概要 Cloudflareは2026年8月14日、Workerに対して直接Zero Trust Accessポリシーを設定できる新機能を発表した。これまで開発者はカスタムドメインやworkers.dev、プレビューURLなど、Workerに紐づく複数のエンドポイントごとに個別のアクセス制御を用意する必要があったが、新機能ではポリシーをWorker自体に紐づけることで、そのWorkerに関連するすべてのドメインが自動的に保護対象となる。設定単位はWorker単位とアカウント全体の2種類から選択でき、アカウント全体を選べば既存・新規を問わずすべてのWorkerをデフォルトで非公開にした上で、必要なものだけを例外的に公開する運用が可能になる。 背景と狙い Cloudflareが公式ブログで強調しているのは、AIによる「vibe-coding」で内製アプリケーションが急増している現状への対応だ。開発者が素早く社内ツールをデプロイできるようになった一方で、認証設定を忘れたまま公開状態のWorkerが放置されるケースが課題となっていた。今回の機能は、CISOなど組織のセキュリティ管理者がアカウント全体に対して「デフォルト非公開」のガードレールを一括適用できるようにすることで、開発者個人の設定漏れに依存しない防御を実現する狙いがある。認証対象としてはCloudflareアカウントのメンバーに加え、特定のメールアドレスやメールドメインを指定でき、本番環境のみ、あるいはプレビュー環境も含めて保護するかを選べる。 技術的な詳細 実装面では、Cloudflareの新しいRustベースのプロキシ基盤「FL2」により、リクエストのルーティング処理をWorkerの実行前に行えるようになったことがこの機能を支えている。従来のNGINX/Lua製プロキシ「FL1」ではWorker単位での認証適用が技術的に複雑だったが、FL2への移行によってポリシーの適用点をWorkerの手前に置けるようになった。開発者向けには、Workersランタイム上でctx.access.getIdentity()を呼び出すだけで認証済みユーザーのメールアドレス、名前、所属グループを取得できるAPIが用意され、JWTの手動検証は不要になる。ローカル開発時にはwrangler.jsoncのdevブロックに擬似的な認証ユーザー情報を設定することで、Access連携込みの認証フローをローカル環境でテストできる。詳細なポリシーの調整はZero Trustコンソールから行うほか、Workers APIを用いたプログラマティックな設定にも対応する。またWorkers for Platformsを利用する場合、プラットフォーム上にデプロイされる全Workerをデフォルトで非公開化することも可能で、マルチテナント環境での内部アプリケーション保護にも応用できる。 今後の展望 この機能により、Cloudflare上でWorkerを運用する組織は、個別のドメインやルートごとに認証設定を管理する手間から解放され、Worker単位・アカウント単位でセキュリティポリシーを一元管理できるようになる。特にAI支援によるアプリケーション開発が広がる中で、意図しない情報公開のリスクを組織レベルで抑止できる点は、開発速度とセキュリティ統制の両立を目指す企業にとって実用的な選択肢となりそうだ。

概要 Googleは2026年8月12日、新型スマートウォッチ「Pixel Watch 5」を発表した。予約販売は発表と同日に開始され、日本では本日8月20日に正式発売される。今回のモデルではGeminiとの音声対話機能が大幅に強化されたほか、健康管理機能の拡充、そしてQualcomm製新チップの搭載による処理速度の向上が主な特徴となっている。 目玉となるのは「手をあげて話す」機能の強化だ。ユーザーが手首を上げてGeminiに話しかけるだけで、ワークアウトの開始やタイマー設定、メールの確認といった操作をハンズフリーで実行できる。さらに今後展開が予定されている「Gemini Intelligence」では、たとえば家族との夕食の予定を尋ねられた際に、Geminiが連絡先情報を自動的に検索してウォッチ上に表示するなど、より先回りした提案を行えるようになるという。ウォッチフェイス上でも、空港到着時に搭乗券を自動表示したり、通勤中に残りの停車駅数を表示したりする「At a Glance」機能により、状況に応じた動的な情報提供が強化された。 健康管理機能とハードウェア 健康管理面では、新機能「Health Guardian」が導入された。