概要 Appleは9月9日、「Surprise and Shine」と題した恒例の秋の発表イベントを開催し、新CEOジョン・ターナス氏にとって初のキーノートとなる場で、同社初の折りたたみ式iPhone「iPhone Duo」を披露した。展開時には7.6インチの連続ディスプレイとなり、Apple Pencilにも初対応する。価格は256GBから2TBまでのモデルで1,999ドルからとなり、歴代iPhoneの中で最も薄く、かつ最も高額な機種となった。同イベントではiPhone 18 Pro/Pro Maxシリーズ、AirPods 5、Apple Watchの新モデルも同時に発表された。 折りたたみiPhone「Duo」の特徴 Duoは折りたたむとパスポートほどのサイズになり片手での操作が可能で、開くとiPadに近い大画面デバイスへと変化する。iPad同様のマルチアプリ表示に対応し、Apple Pencilが使えるのはiPhoneとして初めてとなる。Touch IDはサイドボタンに統合され、フェイスIDに加えた認証手段として搭載された。カメラは48MPのデュアル構成で、AIを活用した「Smart Take」機能により撮影を支援する。この分野ではSamsungのGalaxy Z Fold（2019年発売)やGoogleのPixel Fold(2023年発売)が先行しており、Appleの参入は折りたたみ市場における大手ベンダーの一角がようやく揃ったことを意味する。 同時発表された新製品 主力ラインのiPhone 18 Pro/Pro Maxシリーズは、DSLRのような可変絞りを備えたカメラを搭載し、低照度性能と深度合成が強化された。AIによる生成画像かどうかを検出する機能や、編集を防ぐ「Reference Image」の保存機能も新たに加わった。価格はProが1,199ドルから、Pro Maxが1,299ドルから。AirPods 5は業界トップクラスのノイズキャンセリングとハンズフリーのSiri、リアルタイム翻訳機能を備え129ドルから。Apple Watch Series 12は心拍数計測の頻度を高め、健康管理アプリを再設計した上で399ドルからの価格設定となっている。 背景と今後の展望 ターナス氏は今回の発表で「新しい体験を可能にする」と述べ、Duoをその象徴的な製品として位置づけた。一連の価格上昇は、AI需要の拡大に伴う世界的な半導体不足が要因とされる。直近の四半期でiPhone部門は前年比22%増の542.5億ドルの収益を報告しており、新CEO体制下でも高い成長を維持している。折りたたみ市場では既にSamsungやGoogleが数年先行しているだけに、Appleの本格参入が今後この分野の競争や普及をどう加速させるかが注目される。

概要 Google DeepMindは9月8日、ヒトゲノムで理論上起こりうる一塩基変異(SNV)90億通りすべてについて、その分子的影響をあらかじめ予測したデータベース「AlphaGenome Atlas」を公開した。予測にはDeepMindが開発したAIモデル「AlphaGenome」を用いており、RNAスプライシング、遺伝子発現、クロマチンアクセシビリティなど数千種類の分子的効果を網羅する。さらにミスセンス変異予測モデル「AlphaMissense」と統合した単一指標「AVI(AlphaGenome Variant Impact)スコア」により、個々の変異の影響度を一つの数値で把握できるようにした点が特徴だ。これまで実験的に検証することが事実上不可能だった規模のゲノム変異を、計算科学によって網羅的にマッピングした試みといえる。 開発の背景と技術的アプローチ ヒトゲノム上で起こりうる一塩基変異は90億通りにのぼり、これを実験室ですべて検証することは不可能とされてきた。DeepMindは、2億件以上のタンパク質立体構造を予測し研究コミュニティに広く活用されている「AlphaFold」データベースの成功戦略を踏襲し、AlphaGenomeによる大規模予測を無料の研究基盤として公開することで、ゲノム機能解析を民主化する狙いがあるとしている。公開形態は、学術研究向けの無料ウェブポータルに加えてAlphaGenome API、Google Antigravity上でのスキル提供という複数の経路が用意されており、Google Cloudを通じた商用利用も近く開始される予定だ。 実証研究と専門家の評価 DeepMindはAtlasの有用性を複数の実証研究で示している。希少疾患研究に取り組むGREGoR Consortiumとの協力では、てんかん脳症に関連するDNM1遺伝子の変異を特定・検証した。