OSS

概要 Anthropicは2026年7月24日、Claudeシリーズの最上位モデル「Claude Opus 5」を発表した。5月28日にリリースされたOpus 4.8からわずか2ヶ月というハイペースでの投入となる。同社は、より大型のFable 5を一部ベンチマークで上回る性能を示しながら、安全性フィルターの作動頻度を約85%削減したと説明している。発表と同日にGitHub Copilotでも利用可能となり、コーディング支援の現場に即座に投入された形だ。 性能と安全機能の強化 Anthropicによれば、Opus 5は「作業を検証し、成功するまで慎重に反復すること」に優れているとされ、不完全なプロンプトからコンピュータビジョンパイプラインを自動生成するといった事例が紹介されている。価格面や利用制限についても、より小型のFable 5と比べて安価かつ制限が少ないモデルと位置づけられている。 安全面では、脆弱性スキャンなどサイバーセキュリティに関連するタスクには依然として制限が設けられているものの、安全分類器が作動する頻度はFable 5に比べて約85%少なくなったという。また、Opus 5にはFableやMythosに適用されている30日間のデータ保持ポリシーが適用されない点も明らかにされた。 新機能として「Automatic Fallbacks」がベータ版で提供される。これは安全フィルターが作動した際に、エラーを返す代わりにリクエストを自動的に低機能なモデルへルーティングし、利用者が機能的な応答を得られるようにする仕組みだ。 GitHub Copilotでの提供開始 GitHub Blogの発表によると、Claude Opus 5はGitHub Copilotの中でも「複雑で長時間実行されるコーディングタスク」向けに最適化されたモデルとして位置づけられている。早期テストでは、自動コード変更やリグレッション検証など複数のツール連携が必要なエージェント的ワークフローで高い性能を発揮し、特に「標的を絞った変更を加える能力」と「不要な実行オーバーヘッドの削減」が評価されたという。 利用できるのはCopilot Pro+、Max、Business、Enterpriseの各プランで、Visual Studio Code、Visual Studio、Copilot CLI、JetBrains、Xcodeなど主要な開発環境のモデルピッカーから選択できる。課金はプロバイダーAPIの定価に基づく従量制となる。なお、サイバーセキュリティ関連のリクエストに対しては「サイバー関連の高害リスク」への強化されたセーフガードが適用されており、一部の要求はブロックされる可能性がある点も注意事項として挙げられている。 今後の展望 Opus 4.8からわずか2ヶ月というリリース間隔は、Anthropicがモデル開発競争のペースを上げていることを示している。安全フィルターの誤作動を抑えつつ性能を高めるというアプローチは、実運用での使い勝手を重視する開発者やエンタープライズ顧客にとって歓迎される可能性が高い。GitHub Copilotへの即日統合は、コーディング支援分野におけるAnthropicのプレゼンス強化を印象づけるものであり、今後は他の開発ツールやプラットフォームへの展開状況にも注目が集まる。

概要 Metaは、React Compiler（旧称React Forget）の実装言語をTypeScriptからRustへと移植し、メインリポジトリへのマージを完了した。React Compilerはコンポーネントの再レンダリングを自動的に最適化するビルド時ツールで、これまでTypeScriptで実装されてきたが、Rust版への刷新によりビルド速度とJavaScriptツールチェーンとの統合性が大きく向上した。パフォーマンス面では、Babelプラグインとして利用した場合でTypeScript版比で約3倍、単独の変換処理では最大10倍の高速化を達成している。さらにTurbopackへの統合テストでは、大規模アプリケーションにおいて40%以上のコンパイル高速化が確認され、Next.jsでの実測でもルートのコンパイルが20〜50%高速化したという結果が報告されている。 技術的な詳細 Rust移植版の実装では、arena allocation（アリーナアロケーション）とインデックスベースのデータ構造を活用することで、メモリ管理とパフォーマンスの両面を最適化している。