血管ストレス、睡眠中の呼吸の質トレンド、代謝ストレスという3つの指標について月次のトレンドサマリーを生成し、長期的な健康状態の把握を支援する。最初の詳細サマリーは着用開始から1カ月後に配信される仕組みだ。加えて「Google Health コーチ」は、睡眠や心拍変動などの回復指標を分析したうえで、個別最適化された筋力トレーニングプランを提案する。GPSによるルートトラッキング精度も前世代比で2倍に向上し、都市部や森林地帯でもより正確な位置追跡が可能になった。 ハードウェア面では、Qualcomm Snapdragon W5 Gen 2 Acceleratedプロセッサを新たに搭載し、RAMは50%増量、CPU性能は12%向上、処理速度は全体で20%高速化した。バッテリー駆動時間は41mmモデルで最大40時間、45mmモデルで最大30時間となっている。価格（税込）は41mmのBluetooth/Wi-Fiモデルが62,800円、LTEモデルが79,800円、45mmのBluetooth/Wi-Fiモデルが67,800円、LTEモデルが84,800円と、サイズおよび通信方式ごとに4種類のラインナップが用意されている。Googleは今回のPixel Watch 5について、「バックグラウンドで静かに動作し、大切な瞬間に集中できる」というコンセプトを掲げている。

概要 Rustプロジェクトは8月20日、最新安定版「Rust 1.98.0」をリリースした。7月3日からベータ版として運用されており、シンボルマングリングの既定値変更や整数ビット演算メソッド追加を行った前バージョン1.97に続く更新となる。今回の目玉は、これまで「呼び出す」ことしかできなかったC言語の可変長引数関数（variadic functions）を、Rust側で「定義」できるようになった点だ。c_variadic機能が安定化され、unsafe extern "C"関数としてargs: ...のような可変長引数を受け取り、VaArgSafeを実装する型（c_intやc_double、各種ポインタなど）をnext_argで順次取り出す実装が可能になった。プラグインシステムやロギングフレームワーク、C言語からRustへの段階的移行時に可変長のコールバックを実装する用途での活用が見込まれる。 技術的な詳細 組み込みおよびOS開発者向けには、c_variadic_naked_functionsも同時に安定化された。これは#[unsafe(naked)]属性と可変長パラメータを組み合わせ、アセンブリによる実装で複数のABIをサポートするというもので、標準のc_variadicが"C"と"C-unwind"のみに対応するのに対し、naked variadicでは"aapcs"、"efiapi"、"sysv64"、"win64"、"cdecl"など多様な呼び出し規約に対応する。これによりARM組み込みボード、UEFIファームウェア、Linux x86-64環境それぞれに合わせた実装が書けるようになる。 もう一つの注目点は、2018年から未解決だったIssue #49505、#[derive(PartialOrd)]マクロのバグ修正だ。従来このマクロは(a > b) || !(b > a) && trueのような冗長な比較ロジックを生成しており、LLVMによる最適化が難しい状態だった。今回、同じ型に対してOrdとPartialOrdの両方を導出する最も一般的なパターンにおいて、partial_cmpがcmpに直接委譲するよう修正され、生成コードが簡潔になりバイナリサイズも削減される。利用者側の対応は不要で、再ビルドするだけで自動的に適用される。 このほか、x86/x86-64向けにu128/i128型をasm!マクロ内でXMM・YMM・ZMMレジスタ経由で扱えるようになり、AES-NIやSIMD、UUID処理の効率化に寄与する。またPanicHookInfoのlocation()メソッドが返すライフタイムがOption<Location<'static>>に変更されたため、カスタムパニックフックを利用しているプロジェクトは動作確認が推奨される。Rustdocのビルド速度も2025年12月時点と比較して約28%短縮されたという。廃止された機能としては-Zemscripten-wasm-ehフラグがある。アップグレードは通常通りrustup update stableで行えるが、nightly版の機能フラグを使っていた場合は対応する#![feature(...)]属性の削除、カスタムパニックフックや古いビルドスクリプトの確認が必要となる。

