概要 複数モデルプロバイダーへの接続を担うオープンソースのAIゲートウェイ「LiteLLM」で発生した供給チェーン攻撃の全容が、新たな分析により明らかになった。2026年3月24日、悪意あるバージョン(v1.82.7およびv1.82.8)がPyPI上でわずか約40分間だけ公開されたが、この短い時間の間に自動デプロイ基盤を通じて急速に拡散し、AWS、NVIDIA、Cisco、Samsung、Salesforce、ServiceNow、Siemens、FedEx、Volkswagenなど大手企業を含む2,500近い組織のクラウド認証情報、SSH鍵、Kubernetesトークン、データベースパスワード、AIプロバイダーAPIキーなどが窃取された。セキュリティ企業CloudSEKは約434,000ファイル、Hudson Rockは153GBのアーカイブ(433,909ファイル、118,829件のCI runnerダンプ)を分析し、2,488のドメインに影響が及んだと結論づけている。ただしこれらの数値は確認された被害組織数ではなく、攻撃者が収集したログとファイルの規模を表す点には注意が必要だ。 Trivyハックとの関連 今回の攻撃はLiteLLMが直接狙われたものではない。攻撃者集団「TeamPCP」(Googleの追跡名ではUNC6780)は、まずAqua Securityが運営する脆弱性スキャナー「Trivy」を侵害し、3月19日には77個あるtrivy-actionのバージョンタグのうち76個と、setup-trivyの全7タグに悪意あるコミットを強制プッシュした。LiteLLMのCIパイプラインがこの汚染されたTrivyを自動的に取り込んだことで悪意あるコードがビルドシステムに侵入し、最終的に正規のリリースとしてPyPIに公開される結果となった。CloudSEKはこの経路を「Trivy、次にビルドシステム、そしてLiteLLMのリリース。失効しなかったトークン一つが、3つのツールを貫いた」と表現している。 技術的な詳細 侵害されたパッケージには多段階の認証情報窃取マルウェアが仕込まれていた。特にv1.82.8にはlitellm_init.pthという起動用ファイルが含まれており、Pythonインタプリタが起動時に処理する仕組みを悪用することで、LiteLLMを明示的にインポートしなくても悪意あるコードが実行される設計になっていた。この仕組みにより、パッケージが公開されていた短時間でも高い感染率を実現したとみられる。マルウェアは環境変数、AWS認証情報、Kubernetes設定を収集し、systemdサービスを通じて永続化する機能も備えていた。攻撃のタイムラインとしては、3月24日午前10時39分(UTC)に悪意あるバージョンが公開され、同日午前11時19分頃にPyPI側が隔離、3月26日にはCVE-2026-33634がCISAの既知悪用脆弱性(KEV)カタログに追加されている。 今後の対応と展望 セキュリティ企業各社は、影響を受けた可能性のある組織に対し、3月24日の監査ウィンドウ中に感染したインストールがないか確認し、LiteLLMがアクセスできた全てのシークレットを侵害済みとみなしてクラウドプラットフォーム、リポジトリ、SaaSシステム全体でローテーションすること、CIランナーの再構築、不審な.pthファイルや永続化の痕跡の調査、3月24日以降のログレビューを推奨している。FBIは「tpcp-docs」という命名パターンを持つリポジトリを侵害の指標として列挙しており、Hudson RockとCloudSEKはそれぞれ組織がドメインの影響有無を確認できるポータルを提供している。CloudSEKはAI基盤が「データ、アイデンティティ、計算資源、自律的なアクションが交差する高価値な結節点」であるとして、今後もAIインフラを狙った同種のサプライチェーン攻撃が増加する可能性を指摘している。

概要 Googleは、DeepMindの最高技術責任者(CTO)を務めていたコレイ・カヴクオール氏を新たにDeepMindのトップに任命した。カヴクオール氏はGoogle DeepMindのシニアバイスプレジデントに就任し、Alphabet最高経営責任者(CEO)のサンダー・ピチャイ氏に直接報告する体制となる。GoogleのチーフAIアーキテクトの肩書も引き続き保持し、Gemini本体の開発やフロンティアAI研究、Geminiアプリおよび開発者向けチームの陣頭指揮を執る。DeepMindに13年在籍してきたベテランへのバトンタッチであり、OpenAIやAnthropicとの競争が激化する中での新体制発足となる。 