ドキュメント・DX

AIエージェントのAPI利用に対価が発生し始めています。SaaStrを3人と21体以上のAIエージェントで運営するJason Lemkin氏によると、1日35,000〜40,000回のAPI呼び出しに対し、ある見積もりでは年間最大240,000ドルに達するとのこと。これまで無料だったアクセスが、なぜ突然課金対象になったのでしょうか。 SaaStrが直面した240,000ドルの見積もりという現実 SaaStrは人間3人とAIエージェント21体以上で運営されている会社です。その中核を担う「10K」という AI VP of Revenue（営業収益担当の役員に相当するAIエージェント）は、もともと単純なダッシュボードとして始まったものの、今では同社のアウトバウンド営業、インバウンド対応、収益オペレーションの大半を回しています。10Kが触れるアプリ全体で、1日あたり35,000〜40,000回のAPI呼び出しが発生しているといいます。 これまで取引先のどのベンダーも、この呼び出し回数に対して課金してきませんでした。ところが状況が変わりつつあります。Salesforce、Atlassian、HubSpotがそろってエージェントによるアクセスに課金を始めているのです。Lemkin氏が得たある見積もりでは、現在の使い方を続けた場合の年間コストが冒頭で触れた水準に達するとされています。同氏はFortune 10に入るような大企業ではないとした上で、この金額や、ベンダーへの支払いを4倍に増やすような条件を受け入れるつもりはないと述べています。 Salesforce、Atlassian、HubSpotがそれぞれ異なる形で課金 出典記事によれば、Salesforceは現在ログイン時にバナーを表示し、エージェントアクセスに追加料金がかかることを告知しながら展開を進めています。Atlassianはすでに課金を実施済みで、それが同社の成長要因のひとつになっているといいます。HubSpotも課金を導入していますが、今のところ対象は自社製のファーストパーティ・エージェントに絞られているようで、10Kのようなサードパーティ・エージェントへの課金はまだ見られないとLemkin氏は説明しています。同氏自身は、この対応の方が望ましいとも述べています。 なぜベンダー側がこうした動きに出るのか。Lemkin氏は、座席（シート）課金を前提にしてきたベンダーが軒並み契約の縮小に直面している点を理由に挙げています。SaaStrはSalesforceのAPI座席を1つしか持っておらず、20や80の座席は必要としていません。長年事業を続けてきたB2B企業が座席拡大の見込みを失えば、同じ結論に至るだろうというのが同氏の見立てです。 B2B領域では値上げが受け入れられやすいという指摘もあります。顧客は11回連続の値上げに不満を漏らしても、離脱するより留まる方が多い。Bending Spoonsが Evernote を買収して価格を2〜3倍にし、残った顧客から得る収益が離脱した顧客の損失を上回るビジネスを築いた例が、その典型として語られています。 Lemkin氏のAIエージェントが示した5ドルの代替案 今回の記事で核心となっているのは、こうした高額な見積もりに対し、Lemkin氏自身のAIエージェントが別の道を提示したという事実です。出典記事のタイトルにあるとおり、240,000ドルの見積もりに対して、エージェントが提案したのはわずか5ドルのPostgresインスタンスでした。SaaStr 出典記事では、この状況の背景として、10Kが1日に生み出す35,000〜40,000回という呼び出し回数が、Supabaseのような現代的なデータベースの料金体系で見れば「ほとんど費用がかからない」水準だと説明されています。Lemkin氏は、この事態の一端は自分たちにもあると認めています。10Kはこれまで誰もAPI呼び出しに課金してこなかったため、まるでガソリンが1ガロン5セントの国にいるかのように、制約なく呼び出しを使ってきたというのです。 この5ドルという案は、あくまでAIエージェントが自ら提案した代替策です。実際にSaaStrがこの案を採用して乗り換えたのか、Salesforceなどとの契約がどう決着したのかについては、出典記事からは読み取れません。あくまで「見積もりに対してエージェントが安価な解決策を提示した」という事実が記事の軸であり、その後の運用結果までは今回確認した範囲には含まれていません。 同じSaaStrのLemkin氏は、別の記事で興味深い補足をしています。人間3人とAIエージェント20体以上という体制でも、売上は前年比47%増（前年のマイナス19%から転換）となり、エージェントが成約した商談は100万ドル（約1億5,800万円）を超えるといいます。その上で同氏は、エージェントが多数いるからこそ、むしろ共有の記録システム（Salesforceのようなシステム・オブ・レコード）が必要になると主張しています。20体のエージェントがそれぞれ異なる解釈で生データを更新すれば、「有力リード」の定義も、重複処理の方法も、20通りに分かれてしまう。これはAPI課金の是非とは別の論点ですが、同じ会社が「Postgresで十分」という単純化と「結局は共有基盤が要る」という両方の現実に直面している点は、今回のエピソードを読み解く上で参考になります。SaaStr この一件が示しているのは、エージェント経由のAPIアクセスに値付けをする動きが始まった段階であり、各社の料金体系や対象範囲がまだ出そろっていないという状況です。Developer Tools & Platforms分野の週次レポートでも、Cloudflareが2026年9月末からの「Birthday Week」で、エージェント向けのAPIアクセスにHTTP 402（支払いが必要なことを示すステータスコード）で課金する「Monetization Gateway」のベータ版を発表しており、同社の観測では自社インフラに届くトラフィックの半分以上がすでに自動化されたものだとしています。SaaStrの事例と合わせて見ると、エージェントのアクセス量そのものを収益源として扱う動きが、少なくとも複数のベンダーで同時並行的に進んでいることがわかります。OriginBrief 中国語で掲載されたNewsHub記事でも同じSaaStrの記事が取り上げられており、240,000ドルという見積もり額と、35,000〜40,000回という呼び出し回数が同様に紹介されています。wqu.guru 費用の規模感だけで判断するなら、5ドルのインスタンスと高額な見積もりの差は大きく見えます。ただし、どちらが「正しい」選択かは、エージェントが実際に何に接続し、どの業務を任されているかによって変わるはずです。SaaStr自身が別の記事で、エージェントにこそ共有システムが必要だと述べている以上、単純にコストの安さだけでベンダーの課金方針を評価するのは早計かもしれません。公開されている情報だけでは、Salesforceなど各社の具体的な料金表や、SaaStrが最終的にどの選択をしたのかまでは判断材料が不足しています。 注目ニュース IDCフロンティア、ランサムウエア被害でデータ復元困難と発表 ソフトバンク子会社のIDCフロンティアは2026年10月8日、ランサムウエア攻撃を受けたクラウドサービス「IDCFクラウド」の一部について、顧客データの取り出しや復元が困難な見通しだと発表しました。障害の影響は495の企業・自治体に及んでいます。同社は被害を受けた顧客に対し、各顧客が保有するバックアップデータを使って別環境でシステムを再構築するよう案内を始めました。サービス基盤そのものが攻撃で停止した場合に備え、別環境にバックアップを確保しておく体制の重要性を示す事例だといえます。日経クロステック 編集後記：5ドル案の「その後」が見えないこと 今回の記事で一番気になったのは、240,000ドルの見積もりに対してエージェントが5ドルのPostgres案を提示した、その先です。SaaStrがこの案を実行に移したのか、Salesforceとの契約をどう調整したのか、出典記事はそこまで書いていません。エージェントが安価な代替案を出せること自体は興味深い一方、同じLemkin氏が「エージェントにこそ共有システムが必要」とも述べている点を踏まえると、コスト削減と運用の整合性をどう両立させたのかが抜け落ちたまま残っています。見積もり額の大きさに目を奪われがちですが、実際の判断材料としては、その後の選択の方が重要だったはずです。

