X
X、ランキングアルゴリズムを公開。シャドウバン確認ツールも提供
自分の投稿がなぜ伸びないのか。その疑問に、プラットフォーム自身が答えを出そうとしている。ただ、その答えがどこまで「本物」かは、また別の話になる。
GitHub
セキュリティ
npmワームが400超のパッケージに混入 Trusted Publishingを悪用
Shai-Hulud系列の自己増殖型マルウェアChainDropが、npmレジストリで過去最大の被害を出した。正規の出所証明をまとい、月間ダウンロード20億回超のパッケージ群に拡散している。
AI
Cursor、インド限定の月額約1100円プランを投入。開発者300万人市場を狙う
AIコーディングツールのCursorが、初の国別専用プラン「Cursor Start」をインド限定で投入した。月額649ルピー（約1100円）。通常のProプランの3分の1だ。 月額1100円で何ができて、何ができないか Cursorは現地時間7月28日、インドの開発者に向けた新プラン「Cursor Start」を発表した。月額649ルピー（税込み）。ルピー建てで請求され、クレジットカード、デビットカード、UPI（インドの即時決済ネットワーク）で支払える。 使えるモデルは自社のGrok 4.5とComposer 2.5で、クラウドエージェント、iOSアプリ、プラグイン、MCP対応も含まれる。無料プランより使用量の上限が高い。 一方、OpenAIやAnthropicが提供する外部の最先端モデルや、Bugbot、Auto mode、Automations、Cursor SDKはProプラン専用（月額20ドル）だ。Startは自社モデルの範囲で完結する設計になっている。 Cursor Start vs Pro：機能の違い Start
AI
MicrosoftのAI投資1900億ドル 決算で注目すべき3つの論点
AIに最も早く、最も大きく賭けた企業が、自らの賭けに追い詰められている。7月29日のQ4決算を前に、Microsoftの内部で何が起きているのか。 AIに賭けた3年、そして反転 3年前、サティア・ナデラ氏（Satya Nadella）はMicrosoftをAI競争の最前線に押し上げた。2023年2月、OpenAIへの早期投資を背景にAI搭載のBing検索を披露し、Googleの検索支配に宣戦布告した。同年末にOpenAIの取締役会危機を収拾すると、ビル・ガーリー氏（Bill Gurley）は「企業としての評判の劇的な転換」と評し、CNN Businessは彼を年間最優秀CEOに選んだ。 その評価が今、反転している。 Microsoftの株価は52週高値の555ドルから381ドル台まで落ち込み、12ヶ月前と比べて24%以上下落した。マグニフィセント・セブンの中で最悪の成績だ。投資家はMicrosoftの巨額AI投資が収益に結びつくのかを疑い始め、6月にはCopilotの実態とAzureの容量制約をめぐる集団訴訟も提起された。 同社が今年予定する設備投資は1900億ドル。その大
インド
インド政府、ネット不要の通信アプリのコード削除をGitHubに命令
デリーで学生デモが続き、政府がインターネットを繰り返し遮断する中、オフラインで通信できるBluetoothメッシュアプリのソースコードが標的になった。 ソースコードを狙った命令 インド内務省傘下のサイバー犯罪調整センター（I4C）が現地時間7月23日夜、GitHubに対してBitchatのリポジトリ3件を3時間以内に削除するよう命じた。対象はメインプロジェクト、Android版ビルド、Androidリリースページの3つで、いずれもpermissionlesstechアカウントに属する。 法的根拠はIT法第79条第3項(b)とIT規則2021年第3条第1項(d)。I4Cは通知の中で、Bitchatが登録も電話番号も不要な匿名通信を可能にし、法執行機関の傍受・捜査を著しく妨げると主張している。 Block CEOのジャック・ドーシー（Jack Dorsey）は7月24日、この通知のスクリーンショットをXに投稿した。 the government of india does not like technologies like bitchat and wants it taken
AI
GitHubのAIエージェント、Issue経由で非公開リポジトリへアクセス可能になる問題
