概要 Java 27の2回目のリリース候補(RC2)ビルドが8月20日に公開され、9月15日の正式リリースに向けた機能セットが確定した。今回のリリースはLTS(長期サポート)版ではない通常のリリースで、8月6日公開のRC1に続くもの。合計9件のJEP(JDK Enhancement Proposal)が含まれ、うち5件はプレビューまたはインキュベーション機能の再提出となっている。 G1ガベージコレクタの全面デフォルト化 最大の変更点はJEP 523「Make G1 the Default Garbage Collector in All Environments」で、これまでサーバークラスのマシンに限定されていたG1のデフォルト適用を、すべての実行環境に拡大する。JDK 26でG1と他のGC実装とのパフォーマンス差が縮まったことでこの変更が可能になった。すでに-XX:+UseG1GCを指定してG1を利用しているアプリケーションへの影響はなく、-XX:+UseParallelGCや-XX:+UseSerialGCで従来のGCを選択することも引き続き可能。 TLSのポスト量子ハイブリッド鍵交換 もう一つの主要な変更がJEP 527で、アプリケーション側のコード変更なしにTLS 1.3向けのポスト量子ハイブリッド鍵交換を追加する。JVMは古典的な楕円曲線鍵交換とNIST FIPS 203で標準化されたML-KEM-768を組み合わせたX25519MLKEM768をアドバタイズするようになる。これは、攻撃者が現在暗号化された通信を収集しておき、将来量子コンピュータで復号する「Harvest Now, Decrypt Later」攻撃への対策となる。 その他の変更点 このほか、64ビットJVMでコンパクトオブジェクトヘッダーをデフォルト化するJEP 534、Flight Recorderのデータから機密情報を自動的に除去するJEP 536も標準機能として含まれており、オブジェクトヘッダーサイズが96ビットから64ビットに縮小され、実運用ワークロードでヒープフットプリントを22%削減するとされている。プレビュー・インキュベーション機能としては、構造化並行性(Structured Concurrency)が7回目のプレビューを迎えるJEP 533、プリミティブ型のパターンマッチングに対応するJEP 532などが含まれる。Vector APIのインキュベーションも継続される。 今後の見通し Java 27は9月15日に正式リリースされる予定で、LTS版ではないため主に最新機能を試したい開発者向けのリリースとなる。次のLTS版であるJava 29に向けて、今回のプレビュー機能の多くが正式機能化されると見込まれる。

概要 OpenAIは、対象となるエンタープライズ・API顧客向けに主要モデル（フロンティアモデル）での「ゼロデータリテンション（Zero Data Retention、ZDR）」提供を継続・拡充すると発表した。ZDRの下では、リクエストの処理後にプロンプトや出力がOpenAI側に保持されず、OpenAIの従業員がその内容を閲覧することもない。顧客が明示的に同意しない限り、そのデータがモデルの学習に使われることもない。これにより、金融記録や医療情報、機密性の高い事業計画など、機微なデータを扱う企業がAIを導入する際の心理的・規制的な障壁を下げることが狙いだ。 ゼロデータリテンションの仕組みと対象 ZDRのデータ管理方法には大きく2つの選択肢がある。1つは顧客が管理するインフラ上にコンテンツを留め置く方式、もう1つはOpenAI側のインフラに保存しつつも顧客が管理する暗号鍵で暗号化し、OpenAIの担当者がその鍵を保有しない方式だ。いずれも、コンテンツそのものがOpenAI社員の目に触れない設計になっている。 ただし例外も明示されている。児童搾取素材（CSAM）に該当するとみなされたコンテンツは通報目的で保持されるほか、ベクトルストアやスレッドなど特定のAPIサーバー機能に関連するデータは保持対象となる。またOpenAIは、特定のモデルをZDRの対象外にする権利も留保している。なお、この提供は個人向けChatGPTユーザーには適用されず、あくまでケースバイケースで契約するエンタープライズ・API顧客が対象となる。 Private Safety Processingとその意義 ZDRのようにコンテンツを一切保持しない運用は、裏を返せば不正利用の検知を難しくするという課題を抱えていた。