0829 | バグの噂だけでエクスプロイト発見、GLM-5.3オープンウェイト公開、Luanti配信停止、Anthropic勝訴

葵: Bri Radioの「HackerNews Daily」へようこそ。私は葵、そして悠真と一緒にお送りします。今日は、バグの噂だけでエクスプロイトが見つかる時代、オープンウェイトになったモデル、Cursorの買収をめぐる判断など、気になる話題が並んでいます。

悠真: ほかにも、LLMのメモリをプログラム解析に転用した話や、Google Playから削除されたオープンソースゲーム、アンソロピックへの制裁を法律違反とした判決も取り上げます。

葵: それでは、今日の話題を見ていきましょう。

悠真: あるオープンソースのメンテナーの告白が話題です。rcloneのプロジェクトで、最初の十年にGitHub経由のセキュリティ開示が約二十件だったのが、直近ひと月だけで四十件以上を処理したという。AIツールでトリアージや修正案の作成を手伝ってもらっても、膨大な時間を取られたとのことです。

葵: そのタイトルが「バグの噂だけで、もうエクスプロイトを見つけられる」。実際の不具合が確定していなくても、脆弱性の噂が流れれば攻撃者がそこを突いて調査を始める。だからメンテナ側には噂が立った瞬間から対応が押し寄せる。小さなプロジェクトほど、この負荷に耐えられないでしょうね。

悠真: 中国のz.aiが手がけるGLM-5.3がオープンウェイトで公開されました。Hacker News上であるユーザーが「AnthropicのOpus 4.8に一番近い感触で、もっと使い込んでいる」と評しています。そのコメントに別のユーザーが「どのハーネスやサービスで、何の用途に使っているのか」と具体的な使い方を掘り下げて尋ねています。話題が単なる感想から運用方法へ移っているのが面白いですね。

悠真: OpenAIが、CursorがSpaceXに買収された後の決定を公開しました。Hacker Newsでは「まあ妥当だね」という反応と、「Cursorは使ってないけど、これは結構厳しいんじゃないか」という見方に分かれています。後者のコメントには「自分のOpenAIの利用枠を直接使うなど、回避策はないのか」という掘り下げも付いていました。買収に対して、既存ユーザーがすぐ代替ルートを探す構図です。

悠真: 2026年8月に提出されたarXivプレプリントが、Stationというオープンワールドのマルチエージェント環境を紹介しています。中央のコーディネーターやスクリプト化されたパイプラインなしで、異なるモデルファミリーのエージェントが共有の研究目標を目指し、自ら方向を選び、実験し、協力しながら共有の科学文献を構築します。いくつかの既知問題で先行文献にない新しい結果が出たと言い、エージェントは数値構成だけでなく仕組みを説明する定理や分析も生成し、生の対話や証明、検証コードも公開されました。

葵: Hacker Newsではこの新規性をめぐって議論が起きました。ある人は、今まで有名問題が解かれるたびに新規性への疑念がついて回ったけど今回は実際に新しい結果が出たとして次の展開に興味を示しました。一方別の人はそれを誤解だと反論し、大きなアクセス可能な記憶と過去の手法を素早くテスト・再結合する力でAIが数学コミュニティの多くを凌駕するだろうというのがより適切な論点だと述べています。それは非網羅的な形態の創造性かもしれず、未解決の問いだと言います。

悠真: さらにあるユーザーは、報酬構造の一部を内生化させてみてはどうかと提案しました。エージェントたちに研究賞や査読基準、評判システム、計算資源の割り当てルールといった中間制度を自ら作らせる。専門化と蓄積された判断を生んで発見が改善される可能性がある一方、群れ行動が増えるリスクもある。その人は美術分野で同じ試みをしていて、エージェントたちが制度全体は制御していないものの、引用や投票、同盟を通じて内生的なステータスシグナルを生み始めていると付け加えました。ただ個々のエージェントは限られたコンテキストゆえ長生きできないから、そのシグナルが人間の長いコンテキストで発展させたものと比べてどうなるのか、という疑問も出ています。