また英国バイオバンクの約54,000人分のデータを用いた形質解析では、非コード領域の変異による遺伝子との関連を従来より22%多く検出できたという。Broad InstituteのAnne O’Donnell-Luria氏とLaura Covill氏の研究では、AVIスコアを用いて変異を絞り込んだ結果、AlphaGenomeの予測が変異の機能様式を具体的に示したことが示され、University of ExeterのGareth Hawkes氏は統計的ノイズの低減効果を実証したとしている。 今後の展望と課題 DeepMindのチームはAlphaGenome Atlasについて「終着点ではなく出発点(a baseline rather than an endpoint)」と位置づけており、モデルの改良に伴って予測精度は今後さらに向上する見込みだとしている。一方で、現時点では医療診断への使用は承認されておらず、あくまで研究用途のツールという位置づけである点には注意が必要だ。疾患関連変異の絞り込みや創薬標的の探索において研究者の効率を大きく高める可能性がある一方、臨床応用に向けては規制上の検証プロセスを経る必要があり、今後の実用化の進展が注目される。

概要 Googleはフィンランドで、2027〜2028年の2年間に130億ユーロを投じるAIインフラ拡張計画を発表した。この投資を支える電力調達策の柱として、フィンランドの電力大手フォルトゥム（Fortum）とロヴィーサ原子力発電所の電力を対象とする22年間の電力購入契約（PPA）を締結している。契約は2028年に低い比率で開始し、2030年から2049年にかけて発電所の発電能力の最大50%をGoogleが購入する内容で、米国外では同社初となる原子力由来電力の長期契約となる。生成AIの普及でデータセンターの電力需要が急増する中、Googleが原子力という安定電源に長期契約という形で踏み込んだ象徴的な事例といえる。 ロヴィーサ原発の延命とフォルトゥムの狙い ロヴィーサ原発はVVER-440型の加圧水型炉2基からなり、1号機は1977年、2号機は1981年に稼働を開始した老朽施設で、現在もフィンランドの電力の10%超を供給し、地元で580人の雇用を支えている。運転認可は2023年2月の延長承認により2050年末までとされているが、フォルトゥムは「大規模な延命投資なしには2030年以降も脱炭素電源として稼働を続けることはできない」と説明してきた。今回のGoogleとのPPAは、総額約10億ユーロとされる延命投資（うち7億ユーロは追加承認が必要)に対する収益の予見可能性をもたらすもので、既に着手済みの出力増強（2028年完了予定で38MWe、さらに最大10MWeの追加余地）とあわせ、発電所を2050年まで安定運転させる後ろ盾となる。 風力・蓄電池とデータセンター拡張計画 Googleの130億ユーロ投資には原子力だけでなく再生可能エネルギーへの取り組みも組み込まれている。ValoremとSuomen Hyötytuulが開発するオンショア風力発電について新たにPPAを結び、Googleが契約する風力発電の総容量は629MWに達した。さらにカイアーニ近郊には出力94MWのバッテリーシステムを2027年後半の稼働を目指して新設し、需給調整と価格変動の緩和を図る。新設データセンターはハミナ、カイアーニ、ムオス、ヴァーラの4地域に置かれ、送電事業者フィングリッド（Fingrid）やビジネス・フィンランドとの連携により立地を選定したとしており、オウル・カイアーニ地域への設置は今後20年間でフィンランドの電力消費者に約5億2000万ユーロの節約をもたらすとの試算も示されている。Googleは「エネルギー影響プログラム」を通じ、公営住宅への太陽光パネル設置や学校・スポーツ施設への蓄電池・ヒートポンプ導入、照明の省エネ化など地元自治体への支援も行う方針だ。 AI電力需要の急拡大という背景 この大型投資の背景には、生成AIの普及に伴うGoogleの電力需要の急増がある。同社の2025年の電力需要は前年比37%増と過去最大の伸びを記録しており、Scope1・2排出量を2%削減する成果を上げているものの、AIインフラの拡大速度が電力網の脱炭素化のペースを上回りつつあることから、従来掲げてきた野心的な気候目標の達成は一段と難しくなっているとアルファベットのプレジデント兼最高投資責任者ルース・ポラト氏は認めている。同氏は今回の投資について「技術インフラの拡張と、新たな発電容量、送電網の強化、エネルギー価格の抑制策を組み合わせるものであり、責任ある形で事業を拡大するというGoogleの姿勢を裏付けるものだ」と述べた。原子力・風力・蓄電池を組み合わせた今回のフィンランドでの取り組みは、AI時代の電力調達戦略のモデルケースとして他地域にも波及する可能性がある。