これに対応するため、OpenAIは新しい安全監視の仕組み「Private Safety Processing（PSP）」をプレビュー発表した。PSPは、個々のやり取りの内容そのものにOpenAIの担当者が直接アクセスすることなく、複数の関連するやり取りにまたがるパターンを分析し、疑わしい有害行為について狭く限定された「シグナル」だけを検出・報告する仕組みだ。AIが長時間かつ自律的なタスクをこなすようになるにつれ、単発のやり取りだけでなく、一連の関連する操作の中に潜むリスクを見極める必要性が高まっていることが背景にある。PSPの技術的な詳細については、2026年9月に公開予定のホワイトペーパーで明らかにされる見込みだ。 導入の背景と今後の展望 これまで強力なAIシステムを安全に運用するには、安全監視のために機密性の高いコンテンツをある程度保持する必要があり、これが企業のセキュリティポリシーやデータ最小化義務としばしば衝突してきた。規制産業や医療・金融分野の企業にとって、この対立はAI導入を妨げる大きな要因になっていたとされる。今回の発表は、企業側がAI活用によるリスクの一部について自ら責任を負う代わりに、機密データをOpenAI側に残さないという選択肢を強化する動きと言える。もっとも、「学習に使用しない」ことと「一切保持しない」ことは異なる約束であり、一時的なメモリ処理や法的な強制保存の可能性は残るなど、ZDRだけで高度な脅威をすべて検知できるわけではないとの指摘もある。PSPの正式な技術仕様が公開される9月以降、企業がこの新しい枠組みをどう評価し採用していくかが注目される。

概要 OpenAIは8月21日、フラッグシップモデル「GPT-5.6 Sol」の開発者向けAPI価格を20%以上、項目によっては最大33%引き下げると発表した。具体的には、入力トークンが100万あたり5ドルから4ドルへ(20%減)、出力トークンが100万あたり30ドルから20ドルへ(33%減)、キャッシュ入力も0.50ドルから0.40ドルへとそれぞれ値下げされる。この新価格は少なくとも11月21日まで続くプロモーションで、APIだけでなくChatGPT Workのクレジットプランや、コーディングツールCodexのクレジットにも適用される。一方、ChatGPTのPro・Plus・Businessといったサブスクリプションプランの価格は据え置かれた。 値下げの背景 今回の値下げは、AnthropicのClaudeシリーズや中国勢のAIモデルとの競争激化が主な要因とみられる。値下げ後のGPT-5.6 Solの価格は、Anthropicの「Claude Opus 5」(入力5ドル・出力25ドル)と比べても入力・出力の両方で割安になる。投資銀行ジェフリーズは、市場全体の平均推論コストが2026年で最安値の水準に達したと指摘しており、DeepSeekなど低価格モデルの採用拡大も価格競争を後押ししているとみられる。OpenAIのサム・アルトマンCEOはかねて、高い利幅よりも利用量の拡大こそがモデル開発の資金源になるとの考えを示しており、今回の値下げもこうした戦略の延長線上にあるとみられる。 過去の値下げとの関係 OpenAIが主力モデルの価格を引き下げるのは今回が初めてではない。7月30日には、より小規模なモデルである「GPT-5.6 Terra」を20%、「GPT-5.6 Luna」を80%それぞれ値下げしており、上位モデルから下位モデルまで幅広く価格を見直す動きが続いている。今回のGPT-5.6 Solの値下げにより、OpenAIは主要な製品ラインナップ全体でAI業界の価格競争に積極的に対応する姿勢を鮮明にした格好だ。今後、Anthropicや中国勢がどのような対抗策を取るかによって、フロンティアモデルの価格競争がさらに激化する可能性がある。

