概要 先週末、OpenRouter上に匿名で突如ローンチされたオープンウェイトモデル「Ox Alpha」が、AIコミュニティで大きな話題となった。開発元を明かさないまま登場したにもかかわらず、各種ベンチマークやリーダーボードで競合他社のトップクラスのモデルを上回る成績を叩き出し、その正体をめぐって憶測が飛び交っていた。Bloombergの報道により、この謎のモデルの開発元が中国のAI企業Z.aiであることが確認された。 GLM-5.3後継としての位置づけ Z.aiはOx Alphaについて、同社のGLMシリーズの最新イテレーションであることを認めた。Ox Alphaは「コーディング、継続的なエージェント作業、本番環境のワークロード」向けに設計された推論モデルであり、長時間にわたるソフトウェアエンジニアリング作業や複雑な推論、テキストと視覚情報を組み合わせたワークフローに対応するという。同社は今月、GLMシリーズの前バージョンであるGLM-5.3をリリースしたばかりで、これは特定のベンチマークにおいてAnthropicのFable 5と競合する性能を示していた。Ox Alphaはこの流れを継ぐ形で投入されたモデルとみられ、Z.aiは重みを近く公開する方針を示している。 業界への影響と今後の見通し 匿名ローンチという異例の手法にもかかわらずトップクラスの性能を示したOx Alphaの事例は、中国発の低コストかつ高性能なオープンウェイトモデルが、OpenAIやAnthropicといった高額なフロンティアモデルを提供する企業の市場シェアを脅かしつつある現状を改めて浮き彫りにした。Z.aiが重みを公開すれば、第三者による検証や独自ベンチマークでの比較が進み、Ox Alphaの実力や既存モデルとの位置づけがより明確になるとみられる。

概要 OSSのGitホスティングサービスGiteaにおける重大な脆弱性CVE-2026-60004（CVSS 9.8）が実際に悪用されていることが確認され、CISA(米サイバーセキュリティ・インフラセキュリティ庁)は2026年8月25日、これを既知悪用脆弱性(KEV)カタログに追加した。脆弱性はGiteaのdiffpatch APIエンドポイントに存在し、リポジトリへの書き込み権限を持つ攻撃者が不正なパッチを送信することで、リポジトリ制御下のコンテンツから実行可能なGitフックをインストール・実行させ、Giteaサービスアカウント(OSユーザー)の権限で任意のシェルコマンドを実行できる。脆弱性を発見・報告したのはSalesforceのセキュリティ研究者Shai Rod(NightRang3r)氏で、GHSA-rcr6-4jqh-j84mとしても追跡されている。 悪用の手口と実際の被害 本来は認証済みでリポジトリへの書き込み権限を持つユーザーが前提となる脆弱性だが、Giteaはデフォルトで自己登録(セルフサインアップ)が有効になっているため、未認証の攻撃者でもアカウントを作成し、リポジトリを作って攻撃を仕掛けることが可能だ。DISABLE_REGISTRATION=false、REGISTER_EMAIL_CONFIRM=false、ENABLE_OPENID_SIGNUP=true、REQUIRE_SIGNIN_VIEW=falseといった設定が有効な場合に特に悪用が容易になるという。 実際に、セキュリティ研究者Andrey(@Causelof)氏が運用する自己ホスト型Giteaインスタンスが自動スキャナーによって侵害された事例が報告されている。攻撃はアカウント登録からリポジトリ作成、Gitフックを介したエクスプロイトの発火までわずか11秒で完了し、Dockerコンテナ内でgitユーザーとして実行された。侵入後のドロッパースクリプトはLD_PRELOADやLD_LIBRARY_PATHといった環境変数を消去し、高CPU使用率のプロセスを探索したうえでアーキテクチャに応じたペイロードをダウンロード、競合するプロセスを停止させてから暗号資産マイニングソフトウェアを実行した。この結果、CPU使用率が70%を超えて急上昇し、ホスティング事業者の利用規約に抵触する事態となった。 影響範囲と対応 脆弱性の影響を受けるのはGitea 1.17から1.27.0までのバージョンで、2026年7月27日にリリースされたv1.27.1で修正された。