1025 | テック週報：AIの現実とセキュリティ、そして190歳の亀

葵: 皆さんこんにちは、Hacker News Podcastの時間です。葵です。

悠真: 悠真です。今週も技術系の話題が盛りだくさんなんですが、今日は特に「AIへの大規模投資と、その現実的な成果は何なのか」というテーマを軸に、脆弱性、監視、開発ツール、そして脳にchipを埋め込むような研究まで、幅広く見ていきます。

葵: そうですね。最初の話題はずばりそこです。ApolloのTorsten Slok氏の分析で、「AIはまだ財務リターンを生み出していない」という指摘。ハイプと大量投資があるにもかかわらず、テック業界の外ではまだリターンが出ていないと。この投資の規模を考えると、これはかなり重要な指摘ですよね。

悠真: ええ。Slok氏の論点は、「投資は膨大なのに、その見返りがテック業界内部で閉じている」ということです。つまり、AI企業同士がお金を出し合ったり、インフラに金が流れたりはしているけれど、外部の経済、たとえば製造業や金融、小売といった分野ではまだ収益として顕在化していない。ハイプサイクル的な観点から言えば、期待と実績のギャップが拡大している状態にある、と。

葵: 一方で、その同じタイミングで、AIを使えば「以前は実現不可能だった」プロジェクトが現実的になった、という反対側の証言もあります。Dan Luuの記事ですね。彼が挙げているのはpgrustとか、正規表現エンジンとか。こういう野心的なプロジェクト、これまでは年単位の工数が必要で、普通の開発者には手が出なかった。でもAIがあれば数時間で可能になる、と。

悠真: ただし、Dan Luuの主張には重要な前提があります。「厳密にテストされ、検証されること」です。ここがポイントで、彼は「AIに任せたら終わり」ではなく、生成されたコードを本気でテストし、検証するからこそ価値が出る、と言っているんですよね。ここを省略すると、ただの「動くように見えるコード」が量産されるだけになる。

葵: 具体例として紹介されていたのがbbtreeですね。これはBTreeMapの代替となる順序付きマップで、キャッシュミスとキャッシュコヒーレンスを削減する、というもの。そして面白いのが、このコード全体がLLMによって書かれた、と作者が言っていることです。

悠真: つまり「AIが書いたから劣る」というより、「AIが書いたコードでも、測定して性能改善を確認できれば、それは成果だ」という主張なんですね。キャッシュミスの削減みたいな測定可能な改善は、検証がしやすい領域だからこそ、AI生成コードの実力が示しやすい、と。

葵: で、ここから議論が広がるんですけど、「AIが書いたテキストやコードは、人間向けに書かれていない」という別の指摘もあります。ある研究で、AIのテキストは情報密度、つまり推論の密度に最適化されているため、人間とのコミュニケーションには向いていない、理解しづらいものになっている、という話です。

悠真: これ、Dan Luuの主張とつながる部分がありますよね。AIは「大量の情報を圧縮して吐き出す」方向に最適化されている。でも人間が読む文章は、密度が高すぎるとかえって理解しにくい。つまり、AIの成果物を評価する側、人間側に負担がかかっている構図です。Slok氏の「リターンが出ていない」という指摘と、この「理解しづらい」という指摘は、実は根っこが似ている気がします。

葵: なるほど。つまり、AIの生産性の主張と、それを受け取る側の負担やコストの間にギャップがある、と。そこにDan Luuのような「検証を含めて数時間で成し遂げる」という事例が挟まってくる、という構図ですね。で、この議論、AIのリターンの話だけでは終わりません。別の側面として、「AIが仕事を奪った」という指摘も出ています。

悠真: ええ。米国では、過去4年間でメディア、映画、芸術分野の雇用が20万件以上失われた、というデータです。ハリウッドだけでも約10万件で、これはセクター全体の約3分の1にあたる、と。これがAIの影響なのか、それとも業界構造の変化なのか、はっきりさせるのは難しいですが、少なくとも「AIによる失業」という文脈で語られることが多い数字です。