移植にあたっては全1,725件のテスト項目がすべて成功しており、既存のTypeScript版と同等の互換性を保ちながら移行が行われたことがうかがえる。 この開発プロセスで注目されるのは、LLM（大規模言語モデル）を活用した開発手法だ。Metaのエンジニアは、機械的な変換作業をLLMに担当させ、アーキテクチャ設計とコードレビューは人間のエンジニアが担うという役割分担を採用した。一方でHacker News上のコメントでは、こうしたLLM生成コードが保守チームの認知負荷を高める可能性や、長期的な保守性に対する懸念も指摘されている。 業界トレンドとの関連 React CompilerのRust移植は、JavaScriptツールチェーン全体で進むRust化の潮流を象徴する動きといえる。SWC、Oxc、Rspackといった主要なビルドツールがすでにRustベースで実装されており、パフォーマンスを重視するフロントエンドエコシステムにおいて、Rustによる基盤ツールの刷新が一つの標準的な選択肢になりつつある。React Compilerという広く使われるコンポーネントがこの流れに加わったことで、今後さらに多くのJavaScript関連ツールがネイティブ言語への移行を検討する契機となる可能性がある。

概要 GitHubはCI/CDで広く使われる公式アクションactions/checkoutに、サプライチェーン攻撃「Pwn Request」を防ぐ安全なデフォルト動作を追加し、既存の主要バージョン全体へバックポートした。対象となるのはpull_request_targetやworkflow_runイベントで動作するワークフローで、フォークリポジトリの未レビューなプルリクエストのコードをチェックアウトしようとすると、ワークフローを失敗させる仕様に変わった。この変更はactions/checkout@v4のようにfloatingタグ（メジャーバージョンのみを指定するタグ）を使っているワークフローには自動的に適用される。当初は7月16日の適用開始が予定されていたが、実際の全面適用は7月20日にずれ込んだ形となった。 Pwn Requestとは何か pull_request_targetイベントは、通常のpull_requestイベントとは異なり、ベースリポジトリのGITHUB_TOKENや各種シークレット、デフォルトブランチのキャッシュへのアクセス権を持った状態でワークフローが実行される。ここで従来のactions/checkoutは、指定さえすればフォークPRのヘッドコミットも無条件にチェックアウトしていたため、悪意ある投稿者がPRを送るだけで、レビューされていない攻撃者制御下のコードが昇格した権限で実行されてしまう危険があった。GitHub自身も「未レビューのフォークPRのヘッドをこうしたワークフロー内でチェックアウトすると、通常は攻撃者制御のコードがワークフローの全権限で実行されてしまう」と説明しており、この攻撃パターンは近年、Nx、PostHog、TanStack、Emacsパッケージなどを巻き込んだ複数の実際のサプライチェーン侵害の原因となっていた。 技術的な仕組みと対象範囲 新しいデフォルト動作は、pull_request_targetまたはworkflow_run（後者はworkflow_run.eventがpull_request系イベントの場合に限る）のワークフロー内で、以下の条件が同時に満たされる場合にチェックアウトを拒否する。 repository:がフォークリポジトリを指し示している ref:がrefs/pull/<番号>/headなど、PRのヘッドやマージ参照に該当する 実際に解決される参照がフォークのヘッドまたはマージコミットSHAである 同一リポジトリ内のPRや通常のpull_requestイベントは影響を受けない。GitHubは6月18日にactions/checkout v7としてこの保護機能を一般公開した後、v1を除く既存の主要バージョン（v2〜v6系統など）にも同等の安全策をバックポートし、フォーク由来の危険なコードチェックアウトを塞いだ。 開発者への影響と対応方法 昇格権限が本当に必要な特殊なワークフロー（例えば、レビュー済みのラベルが付いたPRのみを対象とするデプロイパイプラインなど）のために、GitHubはallow-unsafe-pr-checkoutという入力パラメータを用意しており、これを明示的に指定すればこれまで通りの動作に戻せる。