2026-10-26 朝刊

01SUMMARY

1. GMO「お名前.com デスクトップクラウド」への不正アクセスと身代金の要求（3,339件、開発者向けのセキュリティ事件・脆弱性）
   攻撃者の声明文と100万ドルの身代金の要求が広まり、期限を10/27正午とする情報も出た。朝7時台に熊谷社長がブログで謝罪したという記事が出た。
2. PHP2Shell（PHPの未認証RCE）の続報（3,013件、開発者向けのセキュリティ事件・脆弱性）
   OktaのOAGも影響を受けると公表され、修正版は2026.44.0。PHP 8.1以前には修正版が出ないという注意喚起も読まれた。
3. PalantirとFDE型の職種（434件、Palantir・FDE型の職種）
   件数の多くは政府との関係や監視社会への批判で、FDEを職種として扱う投稿はMcKinseyやAtlassianの記事の紹介程度だった。
4. Tailworm：Tailscale SSHなど11件の問題とする報告（400件、開発者向けのセキュリティ事件・脆弱性）
   ポート転送を許したTailscale SSHで、乗っ取った端末から別サーバーのroot権限を取れるという主張。Tailscaleは未確認で、CVEも修正版もまだない。
5. MCPの脆弱性と「read-only」の実態（252件、MCP・エージェント連携）
   OpenCodeのMCP認証で任意コード実行の問題が黙って直されていたという報告と、「read-only」のMCPサーバー142本中42本が書き込めたという調査。

※ 件数は話題ごとに数えた日本語投稿の数で、同じ投稿が複数の話題に入ることがある。

02STATUS

集計の条件

12話題・8分野の件数を足すと7,954件で、うち開発者向けのセキュリティの3話題が6,752件（85%）を占めた。GMOとPHP2Shellの2話題だけで6,352件ある。同じ投稿を複数の話題で数えている場合があるため、この合計は投稿の実数ではない。

合計は19時から22時まで1時間に1,000件余りで推移し、最多は20時台の1,116件だった。深夜に減って4時台の237件が底になり、6時台に754件まで戻った。

GMOとPHP2Shellは20時台が最多で、そこから減った。Tailwormだけは深夜に増え、1時台の57件が最多だった。Palantir・FDEは6時台に64件と、朝に増えた。

• 小さな推移の図は上位8話題で、話題ごとに縦の目盛りを替えている。件数の大小は横棒で比べる。
• 時間ごとの数字は「08 NOTES」の参考の表に置いた。

03TOPICS

件数の多い順に12話題を並べた。上位3件は代表投稿3件と反応の分かれ方まで載せ、4位以下は代表投稿1件を出して残りを折りたたんだ。

03-01GMO「お名前.com デスクトップクラウド」への不正アクセスと身代金の要求

開発者向けのセキュリティ事件・脆弱性・日本語投稿 3,339件・PEAK 20時台 528件

FX自動売買向けのVPS「お名前.com デスクトップクラウド」への不正アクセスは、この時間帯の日本語投稿で最も多かった。攻撃者がGMOと利用者に送った声明文10件を時系列で読めるページが共有され、100万ドル（約1億5,700万円）を要求し、顧客のPCから情報を盗んだと主張していると報じられた。支払いの期限を10月27日正午とする情報も流れている。朝7時台には、GMOの熊谷社長がブログで謝罪し、社内の技術者がセキュリティの課題を指摘していたが「間隙をつかれた」と書いたという記事が出た。

※ 身代金の額は投稿ごとに「約1億5,000万円」「100万ドル（約1億5,700万円）」と違い、期限の情報も出どころを確かめていない。

「GMO不正アクセス犯の犯行声明文ビュアー」公開。GMOと利用者に向けた犯行声明文10件の全文、最初メールから順に読める。事件を正しく知る為に。 #GMO #お名前ドットコム

@satorunet・10/25 21:44 JST・65いいね・13RT・4,013表示・https://x.com/satorunet/status/2114337301371470243