葵: で、もう一つ、AIの「成果」の側面から言うと、ロボット制御の話もあります。Dream Labsがstealthから出てきて、9,000万ドルのシード資金を調達しました。彼らのDream-1というモデルは、「World Action」モデルと呼ばれるもので、1時間3ドルのコストでロボットを制御できる、と。

悠真: ここが面白いところで、Dream-1はゼロショットで、「見たことのない」ロボットを操作できる、とされています。つまり、特定のロボット用に学習させるのではなく、汎用的に物理的な動作を扱える、という主張ですね。これも「AIの投資が回収可能か」を考える上で、産業応用への期待を背負っている例と言えます。

葵: ただ、Slok氏の指摘に立ち返ると、「投資に対するリターン」を考えると、この種の先端研究が本当に収益として顕在化するかは、まだ実証されていない、ということなんですね。いずれにせよ、この「AIへの投資と成果」のテーマは、コード品質の議論にもつながっていくので、また後ほど触れたいと思います。

悠真: そうですね。次の話題に移りましょう。今週の脆弱性関連です。まず大きなものとして、GoogleのBrotliデコーダーに関するCVE-2026-111497という脆弱性。これはout-of-bounds write、つまり配列の外に書き込んでしまうタイプのバグです。

葵: Brotliというのは、Googleが開発した圧縮形式ですね。Webのコンテンツ配信でよく使われている。このデコーダーにバグがあると、圧縮データを展開する側が攻撃を受ける可能性があります。つまり、悪意のある圧縮データを渡されると、メモリ破壊が起きるかもしれない、ということです。

悠真: そして問題の広がり方です。このCVEはNode.js、Python、C++、Envoy、そして複数の言語のHTTPライブラリに影響する、とされています。つまり、単一のライブラリのバグが、それを使うほぼすべての言語やインフラに波及する、という構造です。現代のソフトウェアスタックの依存関係の深さを象徴しているような事例です。

葵: こういう「単一のバグが広がる」例としては、PHPの脆弱性をテストする面白い試みもありました。stealmybitcoin.comというサイトです。これは脆弱なPHPサーバーに約500ドル分のビットコインキーを隠して、「このCVEでrootが取れるなら、鍵を盗んでみろ」というCTF、つまりキャプチャーザフラグとして公開されたものです。

悠真: これはかなり刺激的な検証方法ですね。「脆弱性が存在する」という主張に対して、実際に賞金を出して攻撃を促す。もし誰かがこの鍵を取得できれば、その脆弱性が現実に悪用可能であることが証明される。逆に、取れなければ、その脆弱性の深刻度への疑問が強まる。どちらに転んでも情報が得られる、という仕掛けです。

葵: ただ、こういう話を聞くと、PHPそのものの維持の話にもつながります。PHP Foundationが現在、資金不足に陥っているという報告です。フルタイムのスタッフはわずか1人で、残高は約35万ドル、しかも減少傾向にある、と。企業へのスポンサーシップを呼びかけています。

悠真: これは考えると恐ろしいことで、PHPはWebの相当な部分を支えている言語です。WordPressなどの巨大なエコシステムもPHPの上にある。その言語のセキュリティとメンテナンスを担う組織が、1人のフルタイム職員と35万ドルの残高で運営されている。先ほどのCVEの話と重ねると、「1つのバグが広範に波及する」世界で、その基盤を守る組織が疲弊している、という対比が浮かび上がります。

葵: そうですね。BrotliのCVEが「単一の依存の広がり」を見せた一方、PHP Foundationは「言語そのものの持続可能性」の課題を示している。ソフトウェアのセキュリティは、技術的な問題だけでなく、資金と人材の問題でもある、ということを痛感させられます。

