80%
スタートアップが中国製AIモデルを使っている確率（a16zパートナー談）
574,661
SleeperGemが乗っ取ったFastlaneプラグインの累計ダウンロード数
87%
CursorのOpus+Composerハイブリッドが実現したコスト削減率（$10,565→$1,339）
🔥 Top Stories
ルーマニアの不動産登記を管轄する国立地籍局（ANCPI）が、身代金要求の交渉が決裂した末にデータベースを完全に消去される攻撃を受けた。攻撃者は「ByteToBreach」を名乗り、セキュリティ企業KELAの分析によりアルジェリア・オラン在住のZakaria Mahdjoub容疑者と特定されている。同容疑者はスウェーデンの電子政府ポータルなど複数の政府機関への侵入歴を持つ人物だという。侵入は2026年7月14日にデータ削除が始まったことで表面化し、翌15日には盗まれた従業員の認証情報・内部文書・ネットワーク構成情報がハッキングフォーラムで売りに出された。被害はデータベース本体だけでなく公式アプリ・ウェブサイト・メールサーバーにも及び、公式システムは1週間にわたり停止した。この間、公証人は不動産取引を登記できず、市民は所有権証明や地籍情報を取得できない状態が続いた。ANCPIはウェブサイトを復旧させた上で「ネットワーク全体をゼロから再構築している」と発表しており、オフラインバックアップを保持していたことが壊滅的なデータ喪失を免れた要因とみられる。
🧠 ByteToBreachが氏名まで特定されている点は他の国家インフラ攻撃と一線を画すが、動機は愛国主義でも諜報でもなく身代金交渉の決裂という即物的なものだった。注目すべきは、被害が壊滅的にならなかった理由がANCPIの高度な防御設計ではなく「オフラインバックアップを取っていた」という基本的な運用慣行に過ぎなかったことだ。同種のバックアップ体制を持たない政府機関であれば、同じ攻撃で不動産の権利関係そのものが失われかねない。ゼロからのネットワーク再構築を進めるとANCPIは述べているが、再侵入を防げる保証がどこにあるのかは今回の発表だけでは検証しようがない。
- 攻撃者はByteToBreachを名乗り、KELAの分析でアルジェリア・オランのZakaria Mahdjoub容疑者と特定。スウェーデン電子政府ポータルなど複数政府機関への侵入歴あり
- 2026年7月14日にデータ削除開始、翌15日には従業員認証情報・内部文書・ネットワーク構成情報がハッキングフォーラムで売りに出され、公式システムは1週間停止
- データベース以外にメールサーバーも被害、ANCPIはネットワーク全体の再構築を発表。オフラインバックアップの保持が壊滅的データ喪失を回避した要因
💡 政府機関や重要インフラを運用する開発者は、身代金交渉の決裂が「データ完全消去」という最終手段に直結し得ることを踏まえ、オフラインかつ復元検証済みのバックアップを平時から用意しておく必要がある。
Risky.biz
⏱ 5 min read
2026-07-20
▲ 516
ブロガーのBen Werdmullerが、米国の閉鎖的・独占的なAI開発戦略が中国の「オープンウェイト戦略」に負けつつあると論じた。根拠として、a16zパートナーMartin Casadoの発言「スタートアップの8割が何らかの中国製モデルを使っている可能性が高い」を引用し、AlibabaのQwenやMoonshotのKimi K3がOpenAI・Anthropic比で「桁違いに低いコスト」で匹敵する性能を主張している状況を挙げる。AIモデルに技術的な参入障壁がほぼ存在しない以上、オープン戦略はエコシステム全体の採用を通じて優位に立つとWerdmullerは主張し、現在の米国のAI支出（経済の主要な牽引役）がこのままでは失速しかねないとして、公共AI基盤や連合型サービス、オープン研究への支援転換を提言している。
- a16zパートナーMartin Casado発言「スタートアップの8割が中国製モデルを使用している可能性」を根拠に、オープンウェイト戦略の実質的な市場浸透を指摘
- AlibabaのQwenやMoonshotのKimi K3がOpenAI・Anthropic比で低コストながら匹敵する性能を主張、AIモデルには技術的参入障壁がほぼ存在しないため公開戦略が優位とWerdmullerは論じる
werd.io
⏱ 4 min read
2026-07-19
▲ 788
数十年来未解決だった数学予想に対する反例を、AIが人間より先に発見する事例が相次いでいる。OpenAIのSolはエルデシュの単位距離予想をGolod–Shafarevich定理を用いて否定し、3週間で120万行のLeanコードとして形式証明した。同じくSolはグロタンディークの有限平坦群スキーム予想（60年来の未解決問題）への反例も1076行のLeanファイルで発見。AnthropicのClaude Fableは100年来のヤコビアン予想を否定する反例を自動形式化し、別のPhD学生は保型性持ち上げ定理の証明に約2週間で25万行のLeanコードを生成した。いずれも非形式的な議論ではなくLeanによる形式検証を経ている点が共通する。
- OpenAIのSolがエルデシュの単位距離予想をGolod–Shafarevich定理で否定、3週間で120万行のLeanコードとして形式証明。60年来のグロタンディーク有限平坦群スキーム予想への反例も1076行のLeanファイルで発見
- AnthropicのClaude Fableが100年来のヤコビアン予想の反例を自動形式化、PhD学生は保型性持ち上げ定理の証明に約2週間で25万行のLeanコードを生成
