける速さが上がれば、直す側の手が追いつかない場面も出てくるかもしれません。見つけた穴を1つずつふさぐのとは別に、そもそも外から届く場所を狭めておく。筆者には、地味でも効きそうな備えに見えます。もっとも、493件は Claude が「見つけた問題」の数で、開発元が受け入れた数や直した数は記事が確認したページに書かれていません。数字はすべて Anthropic の集計で、同社自身もデータを「一部を先行して見せるもの」と位置づけています。宛名と中身を照らし合わせる手間は、発表を読む側にも求められているようです。

コラムは筆者の見方を含みます。事実はリンク先の記事と、その出典によります。

きょうの仕事のAI

仕事で使う道具の変更を、影響の大きい順に2件。各項目に公式の出典があります
  1. ChatGPT　新機能ロックしたチャットを履歴や検索から隠せる
  2. Gemini　新機能Google Chatに会議の要約カード（Meet連携）
2面ほかのニュース・これからの期限・きょうの1問10月22日（木）号

Claude と ChatGPT のまわり

Claude Duet、米国のPro・Maxで順番待ち開始

Anthropic は、Claude が先回りして知らせ、ユーザーが離れている間も作業を続けるアプリ「Claude Duet」のリサーチプレビューを始めました。最初の対象は米国のProとMaxの契約者でウェイトリスト制です。メッセージ送信・支払い・署名・削除の前には承認を待つと同社は説明しています。記事

Claudeで「外から届くコード」を減らす研究

Anthropic によると、25のオープンソースで Claude が493件の問題を見つけ、OpenSSH では認証前に届く約4,500行の実験的コードに関する修正が10.6に入りました。数字は同社の集計です。記事

ChatGPTの広告は回答とは別のサービスで選ぶ

OpenAI は広告配信の仕組みを公開し、追加学習したLLMが広告候補を集めてオークションに推薦し、回答の生成とは別のサービス・別のモデルで動くと説明しました。広告の年換算売上は10億ドル超、広告主は10万社超と同社は書いています。記事

Google

Agents CLI、ADKなしでLangChainのエージェントも

Google はエージェント開発用の Agents CLI に、コマンドを上書き・追加できる拡張機能を加え、v1.8.0では ADK に依存しない LangChain 用の公式テンプレートで Cloud Run へ出せると発表しました。拡張機能は実験的扱いです。記事

Google CloudのA5X、Vera Rubin搭載で来月一般提供

NVIDIA の発表によると、Vera Rubin NVL72 を載せた Google Cloud の A5X は来月一般提供で、欧州への拡大も計画中です。同社によると、Google Cloud は複数拠点で最大96万基の Rubin GPU まで広げる計画です。料金や日本での提供は書かれていません。記事

東南アジアの生成AI利用者は2.43億人

Google・Temasek・Bain の報告によると、東南アジアのデジタル経済は2026年に前年比17%増の3,680億ドルの見通しで、生成AIの利用者は就業人口の58%にあたる2.43億人です。日本は対象に含まれていません。記事

GTC Berlin：手元で動かす機器とオープンモデル

DGX Spark 64GBは10月23日、$4,999から

NVIDIA によると、64GB版は Acer・ASUS・Dell など6社から10月23日に提供が始まり、Windows版の DGX Station は12月に出荷予定です。日本での価格や販売は、記事が確認したページにありません。記事

画像と文章を横断して検索するNemotron 3.5

NVIDIA は Embed・Rerank・Parse の計5モデルを公開し、記事が確認した4モデルのカードはライセンスを OpenMDW-1.1 と表示しています。Rerank を足すとエージェントの推論トークンが約14%減ったとしていますが、同社が特定の3ベンチマークで測った結果です。記事

学習なしでDBから予測するKumo Relational

NVIDIA は、解約・需要・不正などをタスクごとの学習なしで予測する基盤モデルを重み付きで公開し、15のDB・41タスクで教師あり手法を上回ったと発表しました。数字は同社側の評価です。記事

欧州向けにオープンモデル7系統

NVIDIA は GTC Berlin で、表形式データの Kumo、量子向けの Ising、タンパク質設計の RFD4-Proteina など7系統のオープンモデルを発表しました。Alpamayo 2 Edge は「今月後半」の公開予定です。記事

タンパク質設計をブラウザで、専用GPUは11月4日まで無料

NVIDIA とワシントン大学IPDの RFD4-Proteina を Hugging Face Spaces で試せます。専用GPUのSpaceは11月4日まで無料です。同じ比較の数字が、ブログでは76.40、モデルカードでは71.60と食い違っています。記事