概要 JetBrainsは9月5日、自社が提供するクラウドコンピューティングサービス「Cadence」が不正アクセスを受け、AWS認証情報やソースコード、設定ファイルなどが窃取されたと公表した。侵入の突破口となったのは、自社のCI/CDプラットフォーム「TeamCity」に存在する未パッチの重大脆弱性CVE-2026-63077(CVSS 9.8)。攻撃者はエージェントポーリングプロトコルを介してこの脆弱性を悪用し、api.cadence.jetbrains.comのTeamCityサーバープロセスとして任意のOSコマンドを実行した。開発ツールベンダー自身が自社製品の未パッチ脆弱性によって侵害されたという構図であり、ソフトウェアサプライチェーン全体へのリスクとして注目されている。 侵害の経緯 CVE-2026-63077はTeamCity On-Premisesの2025.11.7または2026.1.3より前のバージョンに存在する、認証不要でリモートコード実行が可能なデシリアライゼーションの脆弱性で、今年7月に公開された。米CISAは8月5日、既知の悪用された脆弱性(KEV)カタログにこれを追加している。攻撃は8月8日から24日にかけて行われたとみられ、JetBrainsが不審な活動を検知したのは8月23日。翌24日に対象サーバーをオフラインにし、28日にCVEの悪用を確認、31日には攻撃者が2024年時点のCadenceサーバーバックアップにアクセスしていたことを確認した。9月3日にはクラウドストレージ上のデータ露出も確認され、調査が完了している。 窃取されたデータと影響範囲 攻撃者が入手したデータは多岐にわたる。ユーザー名や実名、メールアドレス、最終ログイン日時、IPアドレスといったアカウント情報に加え、複数のAWS IAMユーザーとその認証情報、S3バケット内のファイル、Slackトークンやサイニング証明書などの設定・シークレット情報、さらにはPyCharm経由で同期されていたプロジェクトのソースコードも含まれるとみられる。CadenceはPyCharmから直接クラウドGPU上で機械学習や計算負荷の高いワークロードを実行できるJetBrainsのホスト型サービスであり、TeamCityと同様にリポジトリや依存関係、パッケージレジストリ、デプロイシステムへのアクセス権を持つことから、攻撃者にとって価値の高い標的となっていた。 JetBrainsの対応と今後の懸念 JetBrainsは影響を受けたバージョンに対する修正パッチをすでに公開しており、ユーザーに対して2025.11.7または2026.1.3への即時アップデートを呼びかけている。あわせて、Cadenceのプラグインアクセストークンをすべて無効化したほか、ユーザーに対しても「すべての認証情報とシークレットを直ちに失効あるいはローテーションする」こと、Cadence経由の実行結果は「潜在的に信頼できないもの」として扱うことを推奨した。一方でJetBrainsは、当該サーバーが本来パッチ適用済みであるべきだったと認めつつも、なぜパッチ適用が行われていなかったのかについては明確な説明をしていない。今回の侵害を受け、フィッシングやなりすまし、窃取されたAWS認証情報を足がかりにしたクラウド環境への横展開、さらにはソースコード流出を悪用したサプライチェーン攻撃のリスクが懸念されており、Cadenceと接続していた組織には関連システムの監査が求められている。

概要 OpenAIは9月8日、自社の内製AIシステムがミレニアム懸賞問題の一つであるナビエ-ストークス方程式について、初期に滑らかな流体が有限時間で特異点(速度の発散)を生じることを解析的に証明し、証明支援システムLeanによる形式検証も完了したと発表した。賞金100万ドルの請求は行わない方針だという。プリンストン大学のチャールズ・フェファーマン氏が「証明が解けたことに興奮した」と歓迎するなど専門家からは前向きな評価も出ている一方、NYUのトリスタン・バックマスター氏は、OpenAIが自身とAnthropicの数学者レヴェント・アルペーギ氏による未公開の研究の情報を把握した上で、大規模な計算資源を投入して先に証明を発表したと主張しており、数学界で優先権を巡る論争が起きている。 AIエージェントによる証明のプロセス 9月1日に着手された今回の取り組みでは、GPT-6 Astraより高性能な内部モデルを用い、最大で1万体規模の自律AIエージェントを連携するグループとして運用した。