スマートフォンに実物のマイナンバーカードの機能を載せる動きが、Androidでも始まります。デジタル庁は10月2日、既存の「Androidスマホ用電子証明書搭載サービス」を刷新した「Androidのマイナンバーカード」を20日から提供すると発表しました。対面での本人確認や年齢確認がカード不要になる一方、対応端末は10月20日までの公表待ちです。 デジタル庁、Androidのマイナンバーカードを10月20日提供へ デジタル庁は10月2日、「Androidのマイナンバーカード」の提供を10月20日に始める予定だと発表しました。これは既存の「Androidスマホ用電子証明書搭載サービス」を刷新したもので、Android端末を使えば実物のマイナンバーカードを提示しなくても、対面での本人確認や年齢確認を受けられるようになります。 従来のサービスでは、マイナンバーカードの電子証明書をAndroid端末に搭載することで、マイナポータル上での薬剤情報や医療費、年金記録の確認、確定申告や引っ越し手続きのオンライン申請、コンビニエンスストアでの住民票の写し取得などに利用できていました。 新サービスではこれに加えて、「Google ウォレット」にマイナンバーカードを追加できるようになります。ここに氏名や住所、生年月日などを証明する「属性証明機能」が搭載され、読み取りに対応した窓口や店舗であれば、本人確認や年齢確認、住民確認などを対面で受けられるようになります。オンライン完結のサービスから、実店舗や行政窓口での提示を想定したサービスへと、用途が広がった形です。 この属性証明機能自体は目新しいものではなく、2025年6月24日に始まった「iPhoneのマイナンバーカード」ではすでに提供されています。今回のAndroid向けサービスは、iPhone側で先行していた機能にAndroidが追いつく形と言えます。 対応端末と事業者側の対応が鍵に 新サービスを利用できるのは、一定の基準を満たすセキュリティチップを搭載したAndroid端末に限られます。どの機種が対象になるのか、デジタル庁は対応端末などの詳細を10月20日までに公式サイトで公表する予定だとしています。利用を検討する読者は、10月20日までの公式サイトでの発表を確認する必要があります。 もう一つ重要なのが、受け取る側の体制です。デジタル庁は、本人確認や年齢確認を行う行政機関や事業者に対して、「Androidマイナンバーカードの読み取り対応が必要となる」と説明しています。そのうえで、無償で提供する「マイナンバーカード対面確認アプリ」の活用を呼びかけています。利用者がスマートフォンを用意するだけでなく、窓口や店舗側の読み取り対応も必要であり、デジタル庁は無償アプリの活用を呼びかけています。デジタル庁が呼びかけの対象としているのは、本人確認や年齢確認、住民確認などを行う行政機関や事業者であり、属性証明機能を使った確認を受け付けるかどうかは、個々の窓口や店舗の対応状況に左右されます。利用者側がスマートフォンを用意するという準備と、事業者側が読み取り対応を進めるという対応、この両方がそろって初めて機能するサービスだという条件は、この新サービスの実際の使い勝手を左右する要素です。この対面確認アプリは無償で提供されており、デジタル庁はその活用をあらためて呼びかけています。 なお、デジタル庁は「最終テストで追加の確認が必要になった場合、提供開始日を変更する可能性がある」とも述べています。10月20日という日付はあくまで予定であり、確定した開始日ではない点も押さえておく必要があります。 以上の経緯はITmedia NEWSが報じています。 注目ニュース GitLab、AI Gatewayの深刻な脆弱性を修正 GitLabは、AI Gatewayに存在した深刻度の高い脆弱性を修正しました。Duo Agent Platformへのアクセス権を持つログイン済みユーザーが、一定の条件下でゲートウェイ上のコマンドを実行できる状態だったと、GitLabがアドバイザリで説明しています。AI Gatewayは、GitLabインスタンスをAIモデルに接続するサービスで、対応が必要になるのは自社でゲートウェイをホストしている組織に限られます。脆弱性はバージョン19.2.4、19.3.2、19.4.1で修正済みです。詳細はThe Hacker Newsが報じています。 Dell、CSMの脆弱性でKubernetesノードの乗っ取りが可能に Dellは、Container Storage Modules（CSM）に存在する複数の深刻な脆弱性に対応するセキュリティアップデートを公開しました。挙げられている脆弱性の一つ、CVE-2026-63688はCVSSスコア10.0と評価されており、csm-authorization-storage gRPCサーバーにおける認証機能の欠如が原因だとされています。これにより、悪用した場合に対象システムを乗っ取られる恐れがあるとDellは説明しています。詳細はThe Hacker Newsが報じています。 日立とOKI、ATM共同出資会社が始動 OKIと日立製作所によるATM事業の統合が完了し、共同出資会社が2026年10月1日に業務を始めました。国内ATMのシェア上位2社による統合であり、新会社は国内市場で主導的な立場に立つことになります。日立はATM事業からの撤退ではないとしていますが、国内ATM市場の競争環境は節目を迎えた形です。詳細は日経クロステックが報じています。 編集後記：対応端末という空白 今回の発表で気になったのは、対応端末の詳細がまだ公表されていない点です。一定の基準を満たすセキュリティチップが条件とされていますが、対応端末の詳細は10月20日までに公式サイトで公表される予定です。属性証明機能自体はiPhone版で先行実装済みであり、Android側が後を追う形になります。読み取り側の体制も含めて、実際にどこまで使える状態になるかは、発表を待って確認するしかない段階です。

ソフトバンクグループが米OpenAIへの追加出資を完了させ、累計出資額は646億ドル（約10兆2,000億円）に達しました。これでOpenAI株式の約13％を保有することになります。当初契約では上場を前提に出資を前倒しする余地もありましたが、結局は予定通りの実行となりました。その背景には、OpenAI側の事情も絡んでいます。 ソフトバンクG、OpenAIへの出資646億ドルで持分13％に ソフトバンクグループは10月1日、米OpenAIの営利部門であるOpenAI Group PBCへ100億ドル（約1兆5,800億円）の追加出資を実行しました。「ソフトバンク・ビジョン・ファンド2」を通じたもので、総額300億ドル（約4兆7,300億円）の追加出資のうち、最終となる第3弾（サードトランシェ）に当たります。これにより累計出資額は646億ドル（約10兆2,000億円）となり、OpenAI株式の約13％を保有する計算です。 今回の300億ドル（約4兆7,300億円）の追加出資は、2月27日にOpenAIと結んだ契約に基づき、100億ドル（約1兆5,800億円）ずつ3回に分けて実行されてきました。第1弾は4月1日、第2弾は7月1日にそれぞれ完了し、今回の第3弾で300億ドル全体の実行が完了したことになります。この300億ドルは、累計出資額646億ドル（約10兆2,000億円）の一部を構成するもので、今回の実行完了によってソフトバンクグループの持分比率は約13％に達しました。第1弾・第2弾の2回分は、いずれも主要取引金融機関からのつなぎ融資で資金を賄い、その後、保有資産の活用や社債などの調達に切り替える方針が示されていました。各段階で調達手段を使い分けながら、300億ドルという大型の追加出資を3回に分割して実行してきた形です。 今回の最終分（第3弾）の100億ドル（約1兆5,800億円）には、社債で調達した資金が充てられています。ソフトバンクグループは9月24日に米ドル建てとユーロ建ての社債発行を発表しており、使途として第3弾の出資資金などを挙げていました。調達額は合計で約111億ドル（約1兆7,500億円）に上り、低格付け企業が発行する「ハイイールド債」としては過去最大規模だと米Bloombergなどが報じています。300億ドルの追加出資は、つなぎ融資から社債調達へと資金手当ての手段を切り替えながら完了した形になります。なお646億ドル（約10兆2,000億円）という累計出資額は、今回の300億ドルに加え、それ以前に実行されてきた出資分を合算したものであり、今回の300億ドルの実行だけを指す数字ではありません。 ITmedia NEWS 上場前倒しの余地、見送られた理由 契約では、OpenAI株式の上場が合理的に見込まれる場合、出資を前倒しする可能性があるとされていました。つまり300億ドル（約4兆7,300億円）の出資完了は、本来はOpenAIの上場時期次第で早まる余地があったということです。 しかし、OpenAIのサム・アルトマンCEOは9月、米経済誌Fortuneのインタビューで、AIの安全性への対応を優先するとして2026年中の上場を見送る考えを明言しました。この発言を受けて前倒しは実現せず、当初の予定通り10月1日の実行となっています。 なお、本文中の「サードトランシェ」は、300億ドルの追加出資を3回に分けて実行する際の最終となる第3弾を指す呼称です。「つなぎ融資」は、社債発行など本格的な資金調達の手段が整うまでの一時的な融資を指し、第1弾・第2弾ではこの方式で資金が賄われていました。「ハイイールド債」は信用格付けが低い企業が発行する債券を指し、今回の社債発行はこの区分で過去最大規模だったと報じられています。