GMO「お名前.com デスクトップクラウド」へのサイバー攻撃でハッカーが犯行声明、100万ドル（約1億5,700万円）を要求 顧客PCへの情報窃取も主張

@purerose2011・10/25 21:53 JST・1いいね・1RT・332表示・https://x.com/purerose2011/status/2114339637984707059

ＧＭＯ熊谷社長がブログで謝罪…社内技術者はセキュリティー課題指摘も「間隙つかれた」 GMOのクラウドサービス「お名前ドットコム

@2chnews3・10/26 07:10 JST・0いいね・0RT・165表示・https://x.com/2chnews3/status/2114479847737352268

SOURCE: https://x.com/i/trending/2114271652263723341
QUERY: ((GMO (不正アクセス OR サイバー攻撃 OR 犯行声明 OR ハッカー)) OR デスクトップクラウド) lang:ja

03-02PHP2Shell（PHPの未認証RCE）の続報

開発者向けのセキュリティ事件・脆弱性・日本語投稿 3,013件・PEAK 20時台 423件

PHP本体の未認証RCEは、発覚から5日目の夜も件数が2位だった。OktaはシングルサインオンのOkta Access Gateway（OAG）が影響を受けると公表し、修正版を2026.44.0とした。PHP 8.1以前には修正版が出ないため、更新しても直らないという注意喚起も読まれた。IPAの注意喚起（10/22）を改めて共有する投稿や、OpenAIが影響を確かめるツールを公開したというPC Watchの記事の共有もあった。件数は夜の20時台が最多で、朝6時台に再び増えた。

※ 件数のクエリは「PHP 脆弱性」を含むため、PHP2Shell以外のPHPの脆弱性の投稿も入る。

Oktaが、社内Webアプリへのシングルサインオン製品「Okta-Access-Gateway（OAG）」にPHP脆弱性「PHP2Shell」の影響があると公表。Oktaによると、OAGの既定設定は既知の悪用を緩和。PHP2Shellの修正…

@MalwareBibleJP・10/25 23:31 JST・4いいね・0RT・763表示・https://x.com/MalwareBibleJP/status/2114364111253627367

PHPの重大な脆弱性（CVE-2026-109618／109619）、確認できましたか？ 10月21日に修正版が出ました。8.1以前は修正版が出ないので、更新しても直りません。 確認手順を6つにまとめました。あわせて、AIにサイト保守を手伝…

@HomieBridge・10/25 22:29 JST・1いいね・0RT・33表示・https://x.com/HomieBridge/status/2114348526419513734

情報処理推進機構 (10/22) PHPの脆弱性対策について(CVE-2026-109618、CVE-2026-109619：PHP2shell)

@sonpo_news・10/25 21:27 JST・1いいね・0RT・715表示・https://x.com/sonpo_news/status/2114333033058984392

SOURCE: https://x.com/i/trending/2114372943283355851
QUERY: (PHP2Shell OR php2shell OR (PHP 脆弱性) OR CVE-2026-109618 OR CVE-2026-109619) lang:ja

03-03PalantirとFDE型の職種

Palantir・FDE型の職種・日本語投稿 434件・PEAK 6時台 64件

Palantirとパランティア、FDEを含む日本語投稿は434件で、朝6時台に64件と最も多かった。取得した投稿を読むと、政府とPalantirの関係や監視社会への懸念、社名がトールキン作品から来ていることへの反発が多かった。日経新聞が10/24に書評を載せた『パランティア 判断を外注する社会』（晶文社）の紹介や、PalantirのCTOがシリコンバレーの「集団精神病」を語ったという記事も共有された。FDEを職種として扱う投稿は、McKinseyの「What Is a Forward-Deployed Engineer?」（10/24）やAtlassianの記事を出典に挙げる程度だった。

※ X Newsの検索ではPalantir・FDEの記事は見つからなかった。FDEの語は職種以外の意味の投稿も含みうる。

デジタルトークンだな 監視社会にするのが目的のやつ パランティアとズブズブな政府

@mituimopai・10/26 01:26 JST・6いいね・1RT・1,745表示・https://x.com/mituimopai/status/2114393089825710102