最新版はv1.27.2。侵害が成立した場合、分離レベルによっては設定ファイルやアプリケーションのシークレット、データベース認証情報、OAuth認証情報などが露出する可能性がある。現在も約5,000台のGiteaインスタンスがインターネットに公開されたままとなっており、このうち本脆弱性の影響を受ける台数は明らかになっていない。 CISAは拘束的運用指令(BOD)26-04に基づき、米連邦文民行政機関に対し2026年8月28日までのパッチ適用を義務付けた。なお、Giteaでは2026年7月にもリバースプロキシ設定を狙った別の重大な認証バイパス脆弱性CVE-2026-20896が実際に悪用されており、今回で立て続けの被害となる。管理者はv1.27.2以降へのアップグレードに加え、自己登録機能の無効化やサーバーの侵害有無の確認を急ぐ必要がある。

概要 CERT/CCは8月25日、Kalturaが配布するHTML5動画プレーヤーライブラリ「mwEmbed」(html5lib)に存在する未修正の重大脆弱性CVE-2026-19912(CVSS 10.0)およびCVE-2026-19913(CVSS 9.1)を公表した。いずれも認証なしでネットワーク経由での悪用が可能で、前者はリモートコード実行、後者はサーバー上の任意ファイル読み取りにつながる。研究者は2026年3月23日に脆弱性を報告し、CERT/CCも7月8日にKaltura社への通知を試みたが、同社からの応答は一切得られておらず、パッチが提供されないまま技術的詳細が公開される事態となった。影響を受けるのはhtml5lib v2.45、v2.103をはじめとするv2.x系のリリースで、個別導入環境だけでなくKalturaの共有CDNインフラを利用する複数テナントにも影響が及ぶ可能性がある。 技術的な詳細 両脆弱性の根本原因は、mwEmbedLoader.phpエンドポイントがユーザー制御のServiceUrlパラメータをPHPのunserialize()関数で検証なしに処理している点にある。CVE-2026-19913では、ServiceUrlにfile://形式のパスを指定することで、サーバーが本来意図するAPIレスポンスの代わりにローカルファイルを読み込んでしまう。逆シリアル化に失敗した際のエラーメッセージにファイルの生の内容がそのまま反映されるため、攻撃者はこれを利用してファイル内容を窃取できる。研究者はこの手法により/opt/kaltura/app/configurations/local.iniを取得し、データベース接続文字列や管理者/コンソールのパスワード、内部ホスト情報を入手できたことを実証している。 より深刻なCVE-2026-19912では、ServiceUrl経由で悪意あるシリアル化済みPHPオブジェクトを送り込むことに加え、uiconf_idパラメータのサニタイズ不備を突いたディレクトリトラバーサル(../など)によって、Web公開されているキャッシュディレクトリ配下に任意のペイロードを書き込める。書き込まれたファイルはWebサーバーの実行権限でそのまま実行されるため、リモートコード実行が成立する。この攻撃はファイルベースのキャッシュバックエンド(Kalturaのデフォルト構成)を前提とする。研究者のGerjan Wemekamp氏は、2019年のKaltura Serverの Dockerイメージを対象にエンドツーエンドのWebシェル設置を実証したとしつつ、両方の攻撃チェーンが現行リリースにも残存していることを確認したと述べている。 対応状況と推奨される緩和策 CERT/CCは脆弱性情報のステータスを「Unknown」とし、Kalturaからの公式声明は現時点で受領していないと明記している。パッチが提供されるまでの間、CERT/CCおよび報告者はいくつかの緩和策を提示している。具体的には、WAFやCDN側でmwEmbedLoader.phpエンドポイントへの外部アクセスを遮断または無効化すること、ServiceUrlパラメータを正規のAPIホストのみに限定するホワイトリスト運用とすること、uiconf_idにディレクトリトラバーサルを示す値が含まれる場合は拒否すること、キャッシュディレクトリ内でのPHP実行を禁止すること、そして万一侵害の可能性がある場合は設定ファイルに含まれる認証情報をすべてローテーションすることが挙げられている。mwEmbedを組み込んだサイトは多数に上るとみられ、パッチ未提供のまま詳細が公開されたことで、悪用リスクは当面続くとみられる。