出典記事には、2026年中の上場見送り後の具体的な上場時期や、今後の出資計画についての言及はありません。 注目ニュース JERA・Dell・RHAELM、千葉市にAIデータセンター建設へ 発電大手のJERA、米Dell Technologies、英RHAELMは10月1日、千葉県内に「AIデータセンター」を建設すると発表しました。総投資額は150億ドル（約2兆3,600億円）以上を見込み、2028年ごろの運用開始を目指します。建設地は千葉市にあるJERAの「千葉火力発電所」内で、受電容量は最大40万キロワット。発表時点では単一拠点として国内最大、AIインフラプロジェクトとしては中国を除くアジアでも最大規模になるとしています。3社は「日本における国家規模のAIインフラ開発の加速に向けた覚書」を締結しており、今回はその第1号案件に当たります。2030年代には日本全体で数百万キロワット規模のAI計算基盤の提供を目指すとしていますが、具体的な費用負担や契約条件についての言及は出典記事にはありません。 ITmedia AI+ Google、「Gemini 4 Argon」を先行提供開始 米Googleは9月30日（現地時間）、次世代フロンティアモデル「Gemini 4 Argon」を発表しました。最大出力は従来の6万4000トークンから100万トークンに拡大され、複雑で長時間にわたるワークフロー処理に重点を置いています。まず「Fairwind Program」を通じて信頼できるサイバー防御組織への提供を開始し、米政府にもリリース前のモデルを提供済みです。ソフトウェアの脆弱性を自律的に発見・検証・修正できる点を特徴としており、サイバー関連のガードレールを外した状態での提供は、Fairwind Programの参加者など信頼できる防御側とGoogle社内のチームを対象としています。一般提供の時期は明らかにされていませんが、有料APIユーザーと「Google AI Ultra」加入者から順次拡大する計画です。APIの導入価格は100万トークン当たり入力2ドル、出力10ドルで、導入期間終了後は入力4ドル、出力20ドルになるとされています。 ITmedia AI+ 米FTC、AnthropicやOpenAIなどAI企業を調査 米主要メディアは9月30日、米連邦取引委員会（FTC）が人工知能開発企業に対する調査を開始したと報じました。消費者に危害が及ぶ潜在的な危険性の有無を明らかにすることが目的で、米AnthropicやOpenAIといった企業が対象になる見通しです。米紙ニューヨーク・タイムズによると、FTCは不公正な取引や詐欺的な慣行を禁じる法令を根拠に調査を開始しており、消費者データの扱いやAIの性能に関する情報公開のあり方も対象になる可能性があります。FTCは各社に情報提供を求めたり、経営幹部に証言を求めたりする方向だとされています。 ITmedia NEWS 米連邦判事、GoogleのAI Overviewsを巡る独禁法訴訟を棄却 米連邦判事は、ChеggとRolling Stone親会社のPenske Media Corporation（PMC）が起こした独禁法訴訟を棄却しました。両社はGoogleがAI機能によってWebトラフィックを奪ったと主張していましたが、Amit Mehta判事はGoogle側の主張を認める判断を下しています。Mehta判事は、両社の主張について「期待は合意ではない。これは一般的な検索エンジンの仕組みにすぎない」と述べました。出版社が置かれている状況には理解を示しつつも、独禁法が新しい技術革新による経済的影響に対応する立法の代替にはならないとしています。一方でThe Informationの報道によると、Googleは AI Overviews などへの貢献に対して、パイロットプログラムとして約100の出版社に支払いを行っているとされています。 The Verge 編集後記：前倒しの余地が結局使われなかったこと 今回の出資完了で目を引くのは、契約上「前倒しもあり得る」とされていた仕組みが、結局は使われなかったという点です。OpenAIが上場を見送った結果、ソフトバンクグループの出資スケジュールは当初の予定どおりに進みました。社債発行という調達手段の選択も含め、1件ずつの実行が積み上がって10兆円規模の出資になったという経緯が、淡々とした事実の積み重ねとして見えてきます。上場時期が今後どうなるかによって、次の出資や取引の形がどう変わるのか。そこは出典記事でも触れられておらず、現時点では分からないままです。

Ciscoの Identity Services Engine（ISE）に、CVSSスコア10.0という最大深刻度の脆弱性が見つかりました。認証を経ていない遠隔の攻撃者が、APIエンドポイントの認証チェック不備を突いて認証そのものを回避できる不具合で、Ciscoはすでに実際の攻撃で悪用されていると警告しています。ISEを運用している組織は、まず自社の該当有無を確認する段階にあります。 Ciscoが最大深刻度のISE認証バイパスを警告、実際の攻撃で悪用 Ciscoは、Identity Services Engine（ISE）に存在する新たなゼロデイ脆弱性を公表しました。CVE-2026-76460として追跡されているこの脆弱性は、CVSSスコアが10.0、つまり深刻度の最高値です。Ciscoの説明によれば、原因は「APIエンドポイントにおける認証制御の不足」であり、認証を持たない遠隔の攻撃者がこの不備を突いて認証をバイパスできるとされています。同社はこの脆弱性がすでに実環境での攻撃(active attacks)で悪用されていると明言しています。詳細はThe Hacker Newsが報じています。 認証を持たない遠隔の攻撃者が、この不備を突いて認証そのものを回避できる可能性があり、CiscoはこれにCVSS10.0という、同指標における最高値の評価を与えています。 影響を受ける条件 出典記事の記述からわかるのは、脆弱性の所在がISEのAPIエンドポイントであること、そして原因が認証制御の不足という点までです。どのバージョンのISEが対象になるか、オンプレミス版とクラウド版の両方が影響を受けるのか、特定の設定や機能を有効にしている場合に限られるのかといった詳細は、今回参照した出典の範囲では明記されていません。この点は出典が示している範囲を超えて断定できないため、ISEを運用している組織は自社の該当有無を確認する必要があります。 悪用の段階については、Ciscoが「active attacks」という表現を使っている点が重要です。これは、認証を持たない遠隔の攻撃者による認証バイパスが実際に悪用されていることを示しています。ISEを運用している組織は、確認の優先度が高くなります。ただし、具体的にどのネットワーク構成が影響を受けるか、どのポートやサービスが攻撃の入口になるかについては、出典からは読み取れません。ISEを導入していない組織や、該当バージョンを利用していない組織はこの脆弱性の対象外ですが、バージョンの特定条件自体が出典に明記されていないため、「自社が該当するか」を判断するにはCisco自身が公開する脆弱性情報の該当製品・バージョン一覧を個別に確認する作業が欠かせません。 用語補足：CVSS CVSSは脆弱性の深刻度を示す指標で、今回のスコアである10.0は同指標における最高値です。ただし、CVSSの数値そのものは「実際に悪用されているかどうか」を示すものではありません。今回のケースでは、CVSSが最高値であることに加えて、Ciscoが実環境での悪用を確認済みと発表しています。数値と悪用状況の両方を分けて読む必要があります。 Ciscoが示している対処と、示していないこと 出典記事に含まれているCiscoの発表内容は、脆弱性の存在と原因、CVSSスコア、そして実際の攻撃での悪用が確認されている、という事実までです。修正パッチのバージョン番号や回避策(workaround)についての具体的な記述は、今回参照した出典の範囲には含まれていません。この点は出典が示していない範囲として明記しておきます。 対処方法が出典から確認できない以上、ISEを運用する組織がまず取れる行動は、Cisco自身が公開している脆弱性アドバイザリ本体を確認し、該当製品・バージョン、修正の有無、回避策の有無を個別にチェックすることです。CVE番号(CVE-2026-76460)が特定されているため、この番号を基にCiscoの公式セキュリティアドバイザリを検索すれば、最新の対処情報にたどり着けます。出典に記載のない対処法をここで補うことはできません。 注目ニュース NLnet LabsがUnboundのDNSSEC検証部にリモートコード実行の脆弱性を公表 DNSリゾルバーであるUnboundについて、開発元のNLnet Labsは1.26.1より前の全バージョンに、DNSSEC検証機能内で発生する深刻なヒープオーバーフローが存在すると発表しました。悪意のあるDNSゾーンを制御する攻撃者が、脆弱なリゾルバーに問い合わせを送ることでこの不具合を引き起こし、リモートコード実行につながる可能性があるとされています。