概要 日本のクラウド・データセンター大手さくらインターネットは8月19日、同社の販売管理システムへの不正アクセスにより、最大136万563アカウントの会員契約情報が第三者に閲覧・取得された可能性があると発表した。同社はすでに8月17日、「さくらのレンタルサーバ」において583アカウントへの不正ログインを公表していたが、その後の調査で別の基幹システムである販売管理システムにも被害が及んでいたことが新たに判明した形だ。攻撃者は8月9日の時点でシステムへの侵入を果たしていたとみられ、公表までに10日ほどのタイムラグがあったことになる。 被害の詳細と時系列 同社の説明によれば、まずレンタルサーバのアカウントに対する不正ログインが確認され、8月17日に第一報として公表された。その後の調査過程で、顧客の契約情報を管理する販売管理システムにも不正アクセスの痕跡が見つかった。なお、マルウェアの設置が確認されたのは8月17日に公表されたレンタルサーバ側のサーバーであり、両事案の関連性については引き続き調査中とされている。この販売管理システムへの不正アクセスの詳細は、8月19日から20日にかけて第二報として公表された。 流出した可能性がある情報は、会員ID、会社名、住所、氏名、メールアドレス、生年月日など多岐にわたる。加えて、30アカウントについてはハッシュ化されたパスワード情報にもアクセスされた可能性があるという。同社はクレジットカード情報についてはシステム上に保存しておらず、流出の対象には含まれないと説明している。現時点でランサムウェア集団など特定の攻撃者グループによる犯行声明は出ておらず、実際にデータが外部に持ち出された(exfiltration)ことも確認されていない。 さくらインターネットの対応と今後の影響 同社は侵害が判明した認証情報の失効、検出されたマルウェアの除去、システムの緊急点検と監視強化を実施したと説明している。また外部の専門機関と連携して調査を進めるとともに、関係当局への報告や対象となる可能性のある顧客への個別連絡を進めている。ただし影響範囲の全容は依然として調査中であり、今後さらに情報が更新される可能性がある。 さくらインターネットは日本政府のクラウド調達プログラム「ガバメントクラウド」において国内事業者として採用されている数少ない企業の一つであり、今回の事案は一企業の情報漏えいにとどまらず、国内のデジタルインフラの信頼性という観点からも注目されている。今後、同社がどのように再発防止策を講じ、影響を受けた顧客への補償や説明責任を果たしていくかが焦点となる。

概要 セキュリティ企業Huntressは、2026年上半期にパスワードスプレー攻撃が155倍に急増したと報告した。特に目を引くのは、Azure CLIを標的とした「LSHIY」と呼ばれるキャンペーンで、6月中旬の2週間だけで8100万回を超えるログイン試行が観測され、78件のアカウント侵害が確認された。攻撃者は過去のデータ侵害で流出した有効なユーザー名とパスワードの組み合わせを大量に再利用し、Azure・Entraリソースを管理するための管理者向けコマンドラインツールであるAzure CLIへのログインを試みていた。攻撃インフラは当初IPv6アドレス範囲「2a0a:d683::/32」を保有するホスティング企業を経由していたが、検出を逃れるためFranTechや3xK Techなど複数のプロバイダーへと移行を繰り返していた。 MFAをすり抜ける手口 この攻撃で特に問題視されているのが、多要素認証（MFA)を導入していた組織でも侵害を防げなかった点だ。Huntressが分析した23組織のうち、8組織はそもそもMFAを導入していなかったが、残る15組織はMFAを導入していたにもかかわらず、攻撃者のサインイン試行には適用されていなかった。原因は、レガシーなOAuth 2.0の「Resource Owner Password Credentials（ROPC)」フローの悪用にある。ROPCは対話型のMFAプロンプトをサポートしない仕組みであるため、攻撃者はユーザーの認証情報を直接「/token」エンドポイントへ送信するだけでMFAを完全に迂回できてしまう。Huntressの脅威インテリジェンス担当者は、ROPCについて「技術的には正規の認可方式だが、実質的には認証を偽装する手口だ」と指摘している。多くの組織では条件付きアクセスポリシーが特定のアプリケーションやユーザーグループ、信頼された場所に限定して適用されており、こうした限定的な設計がROPC経由の攻撃を素通りさせる隙間を生んでいた。 