概要 Intelは2026年4月23日、2026年第1四半期（Q1 2026）の決算を発表し、売上高135.8億ドル（前年同期比+7%）、調整後EPS0.29ドルという結果でアナリスト予想（売上高123.6億ドル、EPS0.01ドル）を大幅に上回った。この好結果を受けて翌取引日の株価は約24%急騰し、1987年以来最大の一日上昇率を記録した。6四半期連続で業績予想を超える快挙となり、Intelの業績回復への期待が一気に高まっている。 部門別業績と技術的詳細 事業セグメント別では、データセンター・AI部門（DCAI）が前年比22%増の51億ドルと最大の成長を遂げ、市場予想の44.1億ドルを大きく超えた。クライアント向けのCCG（Client Computing Group）は前年比1%増の77億ドルと堅調に推移。Intel Foundryは前年比16%増の54億ドルを記録した。AI関連ビジネス全体では売上の60%を占め、前年比40%増と高い成長率を示している。 一方、GAAP基準では営業損失が31億ドル、EPSが-0.73ドルと大幅な赤字が続いており、高い設備投資が重なって調整後フリーキャッシュフローは-20億ドルとなっている。現金・短期投資は328億ドルを確保しており、財務基盤自体は維持されている。 AIとCPU需要を活かした復活戦略 CEO Lip-Bu Tan氏は「AIエージェントの台頭により、CPUおよび高度なパッケージングソリューションへの需要が大幅に増加している」と述べ、同社の競争優位を強調した。CFO David Zinsner氏は先進パッケージング技術について、従来は1顧客あたり数億ドル規模と見ていたが、現在は数十億ドル規模の事業になりうるとの強気な見通しを示した。 戦略的パートナーシップも着実に積み上げられており、GoogleはXeon 6プロセッサの採用とカスタムASIC開発での協業を発表。NVIDIAのDGX Rubin NVL8システムにもXeon 6が採用された。さらにSpaceX、xAI、TeslaといったElon Musk関連企業とのチップ製造協力も明らかになった。製品面では、Xeon 600（ワークステーション向け）、Core Ultra 200S Plus/200HX Plus（デスクトップ・モバイル）、Intel 18Aプロセス採用のCore Series 3など多数の新製品を投入している。 今後の見通しと課題 Q2 2026のガイダンスとして、売上高138〜148億ドル、調整後EPS0.20ドルを示し、アナリスト予想（売上高130.3億ドル、EPS0.09ドル）を再び上回る水準となった。コスト削減も継続しており、従業員数はQ4 2025の85,100人からQ1 2026末には83,200人へと縮小している。 ただしGAAPベースの営業損失が31億ドルにのぼる構造的な課題は残っており、ファウンドリー事業の黒字化にはまだ時間がかかると見られる。市場では好決算が「不快な現実を隠している」との指摘もあり、製造コストの最適化や設備投資回収の道筋が今後の評価を左右する重要な焦点となる。

概要 JetBrainsは2026年4月22日、ドイツ・ミュンヘンで5月20〜22日に開催されるKotlinConf 2026に合わせてKotlin 2.4.0-Beta2をリリースした。今回のベータ版では、これまで実験的だった複数の言語機能が安定版に昇格するとともに、コレクションリテラル構文など新たな実験的機能が追加されている。 安定化した主な機能としては、コンテキストパラメーター（コンテキスト引数や呼び出し可能参照を除く）、明示的バッキングフィールド、プロパティへの@allメタターゲット、ユースサイトアノテーションターゲットのデフォルトルール変更が挙げられる。また標準ライブラリのkotlin.uuid.Uuid APIも安定版となり、オプトインなしで使用できるようになった。 新しい実験的言語機能 コレクションリテラルは今回のベータ2で最も注目される実験的追加機能で、ブラケット構文[]を使ってコレクションを直感的に生成できる。型を明示すればMutableListなどの可変コレクション、型なしならListがデフォルトとなる。operator fun ofを定義したカスタム型でもこの構文を利用可能だが、Javaで定義されたコレクション型への適用は現時点で未サポート。有効化には-Xcollection-literalsコンパイラフラグが必要だ。 コンテキスト引数の明示指定（-Xexplicit-context-arguments）も実験的に追加された。