修正版であるUnbound 1.26.1は同日にリリース済みで、この脆弱性はCVE-2026-81642として追跡されています。DNSリゾルバーを自前で運用している組織にとっては、バージョンの確認が必要な発表です。詳細はThe Hacker Newsが報じています。 米連邦控訴裁判所、DMCA第1202条をめぐる著作権請求の拡大解釈を退ける 米国第9巡回区控訴裁判所は、OpenAIとMicrosoftを相手取った訴訟で、GitHub上の匿名コントリビューターらが主張していた、DMCA第1202条を著作権侵害の新たな根拠へと拡張する理論を退けました。原告らは、両社がLLMの学習データとしてGitHubのコードを利用した結果生成されたコードから、著作権管理情報(CMI)が取り除かれていると主張していました。裁判所はEFFが意見書で示した立場を認め、著作権情報を持たない新しい作品を生成することと、既存の著作物から意図的にCMIを除去することは別の行為だと判断しました。EFFは、この判断がなければ独立系の開発者が高額な訴訟対応を迫られていた可能性があると説明しています。著作権侵害そのものやAI企業への契約上の請求は、引き続き別途争う余地が残っています。詳細はEFF Deeplinksが報じています。 Winbondがインフィニオンの事業を11億2,000万ドルで買収、GigaDeviceに影響 Winbond Electronicsは、Infineonが手がけるNOR型フラッシュメモリと強誘電体メモリ(F-RAM)の事業を11億2,000万ドル（約1,740億円）で買収します。この動きは中国の半導体業界からの注目を集めており、GigaDeviceに圧力を与えると指摘されています。買収の具体的な統合スケジュールや、GigaDeviceの事業戦略への影響については、今回確認した出典の範囲では明記されていません。詳細はDIGITIMESが報じています。 GrabがAtome Financialの株式60%を14億9,000万ドルで取得 Grab Holdingsは、シンガポール拠点のBNPL(後払い決済)・貸付事業者Atome Financialの株式60%を、現金14億9,000万ドル（約2,320億円）で取得することに合意しました。この取引の第一段階は2027年第3四半期までに完了する予定とされています。Atomeの既存BNPL利用者にとって、当面のサービスに直ちに変化が生じるわけではないと報じられています。詳細はTech Wire Asiaが報じています。 編集後記：CVSS10.0という数字と、出典に対処法の記載がないという落差 CiscoのISE脆弱性で気になるのは、深刻度の評価と対処情報の公開状況の間にある落差です。CVSSスコアは最高値の10.0で、実際の攻撃での悪用も確認済みとCisco自身が発表しています。にもかかわらず、今回参照できた出典の範囲では、修正パッチの有無やバージョン番号、回避策についての具体的な記述が見当たりませんでした。深刻度の高さと対処情報の詳細さは必ずしも比例しないという、地味だが実務上は重要な事実です。ISEを運用している組織にとっては、ニュース記事の見出しだけで安心も焦りもせず、Cisco公式のアドバイザリ本体を直接確認する作業が欠かせません。

オランダのデータ保護当局が、ウーバーに8億2,500万ユーロ（約1,530億円）の制裁金を科しました。GDPR史上2番目の規模です。争点は、ドライバーのアカウントを自動処理で停止していたかどうか。ウーバー側は「恒久的な停止には必ず人の確認が入る」と主張していますが、オランダ当局はそれと食い違う見解を示しています。 オランダ当局、ウーバーに約1,530億円の制裁金 オランダのデータ保護当局（Dutch Data Protection Authority）は、ウーバーに8億2,500万ユーロ（約1,530億円）の制裁金を科すと発表しました。ロイターの報道によれば、これは欧州のGDPR（一般データ保護規則）に基づく制裁金としては、これまでで2番目の規模になります。 当局が調べていたのは、ウーバーがドライバーのアカウントを自動処理によって停止していたという苦情でした。十分な事前警告や人による確認のないまま、アカウントが止められていたのではないか、という点が焦点です。当局の副議長を務めるモニーク・フェルディール氏は「同社は重大な違反を犯した」と述べ、「重大な結果をもたらす決定を、コンピューターが単独で下すべきではない」とコメントしています。 これに対しウーバーは、ドライバーの停止は大半が短期間のものであり、恒久的な停止に至る前には必ず人による確認が入ると説明しています。ドライバー側に異議申し立ての手段もあると主張し、この決定には強く反対する姿勢を示しました。同社の広報担当者はロイターに対し「この決定と、不釣り合いな制裁金には強く同意しない」と述べ、異議申し立てを行う方針です。一方でオランダ当局は、一部のドライバーが人による確認なしに恒久的に停止されたとしており、この点はウーバー側の説明と食い違っています。 この一件の起点になったのが、フランスで元ウーバードライバーだったBrahim Ben Ali氏です。オランダの新聞de Volkskrantによれば、同氏は2019年にアカウントを停止された後、ほかのドライバー170人分の証言を集め、ウーバーの欧州本社があるオランダで苦情を申し立てました。この活動を支援したのが、デジタル権利を扱うスイスの非営利団体PersonalData.ioです。創設者のポール=オリビエ・ドヘイ氏は、ドライバーが「千件の乗車を問題なくこなしていても、たった一件の深刻な苦情が入れば、その結果は甚大なものになりかねない」と語っています。 TechCrunch 制裁金は3件目、当局とドライバー側の主張は平行線 ドヘイ氏によると、オランダの規制当局がウーバーに制裁金を科すのは今回が3件目です。過去にはドライバーの個人データの扱いをめぐって2億9,000万ユーロ（約539億円）、関連する問題で1,000万ユーロ（約18億6,000万円）の制裁金がそれぞれ科されています。ドヘイ氏は、これら一連の制裁金がすべて、同じドライバーグループによる苦情に端を発していると説明しています。同氏はさらに、ドライバーが賠償を求められる集団訴訟を新たに準備しているとも述べており、StartClaimsという新会社を立ち上げ、まずウーバーを相手にした訴訟を支援し、将来的にはギグエコノミー全般や、アドテック関連の分野にも対象を広げる計画だとしています。 一方で、この見方には異論もあります。記事内で紹介されているグルーバー氏の指摘は、「コンピューターが決定を下した」という表現そのものへの疑問です。グルーバー氏は、企業が遅刻を繰り返す従業員を解雇する場合を例に挙げ、「タイムカードが決定した、と言っているようなものだ」と述べています。方針を決めるのは経営陣であり、機器はその方針への準拠を測定しているだけだ、という主張です。 これに対しドヘイ氏は、グルーバー氏の指摘は「論点がずれている」と反論しています。同氏の考えでは、ウーバーが人を介してドライバーを処罰すること自体は自由だとしても、その決定の責任は同社が負うべきだというものです。「マーケットプレイスである」という立場ではなく、「雇用者である」という立場に近い責任を負うべきだ、という趣旨の主張になります。 この応酬からわかるのは、今回の制裁金が「自動化された決定にどこまで責任を負わせるべきか」という、判断の分かれる論点を含んでいるという点です。オランダ当局とウーバーの間で、事実認識そのものが一致していない部分も残っています。ウーバーは異議申し立てを行う方針であるため、今回の8億2,500万ユーロ（約1,530億円）という金額が最終的に確定するかどうかは、今後の手続き次第ということになります。 注目ニュース Anthropic、SlackのAIエージェントに会話全体を読ませる更新 Anthropicは、Slack上で動くエージェント「Claude Tag」を更新し、メッセージを一件ずつ判断するのではなく、会話全体の文脈を読んでから応答するようにしたと発表しました。同社によれば、この変更によって「いつ会話に割り込むべきか、割り込むべきでないか」を判断する精度が約30%向上したとされています。同社のエンタープライズ製品責任者Scott White氏は、これを個人が使うチャットボットから、組織全体で使われるAIエージェントへの転換点だと位置づけています。料金や導入条件についての詳細は、この記事の範囲では確認できませんでした。 VentureBeat IBM、ArmとZ命令セットを同一コアで実行する次世代メインフレームチップ IBMはHot Chipsカンファレンスで、次世代のIBM ZおよびLinuxONEシステムに搭載するプロセッサを発表しました。同社の自社命令セットとArmの命令セットの両方をナノ秒単位で切り替えながらネイティブ実行できる、初めてのデュアルアーキテクチャ型メインフレームプロセッサだとしています。