葵: 一方で、鍵は異なるモデルが互いの仕事を批判して合意に達するレビューループで、敵対的と創造的の二本の柱が必要だという意見も。あるユーザーは、エージェントに定期的に休日を与えて進行中の仕事を脇に置かせ、開放的な思考を促すランダムなプロンプトを送ったと話し、AIのためのケンブリッジ・シニア・コモン・ルームを再発明したと評していました。

悠真: 先ほどの多エージェント環境の話から少し変わりまして、Hacker Newsで話題になった記事があるんです。題して「LLMのメモリをうっかりプログラム解析にしてしまった話」。記事の著者がですね、ローカルLLMを使ったエージェント的なコーディングを調査していた中で、ヒューリスティック探索という昔ながらのAIの手法をプランニングに応用できないかと考えていたんですね。その発想の中で、この記事で使われているDatalogという論理プログラミング言語が響いたというコメントが寄せられていました。

葵: なるほど。DatalogがLLMのメモリ管理とどう関わってくるのか、というのがこの議論の肝になりそうですね。ただ、私は専門家ではないので、この記事で実際に何が起きたのか、もう少し具体的なところが気になります。

悠真: その辺りはですね、記事の本文である程度詳しく語られています。要するに、LLMに持たせたメモリを管理するという課題を、プログラム解析の問題として捉え直した、というのが核心のようです。つまり、記憶そのものを扱うために、伝統的な形式手法の道具立てを流用しようというアプローチなんですね。旧来のAI技術、特に論理に基づく探索という視点が、エージェントのプランニングに対してまだ現役で通用する可能性を示唆している点で、興味深い議論だと思います。

悠真: 次はですね、ゲームのオープンソースエンジン、LuantiがGoogle Playから削除されたという話です。きっかけは根拠のないAIによる著作権通知だというんですね。Hacker Newsのコメントでは、この対応に対して、妨害的干渉で訴えるべきだという意見も上がっていました。

葵: ただ、削除の側にも言い分があるわけですね。あるコメントでは、Googleの利用規約には、どんな理由でもアプリを削除または拒否できると書かれている可能性が高いと指摘されています。ただし、EU圏内であれば、デジタル市場法、いわゆるDMAに基づく主張ができるかもしれないという点も挙げられていました。

悠真: つまり、著作権通知が根拠のないものだとしても、ストア側の規則上は削除を止められない可能性がある。一方で、EUの規制枠組みが救いになるかもしれない、というのがこの議論の構造なんですね。AI由来の著作権申し立てが実際のプラットフォーム対応にどう波及するか、という具体例として印象に残ります。

悠真: 続いて、米連邦判事が、国防総省によるAnthropicのブラックリスト登載を違法と判断したというニュースです。この件、Reutersの報道によると、政府側の証拠はほぼすべて意味をなさないものだった、という解説がHacker Newsでは共有されていました。判決の文書自体は非常に明快だったという指摘もありましたね。

葵: このブラックリスト登載は、この政権の数ある対応の一つに過ぎない、という残念な見方をするコメントも上がっていました。つまり、今回の判断は法律的に明確だったけれども、この種の行政措置が問題を繰り返してきた文脈の中での一つの裁定だ、という受け止め方ですね。

悠真: 判決そのものの帰結としては、ブラックリスト措置が無効とされ、Anthropic側に軍需産業の契約機会が戻る余地が生まれた、ということになります。政府機関のAI企業への対応が司法によって是正された、という点で、業界関係者にとっても注目される結果だと思います。

葵: そして最後に、連邦第9巡回区控訴裁判所の判決です。州に有利な判断を下し、連邦法がスポーツ賭博を保護しないとしました。これによって、アリゾナ州の刑事訴追が復活する可能性があります。その訴追は、クリス・メイズの手続きを妨げるために使われていた連邦法に基づくものでした。