一方、これまでCEOを務めてきたデミス・ハサビス氏はDeepMindの会長職とAlphabet最高科学責任者に退いた。創薬企業Isomorphic Labsの指揮は引き続き担う。ハサビス氏は「日々の業務執行の責任を引き継ぎ、大局的な視点に時間と余裕を割ける時期が来たと判断した」とコメントしており、ピチャイ氏も「AGIと科学の未来を形作る上で、これほど重要な局面はかつてない」と今回の体制変更の狙いを説明している。 交代の背景 今回の人事の背景には、DeepMindが直面していた複数の課題があるとみられる。Gemini共同リード格だったノーム・シャザー氏がOpenAIへ、AlphaFoldの共同開発者でノーベル賞受賞者のジョン・ジャンパー氏がAnthropicへ移籍するなど、主要人材の流出が相次いでいた。さらに、27年間在籍したジェフ・ディーン氏もGoogleを離れ、サンジャイ・ゲマワット氏とともに独立した新会社を立ち上げる予定であることが報じられている。加えて、Gemini関連のプロダクトが競合に対して後れを取っているとの指摘や、ロンドンを拠点とするDeepMindの組織運営に関する懸念も囁かれていた。今回、拠点をマウンテンビューに置くカヴクオール氏がAlphabet本社直属の体制でトップに立つことで、Googleとしてはより直接的な統率とスピード感のある意思決定を目指す狙いがあるとみられる。 今後の展望 新体制の発足により、Gemini開発とフロンティアAI研究の指揮系統はカヴクオール氏に一本化される形となった。OpenAIやAnthropicが相次いで新モデルを投入し競争が激しさを増す中、Google陣営がどのようにGeminiの巻き返しを図るかが今後の焦点となる。ハサビス氏がAlphabet全体の科学研究の観点からどのような役割を果たしていくかも、AGI開発競争の行方を占う上で注目される。

概要 IBMとAI最適化クラウドを手がけるスタートアップTogether AIは8月11日、Nvidia製Blackwell世代チップを活用したAI推論クラスターをIBM Cloud上に構築するため、総額2億4000万ドルの複数年契約を締結したと発表した。米国内に構築されるこのクラスターは、Nvidia HGX B300システム(Blackwell Ultra GPUを8基搭載)を中心に約2000基のBlackwell 300チップと、Nvidia Spectrum-Xネットワーキング機器で構成され、2027年前半にIBM Cloud経由で稼働開始する予定。用途はDeepSeekやMiniMaxといったオープンソースAIモデルの推論処理に特化しており、企業がプロプライエタリモデルより低コストで運用できる基盤を提供する狙いがある。 技術的な詳細 各HGX B300マザーボードはBlackwell Ultra GPUを8基搭載し、NVFP4形式で15ペタフロップスの性能を発揮する。サーバーは最低2TBのメモリと56コアCPUを2基備え、GPU間のデータ転送をNvidiaのConnectX-8 SuperNICが、外部トラフィックの制御をBlueField-3データ処理ユニットが担う構成となっている。Together AIは現在AWSなど他社インフラを借りて月間400兆トークンを処理するクラウドプラットフォームを運営しており、メディア生成向け最適化サービスやトークン課金制のProvisioned Throughput、サーバーレス、専用マシン、バッチ処理といった推論特化の5段階サービスティアを既に提供している。今回のIBMとの契約で得る計算資源は、これらサービスの提供拡大に充てられる計画だ。 背景と反響 Together AIはサンフランシスコを拠点に、企業がオープンモデルを低コストで運用できるプラットフォームを展開しており、2026年7月には80億3000万ドルの企業価値評価を受けたばかり。今回のIBMとの契約は、Nvidiaも出資した8億ドルの資金調達ラウンドから数週間後というタイミングでの発表となった。Together AIの最高収益責任者Kai Mak氏は「少なくとも2〜3カ月前には売り切れる見通しだ」と強い需要を示唆し、CEOのVipul Ved Prakash氏も「このクラスターにより、より多くの企業に本番運用レベルの推論をより速く提供できる。オープンソースAIを企業にとって当然の選択肢にするための大きな一歩だ」とコメントしている。 展望 今回の提携は、学習済みモデルを実際の応答生成に使う「推論」がクラウドコンピューティング需要の主要な牽引役になりつつあることを示す事例といえる。オープンソースモデルの低コスト運用を求める企業ニーズの高まりを受け、クラウド事業者やチップメーカー各社が推論特化インフラへの投資を加速させる動きが今後さらに広がる可能性がある。