推奨される対策 Huntressは対策として、パスワード運用の衛生管理強化やパスワードレス認証への移行検討に加え、ROPCフロー自体の無効化を強く推奨している。またAzure CLIの利用を管理者以外のユーザーに広げないよう制限すること、そして条件付きアクセスポリシーを全ユーザー・全クラウドアプリケーション・全クライアントアプリタイプに例外なく適用することを求めている。具体的にはuserStrongAuthClientAuthNRequiredのような、より強固な条件付きアクセス設定の導入が挙げられている。担当者は「適切に設定・管理された条件付きアクセスはスーパーパワーになり得る」と述べ、MFA導入自体だけでなく、その適用範囲に抜け漏れがないかを見直す重要性を強調している。

概要 Anthropicの年換算売上高(ARR)が650億ドルを突破したことが明らかになった。2025年末時点の約90億ドルから7倍以上に急拡大しており、直近3か月だけでも約470億ドルから180億ドル積み増す形で650億ドルに到達したという。同社はこの勢いを背景に今秋、早ければ10月にもIPO(新規株式公開)を実施する計画で、モルガン・スタンレーを主幹事証券に、投資家との面談を進めている段階にある。市場ではIPO時の評価額が2兆ドル規模に達する可能性も取り沙汰されており、実現すれば史上有数の巨大テック上場となる見通しだ。 急成長を支えるインフラ投資 Anthropicの急成長を支えているのが、大手クラウド事業者との大規模な計算インフラ契約だ。Amazonとは「Project Rainier」と呼ばれるインダイアナ州のデータセンター建設で約110億ドル規模の契約を結び、Trainium 2チップを約50万個導入、将来的には100万個規模への拡張を見込む。Googleとも提携し、最大100万個のTPUへのアクセス権を確保、2026年中に1ギガワット超の電力容量を稼働させる計画だ。さらにGoogleとBroadcomとの追加契約により、2027年には次世代TPUで3.5ギガワット分の容量を追加する予定となっている。Anthropic自身も米国内の計算インフラに500億ドルを投じる方針を表明しており、需要に供給が追いつかない状況の中で積極的な先行投資を続けている。 収益性とIPOに向けた展望 API事業の粗利益率は80%を超える水準にあると報じられており、収益性自体は高い。ただし、データセンターへの巨額投資が先行することで、2026年後半には利益率が一時的に低下する可能性も指摘されている。Anthropicは2028年までに年間売上高2000億ドル規模への到達を見込んでおり、IPOに向けたS-1目論見書の提出はロードショー開始の15日以上前になる見通しだ。OpenAIなど競合他社との資金調達競争が激化する中、旺盛な需要に支えられた今回の急成長は、AI業界全体の投資熱がなお衰えていないことを裏付ける材料としても注目されている。

概要 データ・AI基盤大手のDatabricksが5億ドルの追加資金調達を実施し、評価額は190億ドル(半年前の1340億ドルから42%増)に到達した。ラウンドはCoatueが主導し、Blackstone、MGX、T. Rowe Price系列の各社、新規参加のSixth Street Growthなど約20社の投資家が参加した。CEOのAli Ghodsi氏によれば、当初の調達目標は1億ドルにすぎなかったが、6月のカンファレンス開催中にThe Informationが今回の資金調達計画を報じたことをきっかけに投資家の関心が急騰し、「150億ドル分の需要があった」という。既存投資家との関係悪化を避けるため、Ghodsi氏は最終的に調達額を5倍の5億ドルへと引き上げる判断をした。 財務状況と製品の勢い Databricksは年間経常収益(ARR)換算で70億ドルの規模に達し、前年比80%の成長を遂げているほか、キャッシュフローも黒字化している。中核製品であるクラウドデータウェアハウスは15億ドルの経常収益規模(前年比100%成長)を維持しており、依然として拡大が続いている。2025年6月にローンチしたAIエージェント向けデータベース「Lakebase」は、経常収益ベースで早くも1億ドル規模に到達した。また、ビジネス分析向けAIチャットボット「Genie」もGhodsi氏が「非常に人気が高い」と語るなど、AI関連製品群が成長を牽引している。 資金の使途と今後の見通し 今回調達した資金は、大手ハイパースケーラーとの間で結んでいる数十億ドル規模のクラウドインフラ契約の履行、100人規模のAI研究チームの維持・拡大、そしてPostgresデータベースのElectricやサイバーセキュリティ企業Panther社を含む複数の買収案件に充てられる見込みだ。Databricksはこの20カ月間で総額200億ドルを調達しており、今回のラウンドもその延長線上にある。Ghodsi氏は将来的な株式公開(IPO)への関心を示しつつも、当面は非公開企業のままAI分野への投資を優先する方針を明らかにしており、明確なIPO時期は示していない。