コンテキストパラメーターの違いだけでオーバーロードが存在する場合に、sendNotification(emailSender = defaultEmailSender)のように明示的にどのコンテキストを渡すか指定できるため、あいまいさを排除できる。さらにコンパイル時定数の評価強化も試験導入され、符号なし型の演算や文字列の.lowercase()/.uppercase()/.trim()、列挙型の.nameプロパティなどをコンパイル時に評価できるようになった。 標準ライブラリと各プラットフォームの強化 標準ライブラリでは、ソート順チェック用の拡張関数群（.isSorted()、.isSortedBy()、.isSortedDescending()など）がイテラブル・配列・シーケンスに追加された。JVM向けにはUInt.toBigInteger()とULong.toBigInteger()が新設され、符号なし整数をBigIntegerへ変換できる。またJava 26のバイトコード生成サポートと、Kotlinメタデータへのアノテーション格納がデフォルト有効化された。 Kotlin/Nativeでは、GradleからSwiftパッケージを依存関係として宣言するAPI（CocoaPodsからの移行ツール付き）が追加された。Swift Exportでkotlinx.coroutines.FlowをSwiftのAsyncSequenceとしてエクスポートできるようになり、型情報も保持される。またデフォルトGCがPMCS（Parallel Mark Concurrent Sweep）からCMS（Concurrent Mark and Sweep）に変更され、マーキングフェーズのアプリケーションスレッドとの並行実行によりGCポーズが大幅に短縮された。 Kotlin/Wasmでは2.1.0から導入されていたインクリメンタルコンパイルが安定版となりデフォルト有効化されたほか、FaaSやサーバーレス用途を想定したWebAssembly Component Modelへの実験的サポートが追加された。Kotlin/JSでは、インライン値クラスをTypeScriptのクラスとしてエクスポートする機能と、js()呼び出し内でES2015機能（アロー関数、スプレッド演算子、const/letなど）をフルサポートするようになった。 今後の展望 KotlinConf 2026はミュンヘンで5月20〜22日に開催され、ワークショップやセッション、基調講演が予定されている。Kotlin 2.4.0の正式リリースに向けて、今回の実験的機能へのフィードバックが求められている段階だ。IDEサポートはIntelliJ IDEAおよびAndroid Studioの最新版に含まれており、ビルドスクリプトのKotlinバージョンを2.4.0-Beta2に変更することで試用できる。

概要 MetaがRustで開発したオープンソースのPython型チェッカー兼言語サーバー「Pyrefly」の最新版v0.62.0が、2026年4月20日にリリースされた。Pyreflyはその名が示すとおり「飛ぶように速い」型チェックを特徴としており、Metaのインフラ環境（166コア・228GB RAM）での計測では毎秒185万行以上のコードを処理できる。これはInstagramの本番コードベース2,000万行を約30秒でチェックできる水準であり、大規模Pythonプロジェクトへの適用を強く意識した設計になっている。Python型準拠テストスイートの合格率は90%に達し、従来から広く使われているmypyやPyrightと並ぶ実用レベルの精度を確保している。ライセンスはMITで、pip install pyrefly 一発でインストールできる。 技術的なアーキテクチャ PyreflyはRustで実装されており、型チェックを三つのフェーズに分割することで大規模インクリメンタル処理と並列化を実現している。第一フェーズで各モジュールの公開シンボル（import * を含む）を確定し、第二フェーズで各モジュールをスコープ情報を持つ「バインディング」へ変換、第三フェーズで他モジュールへの依存を解決して最終的な型を導出する。再帰的な型依存は Type::Var プレースホルダーで扱い、強連結成分が大きいグラフにも対応している。 コードベースは pyrefly_util（汎用ユーティリティ）、pyrefly_types（型定義と操作）、pyrefly_graph（インデックスとキャッシング）、pyrefly_wasm（ブラウザ向けWASMサンドボックス）など複数のRustクレートで構成されている。