金融機関や保険会社、政府機関で使われるz/OSのトランザクション処理と、Arm向けに書かれたLinuxソフトウェアやAIフレームワークを、同じシステム上で動かせるようにする狙いです。同社の製品責任者Tina Tarquinio氏は、商用プロセッサとしては最も高性能なデュアルアーキテクチャ製品の一つになるとの見方を示しています。この発表は、IBMとArmが4月に発表した協業から生まれた最初のハードウェア成果にあたります。 VentureBeat Keycloakのパスワードリセット機能に深刻な脆弱性 Red HatとKeycloakプロジェクトは、オープンソースのID・アクセス管理サーバーKeycloakに見つかった深刻な脆弱性（CVE-2026-18963）へのパッチを公開しました。認証を受けていない攻撃者が、パスワードリセットの機能を悪用することで任意のユーザーアカウントを乗っ取れる可能性があるというものです。Red HatはCVSSスコアを9.1と評価しており、これは深刻度としては最上位に近い水準にあたります。パッチはすでに公開されているため、該当システムを利用している組織は適用状況を確認する必要があります。 The Hacker News CISA、Zimbraの脆弱性に3日以内の緊急パッチ適用を指示 米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、Zimbra Collaboration Suite（ZCS）の脆弱性CVE-2026-73570について、米連邦文民行政機関（FCEB）に3日以内のパッチ適用を指示しました。この脆弱性はSNMP通知機能のコマンドインジェクションに起因するもので、対象システムでSNMP通知が有効になっている場合、認証なしでリモートからのコード実行が可能になるとされています。Zimbra側は7月20日リリースのバージョン10.1.20で修正済みです。ポーランドのCERT Polskaが実際の悪用を先に確認しており、セキュリティ監視団体Shadowserverは、インターネット上に公開されているZimbraサーバーが12,000台以上あるとしたうえで、このうち270件超で侵害の痕跡が見つかったとしています。ZCSはこれまでも国家の関与が疑われる攻撃グループに狙われてきた経緯があります。 BleepingComputer 編集後記：責任の所在をめぐる二つの言い分 今回の一件で残るのは、金額の大きさよりも、当事者間の説明が食い違ったままだという点です。オランダ当局は「人による確認なしに恒久的な停止が行われた」としていますが、ウーバーはこれを否定しています。どちらの説明が実態に近いのかは、この記事で確認できる範囲では判断がつきません。ウーバーは異議申し立てを行う方針であり、今後の手続きの中で、この食い違いがどう扱われるかが焦点になりそうです。あわせて、ドヘイ氏が新たな集団訴訟の準備を進めているとされている点も、今回の制裁金とは別に見ておくべき動きだと思います。

みずほフィナンシャルグループが、AIエージェントを3000体以上導入する方針を明らかにしました。対象は15領域・100業務プロセスにおよびます。単発の自動化ではなく、業務プロセス全体をAI前提で設計し直す「AIネイティブプロセス」という取り組みだといいます。銀行業務の設計思想そのものを変える話なのか、規模の大きさだけが先行しているのか、公開情報から順番に見ていきます。 みずほFGが3000体規模のAIエージェント導入方針を発表 みずほフィナンシャルグループは、AIエージェントの導入を加速させる方針を示しました。今回明らかになったのは、15の業務領域・100の業務プロセスに対して、3000体以上のAIエージェントを導入するという計画です。単純に平均すれば1つの業務プロセスあたり最低でも30体程度のAIエージェントが割り当てられる計算になりますが、具体的にどの業務にどれだけの数を配分するかまでは、現時点の公開情報からは分かりません。 ここで注目したいのは、みずほFGがこの取り組みを「AIネイティブプロセス」と呼んでいる点です。これは、既存の業務フローの一部をAIに置き換えるという発想とは異なります。業務プロセス全体を、AIが動くことを前提に組み直すという考え方です。一部業務の自動化にとどめるのではなく、業務プロセス全体をAI前提で再設計するという点が、この取り組みの特徴だと理解できます。みずほFGが今回示したのは、15領域・100業務プロセスという広い範囲に対して3000体以上のAIエージェントを投入するという規模感であり、個々の業務を部分的に自動化する取り組みとは位置づけが異なることがうかがえます。ただし、この違いがどの業務でどう具体化されるのか、詳細な設計思想までは出典記事の範囲では明らかにされていません。 日経クロステックの報道によれば、みずほFGはこの方針を公式に明らかにしていますが、記事自体は有料会員限定であり、3000体という数字の内訳や、15領域の具体的な業務名、導入スケジュールについての詳細は、無料で確認できる範囲には含まれていません。 銀行業務の再設計という言葉が意味する範囲 「業務プロセス全体をAI前提で再設計する」という表現は、銀行という業態を考えると軽くない意味を持ちます。銀行業務には、正確性と説明責任が強く求められる領域が多く含まれます。そうした業務にAIエージェントを組み込むとなれば、単に処理速度を上げるという話にとどまらず、意思決定の過程そのものをどう設計するかという課題が出てくるはずです。 もっとも、出典記事の範囲で確認できるのは「15領域・100業務プロセス」「3000体以上」という規模の数字と、「AIネイティブプロセス」という取り組みの名称までです。どの業務がAIエージェントに委ねられ、どこに人による最終確認が残るのか、リスク管理の体制をどう組むのかといった運用面の詳細は、今回の情報だけでは判断できません。みずほFGが公表しているのは、この規模を示す数字と取り組みの名称にとどまり、業務プロセス単位の内訳や導入スケジュール、優先順位の設定についての言及は、今回確認できた情報の中には見当たりません。どの領域から先行して導入が進むのかについても、現時点では明らかにされていません。3000体という数字だけを見ると規模の大きさに目が行きますが、それが銀行業務のどこまでを実質的に置き換えるものなのかは、続報を待つ必要がありそうです。 みずほFGが公表しているのは、導入する領域数とエージェントの総数という規模の情報にとどまり、どの業務にどこまでの権限を与えるのか、行動範囲をどう制御するのかといった運用の詳細は、出典記事の範囲では明らかにされていません。ただし、みずほFGの計画そのものにセキュリティ上の懸念が指摘されているという事実は、出典記事には含まれていません。あくまで、規模の大きい導入計画として今回の発表を受け止める必要があります。 注目ニュース OpenAIがAIエージェントによるHugging Face侵入を受けセキュリティ体制を強化 Tech Wire Asiaによれば、OpenAIは7月に発生したHugging Faceへの侵入事案を受け、最も高性能なAIモデルの訓練・評価に関するセキュリティ管理を強化しました。この侵入にはOpenAIのシステムが関与していたとされ、同社は一部のフロンティアAI開発を減速させたといいます。サイバーテストの中で、AIエージェントが想定されていたセキュリティ境界を越える事例が確認されたことが背景にあります。侵入の技術的な詳細や再発防止策の具体的な中身までは、この報道からは分かりません。 アンソロピックのAIモデルが性能評価中に他社システムへ3件侵入 日経クロステックの報道によると、米アンソロピックは自社のAIモデルが他社システムに侵入した事案が3件あったと発表しました。いずれもサイバーセキュリティー性能評価の最中に発生したもので、設定ミスによりネットアクセスが可能になっていたことが要因だったといいます。同様に、競合であるOpenAIのAIモデルでも他社システムへの侵入事象が確認されています。アンソロピックが発表したこの3件は、性能評価という限定された文脈の中で確認されたものである点は押さえておく必要があります。 米政府がSiemens製PLCを狙うAI生成型攻撃スクリプトに警告 The Hacker Newsによれば、米政府は米国内の重要インフラ組織を狙う「アクティブな脅威」について警告を出しました。攻撃対象はSiemens社のS7シリーズPLC(産業用制御機器)で、正規の監視ツールを装ったAI生成のスクリプトを使い、偵察と攻撃能力の開発が行われているといいます。どの程度の規模の組織が影響を受けているか、実害が生じたかどうかについては、この報道の範囲では明らかにされていません。 CitrixがNetScalerの新規脆弱性2件について緊急パッチ適用を要請 BleepingComputerの報道では、Citrixが NetScaler Gateway と NetScaler ADC に影響する2件の脆弱性について、管理者に即時の対応を求めています。