概要 米メモリ大手Micron Technologyの株価が8月12日、7%を超えて急伸し、時価総額が再び1兆ドルの大台を突破した。これにより同社は時価総額で世界15位の規模に浮上した。Micronが1兆ドルの節目を初めて超えたのは5月26日で、その後も乱高下を繰り返しながら上昇基調を維持しており、年初来では株価が約270%上昇する場面もあった。今回の急伸は、データセンター向けメモリ需要の拡大を背景に、主要メーカーの供給がすでに2年先まで逼迫しているとの見方が広がったことが直接のきっかけとなっている。 背景にあるAIメモリ不足 今回の株価上昇の根底にあるのは、生成AI向けインフラの急拡大に伴うメモリチップの深刻な供給不足だ。NvidiaのH200のような最新AIアクセラレータは1基あたり最大141GBもの高帯域幅メモリ（HBM3E）を必要とし、Microsoft、Google、Amazonなどのハイパースケーラーが複数年にわたる購買契約を確保しようと動いている。DRAM価格は2026年第2四半期だけで58〜63%上昇するとの予測もあり、Intelの最高経営責任者は主要メモリメーカーが今後2年分の生産能力について実質的に「完売」状態にあると述べている。こうした需給逼迫はMicronの売上を押し上げ、同社の業績はここ数四半期で急激に拡大してきた。 Micronは、SamsungやSK Hynixと並びメモリチップ製造を担う世界3大メーカーの一角を占めており、この寡占的な市場構造が価格決定力の強化につながっている。新規の半導体製造工場の建設には数年単位の時間がかかるうえ、次世代メモリの製造プロセスは技術的に一段と複雑化しているため、業界関係者の間では今回の供給逼迫が2027年以降も長期化するとの見方が強まっている。 今後の見通し 急激な株価上昇の裏側では、バリュエーションの過熱に対する懸念も浮上しており、直近では一時13%規模の下落を伴う調整局面もみられた。それでもハイパースケーラー各社によるAIインフラ投資が衰える兆しは乏しく、メモリ需要は当面高止まりするとの見方が市場では優勢だ。AIブームの恩恵をどの企業が最も享受するかという議論において、モデルの性能そのものよりも、HBMをはじめとする物理的な供給網を掌握する企業が優位に立つとの指摘もあり、Micronの動向は今後もAI関連株全体の先行指標として注目されそうだ。

概要 Microsoft SharePoint Server(Enterprise Server 2016、Server 2019、Subscription Edition)に存在する認証バイパスの脆弱性CVE-2026-55040(CVSS 9.1)が、セキュリティ企業Rapid7による概念実証(PoC)コードの公開直後から、実際の攻撃で悪用され始めていることが明らかになった。この脆弱性は2026年7月のMicrosoft月例パッチで修正済みだったが、8月11日にRapid7の研究者Stephen Fewerが技術詳細とPythonベースのPoCを公開すると、翌12日にはセキュリティ企業Defusedがハニーポットへの攻撃を検出したと報告。7月19日以降、香港、日本、オランダ、台湾、米国の5地域にまたがる8つのIPアドレスから計12件の攻撃試行が確認されており、うち8件が8月12日から13日に集中している。未パッチの環境では早急な対応が求められる。 脆弱性の技術的詳細 CVE-2026-55040は、SharePointのJWT(JSON Web Token)トークン検証パイプラインに存在する複数の欠陥が連鎖することで成立する認証バイパスだ。Microsoftの説明によれば、ネットワークベースの攻撃により認証されていない攻撃者が認証をバイパスし、匿名接続を確立できるという。具体的には、(1)外部から送信するヘッダーで署名を要求しないalg: noneを指定し、(2)アクタートークンのx5tにSharePointのSTS(Security Token Service)証明書のサムプリントを設定、(3)その証明書がTrustedSecurityTokenServicesに登録されていない状態を利用することで、(4)アクタートークンの署名検証がスキップされてしまう。この欠陥は主にSPJsonWebSecurityTokenHandlerV2およびSPJsonWebSecurityBaseTokenHandlerV2クラスに起因するとされる。