当初は100体弱のエージェントが約50時間かけて関連するオイラー方程式に取り組み、その後エージェント数を大幅に増強してナビエ-ストークス方程式の証明に着手したという。ナビエ-ストークスの証明単体で約270万件のメッセージ、約1300億の出力トークンを消費し、証明の成立までに約88時間、続くLeanによる形式検証にはさらに17時間を要したとされる。証明が示したのは、静止した滑らかな流体に滑らかな外力を加え、エネルギーが有限に保たれる条件下でも、有限時間内に渦が内側へ巻き込みながら急激に引き伸ばされ、速度が発散する特異点が生じうるという内容だ。Leanによる機械検証可能な形での公開は、第三者が計算を一から追わずとも証明の正しさを検証できる点で意義があるとされる。 優先権を巡る論争 一方でバックマスター氏は、Anthropicのアルペーギ氏とともに同じ問題の派生形(強制項付きオイラー方程式)について独自に研究を進めていたと明かした。同氏は、自分たちの進捗に関する情報がOpenAI側に伝わっていた可能性を指摘し、二人が採用していた特定のアプローチは「数日間モデルに問題を与えるだけで到達できるものではない」と主張している。さらにOpenAIの数学者セバスチャン・ビューベック氏から、アルペーギ氏の功績を証明のクレジットから外すよう求められ、拒否すると圧力をかけられたとも述べた。これに対しOpenAIは、研究者やエージェントが公表前に互いの成果を目にすることはなかったと説明しつつも、自社の別ツール「Codex」の利用データが影響した可能性については「完全には排除できない」と認めている。 今回の一件が示すもの フェファーマン氏はOpenAIの証明そのものは評価する一方、真に評価されるべき功労者はディエゴ・コルドバ氏とルイス・マルティネス=ゾロア氏だとの見方を示し、バックマスター氏もマルティネス=ゾロア氏にフィールズ賞が値するとの考えを述べている。AI企業が大量の計算資源を投入することで数学の未解決問題に短期間で到達できることが示された一方、研究者間での情報の扱いや功績の帰属を巡るインセンティブ構造には、なお課題が残されていると言えそうだ。

概要 Metaは9月8日、日常タスクを代行するパーソナルAIエージェント「Muse」を米国でiOS/Android/Web(muse.ai)向けに提供開始した。WhatsAppのチャットからも利用でき、今後はMetaのAIグラスへの対応も予定している。Museはメール送信や旅行予約、フォーム入力、請求額の見直し交渉、保存した決済手段を使った購入、レシピ動画から買い物リストを自動生成するといったタスクをこなし、アプリを閉じていてもバックグラウンドで動作を続け、ユーザーに先回りして提案を行う。決済にはLink by Stripeを用いるほか、Shopify Shop Payや1Passwordとの連携も準備中という。料金体系は無料プランに加え、月額20ドルの「Power」、月額100ドルの「Maximum」を用意するが、Metaは大半のユーザーが無料プランの範囲で十分に使えると見込んでいる。 プライバシーとセキュリティ設計 Museは新モデル「Muse Spark」上で動作し、Metaは「実世界でのエージェント作業向けに構築した、これまでで最も高性能なモデル」と位置づける。プライバシー面では、ユーザーごとに専用の隔離仮想マシン(Secure VM)を割り当て、エージェントとユーザーデータを他の利用者から遮断する設計を採っている。このVM上では監視機能「Sentinel」が読み取りと書き込みのアクセスを区別し、時間制限付きの権限でゲートキーパーとして機能する仕組みで、リスクの低い作業は自動で許可しつつ、重要な操作の実行前には承認を求める。パスワードやカード情報はMuse自身が閲覧できない形で保管され、すべての操作はログとして記録される。さらに年内には、Meta自身もワークスペース内の活動を把握できないようにする「機密版」の提供も計画しているという。 信頼をめぐる懸念 Metaは、Museでの会話やデータを広告システムと共有しない、モデル学習からのオプトアウトが可能、特定情報の「忘却」をエージェントに要求できるといった約束をしている。しかし記事は、これらがシステムの技術的な性質ではなく、あくまでポリシー上の(そして将来撤回され得る)コミットメントに過ぎない点を指摘する。行動ターゲティング広告とデータ分析に依存するMetaの収益構造を踏まえると、広告システムとの分離が今後も維持されるかは不透明だとの見方も示されている。