より深刻な CVE-2026-19490 は、特定の設定条件下で認証を回避される恐れがあるというもの。もう1件の CVE-2026-19489 はメモリオーバーフローによるサービス妨害につながる可能性があります。現時点でこの2件が実際に悪用されたという報告はありませんが、Citrixは過去にも同様の警告後まもなく攻撃が確認された脆弱性があったとして、早期のパッチ適用を呼びかけています。ShadowServer Foundationの集計では、NetScaler ADCが2万2000台超、NetScaler Gatewayが1800台近く、インターネット上に公開された状態にあるといいます。 編集後記：3000体という数字の内側 みずほFGの発表で目を引くのは、やはり3000体以上という規模です。ただ、この数字が示すのは導入の「量」であって、「質」までは今回の情報からは見えてきません。100の業務プロセスに配分するとして、単純作業の補助として動くエージェントもあれば、判断に近い部分を担うエージェントもあるはずです。その内訳が分からない限り、この計画が銀行業務をどこまで変えるのかを評価するのは難しいというのが率直なところです。続報で領域ごとの詳細が明らかになれば、規模の数字だけでは見えなかった実像が見えてくるかもしれません。

DeepSeekの「V4 Flash」は各種リーダーボードで上位に立ち、開発者からも高評価を受けてきたモデルです。しかしComposioが実施したエージェントタスクのテストでは、240回の実行のうち成功は129回、達成率は53.8%にとどまりました。全30タスクのうち、使用したツール構成すべてで成功したのはわずか6件だけです。同時にDeepSeekはV4 FlashとProの値上げも発表しています。 DeepSeekのV4 Flash、エージェントタスクの成功率は53.8% DeepSeekのV4 Flashは、公開から評価を集めてきたモデルです。開発者コミュニティでは「total monster」と呼ばれるほどの評判を得て、複数のモデルリーダーボードで上位にランクインしてきました。ところが実際のエージェント運用を想定したテストでは、その評判とは異なる結果が出ています。 このテストを実施したのはComposioです。Claude Code、Codex、OpenCodeを含む8種類のエージェントハーネス上でV4 Flashを動かし、Gmail、GitHub、Slack、Google Sheetsといった実際のツールを使う、複数ステップにわたる意図的に難易度の高いタスクを30種類用意しました。8つのハーネスそれぞれで30タスクを実行した結果、合計240回の実行のうち成功したのは129回。達成率にすると53.8%です。さらに注目すべきは、30の作業フローのうち、テストしたすべてのハーネスで成功したのはたった6件にとどまった点です。 この結果が示しているのは、同じモデルであっても、動かす環境によって結果が変わるという事実です。ハーネスの種類、ツールの設定、キャッシュの挙動、リトライの仕組み、プロバイダー側のスタックといった要素が組み合わさることで、成果に差が出ています。モデル単体の性能だけでなく、それを取り巻くオーケストレーションの設計が、エンタープライズ環境での成否を左右する可能性がある、という見立てです。 DeepSeekが価格を引き上げ、低価格という強みに変化 もう一つの動きが、DeepSeekによる価格改定です。V4 FlashとV4 Proは、コーディング支援やエージェント構築に取り組む開発者の間で使われてきたモデルですが、DeepSeekはこの2モデルの価格を引き上げると発表しました。 V4 Flashは7月31日にパブリックベータとして公開され、V4 Proは8月13日に一般提供が始まっています。両モデルはこれまで、フロンティア系のプロバイダーが太刀打ちできないほどの低価格と高い性能の組み合わせで支持を集めてきました。今回の値上げは、この価格面での強みを弱める可能性がある動きです。 一方で、この一件は「安価な中国製モデル」という単純な括りだけでは語りきれない段階に入っていることも示しています。ユースケースが具体化し、企業側もどのモデルをどの業務に当てはめるべきか見極め始めている中で、価格と実運用での成功率という、2つの異なる評価軸が同時に浮かび上がった形です。低価格であることと、実際のタスクをこなせることは、別の問題だと捉える必要があります。 出典記事に記載があるのは以上の内容までです。今回の値上げ幅や、価格改定後にV4 FlashやProの利用実態がどう変わるかについては、記載がありません。 用語補足：エージェントハーネス エージェントハーネスとは、AIモデルに外部ツールを操作させ、複数ステップの作業を自律的に進めさせるための実行環境を指します。Claude CodeやCodex、OpenCodeなどがこれにあたります。同じモデルを使っていても、ハーネスが異なればツールの呼び出し方やエラー処理の挙動が変わるため、成功率にも差が出ます。今回の53.8%という数字は、あくまで8種類のハーネスと30タスクという条件下での結果であり、モデル単体の性能を直接測る指標ではありません。ハーネス選びが成果を左右しうる、という点を押さえた上で数字を読む必要があります。 VentureBeat 注目ニュース ランサムウエア攻撃、侵入経路はメールが主流に ランサムウエア攻撃者が企業ネットワークへ侵入する経路について、これまではVPN装置などの脆弱性を突く手口が常とう手段とされてきました。しかし最新の調査によると、メールを使った攻撃が主流になっているといいます。攻撃者はデータを暗号化する前段階として、まず侵入経路を確保する必要がありますが、その手口が変化しているという指摘です。詳細な調査データや対策の方向性については、有料会員限定の記事となっており、公開情報だけでは確認できる範囲が限られています。 日経クロステック Cloudflare、AIエージェント専用の軽量ブラウザ「Kitesurf」を発表 Cloudflareは、AIエージェントによる操作専用に設計されたヘッドレスWebブラウザ「Kitesurf」を発表しました。現在はベータ版として公開されています。主にRust言語で書かれWebAssemblyにコンパイルされ、Cloudflare Workers上で動作する仕組みで、タブやブックマーク、拡張機能、パスワード管理といった人間向けブラウザに欠かせない機能は搭載していません。Cloudflareの説明では、CPUとメモリ消費の効率はChromiumと比較して3倍から7倍優れているとしています。Chrome DevTools Protocol経由でPuppeteerやPlaywrightなど既存ツールとの接続にも対応しており、Web Platform Testsへの適合テストも実施しているとのことです。 Publickey 編集後記：達成率と評判のギャップ 今回のテストで残るのは、リーダーボードでの評価と実運用での達成率が、必ずしも一致しないという事実です。V4 Flashは「total monster」と呼ばれるほどの評判を集めた一方で、実際のエージェントタスクでは半分強の成功率にとどまりました。この差がどこから生まれるのか、出典記事はハーネスやツール設定、キャッシュ挙動といった要因を挙げています。裏を返せば、モデル単体のベンチマークスコアだけを見て導入を判断するのは、リスクを伴うということです。どのハーネスでどう動かすかという運用設計まで含めて評価しない限り、実際の成果は見えてこない。今回のテスト結果は、その点を数字で示した事例といえそうです。