あえて警告的な名前を付けることで、コードレビュー時にこのオプトアウトが目立ち、レビュアーが気づきやすいよう配慮されている。一方で、actions/checkoutを特定のSHAやマイナー・パッチバージョンにピン留めしているワークフローは自動的には保護を受けないため、Dependabotなどの仕組みを使って明示的にアップグレードする必要がある。今回の変更はCI/CDのデフォルト設定をより安全な方向に倒す取り組みの一環であり、他のGitHub Actions関連ツールでも同様の「secure by default」の流れが今後広がることが予想される。

概要 JetBrainsは2026年7月17日、Java/Kotlin向けIDE「IntelliJ IDEA」の最新版となる2026.2を公開した。今回の目玉は「GitHub Copilot out-of-the-box」で、追加のプラグインインストールなしにAIチャットのエージェントピッカーから直接GitHub Copilotを呼び出せるようになった点だ。認証はGitHubアカウントを使ったOAuthで完結し、利用にはアクティブなGitHub Copilotのサブスクリプションが必要となる。これまでサードパーティ拡張機能として提供されていたCopilot連携がIDE本体に標準搭載されたことで、セットアップの手間なくAIコーディング支援を利用できる環境が整った。 AIエージェント・デバッグ機能の強化 Copilot統合と並行して、IDEにはカスタムエージェントスキルを検出・インストール・管理する機能が組み込まれた。JetBrainsが提供する組み込みライブラリだけでなく、ローカルプロジェクトやGitHubリポジトリに存在するスキルも取り込めるようになり、開発者が自身のワークフローに合わせてAIエージェントの挙動を拡張しやすくなっている。デバッグ面では新機能「logpoints」が導入され、アプリケーションの実行を中断することなく内部状態を検査し、任意のカスタムメッセージを出力できるようになった。従来のブレークポイントによる実行停止を伴うデバッグに比べ、本番に近い環境でのトラブルシューティングがしやすくなる。 開発支援機能の改善 依存関係管理では、クラウドベースの検索機能によりビルドファイル内でライブラリ名を入力するだけでマッチする候補が表示されるようになり、依存関係の追加作業が簡素化された。またビルドツール面ではGradle 9.7以上との組み合わせでの同期がスムーズになるよう調整されており、今後リリースが予定されるGradle 10への対応準備も進められている。このほか、Git競合解決の自動化、Flyway・Liquibaseを用いたデータベースマイグレーションワークフローの改善、Spring Securityに関するインサイト表示の向上、Terraformテストフレームワークへのネイティブ対応など、開発ワークフロー全般にわたる改善が加えられている。 言語サポートの拡充 言語サポートも大きく強化された。Java 27に対応したほか、Kotlin 2.4.0の最新機能、TypeScript 7、Scala 3の新機能もサポート対象に加わった。AI機能とコア言語サポートの両輪で強化を図る姿勢は、JetBrainsが競合するAI搭載エディタやIDEに対して開発体験の完成度で対抗しようとしていることを示している。GitHub Copilotの標準搭載により、IntelliJ IDEAはAIコーディング支援ツールの選択肢を増やしつつ、既存のJetBrains AI Assistantと合わせて複数のAIエージェントを使い分けられる環境を提供する形となった。