概要 Microsoftは8月26日、Visual Studio Codeの月例アップデート「バージョン1.135」を公開した。今回のリリースはAIエージェント機能の強化が中心で、他のアプリケーションで開始したCopilotやClaudeのエージェントセッションをVS Code側から引き継いで作業を継続できる機能や、あるモデルの作業内容を別のモデルにレビューさせる実験的機能「Rubber Duck」が新たに追加された。 外部エージェントセッションの引き継ぎ 新設定chat.agentSessions.showExternalを有効にすると、VS Codeは最近更新された外部セッションを最大2件まで表示し、セッションリストの「External」サブメニューから表示対象を選べるようになる。ターミナルやブラウザなど別環境で始めたエージェントとの対話をそのままVS Code上に呼び出して継続作業できるのが狙いで、エージェントは新しい「エージェントホストプロトコル(AHP)」に基づく専用プロセスとして実行される仕組みに刷新された。これにより複数のVS Codeウィンドウから同一セッションへ同時に接続することも可能になっている。なお、Copilotエージェントの挙動はCopilot SDKによってCopilot CLIなど他のCopilot製品と統一されている。 検証機能「Rubber Duck」 実験的機能として追加された「Rubber Duck」は、Copilotのエージェントホストセッション内で/rubber-duckコマンドを実行することで利用できる。あるモデルが行った作業を、性質の異なる補完的なモデルに検証させ、見落としがちな詳細やエッジケースを洗い出す「第二意見」を得るための仕組みだ。単一モデルの出力をそのまま信頼するのではなく、モデル間のクロスチェックによって品質を担保するアプローチで、AIエージェントの活用が進む中での検証手段の一つとして位置づけられる。 そのほかの変更点 エージェント関連ではセッション表示のレイアウトも整理され、設定sessions.layout.singlePaneDetailPanelによりシングルペインレイアウトがデフォルトとなったほか、セッション情報の表示も簡潔化・再配置された。チャット機能では、エディタのようにスクロール時に見出しを固定表示する「スティッキースクロール」が実験的機能として加わり、chat.stickyScroll.enabledなどの設定で有効化できる。またチャットの使用量表示がモデルごとの入力・キャッシュ入力・出力トークン数の内訳を確認できる形に詳細化された。このほか、ローカルのエージェント実行環境をサンドボックス化する機能がオプトイン方式に変更されている。 一連の変更は、外部ツールとの連携やマルチモデルによる相互検証など、開発者がエージェントをより実務的に使いこなすための土台整備という色合いが強い。今後のリリースでも、エージェントホストプロトコルを軸にした機能拡張が続くとみられる。

概要 Oasis Securityは、NVIDIAが開発するローカルAIエージェント基盤「NemoClaw」に、悪意あるWebページを閲覧するだけでローカルのAIモデルが汚染されてしまう脆弱性(CVE-2026-65105)を発見したと発表した。NemoClawはバックエンドとしてOllamaサーバーを起動するが、その際に環境変数OLLAMA_HOST=0.0.0.0:11434を設定し、認証なしで全ネットワークインターフェースに待ち受けさせてしまう。これにより攻撃者は、ユーザーが悪意あるサイトを開いただけでローカルのOllamaサーバーに到達し、AIエージェントの応答内容を裏側から書き換えられる状態になっていた。