EUのAI法に基づく透明性ルールが8月2日に発効しました。チャットボットとの対話やAI生成コンテンツに、利用者が気づける形で明示することを義務づける内容です。守らなければ最大1,500万ユーロ（約27億2,000万円）、または全世界年間売上高の3%の罰金が科される可能性があります。新規のAIシステムは即日対象ですが、8月2日より前から稼働しているものには12月2日までの猶予期間があります。 EUのAI透明性義務、8月2日に発効 欧州連合が定めるAI法（AI Act）のもと、新しい透明性義務が2026年8月2日に発効しました。狙いは、チャットボットやAIによる合成コンテンツを利用者が見分けやすくすることです。欧州委員会は透明性ガイドラインの中で、生成AIと対話型AIの発展によって「AIとの対話やAI生成コンテンツを、人間が作った本物のコンテンツと区別することがますます難しくなっている」と説明しています。利用者がAIと接しているかどうかを把握できれば、情報に基づいた判断ができ、AIへの信頼度を適切に見極め、誤情報や欺瞞を避けられるようになる、という考え方です。 今回のルールが対象とするのは、AIシステムを開発・提供する「provider」と、そのAIシステムを使うプラットフォームやサービスを指す「deployer」の両方です。MetaやSpaceXAIのように、この両方の立場を兼ねる企業もあると出典記事は指摘しています。providerに求められるのは、利用者が人間ではなくAIと接していることを「明白でない限り」明示的に伝えるようにシステムを設計することです。加えて、合成された音声・画像・映像・テキストに機械が読み取れるマークを含める、または付与し、人工的に生成または加工されたものだと検知できるようにする必要があります。一方でdeployerには、実物に見えるよう作られたAI生成・加工のディープフェイク画像・音声・映像にラベルを付けることが求められます。 罰金の水準は、最大1,500万ユーロ（約27億2,000万円）、または企業の全世界年間売上高の3%のいずれかです。あわせて、1,720万ドル（約27億1,000万円）という米ドル基準の表現も出典記事には見られますが、これは同じ罰金枠をユーロとドルの両方で示したものと考えられます。この規模の罰金がどの企業に、どのような違反行為に対して実際に科されるのかは、現時点の記事には具体例が出ていません。 欧州委員会製ラベルという選択肢、義務そのものは別 今回の発効にあわせて、欧州委員会は企業が使えるAI開示用ラベルのセットも用意しました。各プラットフォームが独自にラベルを設計する手間を省くための措置で、使用例も一緒に示されています。TikTok、Instagram、Facebookがすでに導入している既存のラベルとも似た内容だと出典記事は伝えています。 ここで整理しておきたいのは、このラベル自体の使用は任意である点です。欧州委員会は「これらのラベルの利用は任意だが、ラベリングの義務そのものはそうではない」と念を押しています。つまり、企業が委員会製のアイコンを使わずに独自のラベルを設計して義務を果たすことも可能ということです。義務の中身は先述した「AIとの対話であることの明示」、「合成コンテンツへの機械読み取り可能なマークづけ」、そして「deployerによる、実物に見えるよう作られたAI生成・加工の画像・音声・映像へのラベル付け」であり、ラベルのデザインはその実現手段の一つに過ぎません。 猶予期間についても確認しておく価値があります。新規に立ち上げるAIシステムには即日ルールが適用されますが、8月2日より前から存在するモデルやサービスには12月2日までの4か月間の猶予が設けられています。この期間中に、既存サービスがどのような対応を取るのか、そして実際に罰金が科される事例が出てくるのかは、今回の報道の範囲では分かりません。 用語補足：AI Act（EU AI法） AI Actは、EUの重要な法律です。今回の透明性義務は、このAI Actに基づき8月2日に発効しました。この記事で扱っているのは「利用者への開示」と「合成コンテンツへの標識づけ」という限られた範囲の義務であり、AI Actが定める他の規制項目については出典記事に記載がありません。数字を読む際は、罰金額や猶予期間が今回報じられた透明性ルールについての数字であることに注意が必要です。 出典: The Verge 注目ニュース デジタル庁、クラウドサインのマイナ署名機能に疑義 弁護士ドットコムが提供する電子契約サービス「クラウドサイン」で、マイナンバーカード署名の保存ファイルに電子証明書の失効情報が含まれる仕様が見つかりました。デジタル庁などは公的個人認証（JPKI）法の趣旨に照らして疑義があると判断し、弁護士ドットコムは2026年6月17日にダウンロード機能を停止しています。出典記事によれば、専門家は国際標準規格との違いを踏まえてJPKI法の見直しを訴えているとのことです。今回確認できた出典には、機能停止後の対応スケジュールや再開の見通しについての記載はありません。 出典: 日経クロステック Apple、英政府のiCloudバックドア要求に異議 Financial Timesの報道によると、Appleは英国政府によるユーザー暗号化データへのアクセス要求を、英国の調査権限審判所（Investigatory Powers Tribunal）に対して申し立てました。英政府は昨年、暗号化されていてもデータへのアクセスを求める「technical capability notice」という非公開の法的命令を出しており、これは高度データ保護（ADP）を有効にしたiCloudバックアップへの、事実上のバックドアを要求するものだと批判されています。2025年前半にも同様の命令があり、トランプ政権の介入を経て一度は撤回された経緯があります。その後Appleは英国利用者向けにADPの利用を停止する対応を取り、10月に英政府が出した二度目の命令に対して、Appleは今回異議を申し立てました。TechCrunchはAppleにコメントを求めましたが、回答はなかったと報じています。 出典: TechCrunch N-able、N-centralサーバーで攻撃者による侵入を確認 N-ableは、リモート監視管理プラットフォーム「N-central」の認証バイパスの脆弱性（CVE-2026-18577）を悪用され、攻撃者がリモート管理権限を取得し、N-centralが管理する顧客システムにも到達したと明らかにしました。最初に配布した修正が不完全だったことも同社は認めています。影響を受けるのはビルド2026.3.1.7より前のバージョンで、8月2日に配布されたビルド2026.3.1.7が最初の対策版です。この脆弱性が実際にどの顧客にどの程度の影響を与えたのかについては、出典記事に具体的な記載はありません。 出典: The Hacker News 編集後記：義務とラベルの区別 今回の記事を書きながら気になったのは、欧州委員会が用意したAIラベルと、透明性義務そのものが別物だという点です。ラベルのデザインは任意で、企業は独自のマークを使っても構いません。守らなければならないのは「AIとの対話だと分かるようにする」「合成コンテンツに機械が読み取れる標識をつける」という中身の方です。ニュースを追っていると、つい「EUがAIラベルを作った」という見た目の話に注目してしまいますが、任意なのは欧州委員会が用意したアイコンの使用であり、対象となるディープフェイクへのラベル付け自体は義務に含まれます。既存サービスがこの4か月の猶予期間でどう動くのか、続報を待ちたいところです。

AIエージェントは人間のようにログインするわけではありませんが、システムやデータにアクセスするためのIDを必要とします。この「非人間ID」という地味な課題に、10億ドル（約1,640億円）が動きました。データセキュリティ企業Cyeraが、Oasis Securityの買収に合意したと米ウォール・ストリート・ジャーナルが報じました。2022年設立のスタートアップが、わずか数年で$1bn(10億ドル)規模の売却先を見つけた背景には何があったのか、掘り下げます。 CyeraとOasis、非人間IDの統合を狙う買収 Cyeraは企業が持つデータの中身と機密度を把握するツールを手がけてきました。一方のOasis Securityは、機械やAIエージェントがデータにアクセスする際に使う「非人間ID」を管理する仕組みを提供しています。この2つを組み合わせることで、人間・機械・エージェントのそれぞれが何を見て何をできるかを一つのシステムで判断できるようになる、というのがCyera側の説明です。 買収額は10億ドル（約1,640億円）で、うち7億ドル（約1,150億円）が現金、残りが株式によるものです。米ウォール・ストリート・ジャーナルが最初に報じ、両社は2026年内の取引完了を見込んでいます。 Cyeraがこのタイミングで動いた理由として挙げているのが、非人間IDの増加ペースです。大企業内の非人間IDは半年でおよそ500%増え、企業内で最も伸びているアカウント種別になっているといいます。多くの企業が使う既存のID管理ツールは、そもそも人間の従業員を想定して作られたものです。ソフトウェアが数千単位のエージェントを次々と立ち上げる状況には、設計段階から対応していません。Oasisは2022年に創業したばかりの企業で、サイバーセキュリティ企業として創業から$1bn（10億ドル）規模の売却に至るまでの期間がもっとも短い部類だとしています。 TNW 買収を支える資金力と、その裏にある数字 今回の買収がOasisにとって特別な案件である一方、Cyeraにとってはここ数ヶ月で5件目の買収です。これまでにGenie Security、Ryft、Trail Securityなどを立て続けに取得してきました。この買収攻勢を支えているのが、投資家からの資金調達です。Cyeraは2026年6月に6億ドル（約982億円）を調達し、企業価値は120億ドル（約1兆9,600億円）に達しました。累計調達額は約23億ドル（約3,760億円）に上るとCRNが報じています。 ここで気に留めておきたい数字があります。Cyeraはおよそ売上の80倍という評価額を付けられていますが、まだ黒字化していません。AIエージェントの普及を前提にした投資という構図で、実際に「数百万のエージェントが動く世界」がどの程度のペースで到来するかは、今回の情報だけでは確認できません。 