悪用に成功すると、攻撃者はSharePointサイトのユーザーあるいは管理者として振る舞うことが可能になり、ファイルの不正な閲覧やデータの改ざんにつながるおそれがある一方、可用性への直接的な影響はないとみられている。 攻撃発生の経緯と規模 Rapid7がPoCを公開した後、脅威はごく短時間で現実の攻撃へと転化した。攻撃者はRapid7が公開したスクリプトをそのまま流用しているとみられ、8月12日から13日にかけて確認された攻撃試行は、地理的に分散した複数の拠点から行われていることから、単一の攻撃者グループによる限定的な悪用にとどまらない可能性が示唆される。なお、初期の攻撃兆候自体は7月19日以降にも12件記録されており、PoC公開前から一部で試行が行われていた形跡もある。セキュリティ監視サービスShadowserverは、インターネットに公開された8,500台以上のSharePointサーバーを追跡しているとしており、パッチ未適用のサーバーが広範囲に露出している状況がうかがえる。 背景と対応策 SharePointをめぐっては2026年に入ってからCVE-2026-45659、56164、58644、50522など、これで5件目となる脆弱性の実悪用が報告されており、企業が運用するオンプレミス版SharePointが攻撃者にとって継続的な標的になっていることを示している。CISA(米サイバーセキュリティ・インフラセキュリティ庁)は、SharePointインスタンスを直接インターネットに公開しないこと、Layer 7のリバースプロキシを介してアクセスを制御すること、SharePoint Central Administrationへの外部からのアクセスを遮断することを推奨している。7月のパッチが公開済みであるにもかかわらず未適用の組織は、PoCが公開状態にあることを踏まえ、速やかな更新適用と侵害有無の確認を急ぐ必要がある。

概要 Ciscoは、Secure Firewall ASAおよびFTDのリモートアクセスSSL VPN機能に存在するサービス拒否(DoS)の脆弱性(CVE-2026-20349、CVSSスコア8.6)が実際の攻撃で悪用されていることを明らかにした。HTTPリクエスト処理における不十分なエラーチェックが原因で、認証なしに細工したHTTPリクエストを送信するだけで機器を強制的に再起動させ、可用性を損なうことができる。Ciscoは8月初旬にこの悪用を確認し、全ての影響バージョン向けにホットフィックスをリリース済みで、回避策は存在しないため、顧客に修正版ソフトウェアへの早急なアップグレードを強く呼びかけている。 技術的な詳細 脆弱性はASAソフトウェアの9.16、9.18、9.20、9.22、9.23、9.24系列と、FTDソフトウェアの7.0、7.2、7.4、7.6、7.7、10.0系列に影響する。悪用可能なのはリモートアクセスSSL VPNサービスが有効になっている構成で、IKEv2 Remote Access VPN、SSL-VPN、Zero Trust Network Accessなど複数の構成が該当する。攻撃者はSSLリッスンソケットが有効な状態のデバイスに対し、細工したHTTPリクエストを送信することでデバイスをリロードさせ、DoS状態に陥らせることができる。なお、Firewall Management Center(FMC)自体はこの脆弱性の影響を受けない。この問題はCiscoの社内セキュリティテスト中に発見されたほか、研究者のValerio Brussani氏も独立して報告している。 対応状況と背景 CISAは2026年8月11日、CVE-2026-20349をKnown Exploited Vulnerabilities(KEV)カタログに追加し、連邦政府機関に対して8月14日までのパッチ適用を義務付けた。SecurityWeekの報道によれば、これはCiscoの2026年のCVEとして今年12件目のKEV登録となり、SD-WANやUnified CM、FMCといった他のCisco製品に存在した脆弱性と同様のパターンをたどっている。CiscoのファイアウォールやVPN機器はここ数年、国家背景の攻撃者を含む脅威アクターから繰り返し標的にされており、境界防御機器としての重要性の高さが悪用の動機になっているとみられる。回避策が存在しないため、該当するASA/FTD環境を運用する組織は、影響バージョンとリモートアクセスSSL VPNの利用状況を確認し、速やかにホットフィックスを適用することが求められる。