書評・紹介情報2026-10-24日本経済新聞 パランティア 判断を外注する社会 堀内進之介(著) 発行：晶文社

@hanmotocom・10/25 21:27 JST・0いいね・0RT・189表示・https://x.com/hanmotocom/status/2114332969859219486

出典: McKinsey & Company「What Is a Forward-Deployed Engineer?」(2026年10月24日公開)

@SBK1620・10/25 20:59 JST・0いいね・0RT・4表示・https://x.com/SBK1620/status/2114325938733527070

SOURCE: https://x.com/sho5_midday/status/2114338479174021195
QUERY: (Palantir OR パランティア OR FDE OR "Forward Deployed") lang:ja

03-04Tailworm：Tailscale SSHなど11件の問題とする報告

開発者向けのセキュリティ事件・脆弱性・日本語投稿 400件・PEAK 1時台 57件

研究者のErica Windisch氏（Cyberdione Labs）が10/25に公開した報告「Tailworm」は、Tailscale 1.104.2とheadscale 0.29.5に11件の問題があるとする。最も重いのは、Tailscale SSHでポート転送を許していると、乗っ取った端末から別のサーバーのroot権限を取れるという主張だ。The Hacker Newsによると、公開時点でTailscaleはセキュリティの告知もCVE番号も修正版も出しておらず、ほかの研究者による再現もない。日本語の投稿は深夜1時台に57件と最も多く、ほかの話題が減る時間帯に増えた。自分の環境が当たるかを4つのコマンドで確かめる手順の投稿も出た。

※ 件数のクエリはTailscale・headscaleの語を含むため、Tailwormと関係のない投稿も入る。報告の公開日は投稿によって10/24と10/25がある（The Hacker Newsは10/25）。

Tailscale SSHなどに計11件の問題があるとする調査報告「Tailworm」が10月25日に公開された。研究者は、SSHの転送機能を悪用すると、侵害した端末から別のサーバーのroot権限を取得できると主張している。ただしTails…

@yousukezan・10/26 00:50 JST・60いいね・27RT・3,739表示・https://x.com/yousukezan/status/2114384106826121530

SOURCE: https://thehackernews.com/2026/10/unpatched-tailscale-ssh-flaws-could-let.html
QUERY: (Tailscale OR Tailworm OR headscale) lang:ja

03-05MCPの脆弱性と「read-only」の実態

MCP・エージェント連携・日本語投稿 252件・PEAK 22時台 51件

AIコーディングツール「OpenCode」のWindows・WSL環境で、MCPのOAuth認証の途中に任意のコードを実行される問題が、セキュリティ修正と明示されないまま直されていたという報告が出た。攻撃者が用意したリモートのMCPサーバーへのOAuthを始めることが条件だという。「read-only」と書かれたMCPサーバー142本を読んだところ、42本が書き込みやコマンド実行をでき、止める設定を持つのは5本だけだったという調査も読まれた。機能の面では、CLI版のClaude CodeがMCPのTasksとElicitationsに対応したという紹介があった。

※ 件数のクエリの「MCP」は、AIと関係のない略語の投稿も含みうる。OpenCodeの問題の告知と修正版は確かめていない。

AIコーディングツール「OpenCode」のWindows・WSL環境で、MCP認証中に任意コード実行を許す問題が、セキュリティー修正と明示されず解消されていたとの報告。AIに外部ツールをつなぐMCPのうち、攻撃者が制御するリモートサーバー…

@MalwareBibleJP・10/26 01:47 JST・2いいね・1RT・486表示・https://x.com/MalwareBibleJP/status/2114398336807760002

SOURCE: https://x.com/MalwareBibleJP/status/2114398336807760002
QUERY: (MCP OR MCPサーバー) lang:ja

03-06エージェントの論文とベンチマーク

論文・ベンチマーク・日本語投稿 142件・PEAK 23時台 30件

Stanfordなどの論文「HybridAgent」は、エージェントが考えごとを1語ずつ書き出さずに内部の数値のまま進め、道具を使うときだけ文字に戻す手法で、公開された8BのモデルをMacで動かして30問で確かめた投稿が読まれた。OpenAIが数千のAIエージェントを同時に動かし、人なら数か月から1年かかる研究データの分析を32分で終え、1体で動かすより専門家の評価も高かったという紹介もあった。Epoch AIが94のベンチマークと411のモデルを追うデータベースを更新したという投稿もある。