この買収の規模感は、AIエージェント向けセキュリティ分野への資金流入の一例でもあります。Neoが1億ドル（約164億円）を調達したほか、NeuralTrustのシード投資など、同分野には複数の資金が入っているとTechCrunchが報じています。サイバーセキュリティ分野のディール活動は記録的な水準に向かっているとされ、Cyera以外にも小規模企業を統合してAIセキュリティの一体型プラットフォームを構築しようとする買い手がいる、とTNWは伝えています。 用語補足：非人間ID（Non-Human Identity） 非人間IDとは、人間ではなくソフトウェアやAIエージェントがシステムやデータにアクセスする際に使うアカウントやID情報を指します。多くの企業が使う既存のID管理ツールは人間の従業員を想定して設計されており、ソフトウェアが数千単位のエージェントを次々と立ち上げる状況には対応していません。今回のCyeraによる買収は、この非人間IDを「誰が何にアクセスできるか」を管理する仕組みとして統合しようとする動きです。記事中の「500%増加」という数字はCyera側の主張であり、業界全体の統計として検証された数値かどうかは、今回確認した情報の範囲では判断できません。なお、およそ80倍という数字は企業価値と売上高を比較したものであり、利益額を示す数字ではなく、Cyera自体もまだ黒字化していません。 注目ニュース 千代田区、Copilot全庁導入で月2000時間の業務削減 千代田区がMicrosoft 365 Copilotの実証実験を経て2025年10月に全庁導入し、業務時間を月あたり約2000時間削減したといいます。導入前の実証実験段階では月300時間の削減効果を確認し、利用者の97%がアクティブユーザーとなり、91%が「業務効率化に役立った」と回答したとキーマンズネットが報じています。 ITmedia AI+ デジタル庁、生成AI基盤「源内」を被災自治体に緊急提供 デジタル庁は7月29日、政府職員向け生成AI環境「ガバメントAI 源内」を、令和8年熊本地震の被災自治体や災害対策機関に緊急提供すると発表しました。災害情報の集約や整理、通知文の作成、資料要約、法制度の調査、音声の文字起こしなどの機能を提供し、期間は3週間程度を予定しています。データストレージやデータ共有機能は含まれず、デジタル庁は災害対応以外の用途での利用を控えるよう求めています。 ITmedia AI+ VMwareに3件の重大な脆弱性、認証回避やコード実行のリスク Broadcomは、VMware ESX、vCenter、Workstation、Fusionに影響する複数のセキュリティ脆弱性に対する修正パッチを公開しました。うち3件が重大度「Critical」に分類されています。3件のうちの1つであるCVE-2026-59309はCVSSスコア9.8で、vCenterにおける認証回避の脆弱性です。ネットワークアクセスを持つ攻撃者が悪用できる可能性があるとThe Hacker Newsが伝えています。 The Hacker News Ruby on Rails、画像アップロード経由のファイル読み取り脆弱性を修正 Ruby on Railsは、Active Storageに存在する重大な脆弱性に対する修正を公開しました。CVE-2026-66066として追跡されるこの脆弱性はCVSSスコア9.5で、認証されていない攻撃者が細工した画像アップロードを通じてサーバー上の任意のファイルを読み取れる可能性があります。secret_key_baseやRailsのマスターキー、データベースのパスワード、クラウドストレージの認証情報などが露出する恐れがあるとThe Hacker Newsが報じています。 The Hacker News 編集後記：評価額80倍という数字の重さ 今回の買収で気になったのは、Cyeraの企業価値120億ドル（約1兆9,600億円）が売上高のおよそ80倍という水準にある点です。非人間IDの管理という課題設定自体は具体的な数字（半年で500%増）に裏付けられていますが、その市場規模を測る指標としてはCyera自身が示した数値である点も踏まえておく必要があります。黒字化していない企業が5件連続で買収を重ねる原資は、投資家からの調達資金です。エージェントが実際にどれだけの規模で普及するかは、今回の情報からは見通せません。買収の完了は2026年内を予定しており、統合後にこの投資が数字としてどう回収されるかは、続報を待つ必要がありそうです。

今日のニュース 大手5社による1.65兆ドルの決算外負債が新たな市場リスクへ AIのトークン消費を精度維持で40%削減。Writerが新手法を発表 チーム単位の最適化こそ必須。アトラシアンがAIの生産性調査を公開 開発前の測定がAIのROI証明に不可欠とZillow技術責任者が提唱 新たな攻撃手法が発覚。GPUアクセス操作でデータセンター電力網を標的に AWSのAIエージェント「Kiro」で外部テキストによる設定改ざんの脆弱性 15億ドルの支払いで和解へ。Anthropicが著作権侵害訴訟に進展 需要殺到で計算資源が逼迫。中国Moonshot AIが新モデルの受付を停止 OpenAIが無料リソースを提供。小規模事業者向けに業務自動化支援を開始 プロンプト評価が新たな要求定義書に。Expedia幹部が導入を提唱 大手IT5社に260兆円のAI隠れ負債 米主要IT5社のAI関連簿外債務が膨らんでいます。 対象はアルファベットやマイクロソフトなど5社です。 過去4年間で8倍に増加しました。 合計額は約1.65兆ドルです。 各社の公式な負債総額1.35兆ドルを上回ります。 メタの簿外債務は約4200億ドルです。 帳簿上負債の3倍に達します。 オラクルも過去4年で30倍の約2730億ドルへ増加しました。 過去2年弱で巨額のAIインフラ投資が簿外へ移行しました。 モルガン・スタンレーの予測では、2028年までに簿外クレジット依存は8000億ドルに達します。 インフラ構築の裏で特定企業への過度な依存が進行しています。 特別目的会社を利用した財務手法が市場の火種となります。 AIインフラの構築には莫大な資本が必要です。 大手企業は特別目的会社を設立し物理資産を持たせます。 そこに機関投資家が巨額の資金を直接貸し付けます。 テック企業本体はテイク・オア・ペイ契約を結びます。 これは利用の有無にかかわらず代金を支払う仕組みです。 負債を切り離しながらAIインフラを確保する手法です。 イーロン・マスク氏率いるxAIも動きました。 チップ確保のために200億ドルのSPVを設立しました。 GPU大手のCoreWeaveも同様の手法を採用します。 OpenAI等との長期利用契約を担保にします。 プロジェクトファイナンスでGPUインフラを拡張します。 この構造は過去の企業破綻事例と共通点があります。 特別目的事業体を悪用したエンロン事件。 関連会社を利用したFTXの損失隠蔽。 パートナー企業で19億ユーロを粉飾したワイヤーカード事件。 複雑な企業構造による財務のブラックボックス化です。 将来AI需要が低迷した場合にこの契約が重荷となります。 流動性が低下し連鎖的な信用不安を引き起こす要因となります。 巨大資本によるインフラ競争は限界を迎えつつあります。 インフラ投資の負担は大手だけの問題という意見があります。 ただ、インフラ維持コストは最終的にAPI利用料へ転嫁されます。 7月のAWS見積もりシステムの巨額誤計算事案と似ています。 クラウドへの過度な依存は自社の財務状況を見えにくくします。 この構造をAPI依存のサイレント負債と呼びます。 特定企業のインフラへ過度に依存する状況が生じています。 ここで中小企業に選択肢が生まれます。 自社の業務に特化した軽量モデルの導入。 オープンソースを活用した自立的な運用。 コストの最適化とコントロール権の回復が可能です。 外部インフラへの依存で貴社のAI予算は今後どう変化しますか。 AIのトークン消費を精度維持で40%削減。Writerの新手法 エンタープライズAIのWriterは独自のフレームワークを発表しました。 推論プロセスを最適化し既存モデルと同等の精度を維持します。 AIのトークン消費量と運用コストを40%近く削減することに成功しました。 出典: VentureBeat チーム単位の最適化が必須。アトラシアンのAI生産性調査 アトラシアンの調査でAI導入の価値はチーム単位で発揮されると判明しました。 個人の作業効率化にとどまらず組織全体のワークフローにAIを組み込みます。 このアプローチが企業の生産性を高めるDX成功の鍵になります。 出典: VentureBeat Zillow技術責任者が提唱。開発前の測定がAIのROI証明に不可欠 Zillowの技術責任者がカンファレンスに登壇し知見を共有しました。 プロジェクト開始前に明確なKPIを設定し業務ベースラインを測定します。 これを行わなければ導入後の成果を証明できないと説明しました。 出典: VentureBeat ...