型推論は関数パラメータを除くほぼすべての箇所（変数・戻り値など）で動作し、制御フロー分析によって静的型を動的に洗練する「フロー型」もサポートする。 IDE統合と最近のリリース動向 PyreflyはLSP（Language Server Protocol）に対応しており、VS Code・Neovim・Zedなどの主要エディタ向け拡張を提供している。オートコンプリート、コードナビゲーション、セマンティックハイライト、クラスのコンストラクタシグネチャとdocstringのホバー表示など、モダンなIDEに期待される機能を網羅している。ブラウザ上で試せるWASMサンドボックスも公式サイトで提供されている。 直近のリリース履歴を見ると、v0.59.0（3月31日）では153コミット・20名のコントリビューターによる大型リリースとして実世界プロジェクト向けの型チェック速度が約2倍に改善され、モジュール解決キャッシュの最適化によるCPU削減も達成した。v0.60.2（4月10日）では「未アノテートの辞書で指数的なメモリ使用」というバグを修正、その後v0.61.0・v0.61.1を経て今回のv0.62.0に至っている。開発は活発でGitHub IssuesやDiscordコミュニティ（隔週オフィスアワー開催）を通じた外部コントリビューションも受け付けている。 他ツールとの位置づけと今後の展望 Pyreflyの設計はMetaの既存型チェッカーであるPyre1のほか、PyrightやmypyなどPythonエコシステムの先行実装から着想を得ている。差別化ポイントはRustによる実装から生まれる純粋な処理速度と、モジュールレベルのインクリメンタル処理・並列化による大規模コードベースへのスケーラビリティにある。Python型準拠テスト90%合格という数字は精度面での実用性を裏付けており、速度と精度の両面でmypy・Pyrightの実質的な代替候補として位置づけられる。現時点ではベータ扱い（既知の問題あり）だが、Metaが自社の巨大Pythonコードベースで実際に運用していることが開発継続の強力な動機となっている。

概要 OracleはJavaOneカンファレンスにおいて、Project DetroitをOpenJDKコミュニティの公式イニシアチブとして正式に位置づけることを発表した。このプロジェクトは、JVM内にChromeのV8エンジン（JavaScript用）とCPythonランタイム（Python用）を直接組み込み、JavaからJavaScriptおよびPythonを直接呼び出せるクロスランゲージ・インタロップを実現することを目標としている。OracleのJavaプラットフォームグループ上級副社長であるGeorges Saab氏は「Detroitの主な利点は、業界最高水準のJavaとJavaScript、あるいはJavaとPythonを組み合わせた統合的な技術利用が可能になること」と述べている。 技術的な詳細 技術面では、javax.script APIをJavaScript向けにV8エンジンで、Python向けにCPythonで実装する形を採用する。JVMとネイティブランタイムの橋渡しにはJava 22以降で標準化されたForeign Function & Memory（FFM）APIが活用される。Javaヒープとネイティブヒープを分離して実行することによりセキュリティを強化しつつ、既存のV8およびCPythonが持つパフォーマンス最適化の恩恵をそのまま受けられる設計となっている。完全な言語互換性を確保するためにそれぞれのオフィシャルランタイムを採用しており、独自の部分的実装に伴うメンテナンスコストを抑える狙いもある。 背景と経緯 Project Detroitの発想自体は2018年頃に、JavaScriptがJavaの機能を拡張するメカニズムとして最初に提案された。しかし一時は開発の勢いを失い停滞していた。近年、AIライブラリへのアクセスや多言語混在環境でのビジネスロジック記述といったニーズが急増したことで関心が再燃し、今回のOpenJDKプロジェクト化という形で息を吹き返している。 今後の展望 当面はJavaScriptとPythonのサポートを中心に開発が進む予定だが、ロードマップには将来的な追加言語対応も含まれている。Java開発者にとっては、まだJava向けの同等ライブラリが存在しないJavaScriptやPythonのエコシステム資産（特にAI・機械学習ライブラリ）へのアクセスが容易になるという直接的な恩恵が期待される。OpenJDKプロジェクトとして正式化されたことで、コミュニティを巻き込んだ開発の加速が見込まれる。