概要 YouTubeは2026年8月24日より、動画の視聴回数のカウント方式を変更すると発表した。新方式では、動画が再生され始めた瞬間、つまり最初のフレームが表示された時点で「視聴回数」として1回とカウントされる。ライブ配信についても、視聴者が配信に入った時点でカウントされる。これまでYouTubeは複数の計測システムを併用しており、動画形式によって基準が異なる状態が続いていたが、今回の変更によりすべての動画形式で計測方法が統一される。 変更の背景 YouTubeは、クリエイターが複数のカウント方式による混乱を避け、自分のコンテンツが実際にどれだけリーチしているかを正確に把握したいというニーズに応える形でこの変更に踏み切ったと説明している。同様の即時カウント方式はすでにShorts動画では先行して導入されており、今回はそれを長尺動画やライブ配信を含むすべての動画形式に拡大する形となる。また、TikTokやInstagramといった他の主要プラットフォームでもすでに同様の再生開始基準が採用されており、YouTubeとしても業界標準に合わせる狙いがあるとみられる。 収益化への影響 YouTubeは今回の変更について、収益やYouTubeパートナープログラムの適格性判定には一切影響しないと明言している。従来から用いられてきた「エンゲージド視聴回数」(長尺動画では30秒以上の視聴を基準とする指標)は、収益化の判定基準としてそのまま維持される。クリエイターは引き続きアナリティクスツール上でこのエンゲージド視聴回数を確認でき、視聴者がどれだけ動画を継続して視聴しているかを把握することが可能だ。 今後の展望 YouTubeによれば、新しい視聴回数指標により、クリエイターは自身のチャンネルの露出度をより正確に把握できるようになり、スポンサーやパートナー企業に対しても信頼性の高い数字を提示しやすくなるという。なお、この変更とほぼ同時期に、新規クリエイター向けの参入要件についても閾値が引き上げられており、プラットフォーム全体の指標体系の見直しが進んでいることがうかがえる。

概要 カナダ最大級の小児医療機関であるトロントのSickKids(Hospital for Sick Children)は8月20日、サイバーセキュリティインシデントにより現職・元職員、求職者、関連組織であるSickKids Foundationおよびオンタリオ州ヴォーンのBoomerangクリニックのスタッフの個人情報が流出したと発表した。攻撃者は病院が利用する第三者製ソフトウェアアプリケーションの脆弱性を突いて、外部向けの採用(キャリア)ウェブサイトに不正侵入した。侵入を受けて同サイトは一時的にオフラインとなったが、その後復旧している。病院は、臨床システムや患者診療、患者データには影響が及んでいないと強調している。 対応と被害範囲 SickKidsは外部のサイバーセキュリティ専門家と共に調査を進めており、影響を受けた個人には順次直接通知するとしている。被害の具体的な件数やデータ項目(氏名、住所、職歴などの詳細)は公表されていないが、対象者には24か月間の無料クレジット監視・身元保護サービスを提供する方針を示した。侵入の原因となった第三者ソフトウェアのベンダー名や脆弱性の識別番号(CVEなど)も明らかにされていない。 繰り返される標的化の背景 SickKidsがサイバー攻撃の被害に遭うのは今回が初めてではない。2022年12月には、LockBitランサムウェアの関連グループによる攻撃を受け、内部システムや電話回線、ウェブサイトに障害が発生し、薬局システムや診断画像システムを含む復旧には数週間を要した。この際、LockBit側が小児病院を標的にしたことについて異例の謝罪声明を出し、無料の復号化ツールを提供した上で実行犯を組織から追放するという珍しい経緯もあった。さらに2023年9月には、ファイル転送ソフトMOVEit Transferの脆弱性(CVE-2023-34362)を突いた大規模攻撃キャンペーンに巻き込まれ、340万人分のデータが流出している。医療機関、とりわけ小児病院は長期間にわたる機密性の高い記録を保持しているため、攻撃者にとって依然として魅力的な標的となっていることが今回の事案からも改めて浮き彫りになった。

概要 Anthropicは、GoogleでTPU(テンソル処理ユニット)事業をゼロから立ち上げ、率いてきたAmir Salek氏を採用したと報じられた。同社はこの2週間ほど前に自社チップ設計チームの構築を公表し、年俸最大48万5000ドルというエンジニア職の求人を出していたばかりで、今回の招聘はその布石が具体化した形だ。Salek氏はまさに、Anthropicがこれから社内に築こうとしている「ハイパースケーラー規模での自社AIチップ設計」という機能を、Googleで実際にゼロから作り上げた経験を持つ人物であり、いわば「お手本」となる人材の獲得といえる。 Amir Salek氏の経歴 Salek氏はNvidiaで8年間勤務し、システム・オン・チップ(SoC)設計グループを立ち上げてGPUやTegraチップの開発を主導した後、2013年にGoogleへ移籍。