🔥 Top Stories
中国Z.ai(旧Zhipu AI)は8月26日に軽量版「GLM-5.3-Flash」(MoE、総パラメータ320B)を先行公開していたが、その際は上位に位置するフラッグシップ「GLM-5.3」本体はAPI提供のみで重み非公開の状態だった。今回、このフラッグシップ本体の重みがオープンウェイトとしてHugging Faceに公開され、HN上で大きな反響を呼んだ。GLM-5.3はGLM-5.2と同じベースアーキテクチャを維持しつつ、事後学習(post-training)を強化した版という位置づけになる。パラメータ数は753億で、BF16・F8_E4M3・F32の複数テンソル形式で重みを配布し、vLLM・SGLang・Transformersなど主要な推論フレームワークで即座にデプロイできる。技術的な焦点はコーディングタスクと長時間稼働するエージェント的タスクへの最適化にあり、Z.ai独自のCode Benchでは前バージョンGLM-5.2から50%のスコア改善を確認したという。ベンチマーク面では、ソフトウェアエンジニアリング能力を測るTerminal Bench 3.0で28.3、DeepSWEで66.9を記録し、公開されているオープンソースモデルの中では上位に位置する。特に脆弱性発見を評価するCyberGymでは84.5というスコアを叩き出し、攻撃的セキュリティ用途での実用性を示した。推論コストを調整できるreasoning_effortパラメータ(low/high/max)を備え、用途に応じて計算量とレイテンシのトレードオフを選べる設計も特徴だ。オープンウェイトの巨大モデルが商用モデルに匹敵する脆弱性発見能力を持つことは、防御側・攻撃側双方の実務に影響を与える可能性がある。
🧠 CyberGymで商用トップモデルに迫るスコアを出したという点は、脆弱性調査の自動化がオープンウェイトモデルでも手が届く水準に来たことを示す。ただし、この種のベンチマークスコアは実運用でのfalse positive率や、実際の攻撃チェーン構築能力までは測っていない点に留保が要る。753億パラメータという規模は単一の高性能GPUでは扱いにくく、量子化や分散推論の工夫なしには「誰でも自宅で使える」水準ではないことも実務上は無視できない。
- パラメータ数753億、BF16/F8_E4M3/F32で重みを配布、vLLM・SGLang・Transformers等に対応
- Terminal Bench 3.0で28.3、DeepSWEで66.9、CyberGym(脆弱性発見)で84.5を記録
- Z.ai独自Code BenchでGLM-5.2比50%改善、reasoning_effort(low/high/max)で推論コストを調整可能
💡 セキュリティ研究や自動コードレビューにオープンウェイトモデルを組み込みたい開発者にとって、商用APIに依存せず自社インフラでホストできる選択肢が広がる。
Hugging Face
⏱ 4 min read
▲ 611
2026-08-28
HTML拡張ライブラリhtmxのメジャーアップデート版4.0.0が公開された。最大の破壊的変更は属性の継承方式で、これまで暗黙的に子要素へ継承されていた属性が、`:inherited`サフィックスを明示的に付けない限り継承されなくなった。イベント名も`htmx:beforeRequest`のような形式から`htmx:before:request`という`phase:action`形式に統一され、XHR関連・バリデーション関連の一部イベントは廃止された。履歴管理ではlocalStorageによるキャッシュを廃止し、戻る操作時にページを再取得する方式に変更したことでサードパーティ製JSライブラリとの互換性が向上する。内部実装もXMLHttpRequestからfetch() APIへ移行した。新機能としてはDOM差分更新のmorphingがコアに統合され、複数要素更新を分かりやすく書ける``タグが追加された。
- 属性継承は`:inherited`サフィックス明示が必須に、イベント名は`htmx:phase:action`形式へ統一
- 履歴管理からlocalStorageキャッシュを廃止し戻る操作時に再取得する方式へ変更、内部実装はfetch()へ移行
htmx
⏱ 3 min read
▲ 552
2026-08-28
Next.js 16.3が正式リリースされた。開発時のビルドツールTurbopackはファイルシステムキャッシュの最適化により、メモリ使用量を最大90%削減し、再ビルド速度も最大5.5倍に向上した。サーバーサイドレンダリングでは、レンダリング処理をWeb Streams APIからNode.jsネイティブのStream APIへ切り替えたことで、高負荷時のパフォーマンスが最大22%改善している。ビルド時の型チェックにはGo実装のTypeScript 7を統合し高速化した。新機能「Instant Navigations」は、SSRアプリケーションにSPA的な即応性をもたらす仕組みで、ローディングUIを即座に表示しつつ残りのコンテンツをストリーミングし、直前にレンダリング済みのコンポーネントをキャッシュして再利用する。遅いレンダリング箇所を特定する開発ツール「Instant Insights」も追加された。
- Turbopackのファイルシステムキャッシュ最適化でメモリ使用量最大90%削減、再ビルド速度最大5.5倍
- SSRはWeb Streams APIからNode.jsネイティブStream APIへの切替で高負荷時最大22%高速化
- TypeScript 7(Go実装)統合でビルド時型チェックを高速化、Instant NavigationsでSSRにSPA的即応性を追加