過去最高の財務業績 SK Hynixは2026年4月23日、2026年第1四半期（1Q26）の決算を発表し、あらゆる主要指標で過去最高を更新した。売上高は52.5763兆ウォンで、前四半期比60%増・前年同期比198%増という驚異的な伸びを記録した。1四半期の売上高が50兆ウォンを超えたのは同社史上初めてのことだ。 営業利益は37.6103兆ウォン（前四半期比96%増、前年同期比405%増）、営業利益率は72%と過去最高水準に達した。純利益も40.3459兆ウォン（前四半期比165%増、前年同期比398%増）を計上した。通常、第1四半期は季節的な需要低迷期にあたるが、AIインフラへの投資拡大がその影響を完全に打ち消した形となった。また、現金および現金同等物は54.3兆ウォンに積み上がり、有利子負債19.3兆ウォンを差し引いたネットキャッシュポジションは35兆ウォンに達した。 HBMとAIメモリが牽引 今期の業績を支えた最大の要因は、AIデータセンター向け高帯域幅メモリ（HBM）の急増する需要だ。HBMに加え、サーバー向けDRAMモジュールや企業向けSSD（eSSD）など高付加価値製品の販売が好調で、全体の収益性を大幅に押し上げた。SKグループのチェ・テウォン会長はHBMの供給不足が2030年まで続く可能性を示唆しており、需給のタイト感は当面継続するとみられている。 製品面では、1cnmプロセス（10nmクラス）を採用したLPDDR6の量産立ち上げや、192GB SOCAMM2の量産開始など新世代製品の展開も進んでいる。NAND分野ではCTF技術を適用した321層QLCのクライアントSSD（cSSD）「PQC21」を開発したほか、高性能TLCおよび高容量QLCのeSSDラインアップでAI需要への対応を進めている。また、Solidigmとの協業により高容量QLC eSSD分野での優位性確保も目指している。 今後の見通しと投資計画 同社は今後の見通しについて、エージェンティックAI（Agentic AI）の普及がインフラ全体でのメモリ需要を底上げするとして、DRAMとNAND双方で「有利な価格環境が継続する」と予測している。設備投資面では、M15X工場のランプアップ（生産能力増強）、竜仁（ヨンイン）クラスターのインフラ整備、EUV露光装置の確保に重点を置く方針だ。AIの進化がメモリへの需要構造を根本的に変え、SK Hynixにとって長期的な成長の追い風となっている。

概要 SpaceXはIPO（新規株式公開）に向けて証券取引委員会（SEC）に提出したS-1登録書類の中で、GPU（グラフィックス処理ユニット）を自社設計・製造する野心的な計画「Terafab」を公表した。この施設はテキサス州オースティンに建設される予定で、Elon Musk氏が率いる電気自動車メーカーのTesla、AI企業のxAIに加え、半導体大手のIntelが共同パートナーとして参画する。SpaceXはロケット製造や衛星通信（Starlink）での膨大なコンピューティング需要を抱えており、外部サプライヤーへの依存を減らすことが急務となっている。 Terafabの技術的な詳細 Terafabプロジェクトはチップの設計から製造、パッケージングまでを一貫して手掛ける「垂直統合」モデルを採用する計画で、年間1テラワット（1兆ワット相当）以上の演算能力の供給を目標に掲げている。これはAI・宇宙開発・自動運転など各社が抱える莫大なGPU需要を内製で賄うことを意図しており、NvidiaをはじめとするGPUサプライヤーへの依存度を大幅に低下させる狙いがある。Intelの参画はファウンドリ（受託製造）や先端パッケージング技術の提供という形での協力が想定されるとみられる。 チップ供給リスクとコスト削減が主な動機 S-1書類の中でSpaceXは、半導体の供給制約とコスト上昇を投資家へのリスク要因として明示しており、これが今回の計画の直接的な動機となっている。AIブームに伴うGPU需要の急増により、Nvidiaの最新チップは長期にわたる入荷待ちが常態化しており、価格も高騰している。Tesla・xAIもStarship打ち上げ管制・FSD（完全自動運転）・Grokモデルの学習など大量のGPUを必要としており、三社が協調して内製化を目指すことで調達リスクの分散とスケールメリットの獲得を図る。 今後の展望 Terafabの具体的な稼働時期や投資規模は現時点で明らかにされていないが、SpaceXのIPO申請という形で計画が公式に示されたことは、その実現に向けた本格的なコミットメントを意味する。巨大テック企業によるAIチップの内製化はGoogleのTPU、AmazonのTrainium、MicrosoftのMaiaなど先行事例があるが、ロケット企業が複数の異業種パートナーと組んでGPUの垂直統合製造を目指す試みは異例だ。実現すれば半導体業界における競争構図に新たな変化をもたらす可能性がある。