発見したOasis Securityの研究責任者Elad Luz氏は、この問題を「誰もが見ることができるガードレールの下の層に位置し、検出が非常に困難な完全性問題を引き起こす」と説明している。 攻撃の仕組み 攻撃の核心はDNSリバインディングによるブラウザの同一オリジンポリシー回避にある。Ollamaはループバックアドレス以外にバインドされている場合、Host/Originヘッダーの検証をスキップし、CORSも攻撃者のドメインを同一オリジンとして扱ってしまう。この隙を突いて悪意あるWebサイトがブラウザ経由でlocalhostのOllama APIにアクセスし、モデル作成用の/api/createエンドポイントを呼び出してGoテンプレートを改ざんする。このテンプレートは、構造化されたメッセージを生の推論用テキストへと変換する処理を担っており、汚染されたテンプレートはすべてのシステムメッセージに攻撃者が仕込んだ指示文を追記するようになる。結果として、脆弱性をコードにこっそり挿入する、既存のセキュリティ問題を隠蔽する、あるいは会話内容を外部に送信するといった指示をAIエージェントに強制できてしまう。さらに厄介なのは、この汚染が会話をリセットしても、あるいは新しいチャットを開いても消えない点で、同一ネットワーク内の他のデバイスからもアクセスされ得ることだ。 対応状況と今後の見通し Oasis SecurityはNVIDIA PSIRTに事前に報告し、協調的な脆弱性開示のプロセスを経て、NVIDIAは既に更新版を公開している。ただし修正状況にはプラットフォーム差があり、macOSおよびLinux向けはバージョン0.0.35で修正済みだが、WindowsおよびWSL環境では根本修正がまだ行われておらず、バージョン0.0.34では警告表示が追加されたのみとされる。また8月10日リリースのバージョン0.0.106ではデフォルトの挙動としてループバック以外へのバインドを拒否するチェックが追加されたが、Windows環境の脆弱性自体は依然として残っている。現時点でCVE-2026-65105の実際の悪用は報告されていない。専門家は、Ollamaを認証付きプロキシの背後に配置してループバック経由でのみアクセスさせ、Hostヘッダーをホワイトリスト方式で検証するといった対策を推奨している。同様のチャットテンプレート汚染はPaperclipやOpenClawといった他のAIエージェント基盤でも過去に確認されており、モデル自体ではなく、その周辺のネットワーク配線やAPI設計にこそリスクが潜んでいるという指摘が広がっている。

概要 Amazonは、2005年に開始したクラウドソーシング労働プラットフォーム「Mechanical Turk（MTurk）」を2026年9月30日をもって永久に閉鎖すると発表した。Amazonはこの決定について、MTurkのホームページに掲載したバナーで「定期的にプログラムを評価し、調整を行っている」と簡潔に説明するのみで、詳細な公式声明は出していない。一方でAmazonは「評価の結果、AWS Mechanical Turkを2026年9月30日付で閉鎖することを決定した」ともコメントしており、21年間続いたサービスは35日という短い移行期間のみを残して幕を閉じることになる。 サービスの成り立ちと役割 MTurkは、データラベリングやアンケート回答、音声・動画の文字起こしといった単純なデジタル作業を、わずかな報酬と引き換えに人間のワーカーへ発注する仕組みだった。名称は1700年代に作られた自動チェス機械「ザ・ターク」に由来する。Amazon創業者のジェフ・ベゾス氏は当初、このサービスを「人工知能に対する人工的解決策（artificial artificial intelligence）」と称しており、AIモデルの学習データ収集市場の草分け的存在として位置づけられてきた。ピーク時には世界190カ国から50万人以上のワーカーが登録していたとされる。 終了に至った背景 サービス衰退の背景には、Scale AI、Mercor、Prolificといった新興データラベリング企業の台頭がある。データワーカーの権利擁護団体Turkopticonのオーガナイザーであるクリスタ・パウロスキー氏は、AI技術の急速な進化に伴い、Amazonがプラットフォームの改善に振り向ける資源を縮小してきたことが衰退の一因だと指摘している。