悠真: で、この「脆弱性とテスト」の流れから、今度は別の方向の話題に入ります。研究チェックの流れで、Samsung TV 2025モデルのrootシェル取得の話です。ある研究ゼロデイを使って、2025年モデルのSamsung TVでrootシェルを取得した、というものです。

葵: で、ここから明らかになった内容がかなりショッキングです。まず、マイクが常時有効になっていた、ということが判明しました。つまり、ユーザーが何もしていない状態でも、TVは周囲の音を聞いている可能性がある、ということです。

悠真: さらに、ACR、つまり自動コンテンツ認識が有効になっていた、と。これはTVが表示している内容を解析して、見ている番組や広告を識別する技術です。これがデフォルトでオンになっていて、しかもテレメトリが数百のパートナーと共有されていた、というのが、この研究で明らかになった点です。

葵: つまり、「TVは視聴データを収集し、それを広範なパートナー企業と共有している」ことが、rootシェル取得という技術的な検証を通じて初めて可視化された、という話ですね。ユーザー側からは見えないデータフローが、セキュリティ研究者の手によって露わになった、という構図です。

悠真: そしてこの「監視の可視化」というテーマは、実は別の話題ともつながります。Missileer.watchというサイトです。これは11175 kHzという周波数で、米軍核戦力に関連するEAM、つまり緊急アクションメッセージを傍受して文字起こしする、というものです。

葵: 11175 kHzは、米軍のHF無線ネットワークで使われている周波数です。核戦力に関わる通信がこの周波数で飛び交うことがある。EAMは暗号化されたメッセージで、中身を外部から解読することはできません。でも、Missileer.watchは「それが送信されていること」自体を可視化する、という点がユニークです。

悠真: ここがSamsung TVの話との対比になるところです。TVの場合は「データが収集・共有されていること」が隠されていて、研究によってそれが露わになった。Missileer.watchの場合は「メッセージの中身」は暗号化されて隠されているけれど、「通信が存在すること」という事実そのものを公開する。どちらも「隠されている何か」の存在を可視化する、という点で共通していますね。

葵: ええ。一つは消費者機器のデータ収集、もう一つは軍事通信。対象はまったく違うけれど、「可視化」の働きとしては似ている。Samsung TVの数百社へのテレメトリ共有は、企業と消費者の関係における不透明さの問題であり、Missileer.watchは、国家レベルの通信という、普通は見えない世界の存在を一般に見せる、という行為だと言えます。

悠真: ただし、EAMの中身が暗号化されている以上、Missileer.watchで得られるのは「送信のタイミングや頻度」といったメタデータであって、実際の指示内容ではない、という点には注意が必要ですね。ここも「何が可視化され、何が隠されたままか」という問いにつながります。

葵: さて、話題を変えましょう。先ほどのAIコードの品質の話から、開発ツール全般の進化に移ります。まずGooseという言語です。これはシステム向けのmemory-safe言語で、ヒープもGCもアノテーションも必要ない、というのが売りです。

悠真: Memory-safeというのは、C++やCで問題になるメモリ破壊、バッファオーバーフローといったクラスのバグを言語レベルで防ぐ、という概念です。Rustはこの分野の代表選手ですが、Rustはownershipの概念を学ぶ必要があったり、ヒープの扱いが意識されたりと、独特の負担があります。

葵: Gooseの主張は、その負担をなくす、ということです。ヒープを使わず、GCもなく、特別なアノテーションも不要で、memory-safeを実現する。そしてベンチマークでは、C++やRustよりも速く、しかもメモリ消費も少ない、とされています。

悠真: これはなかなか大胆な主張ですよね。Rustが「安全性と性能を両立した」という点で革命だったとすれば、Gooseは「安全性と性能を、さらに低い学習コストで」という主張になります。もちろん、ベンチマークの選び方や、実務での使い勝手など、検証の余地はたくさんありますが、memory-safeなシステム言語という分野がまた一つ進化した、というのは間違いないところです。