概要 RubyGemsのパッケージエコシステムを標的とした新たなサプライチェーン攻撃「SleeperGem」が発覚した。攻撃者は6〜7年間ログインのなかった休眠中のメンテナーアカウントを乗っ取り、git_credential_manager、Dendreo、fastlane-plugin-run_tests_firebase_testlabという3つのgemパッケージを悪用してマルウェアを配布した。特にfastlane-plugin-run_tests_firebase_testlabは累計57万4661件のダウンロード実績を持つ既存の信頼されたパッケージであり、攻撃者は新規に怪しいパッケージを公開するのではなく、実績のあるアカウントとパッケージを乗っ取ることで検知を回避した。RubyGemsエコシステムにおける大規模なサプライチェーン攻撃事例として注目されている。 攻撃の手口 攻撃は段階的かつ慎重に実行された。新規作成されたgit_credential_managerでは、わずか数時間のうちに4つのバージョン（v2.8.0〜v2.8.3）が連続して公開されている。最初のv2.8.0は完全に機能するドロッパーとして配布されたが、24分後に公開されたv2.8.1では出力をサイレント化して痕跡を隠蔽し、その後8時間の沈黙期間を置いて翌朝公開されたv2.8.2でgemのロードパスに悪意あるコードを統合、requireされるだけで実行される状態にした上で、その17分後に公開されたv2.8.3で最終的にペイロード取得機能を有効化するという慎重な展開を行っている。 各gemはローダーとして機能し、攻撃者が管理するForgejoインスタンス（git.disroot.org）から第2段階のペイロードを取得する。この通信ではSSL証明書検証を明示的に無効化した上でペイロードを取得し、シェルまたはPowerShellに直接渡して実行する実装になっていた。さらに、GitHub Actions、GitLab CI、CircleCI、Jenkinsなど約30種類のCI/CD環境変数をスキャンし、CI環境下では実行を控える仕組みを組み込んでいた。これにより自動化されたビルドパイプラインでの検知を回避し、開発者個人のマシンを直接狙う点が本攻撃の大きな特徴となっている。 永続化と被害の範囲 侵入に成功した端末では、~/.local/share/gcm/にネイティブバイナリのデーモンをステージングし、cronエントリとsystemdのユーザーサービスを用いて再起動後も動作し続けるよう永続化される。さらに、sudoがパスワードなしで実行できる環境ではroot権限で処理を再実行し、/usr/local/sbin/ping6にsetuid rootのシェルを設置するなど、より深い権限奪取も試みる。Windows環境ではPowerShell経由でdeploy.shスクリプトが実行される仕組みも確認されている。 また、git_credential_managerはDendreoやfastlane-plugin-run_tests_firebase_testlabのほか、slackHtmlToMarkdown、seo_optimizer、array_fast_methodsといった別のパッケージからも依存関係として追加されており、被害が芋づる式に拡大する構造になっていた。Dendreoは「LR-DEV」、git_credential_managerは「pinkroom」と、異なるアカウントが使われていたことから、単一アカウントの侵害ではなく、複数の休眠アカウントが並行して乗っ取られていたとみられている。 対策への示唆 セキュリティ企業のStepSecurityなどは、該当パッケージをインストールした形跡がある端末について、関連する認証情報がすべて漏えいした前提で対応するよう推奨している。具体的には、~/.local/share/gcm/に設置されたデーモンプロセスの削除、/usr/local/sbin/ping6に仕込まれたsetuidシェルの有無の確認、影響を受けた可能性のある全認証情報のローテーションが挙げられる。今回の事例は、長期間放置された正規のメンテナーアカウントが、地道な監視なしには気づかれないまま攻撃インフラとして悪用され得ることを示しており、パッケージレジストリ運営者やメンテナー自身による休眠アカウントの定期的な棚卸しと多要素認証の徹底が改めて課題として浮かび上がっている。