加えて、2023年の研究では最大46%のワーカーがタスク遂行にAIを使用していたと報告されており、人間の労働力を前提としたデータ品質そのものへの懸念も生じていた。 ワーカーへの影響と規制上の論点 パウロスキー氏自身、2008年からMTurkでの作業（通称「turking」）に携わり、2012年の失職後はフルタイムで従事して特別な支援を必要とする息子を養ってきたと語っており、保険会社や旅行会社など今なおMTurkに依存する事業者が存在するという。欧州では2024年に合意された「EU Platform Work Directive」により2026年12月までに各国でプラットフォーム労働者保護の国内規則整備が求められているが、MTurkの閉鎖はこの期限のわずか3カ月前にあたり、Amazonは欧州のワーカーへの具体的な対応方針を明らかにしていない。現在のアクティブワーカー数や代替手段の有無についても不明な点が多く残る。 今後の見通し データラベリング需要そのものは依然として旺盛であり、市場は不特定多数によるクラウドソーシング型から、審査を経た専門ワーカーによる「キュレーションされたワークフォース」型へと再編が進んでいる。中国では中国語の学習データ不足が課題となり、ビデオゲームをトレーニングデータへ変換する新興企業も登場するなど、MTurkが切り開いた市場は形を変えながら拡大を続けている。AmazonによるMTurk終了は、AIが人間の労働市場そのものを再構築しつつあることを象徴する出来事として受け止められている。

概要 Googleは2026年8月26日、Chromeの安定版チャンネルをバージョン152.0.7977.64(Windows/macOSでは.65も併記)にアップデートし、Windows・macOS・Linuxの全プラットフォーム向けに配信を開始した。今回のリリースでは合計327件のセキュリティ修正が行われ、そのうち10件がGoogleの深刻度分類で「重大(Critical)」に指定されている。修正のほとんどはメモリ安全性に関する問題で、特にuse-after-free(解放済みメモリの使用)の脆弱性が目立つ。修正された327件のうち299件はGoogle社内のセキュリティチームによって発見されたもので、外部からの報告を受けての修正は一部にとどまる。 重大な脆弱性の詳細 重大と評価された10件の脆弱性は、ANGLE、Aura、Chromecast、Views、Safe Browsing、モバイル関連コンポーネントなど、Chromeの広範な機能にまたがっている。代表的なものとして、グラフィックス描画エンジンANGLEにおけるuse-after-free脆弱性(CVE-2026-79282)があり、悪意のあるWebページが特別に細工したグラフィックスやWebGLデータを用いることで悪用できる可能性があるとされる。この脆弱性を報告したセキュリティ研究者Goodluck氏には25,000ドルの報奨金が支払われた。そのほか、AuraでのCVE-2026-79290・CVE-2026-79052・CVE-2026-79200、ChromecastでのCVE-2026-79054・CVE-2026-79121(不適切な入力検証)・CVE-2026-79224、ViewsでのCVE-2026-79150、モバイル向けのCVE-2026-78935(未初期化変数)、Safe BrowsingでのCVE-2026-79012など、複数のコンポーネントで同種のメモリ関連の欠陥が発見・修正されている。 背景と今後の対応 Googleは慣例として、大多数のユーザーが更新を適用するまでの間、脆弱性の技術的な詳細やエクスプロイトへのリンクへのアクセスを制限する方針を取っている。今回のリリースについても、現時点で積極的な悪用(in-the-wild exploitation)の報告はないとされているが、use-after-free系の脆弱性はブラウザの任意コード実行につながりやすいため、リスクは軽視できない。Chromeは通常バックグラウンドで自動更新されるが、ユーザーは念のため「Chromeの設定」→「Chromeについて」からバージョンを確認し、最新版への更新を確認することが推奨される。