悠真: ライアン・ネルソン判事は全会一致の判決で、議会は商品取引法を改正した際に、連邦・州・部族政府が数十年かけて築いてきたスポーツ賭博規制を暴力的に破壊したわけではない、と書いています。さらに、スーパーボウルが開催されるかどうかは「発生」だが、どちらが勝つかは「発生」ではない、という整理も示されました。この区別が判決の核心ですね。

葵: この判決を受けて、Hacker Newsではギャンブルの社会的コストをめぐる議論が白熱していました。あるコメント投稿者は、ギャンブルは貧困層や依存症になりやすい人々を利用する負の外部性であり、促進して利益を得る企業は総収入の40から50パーセントを政府に支払うべきだと主張しました。タバコに匹敵する水準だというわけです。さらに、子どもやリスクの高い性格タイプを標的にした広告の禁止や、中毒性のある仕組みの厳格な規制も求めていました。

悠真: これに対して、悪徳への課税は紙の上では価値があるが、アルコール広告やギャンブルアプリのダークパターンといった二次的影響は価値に見合わない、という反論もありました。少なくとも公衆衛生の問題として扱うべきだという意見も出ています。ちなみに、そのやりすぎだという主張に使われた「gotcha mechanics」という言葉は、正しくは「gacha mechanics」の誤りだ、という指摘もコメントでなされていましたね。

葵: 司法判断のスピードも争点になっていました。法律は意図的に遅く、審議的で、多段階になり、複数の法曹に相談するよう設計されている、という説明がありました。個々の判事が全体を迅速化できると、悪い判決も差し止めや審査を受けずにすぐ効力を持ってしまうから、フィードバック期間は良いことだというわけです。一方で、法律が遅いからこそ、権力を持つ人物が行動すれば多くの損害が生じる。その行動のほぼすべては違法だが、決定が長引きすぎて効果がない、という反論もありました。

悠真: さらに、損害回復法を設けている州の訴訟に、この判決がどう影響するのかという疑問も提示されました。また、このような文言の解釈は司法による立法に見える、という批判もあります。ラムズが勝つ場合とパッカーズが勝つ場合で、別々の「発生」があるのではないかと問いかけ、法律が不明確なら無効と宣言して議会に再挑戦させる方がよい、という意見も見られました。

悠真: 米国政府の制裁が、イタリアのコレクティブAutistici/Inventati、通称A/Iに対して発表されました。A/I自身のサイトには「米国によるA/Iコレクティブへの制裁」という告知が掲載されていて、先行投稿ではnoblogs.orgのホストが米国政府により「グローバルテロリスト」に指定されたと報じられています。このA/Iは2001年、テクノロジーに関心を持ちデジタル権利の闘いに携わる自律的反資本主義運動の個人とコレクティブの出会いから生まれた団体で、活動家や草の根・社会運動の集団に、ウェブサイトホスティング、メールアカウント、メーリングリスト、チャット、ブログ、VPNアクセスといったインターネット支援を無料で提供しています。あるコメント投稿者によればnoblogs.orgもそのホストの一つで、多くのアナキスト、反ファシスト、反帝国主義のグループが使っています。

葵: その運営のかたちも特徴的です。全サービスが無料で、個人ユーザーデータの管理も商品化もなく、報酬を受け取らず、ボランティアの作業で運営され、資金は専ら自発的寄付に依存しています。各サービス申請はボランティアが手作業で対話形式で処理し、申請は匿名化された上で破棄される構造です。A/Iは反ファシズム、反人種差別、反性差別、反軍国主義といった基本原則を共有する個人、コレクティブ、コミュニティ、グループを支援するとしています。ただ議論の中では、結局この団体が何をしているのか分からないという声も出ました。ある投稿者はリンクの多くが機能せず、マニフェストは2026年の見解を反映するよう更新されているように見えると指摘しています。

