オープンソース - 情報の灯台 (Page 4)

AI

反AIオープンソース、共通の敵と内部の亀裂

トーバルズ発言を受けて反AI陣営が勢いづいているが、その内部は政治と倫理で分裂している。「AIお断り」の波が止まらないリーナス・トーバルズ（Linus Torvalds）が現地時間7月15日、Linuxカーネルのメーリングリストで「Linuxは反AIプロジェクトではない」と宣言した。AIに反対する開発者には「フォークするか、立ち去れ」と告げている。トーバルズの立場は一貫して実用主義だ。AIは便利かどうかだけで判断すべきであり、倫理や社会的な議論はカーネル開発の領分ではないという姿勢を崩していない。この発言はAI推進派を勢いづかせた。だが同時に、Linuxカーネルが公式に「反AIではない」と線を引いたことで、反AIを掲げるプロジェクトの存在意義がかえって際立っている。実際、ここ数カ月でAI生成コードを拒否する動きは加速している。ヨーロッパの非営利コードホスティングCodebergは、現地時間7月22日の会員投票で利用規約を改定した。賛成358、反対144で、生成AIで書かれたコードが大半を占めるプロジェクトのホスティングを禁止した。ホストされたコードやユーザーデ

FreeBSD

FreeBSDの音が壊れた。メーリングリストに怒りと知恵が集まる

FreeBSDの音声サブシステムにリグレッション（以前は動作していた機能の不具合再発）が入り、最新の15.1でも治っていない。メーリングリストに立った1本のスレッドが、1週間で40件超に膨れ上がった。「ログに何も残らない」デスクトップユーザーのvermaden氏が現地時間7月20日、freebsd-stableメーリングリストに投稿した。件名は「Tragic State of FreeBSD Audio/Sound」、音声の悲惨な現状を訴える内容だ。同氏の環境はThinkPad T480。2018年発売のノートPCで、FreeBSD 14.3から14.4への移行のどこかでリグレッションが発生した。出所不明のランダムなブーンという音が鳴る。ログには何も残らず、原因がOSS（Open Sound System、FreeBSDのカーネルレベル音声基盤）にあるのかPulseAudioにあるのか切り分けられない。15.1-RELEASEに上げても改善しなかったという。「ランダムなブーンという音は受け入れられない。どこから来ているのかすらわからない。OSSの問題なのか、Pul

glibc

glibc 2.44リリース。設定ファイル方式のチューナブルと数学関数の最適化

GNU Cライブラリ（glibc）の最新版2.44が公開された。チューナブル設定に新たな手段が加わり、数学関数の高速化や複数アーキテクチャへの最適化が進んでいる。環境変数から設定ファイルへ今回の注目は、/etc/tunables.confの導入にある。 glibcには「チューナブル」と呼ばれる仕組みがあり、mallocの動作やメモリ管理のパラメータを実行時に調整できる。従来はGLIBC_TUNABLES環境変数でプログラムの起動前に設定する必要があった。新たに加わった/etc/tunables.confは、これを設定ファイルとして永続的に管理できるようにする。1行に1つのチューナブルを記述し、ldconfigを実行して適用する仕組みで、Red Hatが開発に貢献した。この変更には背景がある。2023年10月、QualysがGLIBC_TUNABLES環境変数のパーサーにバッファオーバーフローの脆弱性を発見した。「Looney Tunables」（CVE-2023-4911）と名付けられたこの問題は、ローカルの攻撃者がroot権限を奪取できるもので、CVSSスコアは7

