LinuxカーネルのCVE-2026-98432について、Amazon Linuxなどで修正版が公開されています。 特定のMPTCP条件では遠隔コード実行が実証されましたが、実攻撃は未確認です。管理者は利用中カーネルと各ディストリビューションの情報を確認し、更新後は必要な再起動まで実施してください。 「Linuxならすべて即座に遠隔乗っ取り」という話ではなく、MPTCPの利用条件が重要です。一方、更新ファイルを入れただけでは古いカーネルが動き続けるため、再起動までが対応です。

見てる。 300倍て。 --- WordPress Coreの脆弱性（CVE-2026-87902）への攻撃が急増中⚠️ 公表から5日で攻撃元IPが約300倍に。CSCの観測データと対策をまとめたレポートが公開されました👇 #サイバーセキュリティクラウド#

【⚠️ Outlookを使っている方へ。更新を確認してください】 11月11日、国内のサイバーセキュリティ専門機関「JPCERT/CC」が、Microsoft製品のセキュリティ更新について注意喚起しました。 今回、Outlookの脆弱性（CVE-2026-124194）が、実際の攻撃で悪用されていることも確認されています。 細工されたメッセージファイルを開くと、ログイン時の本人確認に使われる情報が漏れる可能性があります。 修正プログラムはすでに公開されています。 WindowsでOutlookを使っている方は、次の2つを確認してみてください。 ✅ ① Outlook（Office）の更新【特に重要】 1. Outlookを開く 2. 「ファイル」→「Office アカウント」 3. 「更新オプション」をクリック 4. 「今すぐ更新」を選択 ✅ ② Windowsの更新 1. 「スタート」→「設定」 2. 「Windows Update」を開く 3. 「更新プログラムのチェック」をクリック 4. 更新があればインストールして再起動 ※①は主にクラシックOutlookの操作です。新しいOutlookや会社管理のPCでは更新方法が異なる場合があります。 また、心当たりのないメールの添付ファイルは開かないようにしましょう。 まずは自分のパソコンが最新の状態になっているか、確認してみてくださいね。 他に仕事などでOutlookを使っている方にも、ぜひ共有してください。 出典：JPCERT/CC（2026年11月11日）

セキュリティ責任者(CISO)専用の業務基盤を掲げるPulse Security AIがステルスを解除し、Foundation Capital主導・Zetta Venture Partners参加で800万ドルのシード資金を調達した(https://www[.]globenewswire[.]com/news-release/2026/07/15/3327850/0/en/pulse-security-debuts-operational-management-platform-built-for-security-leaders.html)。 CEOのMike Armistead氏は「CFOには基幹業務システム(ERP)があり、CROには顧客管理システム(CRM)がある。セキュリティの責任者だけは、それに相当するものを持ったことがない」と語る。実際、セキュリティプログラムはスプレッドシートやスライド、属人的なノウハウ(tribal knowledge)で回されてきたという。米国立標準技術研究所(NIST)によれば脆弱性識別番号(CVE)の登録件数は2020〜2025年で263%増加、脆弱性データを追跡するVulnCheckの調査では2025年だけで884件が新たに悪用され、うち約29%はCVE公開と同日かそれ以前に攻撃が始まっていたという。 Pulseが80件超のCISOインタビューから見出した共通の悩みは、取締役会でも経営陣の前でも規制当局の監視下でも拠り所にできる「常に最新の状態を保った権威ある記録」が無いことだった。そこでEDR(端末の侵入検知)やクラウド、ID管理といった技術サイロと評価レポートなどの非構造データを1つにつなぐ「文脈グラフ」というアーキテクチャを採用し、散らばった情報を1枚の地図として扱えるようにしている。 創業者のMike ArmisteadとRobert Hippsは、SOC(セキュリティ運用センター)自動化のRespond Softwareを共同創業し2020年にFireEye/Mandiantへ1億8600万ドルで売却した実績組。Armisteadは以前にもアプリケーションセキュリティの先駆けFortify Softwareを創業しHPに売却(2010年)、Nick GilliganはRespondの初期メンバーで後にMandiantとGoogleでAIエンジニアリングを率いた。 他部門には当たり前の「専用の基盤ソフト」がCISOだけ無かったというのは、言われてみれば確かに歪だ。