概要 Go言語の開発チームは8月19日、最新版となる「Go 1.27」を正式リリースした。今回のリリースでは、ジェネリックメソッドのサポートやネストされた構造体フィールドの直接初期化、型推論の拡張といった言語仕様の改善に加え、標準ライブラリにはポスト量子暗号（ML-DSA）、書き直されたencoding/json/v2、UUIDパッケージ、実験的なSIMD対応が新たに加わった。あわせて、小さなオブジェクトのメモリ割り当てコストを最大30%削減するパフォーマンス改善も実施されており、言語機能・標準ライブラリ・実行効率のいずれの面でも着実な進化を遂げたリリースとなっている。 言語仕様の変更点 Go 1.27では3つの主要な言語仕様の変更が導入された。1つ目は長らく要望の多かった「ジェネリックメソッド」のサポートで、これまで型ごとに個別定義する必要があったメソッドを、型パラメータを使って汎用的に記述できるようになった（例: func (r *Rand) N[Int intType](n Int) Int）。2つ目は、埋め込み構造体を持つ型において、ネストされたフィールドを複合リテラル内で直接指定できるようになった変更で、これまで冗長だった初期化コードを簡潔に書けるようになる。3つ目はジェネリック型推論の適用範囲の拡大で、複合リテラル・型変換・チャネル送信といった文脈でも関数の型引数を自動推論できるようになった。これらの変更に対応するため、go fixコマンドにはatomictypesやembedlitといった新しい最適化ルールも追加されている。 標準ライブラリとツールの強化 標準ライブラリでは、FIPS 204準拠のポスト量子暗号アルゴリズムを実装したcrypto/mldsaパッケージが新設され、crypto/x509やcrypto/tlsとも統合されたことで、TLS通信でもポスト量子暗号による署名が利用可能になった。またJSON処理を刷新するencoding/json/v2が追加され、より高度でカスタマイズ可能なエンコード・デコードオプションを提供する。このほか、UUIDの生成・パースを行うuuidパッケージ、実験的なSIMD（単一命令複数データ）対応パッケージsimdも加わった。開発ツール面でも、go docでパッケージのバージョンを指定したクエリ（例: go doc example.com/pkg@v1.2.3）がサポートされたほか、go mod tidyがrequireブロックを自動的に整理・統合する機能も追加され、日常的な開発体験の改善が図られている。 パフォーマンス改善 今回のリリースでは実行時性能の最適化にも力が入れられた。80バイト未満の小さなオブジェクトに対するメモリ割り当てコストが最大30%削減され、割り当てが多いプログラム全体では約1%の性能向上が見込めるという。またruntime/pprofのgoroutineリーク検出プロファイル機能（Go 1.26で実験的に導入されていたもの）が正式に一般提供（GA）となり、永続的にブロックされたまま解放されないゴルーチンを自動的に検出できるようになった。これにより、本番環境でのリソースリーク調査がより容易になることが期待される。 今後の展望 Go 1.27は、言語のエルゴノミクス改善とセキュリティ・性能面の強化を両立させたリリースといえる。特にポスト量子暗号への正式対応は、今後本格化するとみられる量子コンピュータ時代の暗号移行を見据えた重要な布石であり、TLSスタックへの統合によって既存のGoアプリケーションが比較的スムーズに移行できる土台が整った。ジェネリクス関連の改善も継続的に進められており、次期リリースでもさらなる型システムの洗練が見込まれる。