概要 GitHubは2026年7月20日、コードベースの品質分析機能「Code Quality」をパブリックプレビューから正式提供（GA）へ移行した。既に1万社以上のエンタープライズ組織が試用していたこの機能は、GA移行とともに有料製品として位置づけられ、アクティブコミッター1人あたり月10ドルのサブスクリプションとして課金される。プレビュー期間中は無償で利用できていたが、今後は継続利用に費用が発生することになる。不要な組織は7月20日の課金開始前に、組織設定からCode Qualityを無効化できるとされている。 料金体系 今回のGA移行では、3つの要素からなる料金体系が示された。まず基本となるのが、アクティブコミッターあたり月10ドルの定額サブスクリプションで、Code Qualityが有効化されたリポジトリへのアクセス、検出結果の表示、スコアリング、品質ゲートといった中核機能が含まれる。これに加えて、Copilotによるコードレビューやレビュー支援検出、Copilot Autofixといった生成AIを活用した機能は従量課金の対象となる。さらに、CodeQLを用いた保守性・信頼性の決定論的な静的解析はGitHub Actions上で実行されるため、Actionsの実行分数を消費する仕組みだ。つまり利用状況によっては、基本料金に加えてAI機能の利用量やActionsの実行時間分のコストが上乗せされる。 機能面の拡張 GA版では組織全体への展開に対応し、組織レベルでの品質状況を俯瞰できるダッシュボードが用意された。またルールセットを通じてコードカバレッジ基準を強制できるほか、リポジトリおよび組織単位での品質スコアの算出、検出結果を管理するためのAPIも提供される。これにより、個々のリポジトリだけでなく組織横断でコード品質のガバナンスを行えるようになった点が、プレビュー版からの大きな進化と言える。 対象プラットフォームと今後 Code QualityはGitHub Enterprise CloudおよびGitHub Teamプランで利用可能だが、オンプレミス向けのGitHub Enterprise Serverには提供されない。クラウド版を前提とした機能拡充であり、AIによるコード検出・自動修正とActions基盤の静的解析を組み合わせることで、コード品質管理をGitHub上で完結させる狙いがうかがえる。有料化によって、これまで無償で試していた組織は費用対効果を見極めた上での継続利用可否の判断を迫られることになりそうだ。

概要 WordPressコア自体に、未認証の攻撃者が任意コードを実行できる深刻な脆弱性チェーン「wp2shell」が発見され、世界のウェブサイトの相当数を占める約5億サイトに影響する可能性があることが明らかになった。プラグインを一切使わないデフォルト環境でも悪用可能な点が特に深刻で、WordPressは7月18日以降、6.9.5・7.0.2・6.8.6の緊急アップデートを自動更新の形で強制配信する異例の対応を取った。すでにGitHub上には実際に動作するプルーフオブコンセプト(PoC)が複数公開されており、パスワードハッシュの抽出から悪意あるプラグインの実行まで可能なことが確認されている。 技術的な詳細 wp2shellは単一の脆弱性ではなく、2つの問題が連鎖することで「匿名リクエストからコード実行まで」を実現する複合的な攻撃チェーンである。 1つ目は、REST APIのバッチ処理エンドポイント/wp-json/batch/v1に存在する「バッチルート混同」の脆弱性(CVE-2026-63030、CVSS 9.8)。バッチ処理エンドポイント自体は2020年公開のWordPress 5.6から存在するが、WordPress 6.9で新たに生じたこの脆弱性は、複数のサブリクエストをまとめて処理する際にエラーが発生すると、内部で管理している2つの並列配列がずれてしまい、本来とは異なるハンドラーの下でリクエストが処理されてしまうというルート検証の不同期化バグである。これにより、本来アクセスできないはずの機能へのアクセス制限がバイパスされる。 2つ目は、WordPressコアのSQLインジェクション脆弱性(CVE-2026-60137)。WP_Queryのauthor__not_inパラメータに配列ではなく文字列を渡すと、本来行われるはずの配列チェックがスキップされ、未フィルタリングの値がそのままSQLクエリに挿入されてしまう。 この2つを組み合わせることで、未認証の攻撃者がSQLインジェクションを起点にサイトを制御下に置き、最終的に任意コードの実行(RCE)にまで到達できてしまう。影響範囲はバージョンによって異なり、WordPress 6.8.0〜6.8.5ではSQLインジェクションのみが存在する(6.8.6で修正)のに対し、バッチルート機能を含む6.9.0〜6.9.4および7.0.0〜7.0.1では完全なRCEチェーンが成立する(それぞれ6.9.5、7.0.2で修正)。 