『脱過激化』(小川 忠著@作品社) 産経新聞6/14 宗教とテロ暴力がなぜ結びつくのかという現代社会の深刻な問題に対し、本書は世界で注目を集める「脱過激化」の取り組みを詳述します。テロから宗教を切り離すことを目指し、海外諸国におけるCVE（暴力的過激主義対策）の研究と実践を具体的に紹介。オウム真理教など日本で起きた事件にも触れながら、日本がこの国際的な「脱過激化」研究と実践にどう関わるべきか、その意義を深く考察する一冊です。…

🔄Loop Engineeringとはなにか？ もう「AIにプロンプトを打つ」作業は終わりにしませんか？これからは、エージェントを自律的に回す仕組みそのものを設計する時代です。AIコーディングのパラダイムシフトの正体に迫ります。 💡 1. プロンプトからシステム設計への転換 従来のAIコーディング（AI-assisted Coding）は、人間がループの「中心」にいました。 👨‍💻 これまでのアプローチ: 人間がコンテキストを考え、プロンプトを打ち、AIの出力を読み、手元でテストを実行し、エラーが出たら再度プロンプトを打つ。AIは「高機能な関数」や「道具」であり、制御の主体は常に人間です。 🔄 ループエンジニアリング: 人間はループの「外側」に出て、システム全体のデザイナー（作者）になります。仕事の検知、AIへのコンテキスト注入、出力の自動テスト、進捗の記録、次のステップの判断という一連のライフサイクルを小さなプログラムに実行させます。 ここで重要なのは、AIモデルがシステムにおける「サブルーチン（部品）」へと降格し、代わりに環境（テストスイートやリポジトリの状態）からのフィードバックをループ処理する構造へ進化したという点です。 ⚙️ 2. ループを駆動する5つのコアコンポーネント＋1つの記憶 抽象的な概念を動くシステムに落とし込むため、ループは以下のコンポーネントに分解されて設計されます。 ① ⚡ 自動化（Automations） ループの心臓部であり、発火トリガーと停止条件を定義します。 ツール（Claude CodeやCodexなど）では、単に定期実行する /loop だけでなく、明確な終了条件（例：「すべてのテストがパスするまで」）を満たすまでAIを回し続ける /goal コマンドなどがこれに該当します。条件が達成されるか、ハードストップ（予算や上限回数）に達するまで回り続けます。 ② 🌳 ワークツリー（Worktrees） 複数のAIエージェントが並列で動く場合、同じディレクトリで作業するとファイルの衝突（コンフリクト）が発生します。これを防ぐため、Gitの worktree 機能を使い、エージェントごとに独立した作業ディレクトリとブランチを隔離して自動生成します。機械的な衝突を回避し、並列性を担保する基盤です。 ③ 🧠 スキル（Skills） リポジトリのルールやコンテキストをカプセル化したものです。 通常、AIは実行ごとに前回の文脈を忘れますが、SKILL.md のようなファイルに「このプロジェクトのビルド手順」「命名規則」「過去の障害から得た注意点」を明文化しておくことで、AIは毎実行時にそれを読み込み、プロジェクト固有のシニアエンジニアのような振る舞いを固定化できます。 ④ 🔌 プラグイン／コネクタ（Connectors） filesystem（ローカルファイル）しか見えないAIを、本物の開発環境につなぐ架け橋です。 Model Context Protocol（MCP）などをベースに、GitHub（PR作成やIssue取得）、Linear/Jira（チケット更新）、Slack（人間への通知）、Sentry（エラーログの取得）と接続します。これにより、AIが「修正案を出す」だけでなく「Issueを読んで、コードを直し、PRを送り、Slackに報告する」というエンドツーエンドの行動が可能になります。 ⑤ 🤖 サブエージェント（Sub-agents） 役割を分担された独立したAIインスタンスです。「コードを書く役割（Maker）」と「コードを検証・レビューする役割（Checker）」を完全に分離します。 ➕ 💾 記憶：状態ファイル（State File） 地味ですが、ループの成否を分ける最も重要な要素です。STATE.md やJSONファイル、あるいは外部のチケット管理システムに「現在どのブランチが進行中で、何が完了し、次に何をすべきか」を永続化します。