GTC Berlin：エージェントとデータを守る基盤

エージェントの制限と監視を「外側」に置く設計

NVIDIA は OpenShell、Vera CPU、BlueField-4 上の Sentry を組み合わせる参照アーキテクチャを発表しました。OpenShell 本体は Apache 2.0 で公開されていますが、Sentry の提供は技術ブログによると来年初めの予定です。記事

社内データをエージェントに使わせる基盤

NVIDIA は Agent Toolkit に Agent Knowledge Foundation を加え、Auto-Ontology ライブラリや Kumo のモデルなどで構成すると発表しました。Palantir・Databricks・Snowflake の連携例を挙げていますが、料金や提供地域は記事が確認したページにありません。記事

実行中のモデルとデータを守る仕組みにベアメタル版

NVIDIA は Confidential Computing に「Confidential Bare Metal」を加え、Grace Blackwell NVL72 と HGX/DGX Rubin NVL8 に対応を広げたと発表しました。Cohere は統合を計画し、Google Cloud は A4X Max で対応を広げるとしています。記事

GTC Berlin：AIファクトリーと供給網・通信網

AIファクトリーの冷却水を「ほぼゼロ」に

NVIDIA は、液冷とドライクーラーの組み合わせで施設の冷却水消費をほぼゼロにでき、MaxLPS は同じトークン数を最大30%少ない電力で出せると発表しました。最も暑い時期に補助の冷却が要るかは現地の気候しだいと、同社自身が書いています。記事

AIファクトリーをコンテナで、導入は最短14日

NVIDIA は Vera Rubin の AIファクトリーを工場で組み立てたコンテナで届ける DSX POD を発表し、準備済みの用地での導入を6か月から最短14日に縮めると説明しました。提供は2027年初めの予定です。記事

基板は3年で2.5倍、IBIDEN大野工場も

NVIDIA は供給網の6社と生産能力の拡大計画を発表し、日本の IBIDEN 大野工場には「数十億ドル規模」の前払いで能力を現在の3倍にする目標を示しました。いずれも計画・目標です。記事

基地局でAIも動かすAI-RAN、商用網で通話

NVIDIA によると、T-Mobile が米ベルビューの商用網で Nokia・NVIDIA と AI-RAN 通話を完了しました。「世界初」は同社の表現です。BT と Deutsche Telekom は2027年の試験を計画しています。記事

GTC Berlin：工場・ロボット・自動運転

工場運営エージェントの設計図FOX、GitHubで早期公開

NVIDIA は FOX を GitHub で早期アクセスにしたと発表しました。同じ記事で、Siemens のエアランゲン電子工場で回路基板の検査工程の校正時間を40%減らした例を紹介しています。FOX を使う取り組みのコスト削減20%は見積もりです。記事

Isaac Lab 3.0が一般提供、参照ヒューマノイドは2027年初頭

NVIDIA はロボット開発基盤 Isaac を拡充し、Isaac Lab 3.0 を一般提供にしました。Agile Robots のヒューマノイド Agile ONE SN は2027年初頭の提供予定で、重量は NVIDIA が40kg、Agile Robots が43kgと書いていて食い違っています。記事

シミュレーション用3Dアセット2,000点超を無料公開

NVIDIA はロボットや AIファクトリー向けの OpenUSD アセット2,000点超を、Hugging Face で無料・ゲートなしで公開したと発表しました。記事はライブラリ本体のページを開けず、点数は自分では確認できていません。記事

欧州勢の自動運転、Hyperionで展示

NVIDIA によると、Bolt は規制当局の承認を前提に、2027年にマドリードで走行データの収集を始める計画です。安全の証拠を作る枠組み Halos SAFE と、2Bパラメータの推論モデル Alpamayo 2 Edge も発表されました。記事

この号はここまで

ニュース約13分・コラム約4分。/daily を開くと、いつでも最新の号が出ます

この号のつくり：前の朝6時から今朝6時（日本時間）までにこのサイトで公開したAIの記事を、AIを使ってまとめ、記事の本文と照らし合わせて確かめています。号の中の事実は、すべてリンク先の記事に書いてあることです。「AIの天気」は開いた時点の各社の公式ステータスページの値、「きょうの仕事のAI」と「これからの期限」は各社の公式の告知によります。

バックナンバー