概要 Googleは2026年8月10日、Google Kubernetes Engine(GKE)向けに「ClusterNetworkPolicy(CNP)」のプレビュー提供を開始した。CNPはKubernetes SIG-Network(SIG-Policy Working Group)が策定したオープンソースのAPI仕様で、従来の名前空間単位のNetworkPolicyとは異なり、クラスタ全体を対象にネットワークトラフィックを制御できる。GKE 1.36以降で利用可能。決済処理など機密ワークロードを扱う名前空間の隔離や、kube-dnsのような重要な内部サービスの保護を、開発者側の設定に左右されず一貫して強制できる点が特徴だ。プロプライエタリな独自拡張ではなく、Kubernetesコミュニティおよび実装パートナーであるCiliumコミュニティと協調して設計されており、異なる環境間でもポリシー設定を再利用できるポータビリティを備える。 技術的な詳細 CNPの中核は、Admin Tier(管理者層)・Network Policy Tier(ネットワークポリシー層)・**Baseline Tier(ベースライン層)**という3層構造による階層的なポリシー評価にある。評価はAdmin Tierから順に行われ、最上位のAdmin Tierは他のすべてのポリシーに優先し、バイパス不可能なコンプライアンス・セキュリティ要件をRBACで厳格に強制する。中間のNetwork Policy Tierは従来通り開発者がアプリケーション固有のポリシーを名前空間内で定義する層で、Admin Tierのルールには従属する。最下層のBaseline Tierはクラスタ全体のデフォルト動作(例えばゼロトラストに基づく「Deny All」)を設定し、名前空間スコープのポリシーによって上書き可能となっている。この階層構造により、従来のNetworkPolicyで起こり得た平坦な構造ゆえの設定競合を排除し、決定論的な評価を実現している。 Admin TierのルールはAccept(トラフィックを明示的に許可)、Deny(明示的に拒否)に加え、新たにPassという第3のアクションをサポートする。Passはトラフィックの最終的な許可・拒否の判断を下位層、すなわち開発者の名前空間ポリシーに委譲する仕組みで、セキュリティチームがグローバルルールでトラフィックを検査しつつ、最終決定は開発者側に委ねるといった柔軟な運用を可能にする。APIはpolicy.networking.k8s.io/v1alpha2というAPIグループで提供され、名前空間スコープの標準NetworkPolicy(networking.k8s.io)とは別のリソースとして区別される。マニフェストではtier(Admin/NetworkPolicy/Baseline)、priority(同一層内の優先度)、subject(対象となるPodや名前空間のセレクタ)、ingress/egressルールなどを指定する。 具体的なユースケースとしては、決済処理や規制対象データを扱う名前空間へのアクセスをAdmin Tierで一括してDenyし、開発者側の許可設定では上書きできないようにする「機密ワークロードの隔離」、kube-dnsなど内部運用上重要なサービスへのアクセスをAdmin TierのAcceptルールで維持し、名前空間ポリギーの誤設定の影響を受けないようにする「コアサービスの保護」、そしてIPアドレス範囲(IPv4の0.0.0.0/0やIPv6の::/0など)を用いたegressトラフィックの制御による不正なデータ流出防止が挙げられている。利用にはGKE 1.36以降のクラスタが必要で、現時点ではプレビュー機能として提供されている。

概要 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は8月11日、オンプレミス版Microsoft SharePoint Serverのリモートコード実行脆弱性「CVE-2026-45659」が、ランサムウェア攻撃に悪用され始めたことを新たに確認したと発表した。同脆弱性は7月1日にCISAの「既知の悪用脆弱性（KEV）」カタログへ追加済みで、当初は情報窃取など一般的な不正アクセスでの悪用が確認されていたが、8月10日以降はより深刻なランサムウェア展開への転用が進んでいることが判明した。複数のセキュリティ専門家は、中国と関連するとされる脅威グループ「Storm-2603」の関与を指摘しており、同グループは過去にSharePointを標的とした「ToolShellキャンペーン」で「Warlockランサムウェア」を展開した実績がある。 