以来、Googleの自社シリコン事業をゼロから構築し、2022年まで同部門を率いた。この間、複数世代にわたるTPUに加え、エッジ向けの「Edge TPU」など専用チップの開発も統括している。GoogleのTPUは同社のAI基盤を支える中核技術であり、Salek氏はその生みの親の一人と位置付けられる。 Anthropicのハードウェア戦略 今回の人材獲得は、Anthropicが進める多面的な半導体戦略の一環でもある。同社はすでに、英チップ新興企業Fractileと約2億5000万ドル規模の初期契約を締結しており、契約は将来的に拡大される見込みだ。ただしFractileのチップは、HBM(広帯域メモリ)や外部DRAMへのデータ移動を排し、演算処理をSRAM上に直接統合するという従来とは異なるアーキテクチャを採用しているものの、実際の量産投入は2027年以降になる見通しで、Anthropicはいわば「まだ存在しない半導体」に先行投資した形だ。 このほかにもAnthropicは、6月にGoogleから350億ドル規模のチップ調達に関する資金支援を取り付けてTPUの直接供給を受けているほか、7月にはAMDが最大50億ドルの投資とともに自社データセンターへのAMD製チップ導入で合意している。さらにSamsungとはカスタムチップについて協議を進め、SK Hynixにも供給を働きかけるなど、特定ベンダーへの依存を避けつつ複線的に計算資源を確保する動きを加速させている。 今後の展望 生成AIモデルの学習・推論需要が拡大を続ける中、AnthropicのようなAIモデル開発企業が自社で半導体設計に踏み込む動きは、OpenAIやGoogle、Amazonなど競合他社の動向とも軌を一にする。Salek氏のような「TPUを実際にゼロから立ち上げた」経験を持つ人材の獲得は、単なる採用にとどまらず、Anthropicが中長期的に外部ベンダーへの依存を減らし、推論コストの低減とAI基盤の垂直統合を狙う戦略の本気度を示すシグナルとして受け止められている。

概要 Appleが、Siri関連チームとVision Proチームを中心に200人超の人員削減に踏み切ることが報じられた。内訳は、Vision Proチームから約100人、SiriおよびデバイスへのAI統合を担う「Intelligent Systems Experience」チームから約100人とされる。Appleは公式声明で「ビジネスを進化させ、ユーザーに最高の体験を提供することを目指している」とコメントしており、新しいSiri向けAI基盤への刷新と新デバイス開発への注力を進める組織再編の一環と位置づけている。 削減の背景 今回の再編は、単なるコスト削減というより、AI領域における事業の立て直しを狙ったものとみられる。Appleは近年、生成AI競争において後れを取っているとの指摘を受けており、Siriの大規模刷新はその挽回策の柱とされてきた。既存チームの縮小と並行して、AI関連の新たな役職を創出する動きも報じられており、組織のリソース配分をAI領域へ再配置する狙いがうかがえる。 Appleが直面する複合的な課題 Appleは今回の人員削減の背景として、複数の経営課題を抱えている。AI開発に伴うメモリ需要の高まりから部材コストが上昇し、Mac・iPadなど主力製品の値上げにつながっている点はその一つだ。さらに、OpenAIとの間では企業秘密（トレードシークレット）の窃取をめぐる訴訟を抱えるなど、AI分野でのポジション確立に向けた対外的な摩擦も表面化している。こうした状況を受け、Appleはハードウェア製品のリースプランを新たに導入するなど、価格上昇による顧客離れを防ぐ施策も並行して進めている。 今後の展望 Vision Proは発売以来、期待されたほどの普及には至っておらず、ゲームや没入型ビデオを担当するチームの縮小は、同製品の位置づけの見直しを示唆している可能性がある。一方でSiriチームの再編は、次世代AIアシスタント基盤への移行が本格化していることの表れといえる。Appleが人員削減と新規採用を同時に進める中で、今後どのような形でAI戦略の成果を打ち出してくるかが焦点となる。