悠真: 別の投稿者は、Aboutページが、いわば企業テック企業のウェブページのように読めると評していました。また、ある投稿が反ファシズムなどを「主流ではない」と位置づけたのに対し、一部の地域ではバーテンダーがこれらの言葉が書かれたTシャツを着ているのを見たという反論や、反ファシズムが非主流派と見なされるのは悲しい日だという声も上がっています。さらに、これは本当に誰でも対象なのか、それとも政治的に同調する者のみなのかという疑問も呈されていました。

葵: PythonのHTTPクライアント、HTTPX2が話題です。次世代のHTTPクライアントとして開発されていて、OpenAIも自社のPythonライブラリをHTTPX2へ移行するという投稿を出しています。その移行メモでは、従来の証明書バンドルに代えてOSのTLSトラストストアを使うようになった点が触れられていました。

悠真: 議論の中では、HNユーザーが「nb」という省略が何を指すのか尋ね、投稿者が「nota bene」の頭文字だと説明する場面がありました。名前については、「httpx-ng」や「httpy」のような別の名前にしてほしかったというHNコメントもあり、既存のプロジェクト名との混乱を懸念する反応でした。つまり、中身の技術に加えて、新しいクライアントをどう呼ぶかという面でも議論が交わされているわけです。

悠真: 小型モジュール炉、SMRについての議論です。Natureの記事のタイトルは「小型原子炉が核エネルギーの約束の実現に近づける」というもの。ただ、HNユーザーはそこで、SMRはより安く、より容易に建設できる「はずだ」という「はず」という語に注目していました。その主張はかなり重い前提を含むという指摘で、実際に判断できるのは2030年に一つが稼働するはずの時期で、少なくともそれまでには分かるだろうという反応も出ています。つまり、小型炉の約束そのものは認めつつも、その実現はまだ証明されていない未解決の課題だという認識です。

悠真: シュメール王名表と古気候イベントの整合性を検証した記事が話題です。この記事ではその理論を実際にテストして分析しており、作者はデータを結果に無理やり当てはめようとはせず、一見一致しているように見えるケースでも偶然である可能性を説明している、というHNコメントが出ていました。つまり、王名表と気候変動の記録が重なるように見えても、そこに必ずしも因果関係が読み取れるわけではない、という慎重な扱いが評価されているわけです。

葵: Hacker Newsで、キーボードだけで操作できるGUIを求める投稿に対し、あるコメントは、ターミナルベースのUIは邪道で、GUIの大半はただのWebでいい、ただしCLIが使えるならそちらを優先すべきだと指摘しました。その理由は、学習に費やした時間が、後々スクリプトを書いたり大量のデータをパイプで流したりするときに役立つからだというものでした。

悠真: つまり、キーボード操作性の議論が、将来の自動化やデータ処理の下地になるかという観点にまで広がっているわけですね。CLIを学ぶ投資はその後の作業効率に直接返るというのが主論点で、GUIをWebに寄せるべきという主張とCLIを残すべきという主張は二択ではなく、どちらを選ぶかはその後の使い方次第という捉え方ができます。

悠真: 別のHacker Newsの議論では、この分野が簡単で目に見える部分ばかりを扱うことになりがちで、一か月ほど注目を集め、場合によっては昇進して、次の新しいプロジェクトへ移ってしまうという指摘がありました。その裏で、実際にアプリを動くようにメンテナンスし、つまらない問題と向き合い続ける人々の行き先が問題視されています。

葵: 『It works better in the app』という投稿が発端で、アプリの方がうまく動くと言いながら、そのアプリを作りっぱなしで放置する流れが批判されているわけですね。注目される目玉の部分と、地味で負担の大きい維持作業との間に、評価の偏りが生じているという見方です。

葵: 今日は、AI・駆動の脆弱性ハンティングへの注目が高まっていることと、オープンウェイトのGLM-5.3がまるでOpusのようだと評する声があること、その2つをお届けしました。

悠真: 最後までお付き合いいただき、ありがとうございました。また次回お会いしましょう。