対応状況と推奨される対策 WordPressは7月18日以降、影響を受ける全バージョン向けに緊急パッチを自動更新機能を通じて強制的に配信した。開発版である7.1のベータ2にも両方の修正が反映されている。サイト管理者は自動更新が正常に完了しているかを確認するとともに、手動での即時アップデートが強く推奨される。 即座にアップデートできない場合の一時的な緩和策としては、REST APIへの匿名アクセスをブロックする、あるいはWAF(Web Application Firewall)で/wp-json/batch/v1エンドポイントへのアクセスをフィルタリングする方法が挙げられている。Cloudflareはすでに全プランでこの脆弱性に対するWAF保護を展開済みとしている。また、パッチ適用が遅れたサイトについては、バックドアの設置など侵害の痕跡がないか確認することも推奨されている。 なお、悪用状況については情報源によって温度差がある。BleepingComputerやCyberInsiderは実際の悪用(in-the-wild exploitation)が既に確認されていると報じる一方、The Hacker Newsは本記事時点でCISAの既知悪用脆弱性(KEV)カタログには掲載されておらず、確認された悪用報告はないとしている。いずれにせよ、攻撃チェーンの詳細と動作するPoCが既に公開されている以上、悪用の拡大は時間の問題とみられ、未パッチのサイトは早急な対応が求められる。

概要 PostgreSQLプロジェクトは7月16日、次期メジャーバージョンとなる「PostgreSQL 19」の2回目のベータ版「Beta 2」をリリースした。すでに機能凍結（feature freeze）を迎えており、今回のBeta 2ではvacuumdbの--analyze-in-stagesオプションがパーティションテーブルで正しく動作しない不具合や、ロジカルデコーディングの競合状態、REPACKワーカーがFATALエラー時にクリーンアップされない問題など、14件のバグ修正と改善が取り込まれた。正式リリースは2026年9月〜10月頃を予定しており、必要に応じて追加のベータ版やリリース候補版（RC）が提供される見込みだ。プロジェクト側は本番環境での利用は推奨しておらず、ワークロードでの動作検証とフィードバックをコミュニティに呼びかけている。 目玉機能：SQL/PGQによるネイティブグラフクエリ PostgreSQL 19の目玉機能の一つが、SQL標準の一部であるSQL Property Graph Queries（SQL/PGQ）のサポートだ。これにより、専用のグラフデータベース拡張を使わずとも、標準SQLの枠組みの中でグラフ構造データをクエリできるようになる。実装上はビューと同様に内部的に処理され、通常のリレーショナルクエリとして書き下される点が特徴で、Peter Eisentraut氏やAshutosh Bapat氏らが開発に貢献した。Beta 2ではこの機能自体にも複数の不具合修正が加えられており、安定化が進んでいる段階にある。 ゼロダウンタイムのテーブル再編成を実現する統合REPACKコマンド もう一つの主要な変更が、VACUUM FULLとCLUSTERを置き換える統合コマンドREPACKの追加だ。REPACK [table_name] [CONCURRENTLY]という構文で実行でき、CONCURRENTLYオプションを指定するとアクセス排他ロックを取得せずにテーブルを再構築できるため、運用中のシステムでもダウンタイムなしにテーブル再編成が可能になる。同時実行される再編成処理の数を制御する新しいサーバ変数max_repack_replication_slotsも追加された。従来のVACUUM FULLやCLUSTERコマンド自体は後方互換性のため引き続き利用できる。開発にはAntonin Houska氏、Mihail Nikalayeu氏、Álvaro Herrera氏らが携わった。 その他の主要な変更点 PostgreSQL 19では、この他にも幅広い改善が予定されている。時系列データを扱うFOR PORTION OF構文による時間範囲指定のUPDATE/DELETE、ALTER TABLE ... MERGE/SPLIT PARTITIONSによるパーティションの結合・分割、ロジカルレプリケーションにおけるシーケンス値の同期やパブリケーションからの除外指定（FOR ALL TABLES EXCEPT）などが含まれる。