加えてMetaには、2011年のFTCによるプライバシー侵害での和解、2019年の50億ドルの制裁金、2023年の是正命令違反への追加措置、パスワードの平文保存が発覚した過去、ケンブリッジ・アナリティカ事件、未成年保護をめぐる度重なる議会証言、さらに2026年8月に成立した子どもへの被害に関する180億ドル規模の複数州和解など、プライバシーをめぐる問題の多い経歴があり、これが消費者の信頼獲得の障壁になっているとされる。実際に、エージェントがファイルを誤って削除してしまったMeta研究者自身の実験例や、予約サイトResyが自動化エージェントによるアクセスを敬遠している動きも紹介されており、高速でフォーム入力や購入を実行できるエージェントには誤操作のリスクも伴う。 展望 Metaはユーザーがエージェントに名前やアバターを設定できるカスタマイズ機能を用意し、セキュリティ基盤に関する技術文書を公開するなど、導入への不安を和らげる取り組みも進めている。Museは、Googleの「Gemini Spark」やAnthropicの「Claude Cowork」、そして「永続的かつ取り消し不能」なライセンス条項でプライバシー上の懸念を招いている「Instinct」といった競合が並ぶ、急成長中のエージェント型AI市場に参入する形となる。Meta最高AI責任者のアレクサンドル・ワン氏は「将来的な完全なビジョンは、人々が目標を達成し情熱を追求する助けとなるパーソナル超知能を開発することだ」と語っており、マーク・ザッカーバーグCEOも今後5年以内に数十億人がパーソナルエージェントを持つようになると予測しているとされる。Museの普及は、便利さとプライバシーリスクをユーザーがどう天秤にかけるか、そしてMetaが技術的な保証を伴わないポリシー上の約束にとどまる現状をどこまで払拭できるかにかかっている。

概要 米国のNSA(国家安全保障局)、CISA(サイバーセキュリティ・インフラセキュリティ庁)、FBI(連邦捜査局)は9月8日、共同勧告(AA26-251A)を発表し、DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun、Z.AIの中国AI企業6社が2024年末以降、AnthropicのClaude、OpenAIのGPT、GoogleのGemini、xAIのGrokといった米国製フロンティアAIモデルに対して「産業規模」の組織的な知識蒸留(distillation)キャンペーンを行っていたと非難した。両機関は、これらの企業がより大規模で高性能なモデルの出力を用いて自社モデルを訓練する手法により、数十億トークンを不正に抽出していたとし、「中国を拠点とするAI企業は、制限された独自機能を抽出する攻撃的かつ悪質、標的型の蒸留活動を産業規模で行っている」と強い表現で警告した。 蒸留の手口と規模 勧告によれば、各社はネイティブAPI、リモートクラウドプロバイダー、サードパーティのアグリゲーターを経由したリクエストの分散に加え、地理的制限や利用制限を回避するための代理経路「トランスファーステーション」(中国国内ではTaobaoやXianyuといったプラットフォームでグレーマーケットのプロキシサービスとして流通)を活用していたとされる。具体的な手法としては、モデルに隠れた推論過程を開示させるジェイルブレイク型プロンプトによるチェーン・オブ・ソート(思考過程)の抽出、ブロック時に自動的に別経路へ切り替えるフェイルオーバー機構、防御側の対抗策を検知する高度な品質評価フレームワーク、開発チーム間で使い回す大量のサブスクリプション購入などが挙げられている。企業別では、DeepSeekが2024年末から2025年中頃にかけて推論能力や特化型最適化を標的にしたほか、Moonshot AIはClaude Fable 5やGPT-4oのデータを抽出、AlibabaはClaude-4、Claude Opus、Claude Sonnetといった複数バージョンのClaudeとGPT-5をソフトウェア工学用途で蒸留、MiniMaxは2025年後半にClaudeやGeminiからCoT推論を抽出、StepFunはコーディング機能目的でClaudeやGPT-5系列にアクセスし、Z.AIはGPT-5.5やClaude Opus 4.8から数十億トークンを抽出していたと指摘されている。抽出は数百万件のAPIリクエストにまたがっており、新規アカウントが即座に利用上限まで達する、人間が使わない時間帯も含め継続的にアクセスがある、多数のIPアドレスからアカウントを共有している、複数プロバイダーで同一のプロンプトが使われている、サブスクリプションに対して利用率が異常に高い、といった挙動が不審な兆候として示された。 