「エージェントは忘れるが、リポジトリは忘れない」という原則に従い、昨日の続きを今日のループが再開できるようにします。 🕰️ 3. なぜ「ただのcron（定期実行）」ではないのか？ 懐疑派から「1975年に発明されたcronジョブのリブランド（名前の付け替え）に過ぎないのではないか」という指摘があります。これは半分正解で、半分は間違いです。 スケジュールやトリガーのレイヤーは確かにcronそのものです。しかし、従来のcronは「固定されたスクリプトを機械的に実行するだけ」でした。 ループエンジニアリングが異なるのは、ループの真ん中に「状況を動的に判断する意思決定者（LLM）」がいる点です。 テストが落ちたとき、どのファイルをどう修正すべきか、コンテキストをどう組み立て直すかという分岐は、ハードコードされた if/else ではなく、AIの推論によって動的に決定されます。工学的な面白さは、この「崖から落ちるかもしれない不確実な意思決定者」の周りを、いかに硬牢な自動テストやガードレールで固めるかというシステムデザインにあります。 ⚠️ 4. コストと運用リスクの現実 熱狂的な議論で無視されがちなのが、経済性とセキュリティの現実です。 💸 膨大なトークン消費（コスト） コード生成自体は安価になりましたが、ループを回すと「コンテキストの再読み込み」「リトライの繰り返し」「探索パターンの実行」により、トークン消費量が爆発的に増加します。 実際に、米Uberではエンジニア1人あたり月1,500ドルの上限を設けたにもかかわらず、年間のAI予算をわずか4ヶ月で使い切った事例があります。「最大反復回数」「金額上限」「進捗ゼロ検知による強制終了」の3つのガードレール（ハードストップ）の設計が不可欠です。 🛡️ 攻撃面の拡大（セキュリティ） 無人で動くループは、無人で動く攻撃面（アタックサフェース）になります。AIコーディングツールに起因するCVE（脆弱性）が多数確認されており、コマンドインジェクションやSSRF、XSSのリスクがあります。また、外部から取り込んだ「スキル」の説明文がプロンプトインジェクションの経路になり、デバッグログ経由で認証情報（資格情報）が漏洩するケースも監査で報告されています。 🧩 理解の負債（Comprehension Debt） AIが高速でコードを書き、テストが通ってマージされ続けると、リポジトリ内のコードベースと「人間の理解度」の距離がどんどん離れていきます。これを「理解の負債」と呼びます。最も高くつくのはトークンの請求書ではなく、「チームの誰も読んだことがなく、構造を理解していないシステム」をある日突然人間がデバッグしなければならなくなるコストです。 🛠️ 5. 実践：4条件テストと最小実用ループ（MVL）の構築 ループエンジニアリングを実務に導入する際は、厳格な仕分けとステップが必要です。 📋 導入のための4条件テスト 1. タスクが繰り返されるか？（週1回未満なら、手動プロンプトや使い捨てスクリプトの方が早い） 2. 検証が完全に自動化されているか？（テスト、型チェック、Linter、ビルドが悪い出力を100%機械的に弾けるか。これがないと人間がレビューの椅子に縛り付けられる） 3. トークン予算が無駄を吸収できるか？（従量課金で予算に余裕がない場合は無謀） 4. エージェントが環境を操作する道具を持っているか？（ログ確認や再現環境など） 🚀 最小実用ループ（MVL）から始める手順 最初から複雑なマルチエージェントを組むとシステムは確実に崩壊します。以下の順番でボトムアップに構築します。 1. 手動実行の確実化: 1回の手動プロンプトと環境操作で、タスクが完全に完了することを確認する。 2. スキルの文書化: その際のコンテキストや制約を SKILL.md にまとめる。 3. ループのラップとゲート配置: AIが書いたものを自動テスト（ゲート）にかけ、失敗したらAIに戻すという1サイクルを組む。 4. スケジューリング: 最後にそれをcronやイベントトリガーで自動化する。 🎯 レバレッジの支点は「コードを書くこと」から「コードを書く仕組みを定義し、検証すること」へ移動しました。人間は、AIが自分の宿題を甘く採点しないよう、冷徹な「検証ゲート」を設計するエンジニアであり続ける必要があります。