パフォーマンス面では、autovacuumの並列化、COPY処理でのSIMD命令活用、TOASTのデフォルト圧縮方式をpglzからlz4へ変更するなどの最適化が図られている。一方で、JITがデフォルトで無効化される、RADIUS認証のサポートが削除される、max_locks_per_transactionのデフォルト値が64から128に引き上げられるといった、既存環境への影響を伴う変更点も含まれている。 今後の見通し 機能凍結後のこの段階では大きな新機能の追加は見込まれず、今後のベータ版やRCではバグ修正と安定化が中心となる。正式版は2026年9月から10月にかけてリリースされる予定で、テストユーザーには未解決課題一覧の確認や、バグ報告フォームを通じたフィードバックが呼びかけられている。グラフクエリのネイティブサポートやゼロダウンタイムのテーブル再編成は、大規模運用環境やアナリティクス用途において注目度の高い機能であり、正式リリースに向けた今後の検証状況が引き続き注視される。

概要 Microsoftは2026年7月15日、Visual Studio Codeの最新版「1.129」をリリースした。目玉となるのは、CopilotやClaude、Codexといったエージェントハーネスを専用プロセス上で実行する新アーキテクチャ「Agent Host」の導入である。あわせて、チャットメッセージの先頭に!を付けることでその内容をターミナルコマンドとして直接実行できる機能や、Agentsウィンドウのレイアウト改善など、AIエージェントを軸とした開発体験の強化が図られている。 Agent Hostアーキテクチャの詳細 Agent Hostは、エージェントハーネスを動かすための専用プロセスであり、「Agent Host Protocol（AHP）」に基づいて動作する。セッションが独立したプロセス上に存在するため、「セッションは自身のプロセス内で稼働するため、同一セッションを複数のVS Codeウィンドウから同時に接続・描画できる」という特性を持つ。これにより、異なるワークスペースを開いた複数ウィンドウ間で同じエージェントセッションの進行状況を確認したり操作したりすることが可能になる。 この機能はchat.agentHost.enabledという組織レベルで管理される設定によって有効化され、エディタやAgentsウィンドウのハーネスドロップダウンから利用するエージェントを選択する形で使う。対応するハーネスとしてCopilot、Claude、Codexの3つが明示されており、Copilotエージェントは「Copilot SDK」によって動作し、Copilot CLIやスタンドアロン版のGitHub Copilotアプリと挙動を揃えているという。Claudeをエージェントハーネスとして使う場合は、chat.agents.claude.preferAgentHostという専用設定を有効にする必要がある。なお、Agent Hostは現時点でも開発が継続中であり、Microsoftは段階的にユーザーへの展開を進めている段階としている。新機能の一部は、エージェントがAgent Host上で動作している場合にのみ利用可能になる点にも注意が必要だ。 チャットからのターミナル操作 もう一つの主要な追加機能が、チャットメッセージに!を付けることでその内容をターミナルコマンドとして実行できる仕組みである。この機能はAgent Hostセッション上で動作し、エディタとAgentsウィンドウの両方で利用できる。これにより、エージェントとの対話の流れを崩さずに、コマンドの実行結果をその場で確認しながら作業を進めやすくなる。 その他の主要な変更点 このほか、Agentsウィンドウではsessions.layout.singlePaneDetailPanel設定により、チャットと編集パネルを1つのペインに統合した新しいレイアウトをプレビューできるようになった。エージェントが他のセッションを列挙・作成・監視・操作できるセッション管理ツールも追加され、複数タスクの並行処理がしやすくなっている。