Debian

Debian、LLM利用の全面禁止か条件付き容認かを正式投票へ

Debianがプロジェクト内でのLLM利用に関する正式な一般決議（GR）の討議期間に入った。全面禁止と条件付き容認という対照的な2案が提出されている。 5ヶ月前は「決めない」で終わった DebianがLLM利用の方針を定めようとするのは、今回が初めてではない。 2026年2月、元DPL（Debian Project Leader）のルカス・ヌスバウム（Lucas Nussbaum）氏がAI支援コード貢献に関するGR草案を提出した。著作権の不透明さから品質管理、コミュニティへの影響、環境負荷まで論点は出揃ったものの合意に至らず、GRは正式に提出されないまま議論が収束している。 5ヶ月が経ち、状況は変わった。現地時間7月24日、2つの正式なGR提案が討議期間に入った。提案者も賛同者もDebianの中核を担う開発者たちで、双方とも7名の賛同を得ている。「決めない」で先送りした課題が、ついに投票の俎上に載った。全面禁止か、条件付き容認か Proposal Aは、LLMや生成AIツールで作成・補助された貢献をDebianから明示的に排除する。提案者はマティアス・ガイガー（Mat

Linux

LinuxカーネルCVE、2日で432件公開の衝撃

7月19日から20日にかけて、Linuxカーネルの脆弱性識別番号（CVE）が432件、一気に公開された。セキュリティ担当者からは困惑と諦めの声が上がっている。週末の洪水日曜から月曜にかけて、linux-cve-announceメーリングリストに掲載されたCVEの数は432件。今月すでに公開されていた40件超とは別の数字だ。 Akamai Technologiesのチーフ情報セキュリティアーキテクト、ヤン・シャウマン氏（Jan Schaumann）は月曜、oss-securityメーリングリストにこの大量公開について投稿した。CVEシステムがセキュリティ変更の追跡に最善の手段ではないと指摘した上で、これだけの件数にどう対処すべきかを問いかけている。個別のカーネル変更を優先順位付けしようとすること自体が、もう実行不可能だと今回の件数が示している（シャウマン氏のoss-securityメーリングリストへの投稿） LLMに優先順位を付けさせても、1日に12件、翌日に25件と出されるようでは追いつかない、とシャウマン氏は述べた。深刻な問題が浮上するのを数週間待つか、Linux環

Linux

SDLの上にXlibを再実装、libx11-compat公開

X11アプリのソースコードを一切変更せずに、macOSやWayland環境で動かす。そんな互換レイヤーが公開された。 X11を捨てられない現実に向けた、もう一つの答え GNOMEがX11バックエンドを完全削除し、KDE PlasmaもX11セッションの廃止に向けて動いている。Linuxデスクトップの表示基盤はWaylandに収束しつつある。それでも、何十年もX11のAPI（Xlib）に依存してきたアプリケーションは残り続ける。台湾・国立成功大学のホアン・チンチュン（Ching-Chun "Jim" Huang）氏が開発するlibx11-compatは、この問題への新しい回答だ。XlibのクライアントライブラリをSDL（SDL2/SDL3）、SDL_ttf、Pixmanの上にインプロセス（同一プロセス内）で再実装し、Xサーバーなしで既存のX11アプリを動作させる。設計上の要点は「Xサーバーの代替ではない」という割り切りにある。libx11-compatはX11のワイヤプロトコルを再実装するものではなく、Xlibのクライアント側APIだけをSDLの描画・イベント処理で差し

VPN

Mullvad共同創業者、ポピュリスト政党に500万SEK献金

プライバシーを最大の売りにしてきたVPNサービスの創業者が、移民排斥を掲げる政党に個人資産から約8400万円を注ぎ込んだ。もう一人の共同創業者も公然と距離を取り始めている。 500万SEKの個人献金スウェーデン発のVPNサービスMullvad（スウェーデン語で「モグラ」の意）の共同創業者ダニエル・ベルントソン（Daniel Berntsson）氏が、ポピュリスト政党エーレブロ党（Örebropartiet）に500万スウェーデンクローナ（約8400万円）を個人献金していた。6月末、スウェーデンの左派紙Flammanの報道で明らかになった。エーレブロ党は2014年にスウェーデン中部の都市エーレブロで結成された地域政党で、党首のマルクス・アラード（Markus Allard）氏は左翼党の元党員だ。就学前教育や歯科医療の無償化、週30時間労働といった左派的政策を掲げる一方で、移民の大幅削減と「大規模な再移住（remigration）」を推進している。移民に母国への帰還を促す、あるいは強制する政策であり、「極右」との批判を受けている。ベルントソン氏の500万SEKは、Flamm