葵: で、こういう「開発基盤の進化」という文脈では、OBS Studio 33.0の話も relevant です。OBSは配信や録画で定番のソフトウェアですね。33.0では、CEF、つまりChromium Embedded Frameworkを2024年版から2026年版に更新しました。これは2年分の更新を一気に取り込む、という大きな変更です。

悠真: それ以外にも、プラグインのロード方式を改革しています。プラグインのロードは、OBSのような拡張性の高いソフトウェアでは基盤的な部分で、ここが再設計されたというのは、将来的な拡張性への投資と言えます。

葵: さらに、Arm64でNVENCを有効化しました。NVENCはNVIDIAのGPUに搭載されたハードウェアエンコーダーで、これがArm64、つまりApple SiliconやArmベースのシステムでも使えるようになった、ということです。

悠真: そして、複数のバグ修正も含まれています。NVIDIA関連で言えば、もう一つ gpu-unlock というプロジェクトもあります。これはLinuxのモジュールで、NVIDIA 3000番台のGPUのFP/BF16、つまり半精度演算のレート制限を解除して、プロフェッショナルレベルに引き上げるものです。

葵: これがすごいのは、BF16 GEMMで最大80%の性能向上が得られる、とされている点です。つまり、コンシューマー向けGPUの半精度演算を意図的に制限していたNVIDIAのポリシーに対して、ソフトウェアで対抗しようという動きです。プロフェッショナル向けの高価なGPUでなければ使えなかった性能を、モジュールで開放してしまおう、というものです。

悠真: この制限の解除が技術的にどう実現されているのか、そして長期的にNVIDIAがどう対応するのか、未知の部分が多いですが、「制限をソフトウェアで回避できる」という事実自体が、コンシューマー向けハードウェアの可能性を広げるものとして注目されています。

葵: 開発基盤の話題として、もう少し付け加えると、Rokuが開発者向けリポジトリをGitHubからGitLabに移行しました。ただし、これには公式の説明がありません。ユーザーの間では、GitHubの不安定さへの言及もありますが、会社側の動機は明らかにされていません。

悠真: FreeDNS、つまりafraid.orgの話も、この「インフラの持続性」という流れで触れておきたいですね。これは2001年から活動している無料のDNS、dynamic DNSサービスで、700万人以上のユーザーと、1380万件のレコードを抱えています。つまり、20年以上にわたって無料で使われ続けてきた、長寿のインフラです。

葵: PHP Foundationの話と重ねると、「無料で使われているインフラ」がどう維持されているのか、あるいは維持が難しくなっているのか、という問題が共通している気がします。PHPは言語であり、FreeDNSはDNSサービスであり、どちらも多くのユーザーが当たり前のように使っている、しかし維持のための資金や人材は限られている、という構図です。

悠真: そして、この「長く使われているもの」の話題から、SpeedCrunch 1.1の話に移ります。SpeedCrunchはオープンソースの科学用電卓で、50桁の精度を誇ります。今回の1.1は、実に約10年ぶりの大きなアップデートなんです。

葵: 10年ぶり、というと珍しい話ですが、長期間安定していたソフトウェアがアップデートされる時は、注目すべきポイントがあります。今回の1.1では、演算順序に関するバグが修正されています。これは電卓としては重要なバグですよね。演算の順序が正しくないと、計算結果そのものが信頼できなくなるわけですから。

悠真: 科学用電卓として50桁の精度を持つ、というのは、普通の計算では過剰に見えるかもしれませんが、精度を重視する用途、科学技術計算や金融計算などでは重要です。そして、10年間ほとんど放置された状態であったものが、新たに更新されるというのは、コミュニティの継続性の証でもあります。

葵: さて、最後の話題に移ります。脳と技術の話題です。EPFL、つまりスイス連邦工科大学ローザンヌ校が、LogSyncというchipを開発しました。サイズは4×2ミリで、脳の領域間の信号を記録するものです。