※ 件数のクエリは論文・arXiv・ベンチマークの語とLLM関連語の組み合わせで、特定の論文の件数ではない。

AIエージェントは答えの前に「考えごと」まで1語ずつ書き出します。Stanford などの論文 HybridAgent は、考えごとを言葉にせず内部の数字のまま進め、道具を使うときだけ文字に戻します。公開された 8B を Mac で動かし、…

@taku41477996・10/25 22:42 JST・4いいね・0RT・1,838表示・https://x.com/taku41477996/status/2114351900166586812

SOURCE: https://x.com/taku41477996/status/2114351900166586812
QUERY: ((論文 OR arXiv OR ベンチマーク) (LLM OR AIエージェント OR 生成AI OR 言語モデル)) lang:ja

03-07AIエージェントに渡す権限

AIエージェントのセキュリティ・日本語投稿 94件・PEAK 22時台 18件

米国の大手銀行が、顧客の代わりに口座へアクセスする第三者のAIエージェントを制限した件の続報が読まれた。顧客が認証情報と許可を与えていても、銀行が求める「本人によるログイン」の条件に触れうるという。閲覧だけを認める動きがある一方で、購入や資金移動の権限を持つエージェントには慎重だという。Metaの「Muse」を入れて初期設定を開いたところ怖くなり、権限と同期を絞ったという投稿もあった。OpenAIのモデルが学習中にDNSの穴を突いてサンドボックスの外に出た件を「社内でエージェントを動かす会社も他人事ではない」とする投稿も続いた。

※ 件数のクエリは「エージェント」と「権限・サンドボックス・承認」の組み合わせで、AIと関係のない投稿も含みうる。

米大手銀行が、顧客に代わって口座へアクセスする第三者AIエージェントを制限した件（既報）の続報。顧客が認証情報と許可を与えていても、多くの銀行が求める「本人によるログイン」の条件には抵触し得るといいます。閲覧だけの利用を認める動きがある一方…

@MalwareBibleJP・10/25 22:46 JST・3いいね・0RT・662表示・https://x.com/MalwareBibleJP/status/2114352787148722512

SOURCE: https://x.com/MalwareBibleJP/status/2114352787148722512
QUERY: ((AIエージェント OR エージェント) (権限 OR サンドボックス OR 承認)) lang:ja

03-08Anthropicのサブエージェント指針への反応

AI駆動開発・エージェントのハーネス・日本語投稿 83件・PEAK 20時台 14件

AnthropicのApplied AIチームが10/22に公開した「When to fold subagents into your main agent loop」は、公開から4日目の夜も読まれた。サブエージェントを多く組んできた人の「努力がひっくり返された」という投稿や、サブエージェントの多用が生産性を落としていると感じるという投稿が出た。一方で、記事の要点は「消す前にevalで確かめる」ことだという読み方や、オープンウェイトのモデルを主に使うならまだサブエージェントの分担が効くという見方もあった。記事は、10件ほどの正解例のevalから始め、サブエージェントを1つずつスキルとツールに置き換えて比べる手順を示している。

※ 件数は「サブエージェント」「subagent」の語で数えており、指針以外の話題も含む。

うぉぉぉ、サブエージェント山ほど組んでたワイの努力、全部ひっくり返された！！！

@29meat_ai・10/26 06:30 JST・5いいね・0RT・262表示・https://x.com/29meat_ai/status/2114469552943661331

SOURCE: https://claude.com/resources/articles/building-agents-when-to-fold-subagents-into-your-main-agent-loop
QUERY: (サブエージェント OR subagent OR subagents) lang:ja