概要 DeepSeekは8月21日、実験的なマルチモーダルモデル「DeepSeek-V4-Flash-Vision-Exp」をAPIプラットフォーム上で公開した。テキスト処理性能は既存のV4-Flashと同水準を維持しつつ、UI自動操作やチャート分析といったエージェント向けタスクにおける画像理解能力を大幅に強化しており、マルチモーダルエージェント性能は「Opus-4.8に近づく」水準に達したとされる。中国のAIラボがテキスト中心の開発から、より汎用的な視覚対応AIシステムへと軸足を広げつつあることを示す動きとして注目されている。 技術的な詳細 最大の特徴は画像処理の効率性にある。DeepSeekが採用する独自の視覚圧縮フレームワークは、高密度な画像パッチではなく空間座標ベースのプリミティブを用いることで、画像1枚あたり最大384トークンという少なさで処理できるとされ、これは「GPTやClaudeの半分以下のコスト」に相当するという。API利用時はmodel='deepseek-v4-flash-vision-exp'を指定し、価格は既存のV4-Flashと同一に据え置かれている。入力形式はテキストと画像の混在に対応し、base64エンコード、外部URL、そして新たに導入されたFiles API経由での画像アップロードが可能だ。Files APIでは画像を一度アップロードしてfile_idで参照できるため、複数回のリクエストで同じ画像を再利用する際の効率が向上する。 メディアGeekParkによる実地テストでは、デザインモックアップをHTMLに変換する処理を26秒、スクリーンショットからインタラクティブなゲームを生成する処理を36秒で完了させるなど、複雑な視覚タスクをおよそ30〜35秒で処理できたと報告されている。一方で運用上の注意点も指摘されており、思考モード(reasoning)を有効にすると出力トークン予算をすべて消費してしまい、実際の応答が返らなくなる不具合が確認されている。開発者はこれを回避するためreasoning_effort: noneを明示的に設定する必要があるという。 背景と今後の展望 DeepSeekは主力モデルであるPro系列ではなく、より安価なFlash系列にこの視覚機能を投入した。これは、マルチモーダルなエージェント機能を自社エコシステム全体で低コストに展開する戦略的判断とみられる。中国のAI企業間では、Moonshot AIやアリババのQwenなども同時期に新モデルを発表するなど開発競争が激化しており、テキストベースの言語モデルにとどまらず、より有能で汎用的なAIシステムの開発で世界的なライバルとの競争が続いている。今回はあくまで「実験的(Exp)」版としての位置付けであり、正式版への統合や性能のさらなる改善が今後の焦点となりそうだ。

概要 オープンソースゲームエンジンGodotの中核開発者らが設立したW4 Gamesが、Tencent主導のシリーズBラウンドで1800万ドルを調達した。これにより同社の累計調達額は3300万ドルに達する。ラウンドにはTencentのほか、OSS Capital、LUX、Naval Ravikant氏やTobias Lutke氏のファミリーオフィスも参加した。Tencentとは資金調達にとどまらず複数年にわたる戦略的パートナーシップも締結しており、W4 Gamesの共同CEOであるNicola Farronato氏は、グローバル展開を進めGodotをより多くのスタジオや開発者に届けるための重要な一歩だとコメントしている。 W4 GamesとGodotの関係 W4 GamesはGodotの創作者であるJuan Linietsky氏とFarronato氏らが設立した企業で、Godotエンジン自体を開発・所有しているわけではない。エンジン本体はMITライセンスの下で公開され、オランダに法的拠点を置く独立非営利組織Godot Foundationがコミュニティ主導で統括している。W4 Gamesはこの体制を支援する立場にあり、Foundationの理事会にも参加しつつ、エンタープライズ向けのツールやクラウドサービス、サポートといった商用レイヤーを提供することで事業を成立させている。