GitHubのAIエージェント自動化機能に、公開リポジトリのIssueを1件書くだけで非公開リポジトリの中身を抜き取れる脆弱性が見つかった。攻撃者にコーディングスキルは要らない。 営業VPを装ったIssue1件で、非公開リポジトリの中身が外に出る AIセキュリティ企業ノマ・セキュリティ（Noma Security、イスラエル）のリサーチ部門ノマ・ラボが7月6日、GitHub Agentic Workflowsに存在するプロンプトインジェクション脆弱性を公開した。脆弱性名はGitLost。 GitHub Agentic Workflowsは、GitHubが2026年2月にテクニカルプレビューとして導入し、6月にパブリックプレビューへ移行した機能だ。GitHub ActionsにAIエージェントを組み込み、Markdownで記述した目標に沿ってGitHub Copilot、Claude、Google Gemini、OpenAI Codexなどが自律的にIssueの分類やドキュメント更新を実行する。 ノマ・ラボが実証した攻撃フローを追う。 ある組織が、公開リポジトリと非公開リポジ
GitHub
GitHub、CD-ROM企画を4日で取り下げ 利用者から批判
ソニーのディスク廃止をからかうつもりで始めたGitHubのCD-ROM郵送キャンペーンが、投稿から4日で申込フォームを取り下げた。567万閲覧を集めた投稿のリプライ欄は、ソニーへの共感ではなくGitHub自身の障害への皮肉で埋まった。 フォーム消滅、投稿は残存 GitHubが公開リポジトリをCD-ROMに焼いて先着1000人に無料郵送するとXで告知したのは現地時間7月2日のことだった。ソニーがPlayStation新作の物理ディスク生産を2028年1月以降終了すると発表した翌日にあたる。 We heard you. And we agree. In light of recent developments in physical media, GitHub is proud to announce that you can now obtain your public repo on CD-ROM. Keep it. Lend it to friends. Pass it on to
GitHub
GitHubが公開リポジトリをCD-ROMに焼いて配布する
ソニーが2028年1月以降の新作ゲームから物理ディスクを全廃すると発表した2日後、マイクロソフト傘下のGitHubが公開リポジトリをCD-ROMに焼いて郵送する期間限定キャンペーンを開始した。先着1000枚、受付は7月6日まで。ジョークか本気か判断がつかないこの企画の裏には、GitHub自身が抱える深刻な稼働率の問題がある。 ソニーが火をつけた1週間 ソニーは現地時間7月1日、PlayStation Blogで発表した。2028年1月以降にPlayStationで発売される新作タイトルはすべてデジタル専用になり、物理ディスクの生産を終了する。すでに発売済み、または2028年1月より前にリリースされるタイトルには影響しない。 発表文には「デジタルメディアへの一般的な選好が物理ディスクを大幅に上回っている」とあり、消費者動向への適応を理由に挙げている。同日、PS3とPS VitaのPlayStation Storeも段階的に閉鎖する方針が併せて発表された。 反発は即座に広がった。数時間で複数の企業が皮肉を込めた投稿を始めている。 ドミノ・ピザUKは「ゲーム業界のトレンドに合わせ
セキュリティ
OSSの署名・検証手順に問題 修正前に悪用可能性が実証
4か月、1,000パッケージ、週間ダウンロード合計5億。TeamPCPという脅威アクターが突きつけたのは、新しい手口ではなく、業界が長年見て見ぬふりをしてきた事実そのものだった。 既知の欠陥が、最悪の形で現実になった オープンソースの信頼モデルには構造的な欠陥がある。研究者も開発者も、それを知っていた。レジストリに公開されたパッケージの正当性を、ほとんどの組織は検証していない。CI/CDパイプラインは上流のコードを自動で取り込み、テストし、本番に流す。その連鎖のどこか一点が汚染されれば、下流すべてに広がる。 知っていて、直さなかった。 2026年2月末、TeamPCPがその穴を突き始めた。最初の標的は脆弱性スキャナーTrivy。Aqua SecurityのGitHub Actionsワークフローに残った未失効のトークンを利用し、公式リリースチャンネルを制圧した。セキュリティツールが、攻撃の入口になった。 そこから連鎖は止まらない。Trivyで盗んだ認証情報でCheckmarxのKICSを侵害し、LiteLLM、Bitwarden、TanStack、AntVへと波及した。5月
AI
AI開発需要でGitHub負荷が増加 MicrosoftがAWSを利用した経緯を整理