さらに、GitHub Enterprise環境でのCopilot利用対応、Agentsウィンドウでのカスタムモデル（BYOK）サポート、workbench.experimental.modernUI設定によるUI刷新版のプレビュー、workbench.diffEditorAssociationsによる差分エディタの割り当て設定に加え、ファイル・差分・マージエディタごとに優先度を指定できる提案API「customEditorPriority」など、エディタ全体にわたる改善が盛り込まれている。 今後の展望 Agent Hostはまだ開発途上の機能であり、対応ハーネスや利用可能な機能は今後のリリースを通じて拡充されていくとみられる。複数ウィンドウからの同一セッション接続という仕組みは、チーム開発や複数タスクの並行管理においてAIエージェントの活用範囲を広げるものであり、VS Codeにおけるエージェント統合の今後の方向性を示す重要な一歩といえる。

概要 JavaScript難読化ソリューションを提供するJscrambler社のnpmパッケージが7月11日、サプライチェーン攻撃の被害に遭った。攻撃者は盗んだnpm発行認証情報を使い、正当なメンテナーアカウントから通常のリリースフローを迂回する形でパッケージを直接改ざん・公開した。影響を受けたのは主要パッケージの8.14.0、8.16.0、8.17.0、8.18.0、8.20.0の各バージョンで、加えてJscrambler-webpack-plugin、gulp-Jscrambler、grunt-Jscrambler、Jscrambler-metro-pluginといった関連パッケージにも波及した。悪意あるバージョンにはインストール時に実行されるpreinstallフックが仕込まれており、Windows・macOS・Linuxそれぞれに対応したプラットフォーム別バイナリがドロップされる仕組みになっていた。 セキュリティ企業のSocketが公開からわずか6分後にこのリリースに警告フラグを立て、侵害を検出した。悪質なパッケージは公開から廃止までの約2時間で1,479回ダウンロードされたことが確認されている。Jscrambler社は7月13日に事態を公表し、npm発行認証情報を取り消した上でセキュリティ管理体制を強化した。 技術的な詳細 混入したマルウェアは「IronWorm」と呼ばれるRust製のインフォスティーラーで、ChaCha20-Poly1305暗号化アルゴリズムによる強力な難読化が施されており、解析による特定が困難な作りになっていた。狙われた認証情報の範囲は広く、AWS・Azure・Google Cloudなどのクラウド認証情報、MetaMaskやPhantom、Exodusといった暗号資産ウォレット、Bitwardenのパスワード管理データ、Git/SSH鍵や環境変数などの開発者秘密情報、さらにブラウザに保存されたパスワードやDiscord・Slack・Telegramのセッション情報にまで及んだ。 特に注目されるのは、Claude Desktop、Cursor、VS CodeといったAIコーディングアシスタント関連の設定・認証情報も収集対象に含まれていた点で、AI開発ツールがサプライチェーン攻撃の新たな標的として明確に狙われたことを示している。マルウェアはC2サーバー（IPアドレス 37.27.122.124、57.128.246.79）と通信する構成になっていた。 対応策 Jscrambler社および各セキュリティ研究者は、影響を受けた可能性のある開発者に対して以下の対応を推奨している。まず、パッケージを安全なバージョンである8.15.0または8.22.0にアップグレードし、ロックファイルから該当する侵害バージョンの記述を削除する必要がある。さらに、悪意あるバージョンをインストールした形跡があるマシンについては環境がコンプロマイズされたものとみなし、AWSやクラウドサービス、暗号資産ウォレット、AI開発ツールを含むあらゆる認証情報を速やかにリセットすることが求められている。また、前述のC2 IPアドレスへの通信をファイアウォールやネットワーク監視でブロックすることも有効な対策として挙げられている。 今回の事件は、正規のメンテナーアカウントが侵害された場合、通常のコードレビューやリリースプロセスをすり抜けてマルウェアが配布され得ることを改めて示した。加えて、AIコーディングツールの認証情報が明確な攻撃対象になっている点は、開発者のワークフローに深く組み込まれつつあるAIツールのセキュリティ管理が今後より重要になることを示唆している。