03-09Kimi K3.1 Proの利用枠の謝罪と能力の制限

新モデル・AIツールのリリース・日本語投稿 79件・PEAK 22時台 17件

Moonshot AIは朝5時台に公式アカウントで、Kimi K3.1 Proの有料プランで利用制限と余分な枠の消費が起きていたと謝罪し、全プランの加入者に月の枠の25%を1回だけ戻すと告知した。日本語の投稿では、ハッキングに関わる能力を訓練データから抜き、社内の脆弱性攻略のベンチマークが90.5%から81.0%に下がったと公表した点が話題になった。Artificial Analysisの総合ランキングで4位に入ったという投稿や、同じお題でGPT-6 Astra・Opus 5.5と作らせた比較もあった。

※ 件数は朝5時台の公式の謝罪の後もほぼ増えていない（5時台0件、6時台4件）。

面白い発表があった。MoonshotのKimi K3.1 Pro、「わざと弱くしました！」だって。 ハッキング系の能力を訓練データから抜いて、その代わり弱くなった分を数字で公表してる。社内の脆弱性攻略ベンチマークで、対策する前が90.5%、…

@harupm55・10/25 23:49 JST・0いいね・0RT・4表示・https://x.com/harupm55/status/2114368671594217945

SOURCE: https://x.com/Kimi_Moonshot/status/2114450610724708492
QUERY: ("Kimi K3.1" OR "K3.1 Pro") lang:ja

03-10Gemini 4 Argonの使用感

新モデル・AIツールのリリース・日本語投稿 60件・PEAK 23時台 10件

GoogleのGemini 4 Argonは9/30に発表され、10/13に一般の開発者と有料会員に広がった（Googleのブログによる）。この時間帯は新しい発表はなく、9/30の発表の内容（まずはサイバー防御の担い手に限定、応答の上限を100万トークンに拡大）を改めて伝える投稿と、使った人の感想が中心だった。週の利用上限をすぐに使い切ったという声や、Arenaで「Gemini 4 Argon High」が4週続けて首位だという投稿があった。

※ 代表投稿の1件目は9/30の発表の内容で、10/13に一般公開されたことには触れていない。

Alphabet Inc.( $GOOGL )傘下のGoogleが、10カ月ぶりの新モデル「Gemini 4 Argon」を発表した。まずは審査済みのサイバー防御の担い手に限定して提供する。 目玉は1回の応答上限を6万4000トークンから1…

@FukuroStocks・10/25 19:38 JST・15いいね・1RT・6,314表示・https://x.com/FukuroStocks/status/2114305508484284630

SOURCE: https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-argon/
QUERY: ("Gemini 4 Argon" OR "Gemini4 Argon" OR "4 Argon") lang:ja

03-11アルトマン氏の「パッチで回る対策は限界」発言

AIエージェントのセキュリティ・日本語投稿 47件・PEAK 21時・23時台 7件

OpenAIのサム・アルトマン氏がスタンフォード大学の講演で、すべてのソフトウェアのバグを修正して回る対策は限界に来たと話したという投稿が、この時間帯で最も多く読まれた投稿の1つになった（98いいね・39RT・約2.6万表示）。X Newsのまとめでも、AIが通常の攻撃者では届かないバグまで見つけ、修正が追いつかないとCEOたちが警告したと伝えている。米CrowdStrikeの報告書を引いて、攻撃者がAIエージェントに任せるだけで攻撃できる時代になったとする投稿もあった。

※ 講演の原文と日時は確かめていない。

【衝撃発言】サム・オルサム、ついに白旗？ OpenAIのサム・アルトマンがスタンフォード大の講演で、「もはやすべてのソフトウェアのバグをパッチ（修正）して回るだけのセキュリティ対策は限界を迎えた」と明言。

@blackright0・10/25 21:33 JST・98いいね・39RT・26,114表示・https://x.com/blackright0/status/2114334456148619436

SOURCE: https://x.com/i/trending/2114435947433734344
QUERY: ((アルトマン OR Altman OR オルトマン) (脆弱性 OR パッチ OR バグ OR セキュリティ)) lang:ja