セキュリティ

GNOME、セキュリティ開示を90日から30日に短縮

AI生成の脆弱性報告が大半を占める状況を受け、GNOMEがセキュリティ情報の開示ポリシーを改定する。担当者は11月での退任も表明した。 90日の形骸化 GNOMEのセキュリティイシュー追跡を担うマイケル・カタンザロ氏（Michael Catanzaro）が7月20日、脆弱性報告の開示期限を90日から30日に短縮すると発表した。2026年8月1日以降に報告されたイシューに適用される。業界標準の90日は、GNOMEの実態に合っていなかった。カタンザロ氏によれば、メンテナーの対応は二つに分かれる。報告から1〜3週間で修正するか、まったく修正しないか。 90日間の猶予を設けても、メンテナーがその時間を活かすことはほぼなかった。修正が入るか期限が来るかのどちらかが先に起き、修正される場合は最初の数週間で片がつく。残りの期間は機密を維持しているだけで、誰の役にも立っていなかった。カタンザロ氏自身、AI生成報告の増加がなくても「短い期限の方がGNOMEには合う」と述べており、今回の短縮はAI対応策にとどまらない判断だと位置づけている。 AI禁止ポリシーとの衝突変更はもう一つあ

AI

トランプ政権、中国AIモデル規制に再び動く

Kimi K3の衝撃が収まらないうちに、ワシントンが動き始めた。中国製オープンウェイトAIモデルを米国市場から締め出す構想が、政権内部で再び勢いを増している。禁止ではなく、圧力で締め出す Axiosが7月20日に報じた内容は、単純な「禁止令」の話ではない。政権に近い複数の関係者がAxiosに明かしたところによると、商務省は昨年、中国の複数のAIラボをエンティティリスト（取引制限リスト）に追加することを検討した。国家安全保障局（NSA）とホワイトハウスの国家サイバー長官室も、中国AIモデルのセキュリティリスクを警告する勧告の発出を検討していたという。さらにホワイトハウスは、中国製モデルをホスティングする米国企業にセキュリティ上の責任を負わせる大統領令の案も回していた。いずれも実行には至っていない。規制によるイノベーション阻害を嫌うホワイトハウス高官が、これらの動きを潰した。AI政策の上級顧問だったスリラム・クリシュナン（Sriram Krishnan）氏もその一人だ。クリシュナン氏は6月末に退任した。Axiosの報道は、その退任後に国家安全保障強硬派の声が大きくな

AI

Hugging Face、AIエージェントによる侵入を公表

AIプラットフォームHugging Faceが本番環境への不正アクセスを検知・対処した。自律型AIエージェントが攻撃を実行し、防御側もAIで検知・分析にあたった。データセットが侵入口になった Hugging Faceは現地時間7月16日、本番インフラの一部に対する侵入を公表した。同社が過去に経験したどの事案とも性質が異なる。攻撃の全工程を自律型AIエージェントが担い、検知と事後分析にもAIが使われた。侵入口はデータ処理パイプラインだった。悪意あるデータセットが、データセット処理の2つのコード実行パス（リモートコードデータセットローダーと、設定ファイルへのテンプレートインジェクション）を悪用し、処理ワーカー上でコードを走らせた。ワーカーへの侵入後、攻撃者はノードレベルのアクセスに昇格し、クラウドとクラスターの認証情報を収集、週末の間に複数の内部クラスターへ横展開した。侵入から横展開までの攻撃フロー悪意あるデータセットを投入リモートコードローダー／テンプレートインジェクション処理ワーカー上でコード実行ノードレベルのアクセスに昇格クラウド・クラスターの認証情