脆弱性の技術的詳細 CVE-2026-45659は、信頼できないデータの逆シリアル化（デシリアライゼーション）に起因するリモートコード実行の欠陥で、CVSSスコアは8.8（高深刻度）と評価されている。低い攻撃複雑性かつ最小限の権限で悪用可能な点が特徴で、パッチ未適用のSharePointサーバーに対し、攻撃者が任意のコードを実行できてしまう。対象となるのはSharePoint Enterprise Server 2016、SharePoint Server 2019、SharePoint Server Subscription Editionのオンプレミス版で、クラウド版のSharePoint Onlineは対象外とみられる。Shadowserverの調査によれば、インターネットに露出しているSharePointサーバーは8,500台以上に上り、そのうち200台以上が本脆弱性に対して未パッチのままだという。 悪用の経緯とタイムライン Microsoftは5月にこの脆弱性を修正するセキュリティ更新プログラムをリリースしていたが、CISAは7月1日にKEVカタログへ追加し、連邦機関に対して3日以内の対応を義務付けた。その後7月を通じて積極的な悪用が確認され、8月10日にはランサムウェア攻撃への転用がCISAに報告された。CISAは「この種の脆弱性は悪質なサイバー行為者にとって頻繁な攻撃ベクトルであり、連邦企業に多大なリスクをもたらす」とし、攻撃が低い複雑性で繰り返し成功させられる点に警鐘を鳴らしている。 対応策 Microsoftおよび専門家は、5月にリリースされたセキュリティ更新プログラムを未適用の組織に対して直ちに適用するよう推奨している。自動更新が有効になっている環境ではすでに対応済みの可能性が高いが、オンプレミスでSharePoint Serverを運用する組織は個別の確認が必要となる。加えて、Windows Antimalware Scan Interface（AMSI）統合の有効化やMicrosoft Defender Antivirusによる検出機能の活用、サーバーにおける悪用兆候の監視も併せて推奨されている。SharePointは組織内部の文書や権限設定、機密記録を保存する基幹システムであるため、未パッチのまま放置した場合はランサムウェアによる暗号化や情報窃取など重大な被害につながるリスクが高い。

概要 Microsoftは8月12日、Visual Studio Codeの月例アップデート「1.133」を公開した。今回の目玉はClaudeセッション中にモデルプロバイダーをターンごとに切り替えられるようになったことで、これまでセッション全体で単一のプロバイダーに固定する必要があった制約が解消された。あわせて、GitHubへのサインインなしでAgentsウィンドウを利用できる仕組み、長い会話でも文脈を見失わないチャットのスティッキースクロール、統合ブラウザでのHTMLファイル自動リロードなど、AIエージェントとの協働をさらに滑らかにする機能が追加された。 Claudeのモデルプロバイダー切り替え これまでチャットセッションでは、AnthropicとCopilotのいずれか一方のモデルグループを選んだら、そのセッション中はプロバイダーを固定して使い続ける必要があった。1.133では、モデルピッカーに両方のグループが同時に表示されるようになり、同一セッション内でもターンごとに異なるプロバイダーのモデルへ切り替えられるようになった。Anthropicのモデルを利用した場合はユーザー自身のAPIキーを通じて課金され、Copilotのモデルを利用した場合は既存のCopilotサブスクリプションが適用される。用途や求める応答特性に応じて、都度最適なモデルを選び分けられる点が改善のポイントとなる。 Agentホストとエディタの改善 Agentsウィンドウについても変更が加わり、設定chat.agentHost.allowSignedOutWhenUsableを有効にすることで、GitHubアカウントへのサインインなしでも利用できるようになった。これはAgentホストの認証がGitHubアカウント全体ではなく個々のエージェントやモデルに紐づく形へと変わったことによるもので、現時点ではClaudeが対応済みであり、CopilotやCodexについても今後のリリースで対応が予定されている。Agentホストは「Agent Host Protocol(AHP)」に基づく専用プロセス上でエージェントハーネスを実行する構成となっており、Copilot SDKとの統合が進められている。 