Publickey
⏱ 4 min read
2026-08-25
⚡ Dev & Engineering
ownCloudのWebDAV機能に存在する認証バイパス脆弱性(CVE-2023-49105、CVSS9.8)が悪用され、フィリピンの原子力研究機関と同国海軍向けの造船・海洋エンジニアリング企業が侵害された。この脆弱性は、署名鍵が未設定(デフォルト状態)の場合に被害者のユーザー名さえ分かれば事前署名URLの検証をすり抜けてファイルの読み書き・削除ができるというもの。セキュリティ企業Hunt.ioが8月13日に攻撃者の公開サーバーを発見し、攻撃ツールや転送ログ、窃取ファイルから侵入の全容が事後的に判明した。原子力機関からは約9GBの原子炉関連記録・職員データ・暗号化認証情報ストアなどが、造船企業からはWordPress一式・データベースダンプ・メディアライブラリ(195MB)が盗まれていた。窃取ファイルは簡体字中国語のフォルダ名で財務・放射線安全・核物質勘定などに分類されており、中国語話者の関与が示唆されている。
- CVE-2023-49105(CVSS9.8)、署名鍵未設定時にユーザー名既知だけで事前署名URLの検証をバイパスできる認証不備
- 原子力機関から約9GB(原子炉関連記録・職員データ・暗号化認証情報)、造船企業からWordPress一式とDBダンプ・195MBのメディアを窃取
Cyber Security News
⏱ 4 min read
2026-08-27
米CISAは8月28日、実悪用が確認された脆弱性としてLinuxカーネル(CVE-2026-53362、CVSS7.8)とJFrog Artifactory(CVE-2026-66384、CVSS5.3)を含む3件をKnown Exploited Vulnerabilities(KEV)カタログに追加した。LinuxカーネルのCVEは、断片化されたIPv6パケット処理中のパラメータ計算誤りに起因する境界外メモリ書き込みで、UDPソケットへのアクセス権を持つローカル攻撃者がクラッシュ・データ破損・権限昇格を引き起こせる。JFrog ArtifactoryのCVEは、特定のリモートリポジトリ条件下で認証済みユーザーがDockerキャッシュの想定パス外にファイルを書き込めるパストラバーサルで、7.146.35未満および7.161.0〜7.161.16が対象。連邦機関への対応期限はLinuxカーネル分が8月30日、JFrog Artifactory分が9月10日とされた。
- Linuxカーネル CVE-2026-53362(CVSS7.8)、断片化IPv6パケット処理の境界外書き込みでローカル権限昇格の恐れ
- JFrog Artifactory CVE-2026-66384(CVSS5.3)、Dockerキャッシュのパストラバーサル、対象は7.146.35未満と7.161.0〜7.161.16
Security Affairs
⏱ 3 min read
2026-08-28
オープンソースのMinecraft風ゲーム「Luanti」のAndroidアプリが、Microsoftの代理を名乗るブランド保護サービスTracer.AIからのDMCA申立を受けGoogle Playから削除された。申立はLuantiが「Minecraft Java Edition」の著作権登録(TX 8-192-097)された資産を無断使用していると主張するが、具体的にどの資産が侵害しているかは一切明記されていない。Tracer.AIはAIエージェントを使った侵害検知を売りにするサービスで、自社実績として「削除通知の処理速度85%向上」「月次レビュー件数100%増」を掲げている。Luanti開発チームはカウンター通知を提出し復元を待っているが、2023年3月の同様の申立では復元まで46日を要した前例があり、法定期限(10〜14営業日)を大幅に超過した経緯がある。アプリはF-Droidおよび公式サイトからの直接ダウンロードでは引き続き入手可能。
- Microsoft代理のTracer.AIによるDMCA申立、著作権登録TX 8-192-097を根拠に挙げるが具体的な侵害箇所は不明示
- 2023年3月の同様の申立では復元まで46日を要した前例あり、法定の復元期限(10〜14営業日)を大幅超過
Luanti Blog
⏱ 3 min read
▲ 464
2026-08-27
組み込み型OLAPデータベースDuckDBの商用開発元DuckLabsが、AWSの子会社になると発表した。買収は2026年9月上旬に完了予定。発表ではDuckDB本体のMITライセンス、開発体制、DuckDB Foundationによるガバナンス、ロードマップは今後も維持されるとしている。AWSにとってはS3などクラウドストレージ上のファイルをローカルで高速分析できるDuckDBを取り込むことでデータ戦略を強化する狙いがあり、同時にSnowflake・Databricks・Google Cloudなど競合他社にこの技術を渡さない防衛的な意味合いもあると見られる。DuckLake・Quackプロトコルなど関連プロジェクトもAWSのリソースと販路を得る一方、オープンソースとしての性格は維持される方針。買収額など財務条件は公表されていない。
- 買収完了予定は2026年9月上旬、DuckDB本体のMITライセンス・DuckDB Foundationによるガバナンスは維持と明言
- AWSの狙いはS3等クラウドストレージのローカル高速分析技術の取り込みと、Snowflake・Databricks・Google Cloudへの技術流出防止
Publickey
⏱ 3 min read
2026-08-27