安全保障上の位置づけと対策の呼びかけ 勧告は、蒸留が中国AI企業の開発戦略における「単なる補完ではなく中核」をなしており、開発期間の大幅な短縮や訓練コストの削減を可能にしていると評価した。またその作戦規模と巧妙さから、中国政府がこうした活動を認識している可能性があるとの見方も示している。CISAのニック・アンダーセン長官代行は、AI企業に対し「知識蒸留キャンペーンから自社プラットフォームを守るため直ちに対策を講じる」よう促した。具体的な対策としては、異常なプロンプトやアカウント挙動の検知、不正利用が疑われる場合の応答内容の意図的な変更、複数プロバイダー・プラットフォーム間での組織横断的な脅威情報共有、クエリのレート制限や差分プライバシーの導入などが挙げられている。Arctic Wolf社のラボ・脅威調査・インテリジェンス担当バイスプレジデント、イスマエル・バレンズエラ氏は、今回の事案が「正当なアクセス権限の悪用」に当たると指摘し、高度で資金力のある攻撃者に対する協調的な対応の必要性を強調した。 背景と今後の展望 今回の共同勧告は、中国AI企業への蒸留疑惑としては今回が初めてではない。Anthropicは2026年2月にも同様のキャンペーンを報告しており、Googleの脅威インテリジェンスチームも、視覚・音声理解や画像・動画生成能力を狙った1億件を超えるプロンプトによる蒸留キャンペーンを最近観測している。米国のAI技術的優位性を揺るがしかねないこの問題は、米中間のAI開発競争における新たな争点として今後も注視される見通しで、フロンティアモデルを提供する企業側には検知技術の高度化と業界横断の情報共有体制の構築が急務となっている。

概要 Qualcommは9月8日(現地時間)、Amazon Web Services(AWS)のデータセンター向けにAI半導体を供給するパートナーシップを発表し、Amazonに対して最大40億ドル相当の自社株購入権(ワラント)を付与すると明らかにした。この発表を受けてQualcomm株は同日3%上昇した。今回の提携により、AmazonはMetaに続いてQualcommのAI半導体を採用する大手クラウド事業者となり、主要ハイパースケーラーの間でNvidia以外の調達先を確保する動きがさらに広がった。 契約とワラントの仕組み 両社は「複数世代のカスタムシリコン」にわたって協業し、AWSのAI推論インフラの構築を支援する。ワラントはAmazonが1株161.26ドルで合計2500万株のQualcomm株を取得できる権利で、評価額は約40億ドルに相当する。特徴的なのは、株式の権利確定(ベスティング)が実際のハードウェア調達額に連動する成果連動型の設計になっている点だ。契約発表時点の当初購入コミットメントに基づき375万株分がまず即時に権利確定し、残りを含めた2500万株全体の権利を完全に確定させるには、Amazonが2036年までにQualcommのサーバー向けチップ、ネットワーキング機器、製造サービスに対して最大600億ドルを支出する必要がある。 Qualcommのデータセンター事業戦略における位置づけ Qualcommにとって今回の提携は、スマートフォン依存からの脱却を進める上での大きな一歩となる。同社はApple向けモデムチップ事業の将来的な喪失、部品コストの上昇、スマートフォン需要の軟化といった逆風に直面しており、この1年でクラウド事業者に対しカスタムAIチップやデータセンター技術を積極的に売り込んできた。同社は非スマートフォン事業(自動車、IoT、データセンターなど)の売上比率を、現在の約25%から2029会計年度までに半導体売上全体の約3分の2まで引き上げる方針を掲げている。データセンター分野では「1兆ドル規模」の市場機会を見込み、2029年までに150億ドルの売上目標を設定している。 MetaやMicrosoftとの先行事例との関係 今回のAmazonとの提携は、6月に発表されたMeta Platformsとの契約——Dragonfly C1000 CPUを用いたサーバー電源ソリューションでの合意——に続くものであり、Qualcommにとって2社目となる大手ハイパースケーラーとのAI半導体パートナーシップとなる。Microsoftも含め、主要クラウドベンダーがNvidia一強体制からの脱却を模索する中、Qualcommは推論用途に特化したカスタムシリコンという切り口で存在感を強めつつある。成果連動型のワラントという構造は、実際の調達実績が積み上がるまでQualcomm側のリスクを抑えつつ、Amazon側にも長期的な調達コミットメントへのインセンティブを与える設計であり、今後他のハイパースケーラーとの契約にも同様のモデルが採用される可能性がある。