概要 元OpenAI CTOのミラ・ムラティ氏が2025年2月に設立したThinking Machines Labは、Google Cloudと数十億ドル（数字は一桁台）規模のインフラ契約を締結した。今回の契約はThinkingMachinesにとって初のクラウドサービスプロバイダーとの提携であり、独占的なものではない。契約にはNVIDIAの最新世代GPU「GB300」チップへのアクセスと、モデルのトレーニングおよびデプロイを支えるインフラサービスが含まれる。同社はこのインフラを活用し、強化学習ワークロードのパフォーマンス向上を目指す。 技術的な詳細 今回の契約で同社が利用できるNVIDIA GB300チップは、前世代GPUと比較してトレーニングおよびサービング速度が約2倍に向上するとされており、Thinking Machines Labはその早期利用顧客の一社となる。インフラはKubernetesエンジンやSpannerなど、GoogleのクラウドエコシステムとAIシステムを幅広く組み合わせたもので、同社の研究者は「Google Cloudのおかげで記録的なスピードで稼働でき、求める信頼性も確保できている」とコメントしている。この環境は、同社のカスタムAIモデル自動生成製品「Tinker」の開発をさらに加速させる見通しだ。 企業背景と資金調達 Thinking Machines Labは2025年10月に最初の製品「Tinker」をリリースした。TinkerはフロンティアレベルのカスタムAIモデルを自動生成するシステムであり、企業向けに特化したAI開発の効率化を提案している。また同社は設立当初に20億ドルのシードラウンドを調達し、企業評価額は120億ドルに達した。Google Cloudとの契約以前には、NVIDIAとも個別に提携し、同社からの出資も受けている。 競合との比較と市場動向 AI企業とクラウド・半導体大手との大型インフラ契約は業界全体で加速しており、Anthropicも同月にGoogleおよびBroadcomとTPUキャパシティ契約を締結したほか、Amazonとは5ギガワット規模のキャパシティ確保を目的とした契約を結んでいる。Googleはインフラ提供とクラウドサービスをセットで提供することで、有望なAIスタートアップとの関係強化を図る戦略を取っており、Thinking Machines Labとの今回の契約もその文脈で位置づけられる。

概要 DeepSeekは2026年4月24日、大規模言語モデルの新世代となる「V4 Flash」と「V4 Pro」のプレビュー版をHugging Faceで公開した。リリースはR1モデルが業界に衝撃を与えた2025年1月の「スプートニクモーメント」から約1年というタイミングで、同社にとって節目となるリリースとなった。同時期にOpenAIがGPT-5.5を発表するなど、米中AI競争が激化する中での公開となっている。 両モデルはMixture-of-Experts（MoE）アーキテクチャを採用し、100万トークンのコンテキストウィンドウをサポートする。新たに導入されたHybrid Attention Architectureにより、長い会話やコードベース全体を単一のプロンプトで処理する能力が向上しており、エージェント型推論タスクを主な用途として設計されている。 モデル仕様と性能 2つのモデルは用途に応じて役割が分かれている。 V4 Flash：パラメータ総数2840億、アクティブパラメータ130億。速度とコスト効率を重視した設計。 V4 Pro：パラメータ総数1.6兆、アクティブパラメータ490億。現時点で公開されているオープンウェイトモデルとして最大規模となる。 性能面でDeepSeekは、コーディング競技ベンチマークでOpenAIのGPT-5.4に匹敵する結果を示し、推論ベンチマークの一部タスクではOpenAIのGPT-5.2やGoogleのGemini 3.0-Proを上回ると主張している。一方で世界知識に関する評価ではGemini 3.1-Proに次ぐ位置付けにとどまり、フロンティアモデルと比較して「約3〜6ヶ月の開発上の遅れ」があると自社で認めている。