チャット面では、設定chat.stickyScroll.enabledによりスティッキースクロールが導入された。長い会話をスクロールする際、通過済みのプロンプトを画面上部に固定表示できるため、固定されたプロンプトをクリックして該当箇所に戻ったり、ナビゲーションボタンで前後のプロンプト間を移動したりできる。長時間にわたるエージェントとのやり取りでも文脈を追いやすくする狙いがある。 このほか、設定workbench.browser.autoReloadOnFileChangeにより、統合ブラウザで表示しているローカルHTMLファイルがファイル変更時に自動的に再読み込みされるようになった。エージェントによる編集結果をブラウザ操作なしで即座に確認できるようになり、AIとのフィードバックループがより短縮される。 今後の展望 今回のアップデートは、複数のAIプロバイダーやモデルを状況に応じて柔軟に使い分けられるようにするという方向性を明確に示している。Agentホストの認証をエージェント単位へ分離した設計や、スティッキースクロール・自動リロードといった細部の改善は、いずれもエディタとAIエージェントとの境界をさらに曖昧にし、開発者がコーディング作業の合間にAIとの対話を自然に差し込めるようにする狙いがある。今後もこの路線での機能拡張が続くとみられる。

概要 セキュリティ企業Socketの研究者Kush Pandya氏らは、Chromeウェブストア上の40以上の開発者アカウントから、Proton VPN、NordVPN、Surfshark、ExpressVPN、AdGuard VPN、CyberGhost、CloudflareのDNSリゾルバ「1.1.1.1」など66の著名VPN・プライバシーブランドを装った偽拡張機能737個を発見した。累計インストール数は約75,486件に上り、主にロシア語圏で検閲回避を目的にVPNを利用しようとするユーザーが標的となっていた。274個の拡張機能が実在ブランドになりすましていたほか、残りも同様の手口で偽のVPNサービスを装っていたという。 技術的な詳細 これらの拡張機能は、ブラウザの通信セッション全体をポート1082で待ち受ける攻撃者管理下のSOCKS5プロキシ経由でルーティングする仕組みを持っていた。調査対象のバルク検体522個のうち520個が同一のSOCKS5インフラを利用しており、これにより攻撃者は中間者(MITM)の立場からアクセス先ドメイン、送信元IPアドレス、TLSのSNI値、そして平文HTTP通信のリクエスト本文までも観測可能な状態にあった。さらに一部の104個の拡張機能はCloudflareやGoogleが提供するDNS over HTTPS(DoH)を利用し、実際のプロキシ運営者のドメインを隠蔽する手法も確認された。拡張機能は日本、シンガポール、カナダ、オーストラリア、トルコなど各国に存在するとうたう架空のプレミアムサーバーを宣伝し、実際には存在しない有料プランや偽の接続アニメーションを表示するなど、利用者を欺く作り込みがなされていた。 発覚の経緯と実態 コード内には、拡張機能の内部管理用と見られるロシア語の従業員向けマニュアルが含まれていたほか、Chromeウェブストアへの申請時に「データは一切送信しない」という虚偽の申告が行われ、承認後にコードを書き換えるという手口も使われていた。40の公開者アカウントが共通の解析(アナリティクス)用アカウントを共有していたことから、これらは個別の便乗ではなく組織的なキャンペーンであったとみられる。ロシアの納税者番号やWindowsのファイルパスにロシア語のディレクトリ名が含まれていたことなどから、ロシアを拠点とする攻撃者による犯行である可能性が高いとされ、最終的には有料のロシア系VPNサービスへの誘導を狙ったものと推測されている。 Googleの対応と今後の課題 Socketの報告を受け、Googleはこれまでに221個の拡張機能をChromeウェブストアから削除したが、報道時点でなお516個が公開されたままとなっていた。ブラウザ拡張機能はストア審査時と実際の配布後でコードが異なるケースがあり、審査をすり抜けた後に不正な機能を追加する「承認後の書き換え」は依然として有効な回避策となっている。VPNやプライバシー保護をうたう拡張機能はユーザーの全通信を扱う特性上、悪用された際の被害が大きく、インストール前の開発者情報やレビューの精査、公式サイトからの直接ダウンロードなど、利用者側の警戒が引き続き求められる。