概要 Reactチームは9月9日、バージョン19.3をnpmで公開した。目玉は<ViewTransition>とFragmentへのref対応（Fragment Refs）が実験的APIから正式に安定版へ昇格したことで、これに加えてサーバーレンダリングを選択的にスキップするbrowser()関数、Trusted Types対応の改善、Server Componentsでのcontext直接描画など、実用面での改善が多数盛り込まれた。あわせてFast RefreshやServer Components、フォーカス管理まわりで報告されていた多数の不具合も修正されている。 ViewTransitionとFragment Refsの安定化 <ViewTransition>はブラウザのView Transition APIを利用してUIのアニメーションを実装するコンポーネントで、startTransitionでマークされた更新、<Suspense>のreveal、useDeferredValueによる更新をアニメーション化する（緊急の更新はアニメーション化されない）。要素の追加（enter）・削除（exit）・内容変更（update）・名前付き要素の移動（share）の4種類のトリガーに対応し、addTransitionTypeと組み合わせることでカルーセルの前進・後退のように同じ状態更新でも異なるアニメーションを出し分けられる。<Suspense>と組み合わせた場合はフォールバックを即座に表示しつつ最終コンテンツへの切り替えだけをアニメーションさせるパターンが推奨されており、update="auto" default="none"という設定例が示されている。現時点ではDOM環境のみのサポートで、React Native等への対応は今後の課題とされている。 もう一つの目玉であるFragment Refsは、<Fragment>に直接refを渡せるようにする機能だ。従来、親要素を持たない兄弟要素の集合や、refを公開しないライブラリコンポーネントの中身を操作する手段がなかったが、Fragment Refsで得られるFragmentInstanceはイベントリスナーの追加・削除、深さ優先探索によるフォーカス管理（focus/focusLast/blur）、IntersectionObserverやResizeObserverの接続、getClientRectsによるサイズ測定などをコンポーネント内部を変更せずに実現できる。 browser()関数とTrusted Types対応 サーバーレンダリング環境では同じコンポーネントがサーバーとクライアントの両方で実行されるため、localStorageやローカルタイムゾーンなどブラウザ固有の情報に依存する処理はサーバー側で意味のある出力を生成できないという課題があった。従来はuseEffectでマウント状態を管理したりtypeof windowを判定したりする回避策が使われてきたが、React 19.3ではuse(browser())を呼ぶことでサーバーレンダリングを明示的にオプトアウトできるようになった。サーバー側ではSuspenseをトリガーして最寄りのフォールバックをHTMLとして出力し、クライアント側では通常通りレンダリングされる。useの他の呼び出しと同様に条件分岐や早期リターンの後でも使用できるため、propsにデフォルト値がある場合だけサーバーレンダリングを許可するといった柔軟な制御も可能だ。 セキュリティ面では、DOM型XSS攻撃を防ぐTrusted Types APIへの対応が改善された。従来Reactは値を'' + valueのように文字列へ強制変換してからDOM APIへ渡していたため、TrustedHTMLなどの型付きオブジェクトが平文文字列に戻されてブラウザに拒否される問題があったが、19.3では値を強制変換せず直接渡すよう修正され、require-trusted-types-for 'script'ポリシーが意図通り機能するようになった。またServer Componentsでは、これまで'use client'側でProviderコンポーネントをラップする必要があったcontextの受け渡しが、<UserContext value={...}>のように直接記述できるようになり、ボイラープレートが削減されている。 パフォーマンス改善と主なバグ修正 パフォーマンス面では、複数のTransitionが1つのレンダーに絡み合い、低速なTransitionが無関係な更新まで遅延させていた問題を解消し、Transitionが独立してレンダリングされるよう改善された。