この率直な評価は、一般的なベンダーの楽観的な発表スタンスとは対照的で注目された。 価格戦略とオープンソース方針 価格は競合他社に対して大幅に低コストに設定されている。V4 Flashは入力100万トークンあたり0.14ドル・出力0.28ドル、V4 Proは入力0.145ドル・出力3.48ドルと、OpenAI・Google・Anthropicの同等モデルをいずれも下回る水準だ。 オープンソース戦略は前世代モデルからの方針を継続し、V4 FlashとV4 Proの両方がソースコードを自由に利用・改変できる形で公開されている。ただし現時点では両モデルともテキストのみの対応で、音声・動画・画像といったマルチモーダル機能はまだ備えていない。 地政学的な文脈と中国製チップへの対応 注目すべき点として、DeepSeekはV4をNvidiaやAMDへの早期アクセスを提供せず、中国の半導体メーカーであるHuaweiやCambriconのハードウェア向けに最適化したことが挙げられる。これはAI業界の通例を覆す決断であり、米国の輸出規制下における中国の国産AIハードウェア能力の本格的な試金石となる。リリースの背景には、米国政府によるDeepSeekへの知的財産窃取疑惑の指摘という政治的緊張も続いており、同社の技術的な台頭は単なるビジネス競争を超えた意味を持ち始めている。

概要 Googleは2026年4月22日、年次カンファレンス「Google Cloud Next 2026」でSundar Pichaiが多数の主要発表を行い、クラウドAIインフラの大規模強化を宣言した。目玉は第8世代TPUの2バリアントとなる「TPU 8t」（学習特化）および「TPU 8i」（推論特化）の投入であり、前世代比最大3倍の処理性能と80%のコストパフォーマンス向上を謳う。また、AIスーパーコンピュータ向けの新データセンターファブリック「Virgo Network」、AppleとのクラウドAI提携、Gemini Enterprise Agent Platformによるエンタープライズ向けエージェント基盤の統合強化も発表され、クラウドインフラにおけるAI競争が新たな局面を迎えた。 第8世代TPUの詳細 TPU 8tは学習ワークロードに最適化されており、最大9,600ユニットをクラスタリングして前世代比3倍の処理速度を実現する。TPU 8iは推論向けで、1,152ユニット接続に対応し、オンチップSRAMを3倍に拡大することでレイテンシーを大幅に低減している。さらにTPU 8tは新データセンターファブリック「Virgo Network」およびPathways/JAXソフトウェアとの組み合わせで、単一クラスターあたり100万TPU超への準線形スケーリングを実現し、従来のハイパースケール制約を突破する設計となっている。 注目すべきはGoogleのNvidiaに対するポジショニングだ。TPUはNvidiaを完全に代替するのではなく補完する位置付けとして、2026年後半にはNvidiaの最新チップ「Vera Rubin」もGoogle Cloudで提供予定であることを明らかにした。Googleが2023年にオープンソース化したネットワーキングシステム「Falcon」の改善でも協業するなど、競争と協調を並走させる戦略を採っている。 AIエージェントとプラットフォームの強化 エンタープライズ向けAIエージェント基盤として「Gemini Enterprise Agent Platform」が発表された。数千単位のAIエージェントを構築・スケール・ガバナンス・最適化するための統合ツール群を提供し、組織規模のエージェント運用を可能にする。同プラットフォームには新モデルとしてGemini 3.1 Pro、Gemini 3.1 Flash Image、動画生成モデルVeo 3.1 Lite、音楽生成モデルLyria 3 Proも加わった。ファーストパーティモデルのAPIスループットは毎分160億トークン超に達し、前四半期比6割増という急成長が続いている。Gemini Enterpriseの有料月間アクティブユーザーも前四半期比40%増を記録した。 データ基盤・セキュリティ面では、Knowledge Catalog、Cross-Cloud Lakehouse、Deep Research Agentを新たに発表。320億ドルで買収したWizとの連携によるAIサイバーセキュリティ自動化も強化され、セキュリティエージェントは脅威の軽減時間を90%以上短縮できるとしている。