11.9倍
TypeScript 7.0がVS Codeの型チェックを高速化した倍率
$5M+
「Ill Bloom」脆弱性で暗号資産ウォレットから流出した被害額
36,000+
AI侵入テストツール「Strix」のGitHubスター数
🔥 Top Stories
Appleは7月10日、カリフォルニア北部地区連邦裁判所にOpenAIを提訴した。OpenAIが自社の消費者向けAIハードウェア開発のため、Appleの営業秘密を組織的に窃取したとする内容で、訴状は「技術スタッフのメンバーからチーフ・ハードウェア・オフィサーに至るまで、あらゆる階層で、かつ事業パートナーとも連携しながら」機密情報を盗み続けてきたと主張している。名指しされたのはOpenAIのハードウェア責任者Tang Tan（元Apple副社長）で、Appleに在籍中の候補者に対しOpenAIとの面接に「実物の部品」を持参するよう指示していたとされる。またApple元社員のChang Liu氏は、退職時にApple支給のノートPCを持ち出し、未発表製品や技術仕様、社内プレゼン資料など機密ハードウェア関連ファイルを多数ダウンロードしていたと訴状は主張する。Appleはさらに、ある事業パートナーに金属加工の専有技術を見せる際、Appleの許諾を得ているかのように誤認させた事例もあると主張。現在OpenAIには元Apple社員が400人超在籍しているという。両社は2024年にApple IntelligenceへのChatGPT統合で提携したばかりであり、今回の提訴はその関係の劇的な反転となる。OpenAIは「他社の営業秘密には一切関心がない」とコメントしている。
🧠 OpenAIのハードウェア事業は、Jony Ive氏のio Products買収以来ずっと「次の一手」として注目されてきたが、今回の訴状はその開発の裏側でAppleの人材・機密情報への依存が疑われるほど深く食い込んでいたことを示唆する。真偽の判断は法廷に委ねられるが、AI企業同士の人材引き抜き競争がここまで露骨な法廷闘争に発展したのは象徴的で、今後は他のフロンティア企業でも「営業秘密の持ち出し」を巡る訴訟が連鎖する可能性がある。
- Appleはカリフォルニア北部地区連邦裁判所に提訴、OpenAIハードウェア責任者Tang Tan氏と元Apple社員Chang Liu氏を名指し
- Chang Liu氏はApple支給ノートPCを持ち出し、未発表製品情報を含む機密ファイルを多数ダウンロードしたと主張
- 現在OpenAIには元Apple社員が400人超在籍、2024年のApple Intelligence向けChatGPT統合提携からの急転
💡 AIハードウェア分野で採用・提携を進める開発者やスタートアップは、営業秘密の取り扱いに関する契約・持ち出し防止策を今まで以上に厳格化する必要がある。
TechCrunch
⏱ 4 min read
2026-07-10
SpaceXAIは新フラグシップモデル「Grok 4.5」を発表した。コーディング・エージェント的タスク・知識労働向けに設計され、買収予定（総額600億ドル、2026年第3四半期closing見込み）のCursorと共同でトレーニングされた点が特徴。数万基のNVIDIA GB300 GPUを用いて学習され、難易度の高いRust・C/C++タスクからプロンプトからのアプリ一括構築まで幅広くこなす。ターミナル型コーディングエージェント「Grok Build」の既定モデルとなり、Cursorの全プランおよびSpaceXAIコンソールからも利用可能。EUでの提供は7月中旬を目標に準備中。
- 価格は入力$2/出力$6（100万トークンあたり）、応答速度80TPSでトークン効率は競合の2倍を訴求
- Cursorとの共同トレーニング、Grok Build・Cursor全プラン・SpaceXAIコンソールから利用可能
SpaceXAI
⏱ 3 min read
2026-07-08
GiteaのDocker版に、CVSSスコア9.8の認証バイパス脆弱性（CVE-2026-20896）が発見され、実際の悪用が確認された。既定設定でリバースプロキシ認証（X-WEBAUTH-USERヘッダー）が有効な環境が対象で、REVERSE_PROXY_TRUSTED_PROXIESが既定の「*」のままだと、コンテナのHTTPポートに到達できる任意のクライアントが同ヘッダーを偽装するだけでパスワードなしに管理者を含む任意ユーザーへなりすませる。公開開示から13日後、ProtonVPN出口ノード経由のスキャンを起点とした実際の悪用が観測され始めた。現在インターネット上に約6,200件のGiteaインスタンスが公開されている。
- CVE-2026-20896はCVSS 9.8、Gitea 1.26.3・1.26.4で修正済み
- アップグレードできない場合はREVERSE_PROXY_TRUSTED_PROXIESを信頼済みIPに限定する回避策が必要
BleepingComputer
⏱ 4 min read
2026-07-10
⚡ Dev & Engineering