またresizeイベントからの更新が次フレームまでバッチ処理されるようになったほか、onFullscreenChange/onFullscreenErrorイベント、SVGのmaskType属性、iframeのcredentialless属性、モジュールリソースのfetchPriorityなどにも対応した。 バグ修正では、useDeferredValueが古い値のままスタックする不具合、Suspenseフォールバックへのcontext伝播の不備、非表示ツリー内でデハイドレーションされたSuspense境界を更新した際にハングする問題、<Activity>が非表示になった後も<title>が<head>にホイストされ続ける問題などが修正された。React DOM側ではMobile Safariでの<ViewTransition>クラッシュやSuspenseListとの組み合わせでのクラッシュ、フォーカス管理の不具合が解消され、React Server側では深い非同期呼び出しチェーンでのスタックオーバーフローやError.cause・AggregateError.errorsのクライアントへの転送不備なども修正されている。Reactチームは今後もView TransitionsのReact Native対応を進めるとしている。

概要 SAPは2026年9月のセキュリティパッチデーで、SAPカーネルのExtended Passport Protocol(EPP)処理ライブラリに存在するメモリ破損の脆弱性「OVERPASS」(CVE-2026-44756)を公表し、修正パッチを提供した。深刻度はCVSSスコアで満点の10.0と評価されており、権限を持たない遠隔の攻撃者が認証なしにSAP管理者権限で任意のOSコマンドを実行できる恐れがある。SAPセキュリティ専門企業Onapsisの推計では、インターネットに公開されているSAPシステムのうち1万台以上が影響を受ける可能性があるとされ、現時点で悪用の証拠は報告されていないものの、早急なパッチ適用が強く推奨されている。 技術的な詳細 OVERPASSの根本原因は、EPPデータの逆シリアル化処理における境界検証の欠落にある。外部から供給される長さフィールドを検証せずに処理することでメモリ安全性違反が発生し、特別に細工されたリクエストによって攻撃者が制御を奪取できる。この脆弱なコードはセッション確立前、すなわち認証や認可、SoD(職務分掌)制御などの標準的なセキュリティチェックが働く前の段階で実行されるため、ユーザー権限の制限やアカウントロックといった通常の対策が意味をなさない点が特に危険視されている。 さらに、EPP処理は複数のプロトコルで共有されるコードであるため、Webリクエスト、SAP GUIプロトコル、RFC接続という少なくとも3つの経路から同一の脆弱なコードパスに到達できる。影響を受ける製品はS/4HANA、ERP、Business Suite(ECC)、NetWeaver、Web Dispatcher、BW/4HANA、Enterprise Portal、PI/POなど、SAPの主要製品群に及ぶ。CVSS10.0という最高評価は、認証不要でインターネット越しに直接攻撃可能である点、特別に細工したネットワークリクエストのみで即座に悪用できる点、SAP管理者権限への完全な権限昇格が可能な点、そして複数の経路から到達できる点が組み合わさった結果である。 想定される被害と影響範囲 脆弱性が悪用された場合、攻撃者は任意のシステムコマンドを実行できるだけでなく、SAPのsecure storeからデータベースの認証情報を抽出したり、ログイン中のユーザーのセッションデータを読み取ったりできるとされる。これにより他のSAPシステムへ横展開するための認証情報を窃取することも可能で、アプリケーションデータやSAPバイナリの改ざんにもつながりかねない。Onapsisは、HTTPでアクセス可能なシステムのみをカウントしても1万台以上が対象になるとしており、RFCなど他の経路も含めれば実際の露出台数はさらに多い可能性があると指摘している。 今後の対応 SAPおよびOnapsisは、すべてのSAPシステムの棚卸しを行った上で、特にインターネットに公開されているシステムを優先してパッチを適用するよう推奨している。あわせて、悪用の兆候がないか監視体制を強化することも呼びかけられている。現時点で実際の悪用は確認されていないが、認証不要かつ複数プロトコルから到達可能という性質上、脆弱性の詳細が広く知られるにつれて攻撃コードが出回るリスクは高く、企業のSAP運用担当者には迅速な対応が求められる。