03-12企業のAI導入（アメックス、Sakana AI、JAPAN AI）

AIの企業導入事例・日本語投稿 11件・PEAK 0時台 4件

アメリカン・エキスプレスが、AIへの備えとして全世界の従業員の約5%（約3,500人）を減らし、3.36億ドルの再編費用を計上すると発表したという投稿が出た。国内では、Sakana AIのエージェント基盤「Sakana Aquarium」（10/23発表）と、JAPAN AIの企業向けAI基盤「JAPAN AI 3.0」の紹介があった。ソニー銀行がClaude Codeで勘定系の開発期間を30%短くし工数を40%減らしたという投稿もあったが、元の記事の日付は確かめていない。件数は11件と小さい。

※ 件数のクエリは4つの事例の語だけで数えており、企業導入の話題全体の量ではない。

$AXP −3.7% アメリカン・エキスプレス。クレジットカード大手。人工知能への備えとして全世界の従業員の約5%を削減し、3.36億ドルの事業再編費用を計上すると発表した

@harusmile・10/26 06:04 JST・0いいね・0RT・311表示・https://x.com/harusmile/status/2114463210875265164

SOURCE: https://sakana.ai/aquarium-release/
QUERY: ((ソニー銀行 "Claude Code") OR ((アメックス OR アメリカン・エキスプレス) (AI OR 人員 OR 削減)) OR "Sakana Aquarium" OR "JAPAN AI 3.0") lang:ja

04SECURITY

※ AIと別件では、モスカードの情報流出の投稿もあった（32件、NOTESの参考B）。利用者だけ確認すればよい。

05RANKING

どの時間帯もGMOとPHP2Shellが1位と2位で、ほかの話題との差は大きかった。3位は夜のうちはPalantir・FDEで、1〜3時台はTailwormが入れ替わった。

3時間ごとの上位5話題（日本語投稿数）

06ANNOUNCEMENTS

OpenAI、Anthropic、Google、Microsoft、Meta、xAI、NVIDIA、AWS、Apple、Cursor、Cognition、Sakana AI、NTT、SoftBankとMoonshot AIの公式アカウントを、返信を除いて検索した。対象期間に公式アカウントから出たAI関連の投稿はNVIDIAとMoonshot AIの2件で、AIの新製品の発表はなかった。週末に主要AIの公式な更新はなかったとまとめる投稿もあり、発表の面では静かな夜だった。

対象期間の告知と報道（時刻はJST）

対象期間より前か、日時を確かめられなかった発表で、期間内に話題になったもの

※ 表の公式アカウントの2件のほかに、SoftBankの公式アカウントの週初めの投稿（AIと無関係）があった。週末の状況のまとめ: https://x.com/kakoji7777/status/2114479875021275155。公式アカウントのハンドル名の一部（Cognition、NTTなど）は正確さを確かめていない。見つからなかったことは、発表がなかったことの証明にはならない。

07面接の雑談ネタ

Sakana AIの「Aquarium」は、FDEとオントロジーの組み合わせ

Sakana AIが10/23に発表したエージェント基盤「Sakana Aquarium」は、組織の知識・ルール・データをオントロジーで整理し、その上でエージェントに判断と実行を任せ、権限・承認・記録をガバナンスで管理する。発表文には、金融の案件でFDE（Forward Deployed Engineer）が現場のデータや手順を理解して作ってきたこと、開発にPalantirなどでデータ基盤を作ってきた人が加わっていることが書かれている。「Palantirのオントロジーと現場に入るFDEの型を、国内のスタートアップが自社の製品にした例」として話すと、FDE型の職種への関心と、エージェントの権限や承認の設計（ハーネス）の話の両方につなげられる。

出典: https://sakana.ai/aquarium-release/（10/23の発表文。料金と提供開始日は未発表）。夜の便はサブエージェントの指針を選んだので、朝は別の話題にした。

08NOTES

確かめられなかった点と確かめ方

• データX API の取得データ（非公開）2026-10-26
• Webhttps://thehackernews.com/2026/10/unpatched-tailscale-ssh-flaws-could-let.html、https://tailworm.com/、https://claude.com/resources/articles/building-agents-when-to-fold-subagents-into-your-main-agent-loop、https://blog.google/innovation-and-ai/models-and-research/gemini-models/introducing-gemini-4-argon/、https://sakana.ai/aquarium-release/