MicrosoftはGo言語で書き直したネイティブ移植版のコンパイラ・言語サービスを核とする「TypeScript 7.0」を正式リリースした。フルビルドで一般的に8〜12倍、VS Codeのコードベースの型チェックはTypeScript 6での125.7秒からTypeScript 7では既定設定で10.6秒へと11.9倍高速化した。6月18日のRC版から約3週間でのGA到達。strictモードや6.0時点の非推奨機能が既定で有効になる破壊的変更を含み、安定した公開APIはまだ提供されないため、一部エコシステムは7.1を待つ必要がある。
- VS Codeコードベースの型チェックが125.7秒→10.6秒（11.9倍）に高速化
- strictモード・6.0非推奨機能が既定で有効化、安定APIは7.1で提供予定
TypeScript Blog
⏱ 3 min read
2026-07-08
攻撃者がInjective Labsの公式GitHubリポジトリに、既存の貢献実績を持つ開発者アカウントを通じて悪意あるコミットを混入させ、週5万ダウンロードのnpmパッケージ「@injectivelabs/sdk-ts」のv1.20.21（7月8日公開）にマルウェアを仕込んだ。悪意あるコードはインストール時ではなく、開発者がウォレット鍵の生成・インポート関数を呼び出した際に発動し、ニーモニックフレーズと秘密鍵をbase64エンコードしてInjective Labsの正規インフラを装ったエンドポイントへHTTP POSTで送信する仕組み。パッケージは非推奨化されたが削除はされておらず、悪意あるリリース成果物は現在も取得可能な状態。
- 悪意あるv1.20.21は非推奨化までに310回ダウンロード、正規貢献者アカウント経由でリポジトリへ混入
- ウォレット生成・インポート関数呼び出し時にのみ発動する遅延実行型で検知を回避
The Hacker News
⏱ 3 min read
2026-07-10
Next.js 16.3が3本立てのプレビューブログ（@previewタグ配信）として公開された。目玉はTurbopackのメモリ退避（eviction）対応と永続ビルドキャッシュで、next buildにもキャッシュが及ぶようになった。ほかRust実装のReact Compilerサポート、import.meta.glob対応、クライアント駆動SPA並みの即時性を実現する「Instant Navigations」と「Partial Prefetching」も追加。安定版は引き続き16.2系のままで、16.3を使うにはプレビュー版へのオプトインが必要。
- Turbopackが永続ビルドキャッシュに対応、next buildの再ビルドを高速化
- Rust版React Compiler・Instant Navigations・Partial Prefetchingを追加、安定版は当面16.2系のまま
Next.js Blog
⏱ 3 min read
2026-06-29
FoxIOの研究者Sébastien Féry氏が7月8日、AlibabaのQUIC/HTTP3ライブラリ「XQUIC」の脆弱性「XRING」を公開した。QPACKテーブル用リングバッファの拡張処理で、4つあるコピー処理のうち1つが残存データのサイズを旧バッファではなく新バッファの容量基準で計算してしまうバグがあり、約260バイトの正規なQPACKトラフィックだけでサーバプロセスをクラッシュさせられる。認証もパケットの不正操作も不要。XQUICはオープンソースでTaobao・Alipayを支えるTengineにも組み込まれており、最新のv1.9.4を含む全リリースが影響を受ける。7月10日時点で修正版・CVE番号ともに未発行。
- 約260バイトのQPACKトラフィックのみでクラッシュ可能、認証・不正パケット不要
- 回避策はSETTINGS_QPACK_MAX_TABLE_CAPACITYを0に設定してQPACK動的テーブルを無効化するか、HTTP/3自体を停止
The Hacker News
⏱ 4 min read
2026-07-10
JetBrainsがHub・YouTrack・Kotlin・GoLand・TeamCity・IntelliJ系IDEなど製品群横断で、認証バイパスからリモートコード実行（RCE）に至る複数の重大脆弱性を修正した。CVE-2026-56141（CVSS 9.8）はアカウント復元コードの生成に弱い乱数生成器を使っていたため、未認証攻撃者が有効なコードを総当たりして管理者アカウントを含む任意アカウントを乗っ取れる欠陥。CVE-2026-50242はデータベースへの直接アクセスによる認証バイパスで、有効な認証情報なしに管理者権限を取得できる。KotlinはビルドキャッシュのメタデータでUnsafeなデシリアライズが可能で、ビルド実行中に任意コード実行につながる欠陥も確認された。
- CVE-2026-56141（CVSS 9.8）は弱い乱数生成のアカウント復元コードを悪用した完全アカウント乗っ取り
- Hub・YouTrack・TeamCity・IntelliJ系IDE・Kotlin・GoLandの修正版が既に提供済み、自己ホスト運用は即時アップグレード推奨
Cybersecurity News
⏱ 4 min read
2026-07-09