AIコーディングツールの爆発的な普及でGitHubのインフラが限界に達し、MicrosoftがクラウドのライバルであるAWSから計算資源を調達したと報じられた。2027年までに自社のAzureへ全面移行する計画だったが、AI需要の伸びがその計画を追い越している。 年間10億が週2億7500万に変わった GitHubのコミット数は、2025年は通年で10億件だった。当時はそれだけでマイルストーンだった。 2026年4月、GitHubのCOOカイル・デイグル（Kyle Daigle）氏が公表した数字は次元が違った。週2億7500万件。年間換算で約140億件。前年比14倍。「成長が線形のままなら今年140億になる。ネタバレ：ならない」と同氏は付け加えている。 この爆発を引き起こしたのは開発者ではない。CursorやClaude CodeといったAIコーディングツール、そしてコードの生成・テスト・デプロイを自律的に行うAIエージェントだ。エージェントが開いたプルリクエストは2025年9月の約400万件から2026年3月には1700万件以上に達したと報じられている。GitHub Act
セキュリティ
MiasmaワームでMicrosoftのGitHub 73リポジトリを一時封鎖
自己増殖するマルウェア「Miasmaワーム」が、AIコーディングツールを踏み台に使う新手法でMicrosoftのリポジトリを侵害した。リポジトリを開いた瞬間、資格情報が盗まれる。 「開いただけ」で動くマルウェア 6月5日、MicrosoftのGitHub組織が直撃を受けた。Azure、Azure-Samples、Microsoft、MicrosoftDocsの4組織にまたがる73のリポジトリが感染し、GitHubが105秒の自動処理で全て封鎖した。 攻撃の起点は、過去に侵害されたコントリビューターアカウントを使ったコミットだ。Azure/durabletaskリポジトリに悪意あるコミットが押し込まれ、5つの設定ファイルが仕込まれた。クローンしても安全だが、エディタで開いた瞬間に動く。パッケージのインストールも不要だ。 仕込まれた5ファイルとターゲットツール ファイルClaude CodeGemini CLICursorVS Code.claude/ settings.json○———.gemini/ settings.json—○——.c
セキュリティ
VS Codeのゼロデイ、リンク1つでGitHubトークンが盗まれる
Microsoftの脆弱性対応に失望した研究者がまた一人、協調的開示を放棄した。今度はVS Codeだ。github.devのリンクを1回クリックするだけで、GitHubのOAuthトークンが丸ごと抜かれる脆弱性が、事前通告なしで公開された。 研究者が選んだ「1時間前通告」 セキュリティ研究者のアンマル・アスカル（Ammar Askar）氏が6月2日、VS Codeのゼロデイ脆弱性を自身のブログで公開した。GitHubのセキュリティ担当者に連絡したのは、公開のわずか1時間前。MSRCへの報告は行っていない。 アスカル氏はジョージア工科大学所属のセキュリティ研究者で、GitHub公式ブログでバグバウンティプログラムのトップコントリビューターとして紹介された実績を持つ。素性不明の人物ではない。 協調的開示を飛ばした理由を、アスカル氏は明確に述べている。2023年にVS CodeのRCE脆弱性をMSRCに報告した際、Microsoftは黙ってパッチを適用し、クレジットを一切与えず、「セキュリティ上の影響なし」と分類した。バグバウンティも不適格と判定された。その経験から、VS Cod
AI
GitHub Copilot「定額使い放題」が明日終わる
月額10ドル（約1,600円）で高性能AIモデルを使い放題。開発者にとってのその黄金時代が、明日6月1日に終わる。GitHub Copilotが従量課金制へ移行するのに合わせ、請求額が25倍以上に跳ね上がるという報告が相次ぎ、開発者コミュニティに動揺が広がっている。
セキュリティ
GitHubリポジトリ5500件超にバックドア、「Megalodon」攻撃の手口を分析
偽のCIコミットが6時間で5700件以上のリポジトリに押し込まれた。GitHub Actionsを悪用し、クラウド認証情報からSSH鍵まで根こそぎ抜き取る大規模サプライチェーン攻撃の手口と対策。 6時間で5561リポジトリが陥落した 2026年5月18日、GitHubで異常な規模の自動化攻撃が発生している。セキュリティ企業SafeDepが「Megalodon」（メガロドン）と名付けたこのキャンペーンは、わずか6時間の間に5718件の偽コミットを5561のリポジトリに送り込んだ。CIの自動化に見せかけてバックドアを仕込み、開発者が気づかないまま認証情報を抜き取る——過去最大規模のGitHub Actionsワークフロー汚染だ。 コミットの著者名はbuild-bot、auto-ci、ci-bot、pipeline-botの4種類。メッセージも「ci: add build optimization step」「chore: optimize pipeline runtime」など、日常的なCI保守に偽装されていた。使い捨てのGitHubアカウント（ランダム8文字のユーザー名）を使い回