概要 イーロン・マスク氏率いるSpaceXは8月14日、AIコーディングツール「Cursor」を開発するAnysphereの全株式取得を完了したと発表した。取引総額は600億ドル規模の全株式交換によるもので、ベンチャーキャピタル出資企業の買収案件としては史上2番目、スタートアップの買収としては史上最大級とされる。買収完了に伴い、Anysphereの株主はSpaceXのClass A株を受け取り、Cursorは新設された「SpaceXAI」部門傘下の完全子会社として運営される。発表を受けてSpaceX株は一時的に不安定な値動きとなった。 買収の狙いと統合の方向性 今回の買収の最大の狙いは、AnthropicやOpenAIが先行するAIコーディング支援市場において、SpaceX・xAI連合が独自の足場を築くことにある。CursorはSpaceXAIが運用する大規模GPUクラスタ「Colossus」へのアクセスを得ることになり、今後は「Grok Build」「Grok Bot」「Grok API」といったGrok関連製品との統合が進められる見通しだ。Cursorというブランド自体も、段階的にGrokブランドへ統合されていくとみられている。開発者がCursor上で行うコーディングセッションのデータをGrokモデルの改善に活用し、その成果を再びIDEに組み込んでさらなるデータを収集するという循環構造を狙っているとの見方もあり、SpaceXが自社のAI開発基盤を強化するための戦略的な布石という位置づけが強い。 業界への影響 この買収は、宇宙開発企業であるSpaceXがAI開発ツール市場へ本格的に進出することを意味し、従来の事業領域を大きく超えた動きとして注目されている。生成AIを活用したコーディング支援ツールを巡っては、Anthropic、OpenAIをはじめとする主要AI企業がしのぎを削っており、SpaceX・xAI連合が自社開発モデルとコーディングツールを垂直統合することで、開発者向けAI市場における競争がさらに激化する可能性がある。 今後の展望 Cursorブランドおよびプロダクトが今後どのようにGrokエコシステムへ統合されていくのか、また既存のCursorユーザーやエンタープライズ顧客への影響については、今後の発表が注目される。SpaceXにとっては宇宙事業以外での収益源拡大という側面もあり、AI開発ツール事業がどこまで成長するかが今後の焦点となりそうだ。

概要 イラン政府と関連が疑われるハッカー集団が、米国の小規模な水道・下水道施設を相次いで標的にしていたことが明らかになった。攻撃はミネソタ州の30以上のコミュニティから始まり、アーカンソー州、ジョージア州、ニュージャージー州、ミシガン州など少なくとも7州に拡大した。攻撃者はインターネットに露出したプログラマブルロジックコントローラー(PLC)を悪用し、一部施設ではポンプやバルブへの遠隔操作アクセスを取得していたとみられる。攻撃主体は正式には特定されていないが、米情報機関はイスラム革命防衛隊(IRGC)の関与を「確信している」とワシントン・ポストが報じている一方、トランプ大統領は「イランによるサイバー攻撃があったとは思わない」と発言しており、政府内でも見解が割れている。 被害の実態 セキュリティ企業Forescoutの調査により、米国の水道システムでは2,800台以上のコントローラーがインターネット上に露出した状態にあったことが判明した。実際の被害としては、水圧の低下により未処理の地下水が配水管に浸入するリスクが生じたケースが報告されているほか、ミネソタ州ブラハム町では水処理施設が数時間にわたりオフラインとなった。同州メープルプレーン市では一時的に緊急事態が宣言され、ジョージア州では予防措置として住民に煮沸消毒の指示が出された。これらの被害はいずれも予算や専門人員が限られる小規模インフラ事業者で発生しており、大都市の水道システムに比べてサイバーセキュリティ対策への投資が手薄になりがちな構造的な脆弱性が浮き彫りになった。 当局の対応と今後の焦点 米国土安全保障省傘下のサイバーセキュリティ・インフラセキュリティ庁(CISA)は今年4月と7月の2度にわたり警告を発令し、FBIも7月30日に公式声明で注意を呼びかけた。しかし攻撃主体の特定をめぐっては政府内で足並みが揃っておらず、情報機関の分析とホワイトハウスの発言に食い違いが見られる状況が続いている。水道インフラは電力や通信網に比べてサイバーセキュリティへの投資が後回しにされがちな重要インフラであり、今回の一連の攻撃は、老朽化した制御システムをインターネットに接続したまま運用する小規模事業者に対する国家的なリスクを改めて突きつける結果となった。今後は露出したPLCの隔離やパスワード管理の徹底など基本的な対策の普及に加え、連邦レベルでの支援策の拡充が焦点となりそうだ。