概要 米CISA、FBI、保健福祉省(HHS)は8月18日、Medusaランサムウェアによる重要インフラへの攻撃に関する共同勧告を発表した。2021年6月の初確認以降、医療・防衛産業基盤・重要製造業・政府サービス・IT・金融など複数分野で500以上の組織が被害を受けているという。被害組織数は2025年2月時点の300以上から、2026年4月時点で500以上へと急速に拡大しており、特にヘルスケア業界が頻繁に標的となっている。 攻撃手法と侵入後の活動 Medusaの攻撃者は、ScreenConnect、Fortinet EMS、Fortra GoAnywhere、BeyondTrustなどの既知の脆弱性を主な侵入経路としている。セキュリティ専門家のNick Tausek氏は「新しい脆弱性が発見されても、多くのセキュリティチームが露出評価を完了する前に、アクティブな侵害に発展する可能性がある」と警告しており、実際に攻撃者は脆弱性の公開から24時間以内、場合によっては公開前の段階でエクスプロイトを悪用しているという。独自のゼロデイ開発の兆候は確認されていない。 侵入後は、PowerShellによるステルス技術やコマンド履歴の削除で痕跡を消去しつつ、Mimikatzを用いた認証情報の窃取、AnyDeskやSimpleHelpといった正規のリモートアクセスツールを悪用して横展開するほか、Nezha(サーバー監視ツール)やGSocket(ファイアウォール回避ツール)といった公開ツールをコマンド&コントロールや痕跡隠蔽に利用する。データ窃取にはBandizipでのアーカイブ作成とRcloneによる外部流出が用いられる。Andrew Costis氏は、Active Directoryのファイルが盗取されるケースについて「盗取されたデータはKerberosチケットの偽造に使用される可能性がある」と特に懸念を示している。最終的な暗号化にはgaze.exeというプロセスが使われ、ファイルは「.medusa」拡張子で保護されるとともに、バックアップやセキュリティサービスが停止される。 運営モデルと脅迫戦術 Medusaは2021年の登場当初は単独の閉鎖的な運用だったが、2023年初頭にRanwomware-as-a-Service(RaaS)のアフィリエイトモデルへ移行し、同年に開設したリークサイト「Medusa Blog」を契機に活動を加速させた。運営グループは、100ドルから100万ドルという幅広い報酬でサイバー犯罪フォーラムから初期アクセスブローカーを募集している。2023年3月にはミネアポリス公立学区への攻撃で盗んだデータを公開し、能力を誇示したことでも注目を集めた。 脅迫にあたっては二重恐喝方式を採用し、身代金要求から48時間以内の対応期限を設定。支払いを拒否した被害者にはリークサイト上でカウントダウンタイマー付きのデータ公開予告を行うほか、1万ドルの暗号資産支払いで公開を1日延長する仕組みも用意されている。支払いが行われない場合は電話やメールでの直接接触も行うという。 推奨される対策 FBI・CISA・HHSは関係組織に対し、脅威ハンティングの実施、C2(コマンド&コントロール)ソフトウェアの削除、認証情報のローテーション、既知の脆弱性(CVE)への迅速なパッチ適用を推奨している。加えて、インターネットに接続するシステムの脆弱性対策、ネットワークセグメンテーションの実施、リモートアクセスサービスへの信頼できない外部トラフィックの遮断、CISAが提供する排除戦略ツールの活用も呼びかけている。身代金の支払いは推奨されておらず、被害に遭った組織はFBIのインターネット犯罪苦情センター(IC3)やCISAへの報告が求められる。既知脆弱性の悪用速度が加速する中、防御態勢の早期強化が急務となっている。

概要 中国のZ.AI(Zhipu AI)は2026年6月16日、オープンウェイト大規模言語モデル「GLM-5.2」の正式版の重みとブログ記事を公開した。同モデルは6月13日にGLM Coding Planの会員向けに先行展開されており、モデル重みはMITライセンスのもとHugging Face上の「zai-org/GLM-5.2」で入手できる。エージェント向けベンチマークで顕著な成果を上げ、ArenaのエージェントリーダーボードではOpenAIやAnthropicの最新モデルと肩を並べる唯一のオープンモデルとなったほか、Design ArenaではAnthropicの「Claude Fable」を上回る評価を獲得している。 エージェント・コーディング性能 GLM-5.2は「コーディングハーネスにおいてまともに動作する初のオープンウェイトモデル」と評価されており、Claude CodeやFireworksのAPIとの統合でも良好な結果が報告されている。