(BUSAN.SASHIMI)
terminal
Weekly Digest // TECH_NEWS — Week 21-2026
newspaperWeekly Report

48時間で5件のSupply Chain Attack：1… — 2026年 第21週 テクノロジーニュース

Industry shifts, security alerts, hardware, and AI/ML

calendar_todaysummarizeWeek 21-2026bolt2 CRITICAL
セキュリティ

48時間で5件のSupply Chain Attack：1 Layerの保護だけでは不十分

2026年5月18〜19日の48時間で、ソフトウェアサプライチェーンの全レイヤーを標的にした5件の攻撃が相次ぎました。220万インストールを持つNx Console VS Code拡張機能への毒入れ、actions-cool/issues-helperを含むGitHub Actionsの侵害、自己複製型npmワーム（Mini Shai-Hulud）、MicrosoftのdurabletaskパッケージへのトロイアンPyPI、そしてGitHubが約3,800件の内部リポジトリ流出を公表する事態となりました。SCA・SAST・EDRなどの従来ツールはCI/CDランナーのランタイム監視や開発者マシンのIDE拡張追跡に対応しておらず、これらの侵害を防げませんでした。StepSecurityは、Harden Runner、Dev Machine Guard、Compromised Actions Policy、Threat Center、Secure Registryを組み合わせたパイプライン全体の多層防御が不可欠と訴えています。

48時間で5件のSupply Chain Attack：1 Layerの保護だけでは不十分
Read Articlearrow_forward
Video · AI

AGIへの二つの対立する賭け：Google I/O 2026 Highlights

Google I/O 2026でDemis HassabisはAGIがあと数年で到来すると宣言し、VEO（動画生成）、Nano Banana（画像生成）、Genie（インタラクティブシミュレーション）を統合した新マルチモーダルモデルGemini Omniを主要なステッピングストーンと位置づけました。これはOpenAIがかつてSoraに対して行った主張と類似しています。Gemini 3.5 FlashはFinance Agent V2やチャート推論ベンチマークで他モデルを上回りましたが、Claude Opus 4.7やGPT-5.5と比べるとバイブコーディング課題では若干劣る結果でした。GoogleとOpenAIはSynthIDウォーターマーク採用と米国防総省とのAI契約で協調姿勢を見せています。本動画は、Andrej KarpathyがAnthropicに加わって事前学習研究に取り組む事例を挙げながら、テキストのみの推論による再帰的自己改善でAGIを目指すOpenAIのアプローチとGoogleのワールドモデルアプローチの根本的な分岐を描き出しています。

AI_INFOGRAPHIC
AGIへの二つの対立する賭け：Google I/O 2026 Highlights — infographicWATCH_VIDEOarrow_forward
Article · セキュリティREAD TIME: 17m

Mini Shai-Hulud再攻撃：npm Wormが数百の@antv Packageを侵害

2026年4月から追跡しているMini Shai-Hulud npmサプライチェーンワームが5月19日に新たな攻撃波を展開し、アリババのデータビジュアライゼーションスイート@antv（@antv/g2、@antv/g6、@antv/l7、@antv/s2、@antv/x6など）の数百パッケージと、週間ダウンロード約110万件のecharts-for-react、timeago.jsが侵害されました。Bunをpreinstallフックで実行するインストール時ペイロードは、GitHubトークン、npmトークン、AWS認証情報、Kubernetesサービスアカウントファイル、SSHキーなどを収集してt.m-kosche.comへ流出させます。今波の新機能として、.vscode/tasks.jsonと.claude/settings.jsonに永続化アーティファクトを書き込むため、問題のあるパッケージを削除するだけでは対処が完了しません。盗んだトークンを使いDuneテーマの名前を持つ不正GitHubリポジトリが2,700件以上作成されています。

READ_FULL_LOGarrow_forward
Article · セキュリティREAD TIME: 8m

VS Code Extensionの無法地帯とPoisoned ExtensionによるGitHub侵害

2026年5月18日12:30 UTCに、盗まれたGitHub投稿者トークンを使ってNx Console VS Code拡張機能（220万インストール、認証済みパブリッシャー）の悪意あるバージョン18.95.0がVisual Studio Marketplaceに公開されました。Microsoftはアップロードを検知できず、メンテナーは6分後に通知メールを受け取り、12:47 UTCに削除が完了するまで18分間の露出ウィンドウが生じました。OpenVSXでは36分間の露出でした。VS Codeの自動更新はExtensionsサイドバーが開いていたりマーケットプレイスクエリが実行中であれば数分以内に動作し、12時間タイマーを待つわけではありません。2025年11月のAsyncAPI拡張の事例では、悪意あるv1.0.1が約1か月間開発者マシンで実行され続け、1日100〜200件のリポジトリが侵害されました。Aikidoは拡張機能インストールに48時間の最小経過時間ポリシーを設けることを推奨しています。