Workspace Intelligenceの一般提供も開始され、M365からの移行が5倍高速化されるとの試算も示された。なお、Google社内では新規コードの75%がAI生成となっており、半年前の50%から急増するなど、自社でのAI活用も加速している。 市場への影響と展望 今回の発表はNvidiaが約5兆ドルの時価総額を誇るAIチップ市場において、GoogleをはじめAmazon、Microsoftなどハイパースケーラーが独自チップで存在感を高めようとする動きの一環だ。しかし各社とも短期的にはNvidiaへの依存を維持しながら、長期的な依存度低減を模索するという慎重な姿勢を取っている。AppleとのクラウドAI提携やVirgo Networkによる次世代データセンター構想はGoogleのインフラ優位性をさらに際立たせるものであり、企業ユーザーへのAIフルスタック提供という戦略の加速が鮮明になった。

概要 2026年4月22日、Checkmarxが開発するインフラストラクチャ・アズ・コード（IaC）スキャンツール「KICS（Keeping Infrastructure as Code Secure）」のDocker Hubリポジトリが侵害された。脅威アクター「TeamPCP」が既存のDockerイメージタグ（v2.1.20、v2.1.21、alpine）を悪意あるGoバイナリを含むイメージに上書きする手口で攻撃を実行。同時にCheckmarxのVS Code拡張機能「cx-dev-assist」（バージョン1.17.0・1.19.0）および「ast-results」（バージョン2.63.0・2.66.0）も侵害され、開発者の環境全体にわたる広範なサプライチェーン攻撃が確認された。 攻撃の技術的詳細 セキュリティ企業Socketの分析によると、侵害されたKICS DockerイメージにはIaCスキャンレポートを生成・暗号化して外部エンドポイントへ送信する改ざんバイナリが含まれていた。攻撃の標的はKICSがスキャンするIaCファイルそのものであり、そこに含まれるクラウド認証情報の窃取を目的としていた。 VS Code拡張機能への攻撃では多段階の手法が取られ、GitHubから「mcpAddon.js」をダウンロードしてModel Context Protocol（MCP）機能に偽装する形でマルウェアを展開した。窃取対象となった認証情報の種類は広範で、GitHubアクセストークン、AWS・Azure・Google Cloudの認証情報、NPM設定ファイル、SSHキー、環境変数が含まれる。収集された情報はC2サーバー（audit.checkmarx[.]cx、IP: 94.154.172.43）へ送信される設計になっており、正規ドメインに酷似したドメインを使用することで検知回避を図っていた。51以上のパブリックGitHubリポジトリが一貫した命名パターンで攻撃インフラとして活用されたことも確認されている。 脅威グループTeamPCPの背景 TeamPCPは2026年3月からCheckmarx以外にもTrivyやLiteLLM、Telnyxなど複数のオープンソース・商用セキュリティツールを標的にした攻撃キャンペーンを展開してきたグループだ。今回の侵害も同年3月にCheckmarxのGitHub Actionsワークフローが先行して侵害されていたことが判明しており、長期的な計画に基づく攻撃であったことが示唆される。グループは攻撃後に公開で宣言を行う行動パターンも持つ。 影響と推奨される対応 KICSはクラウドインフラの設定ミスを検出するために広く利用されているツールであるため、影響を受けた組織は深刻なリスクにさらされている。侵害されたイメージや拡張機能を使用した場合、AWS・Azure・Google Cloudへの不正アクセスに利用可能な認証情報が漏洩している可能性がある。 Checkmarxは侵害されたアーティファクトを削除し修正版を公開した。影響を受けた可能性のある組織は、（1）侵害バージョンのDockerイメージとVS Code拡張機能を即時削除、（2）すべての露出した可能性がある認証情報のローテーション、（3）GitHubリポジトリの不正アクティビティ監査、（4）クラウドアクセスログでの不審なトークン利用確認、を直ちに実施することが求められる。本事件はオープンソースのセキュリティツール自体がサプライチェーン攻撃の標的となるリスクを改めて浮き彫りにしており、ツールの配布チャネルに対する継続的な監視と署名検証の重要性が高まっている。