オープンソースの中立性を保ちながら収益化の仕組みを別会社に持たせるという、近年のOSSプロジェクトでよく見られる構造だ。 資金の使途とアジア市場への展開 調達資金は主にチームの50%拡大と、エンタープライズ向けオファリングの加速に充てられる。特に注目されるのはTencentとの提携を軸としたアジア市場、なかでも中国市場への展開強化だ。Tencentは世界最大級のゲーム企業であり、その販路や技術基盤をW4 Gamesが活用できることは、Godotエコシステムがアジア地域のスタジオや開発者に浸透する上で大きな追い風になると見られる。 Godotの成長を裏付ける指標 今回の調達の背景には、Godotの急速な採用拡大がある。Steam上で公開されるGodot製ゲームのタイトル数は2024年から2025年にかけて年50%以上のペースで増加し、年間売上100万ドルを超えるGodot製ゲームはこの3年間で2本から50本以上へと急増した。またGlobal Game JamやGMTK Game Jamといったゲームジャムイベントでも、Godotの採用率は2022年の10%から現在では50%まで上昇している。UnityやUnreal Engineへの依存を見直す開発者が増える中、無料かつオープンソースであるGodotへの関心の高まりが、こうした投資家からの評価につながったといえる。

概要 Metaは8月26日、FacebookとInstagramが未成年ユーザーに依存を引き起こすよう設計されていたとする29州との集団訴訟について、最大167億ドル(約166億8,000万ドル)を10年間の分割払いで支払うことで和解したと発表した。ソーシャルメディア企業が未成年者保護を巡って支払う和解金としては過去最大級で、業界全体の規制強化を象徴する事例となる。和解にはカリフォルニア、コロラド、ニュージャージー、ケンタッキーなどが主導的な役割を果たしており、Metaは今回の合意でも不正行為があったことは否定している。 和解に盛り込まれた安全対策 Metaは今後5年間(競合他社が同水準の対策を採用すれば10年間に延長)にわたり、10代ユーザー向けにFacebookとInstagramの累計利用時間を1日2時間に制限する仕組みを導入する。メッセージ機能や長尺動画の視聴時間はこの上限の対象外となる。加えて、深夜0時から午前6時までは保護者の同意がない限りアカウントを自動的にロックする夜間制限も導入される。これらに加え、年齢確認システムの強化や保護者向けコントロール機能の拡充も義務付けられた。合意内容には将来的な拡張条項も含まれており、TikTok・YouTube・Snapchatなど競合プラットフォームが同水準の対策を採用した場合、Metaの制限はさらに厳格化され、夜間ブロックは午後10時から午前7時に、1日の利用上限はアプリごとに60分・合計2時間に引き下げられる。遵守状況は、Meta側と各州が共同で選定し費用をMetaが負担する独立監査人によって5年間にわたり監視される。 訴訟の背景 今回の和解に至った訴訟は、FacebookとInstagramが子どもに中毒性を持たせるよう意図的に設計され、プラットフォームの安全性について公衆を欺き、児童オンラインプライバシー保護法(COPPA)に違反して保護者の同意なく未成年者の個人データを収集していたとする各州の主張に基づく。メリーランド州司法長官のアンソニー・ブラウン氏は今回の和解を「規模と範囲の両面で歴史的」と評価し、企業の利益よりも子どもの福祉を優先させる責任をMetaに問うものだと述べた。一方Metaは、10代に安全で生産的な体験を提供することが「絶対的な重要性を持つ」とコメントしている。 今後の見通し 和解が正式に成立するには、連邦地方裁判所のイボンヌ・ゴンザレス・ロジャース判事による承認が必要となる。Metaはこの和解によって29州との訴訟に一区切りをつけるものの、なお数千件に上る個人および自治体からの訴訟に直面しており、10月にはロサンゼルスで次の裁判が予定されている。今回の発表を受けてMeta株は取引前で4.4%上昇しており、市場は法的不確実性の一部解消を好感した形だ。今後、他のソーシャルメディア企業にも同様の未成年者保護策の導入圧力が強まる可能性がある。