モデルは常に最大の思考(max thinking)モードで使用することが推奨されており、この設定で稼働させた場合、Anthropicの「Opus 4.8」の非思考(no-thinking)モードに匹敵する性能を示すという。Vercelの最高経営責任者(CEO)は「GLM-5.2のコーディング性能には心底驚かされた。これは物事を変える」とXで投稿し、開発者コミュニティでも高い評価を集めている。 技術的な背景 GLM-5.2の学習にはZ.AI独自の強化学習(RL)フレームワーク「SLIME」が用いられている。記事の著者は「近年のベンチマークは半ば形骸化している」と指摘したうえで、公式リリースのブログ発表そのものよりも、実際のエコシステムでの反応の方が重要だと述べている。 オープンモデルの意義と今後の展望 Anthropicが2025年11月24日にリリースした「Claude Opus 4.5」から、GLM-5.2の正式リリースまでの期間はわずか204日だった。この短さは、米国の最先端クローズドモデルとオープンウェイトモデルとの性能格差が「6〜9ヶ月」とされてきた従来の予測と符合するとともに、その差が着実に縮まっていることを示している。専門家はGLM-5.2の登場を、限られたリソースの中で中国の研究機関が最前線級の性能を実現した「DeepSeek R1」に匹敵する重要なマイルストーンと位置づけており、オープンモデルの規制やアクセス管理をめぐる議論が今後さらに活発化するとみられる。

概要 セキュリティ企業Truffle Securityの調査により、2022年8月から2026年にかけてコードリポジトリやGit履歴、Dockerイメージ、CIログなどに公開状態で流出したAWSアクセスキーのうち、9,300件以上が今なお有効であることが判明した。調査ではコード上に露出した43万1,875件のAWSシークレットを分析し、重複を排除した結果、5万654個のAWSアカウントにひもづく6万4,024件のユニークなキーを抽出。検証可能だった1万616件のうち88%（2026年8月10日時点）が認証を通過し、依然として悪用可能な状態にあった。 企業に紐づくキーは817件確認され、うち526件はAWSにおいて最も強い権限を持つルートキーだった。さらに242件はIAMユーザーに付与されたAdministratorAccessポリシーを保持しており、攻撃者がこれらを悪用すれば企業のAWSアカウントを完全に乗っ取ることが可能な状態にある。 技術的な詳細 流出元として最大だったのはAI開発プラットフォームのHugging Faceで、8,482件のユニークな露出がここから発生していた。Hugging Face経由で流出したキーのうち17.9%はルートキーであり、他のソースと比べて特に危険度が高い。 流出したキーの深刻さを裏付けるのが、その「放置期間」の長さだ。流出から発見までの期間の中央値は1,831日、およそ5年に及び、最も古いものは17.4年間も公開状態のまま有効であり続けていた。ローテーション（キーの再発行・無効化）が行われた形跡が確認できたのはわずか13.7%にとどまり、多くの組織で認証情報の管理体制が長期にわたり機能していなかったことがうかがえる。また、読み取り可能だった2,754アカウントのうち予算アラートが設定されていたのは262件のみで、不正利用による異常な課金を検知する仕組みも十分に整っていなかった。 想定される影響と対応 管理者権限を持つキーが悪用された場合、攻撃者はデータの窃取、稼働中のサーバーやアプリケーションの乗っ取り、暗号資産マイニングツールの展開、さらには永続的なアクセス確保のための不正な管理者アカウント作成まで行える。AWSはBleepingComputerの取材に対し、「露出したキーを認識した際は常に顧客に通知し、徹底的な調査を行った上で隔離ポリシーを適用している」とコメントしている。 セキュリティ専門家は、ルートアクセスキーの使用を廃止し、IAM認証情報を定期的に監査すること、露出が疑われるキーは速やかにローテーションすること、そして予算アラートなど異常検知の仕組みを整備することを推奨している。今回の調査結果は、パブリックリポジトリや第三者プラットフォームへの認証情報の混入がいかに長期間見過ごされうるかを浮き彫りにしており、開発現場でのシークレット管理の徹底が改めて求められている。