xenaproject.wordpress.com
⏱ 4 min read
2026-07-20
▲ 92
⚡ Dev & Engineering
RubyGemsで、長期間活動のなかった正規メンテナーアカウントを乗っ取る形のサプライチェーン攻撃「SleeperGem」が発覚した。新規パッケージgit_credential_managerや既存のDendreo、574,661ダウンロード実績を持つfastlane-plugin-run_tests_firebase_testlabなど複数gemが乗っ取られ、公開Forgejoインスタンスからバイナリを取得するドロッパーが仕込まれた。CI環境では実行をスキップし開発者端末のみを狙う設計になっている。
- git_credential_manager（新規、4バージョン）、Dendreo（2017年からの既存パッケージに2バージョン追加）、574,661ダウンロード実績のfastlane-plugin-run_tests_firebase_testlabなど複数gemを乗っ取り
- 公開Forgejoインスタンス（git.disroot.org）からバイナリを取得するドロッパーを仕込み、SSL検証無効化・出力抑制など版を追うごとに手口を洗練、CI環境では実行をスキップし開発者端末のみを標的化
aikido.dev
⏱ 4 min read
2026-07-19
Cursorの研究チームが、プランナーとワーカーを階層化した「エージェントスワーム」構成で、SQLiteをRustで再実装させる実験を実施。Opus 4.8をプランナー、Composer 2.5をワーカーに使う組み合わせは、GPT-5.5単独運用の10,565ドルに対しわずか1,339ドル（約87%減）でテスト100%通過を達成した。独自のバージョン管理層により秒間1,000コミットの処理も可能にしている。
- Opus 4.8（プランナー）+Composer 2.5（ワーカー）の組み合わせがテスト100%通過を1,339ドルで達成、GPT-5.5単独運用の10,565ドルよりコスト87%減
- 独自バージョン管理層で秒間1,000コミットを処理（旧スワームは時間あたり1,000コミット）、マージコンフリクトも旧実装の7万件超から1,000件未満に激減
Cursor Blog
⏱ 5 min read
2026-07-19
▲ 64
DDR5メモリのオンダイECCについて、実装のばらつきを検証した記事。DDR5規格は128ビットあたり8ビットの誤り訂正符号を義務付けるが、サブチャンネルあたり40ビットの完全なハミング保護を持つEC8 DIMMと、36ビットで簡略化されたEC4 DIMMが混在しており、業界が謳う「DDR5 RDIMMは全てEC8」という説明は実態と異なることが判明した。MozillaのFirefoxクラッシュの15%はRAMのハードウェアエラーに起因するという報告も紹介している。
- DDR5はサブチャンネルあたり128ビット中8ビットの誤り訂正を規定するが、完全なハミング保護のEC8（40ビット）と簡略化されたEC4（36ビット）が混在、「DDR5は全てEC8」という業界説明は不正確
- Mozilla技術者によればFirefoxクラッシュの15%がRAMハードウェアエラー起因、著者は自身の環境で約5時間に1回のメモリ破損を確認したとして、重要データを扱う機器へのECC義務化を提言
etbe.coker.com.au
⏱ 4 min read
2026-07-19
▲ 108
「完璧」と「過剰設計」を混同すべきでないと論じるエッセイ。過剰設計とは要件定義を誤ったまま実装だけ丁寧に仕上げることであり、要件と制約が明確であれば唯一の最適解に収束するため完璧な設計は十分に達成可能だと主張する。3人のエンジニアが5つのマイクロサービスでデータ整合性（外部キー制約）を犠牲にした事例を挙げ、実際には直面していなかったスケーリング問題のために独立デプロイを選んだ判断を批判している。
- 過剰設計の本質は「要件定義の誤り」であり、要件と制約さえ明確なら唯一の最適解に収束するため「完璧」は達成可能と主張
- 3人のエンジニアが5つのマイクロサービスに分割し外部キー制約によるデータ整合性を犠牲にした事例を提示、実際には直面していないスケーリング・オーナーシップ問題のための分割だったと指摘
var0.xyz
⏱ 4 min read
2026-07-18
▲ 162
Linuxカーネルのネットワークスケジューラ（RED）に、2024年1月の導入から2.5年間放置されていたuse-after-free脆弱性が発見された。`tcf_qevent_handle()`が`tcf_classify()`の`TC_ACT_CONSUMED`応答を処理し損ね、解放済みバッファへの参照が残る不具合が原因。研究者はスラブUAF→ページUAF→ページテーブルエントリ破壊→物理メモリの任意読み書きという4段階の攻撃チェーンを構築し、非特権ユーザー名前空間からroot権限奪取が可能なことを示した。CVE番号は本稿執筆時点で未割当。
- `tcf_qevent_handle()`が`TC_ACT_CONSUMED`応答時にバッファを誤って呼び出し元に返す不具合が原因、2024年1月導入から2.5年間未発見のままだった
- スラブUAF→ページUAF→ページテーブルエントリ破壊→物理メモリ任意読み書きの4段階チェーンを構築、非特権ユーザー名前空間のみで完全なカーネルメモリ操作とroot権限奪取が可能
1day.dev
⏱ 5 min read
2026-07-19