MPEG-4

MPEG-4 Visual、最後の特許が失効し完全に自由へ

ブラジルに残っていた最後の1件が期限を迎え、MPEG-4 Part 2を構成するすべての特許が世界中で失効した。 DivXとXvidの時代を支えた規格 2026年7月19日、MPEG-4 Visual（MPEG-4 Part 2）に関する最後の特許が失効した。シーメンス（Siemens AG）が保有していたブラジルの特許BRPI0109962B1で、連続する画像の情報を時系列で保存・処理する方法を対象としていた。パテントプール管理団体のVIA Licensing Allianceも、これがMPEG-4 Visualの最後の特許であることを確認している。米国では2023年までに、欧州では2021年4月に関連特許がすべて切れていた。最後まで残っていたのがブラジルの1件だった。ブラジルの旧特許法では認可日から10年が保護期間となる。2016年7月19日に認可されたこの特許は、ちょうど10年後の2026年7月19日に満了した。 MPEG-4 Part 2は、2000年代のインターネット動画文化を形作った規格だ。DivXやXvidといったコーデックがこの規格を実装し、DVD1

Linux

1991年のLinuxカーネルをRustで書き直した大学生の話

トーバルズ氏が「フォークしろ」と言った2日後、35年前のカーネルをAIで書き直したプロジェクトがHacker Newsに浮上した。実用性はゼロ。だからこそ面白い。 35年前のカーネルが動いた北京航空航天大学（ベイハン大学）の学部生が、1991年にリリースされたLinuxカーネル0.11を丸ごとRustで書き直した。ハンドルネームは「Poseidon」。リポジトリ名はlinux-0.11-rs。 Linux 0.11は1991年12月8日に公開された初期カーネルで、初版（0.01）の公開から約3か月後にあたる。リーナス・トーバルズ（Linus Torvalds）氏がヘルシンキ大学の学生だった時代の産物だ。0.11はLinuxが初めてセルフホスティング（自分自身をコンパイルできる状態）に到達したバージョンでもある。 Poseidon版はこの0.11を、オリジナルのセマンティクス（動作仕様）を維持しながらRustで一から実装し直している。カーネル本体に加え、60以上のcoreutils（基本的なUnixコマンド群）、パイプラインや制御構文を備えたPOSIXサブセットのシェル、Ta

Linux

アセンブリだけでX11サーバーを書いた男のデスクトップ

ノルウェーの開発者が、x86_64アセンブリで書かれたX11サーバー「Frame」を公開した。外部ライブラリへの依存はゼロ。FirefoxとGIMPが動く環境を、この1人が日常使いしている。 Linuxカーネルの上に、アセンブリだけで積むゲイル・イーセネ（Geir Isene）氏が7月に公開したFrameは、x86_64アセンブリで書かれたX11ディスプレイサーバーだ。frame.asmという1本のファイルに約2万5000行のアセンブリが収まっている。 Mesa、FreeType、Xlib、libcのいずれにも依存しない。Linuxのシステムコールを直接呼び、DRM/KMS（カーネルのディスプレイ制御インタフェース）とevdev（入力デバイスインタフェース）を介してX11ワイヤプロトコルを実装している。ビルドはNASMでアセンブルしてリンカで結合するだけ。生成物は単一のスタティックELFバイナリになる。イーセネ氏はFrameを含む一連のアセンブリ製ツール群をCHasm（CHange to ASMの略）と呼んでいる。ウィンドウマネージャのtile、ターミナルエミュレータ

Grok

Grok Buildがオープンソース化、リポジトリ無断アップロード問題を受けた信頼回復策

xAIのコーディングエージェントGrok BuildがApache 2.0ライセンスでオープンソース化された。ユーザーのリポジトリを無断でGoogle Cloudにアップロードしていた問題を受けた対応で、84万行超のRustコードベースが公開されている。リポジトリの無断アップロードからオープンソース化へ xAIは7月15日、ターミナル型AIコーディングエージェントGrok BuildのソースコードをGitHub上でApache 2.0ライセンスのもと公開した。公開の背景には、直前に発覚したデータアップロード問題がある。セキュリティ研究者のcereblab氏が7月12日、Grok Build CLI（バージョン0.2.93）の通信をmitmproxy（通信傍受ツール）で解析した結果をGitHub Gistで公開した。解析で判明したのは、Grok Buildがコーディング作業に必要なファイルだけでなく、Gitリポジトリ全体をGit bundle（リポジトリのスナップショット）としてGoogle Cloud Storageのバケットにアップロードしていた事実だ。約12GBのテ