悠真: このchipの特徴は、いくつかあります。まず、脳の異なる領域間で同時に信号を記録できる、ということです。それによって、認知的・感情的な状態を識別できる、というのが研究成果として報告されています。つまり、単に脳波を記録するだけでなく、「いま人がどんな認知状態にあるか」「どんな感情状態にあるか」を推定できる可能性を示しているんです。

葵: そして消費電力が200マイクロワット未満、というのも重要です。これは極めて小さな消費電力で、実用的な implantation、つまり体内への実装を考えると、バッテリーや電力供給の問題が大きくなるので、この消費電力の低さは実用化への重要な条件になります。

悠真: ただし、ここで注意すべき点もあります。LogSyncが「認知的・感情的な状態を識別できる」と言っても、これは研究段階の成果です。実際に人間に長期 implantation して、日常の認知状態をリアルタイムに識別できるかどうか、倫理的な問題はどうクリアされるのか、といった点は、まだ未解決の課題として残っています。

葵: ええ。「感情状態の識別」というと、プライバシーや倫理の問題がすぐに浮かびますよね。技術的には200マイクロワット未満のchipで脳領域間の信号を記録できる、ということは、理論的には「人が何を感じているか」を読み取れる可能性がある、ということですから。これは、先ほどのSamsung TVのテレメトリやMissileer.watchの監視というテーマとも、微妙につながる話題です。可視化の対象が、外部のデータではなく、人間の内面に向かう、という点で。

悠真: で、この健康や趣味の流れから、少しトーンを変えて、生きた化石の話題で締めましょうか。Paul Mitchum氏の言及があった話題なのですが、Santa Helenaの5ペンス硬貨の話です。この硬貨には、Jonathanというtartaruga-gigante、つまり巨大なtartarugaが描かれています。

葵: このJonathan、推定年齢が約190歳なんです。生きた化石という表現がぴったりの存在ですね。そして、面白いエピソードとして、2023年に、Jonathanが仲間同士の喧嘩に巻き込まれて、背中を下にして仰向けになり、ほとんど死にかけた、という出来事があったそうです。

悠真: 190歳の生き物が、仲間同士の喧嘩で仰向けになって、動けなくなり、危機に陥る、というのは、どこかユーモラスでありながら、同時に生命の脆さを感じさせるエピソードですよね。150年以上生きたtartarugaが、そんな些細な出来事で命の危険にさらされる。

葵: ええ。生きた化石という存在の魅力というのは、まさにその「時間のスケール」にあると思います。人間の寿命をはるかに超えて生きるtartarugaが、地球上で同じ時代に生きている、という事実そのものが、私たちに自然の多様さと時間の深さを感じさせてくれます。Paul Mitchum氏がこの話に触れた、というのも、そういう「生きた化石の魅力」を共有したい、という動機だったのでしょう。

悠真: さて、今日の話題はここまでですが、最後に全体的な流れを振り返っておきましょう。AIへの大規模投資と、そのリターンがテック業界外でまだ見えないというSlok氏の分析、Dan Luuの「検証前提のAIプロジェクト」という反論、bbtreeの事例。そして、BrotliのCVEとPHP Foundationの資金不足という、セキュリティと持続可能性の問題。

葵: Samsung TVのroot取得とMissileer.watchのEAM傍受という、監視の可視化の対比。GooseやOBS 33.0やgpu-unlockという開発ツールの進化。そしてEPFLのLogSyncチップと、Jonathanの5ペンス硬貨で締めくくりました。

悠真: 次回は、AI生成コードの品質議論を深掘りする予定です。今日のbbtreeの話や、Dan Luuの主張を踏まえて、生成されたコードをどう評価し、どう検証するか、という点をさらに掘り下げていきます。

葵: それでは、また来週。お疲れさまでした。

悠真: ありがとうございました。