READ_FULL_LOGarrow_forward
Article · セキュリティREAD TIME: 7m

削除したGoogle API Keyが悪用できるほど長く動き続ける

Aikido Securityの調査によると、Google APIキーを削除しても即座に無効化されないことが判明しました。10回の試験で最大の失効ウィンドウは約23分、中央値は約16分、最短は8分でした。この間、漏洩したキーを持つ攻撃者はGemini、BigQuery、Mapsなど有効なすべてのGCP APIに認証リクエストを送り続けることができます。地域的な不整合も問題を悪化させ、ある試験では削除1分後にus-east1 VMでは82%のリクエストが成功したのに対し、asia-southeast1では32%にとどまりました。一方、サービスアカウントキーの失効伝播は約5秒、新型Gemini APIキー（AQ.プレフィックス）は約1分で完了します。Googleは当初このレポートをwon't fixとしましたが、公開開示後の2026年5月22日にP0バグとして再分類しました。より速い失効機能が提供されるまでは、キー削除を30分の作業として扱い、その間GCPの認証情報別トラフィックグラフを監視することが推奨されます。

READ_FULL_LOGarrow_forward
Article · ブラウザREAD TIME: 4m

Web Serial APIがFirefox 151 Desktopに対応

Firefox 151デスクトップ版からWeb Serial APIがサポートされ、ネイティブソフトウェアなしにWebアプリケーションからマイクロコントローラ、開発ボード、3Dプリンター、USB電力計などシリアル接続ハードウェアと直接通信できるようになりました。Espressif ESP32チップ、Raspberry Pi Pico、LEGOデバイスなどUSBまたはBluetoothでシリアルポートを公開するあらゆるハードウェアが対応します。MozillaはAdafruitと協力し、Web Serial搭載のOPEN INSTALLERツールによるCircuitPythonファームウェアインストールなど実際のワークフローで実装を検証しました。セキュリティ面ではnavigator.serial.requestPort()によるサイト・ポートごとの明示的なユーザー許可が必要で、Web MIDI APIから導入したadd-on gatingも採用されています。Firefox Enterpriseではデフォルトで無効化されており、DefaultSerialGuardSettingポリシーで制御できます。MozillaはWHATWG Workstreamの新提案を通じて標準化を推進しています。

READ_FULL_LOGarrow_forward
Article · ブラウザREAD TIME: 4m

未来へ向けたFirefox Design：Project Nova

Mozillaは2026年後半にFirefoxへ適用予定の大規模デザインリフレッシュ「Project Nova」を発表しました。既存の要素の刷新をコンセプトとし、アクティブタブを際立たせる微妙なグラデーションを持つ柔らかいタブ形状、より丸みを帯びて統一感のあるUIコンポーネント、ライト・ダークテーマ向けアイコンの刷新、余白の再調整、火をイメージした深いスモーキーパープルと温かいグローを基調とした新カラーパレットが含まれます。ユーザーの要望に応えてコンパクトモードも復活します。プライバシーコントロールはインターフェース前面に配置され、新しい設定画面はAI機能を完全無効化するトグルやEnhanced Tracking Protectionの調整をより分かりやすい言語で提供します。パフォーマンス面では過去1年間で主要ページのコンテンツ読み込み時間が9%改善されました。タブグループ、分割ビュー、縦型タブへのアクセスが改善され、追加のテーマ・壁紙カスタマイズオプションも予定されています。

READ_FULL_LOGarrow_forward
summarizeDigest_Summary

2026年5月18〜19日の週には、開発パイプラインのあらゆるレイヤーを同時に狙った前例のない48時間のサプライチェーン攻撃の波が発生しました。Mini Shai-Hulud npmワームが大規模な新たな攻撃波を展開し、Bunをpreinstallフックで実行して@antv系パッケージ（@antv/g2、@antv/g6、@antv/l7、@antv/s2、@antv/x6を含む）、週間ダウンロード約110万件のecharts-for-react、timeago.jsを侵害し、GitHubトークン・AWS認証情報・SSHキー・Kubernetesサービスアカウントファイルをt.m-kosche.comへ流出させました。特にこの波では.vscode/tasks.jsonと.claude/settings.jsonに永続化アーティファクトを書き込むため、パッケージ削除だけでは対処が不完全です。別途、Nx Console VS Code拡張（220万インストール）では盗まれたトークンにより悪意あるバージョン18.95.0が18分間公開され、GitHubは約3,800件の内部リポジトリが流出したと公表しました。

Google APIキーの失効には中央値16分（最大23分）の遅延があり、その間は盗んだキーがGemini・BigQuery・Mapsに対して完全に機能し続けることが明らかになりました。AikidoはこれをGoogleに報告しましたが、Googleは当初won't fixとして閉じ、公開開示後の5月22日にP0バグとして再分類しました。比較として、サービスアカウントキーは約5秒で失効します。

明るいニュースとして、Firefox 151がデスクトップ向けWeb Serial APIを出荷し、ネイティブソフトウェアなしでESP32チップ・Raspberry Pi Picoなどのシリアルハードウェアと通信できるようになりました。AdafruitのOPEN INSTALLERワークフローで検証済みです。Mozillaはやわらかいタブ形状・丸みのあるUI・炎に着想を得たカラーパレット・コンパクトモードの復活・前面に配置されたプライバシーコントロールを含む大規模なFirefoxデザインリフレッシュProject Novaを発表しました。Google I/O 2026でDemis HassabisはVEO・Nano Banana・Genieを統合したGemini Omniを発表し、AGIがあと数年で到来すると宣言しました。

Key Takeaways
  • Mini Shai-Hulud npmワームの最新攻撃波は週間約110万ダウンロードの@antv系パッケージを侵害し、.vscode/tasks.jsonと.claude/settings.jsonに永続化を書き込みます。問題のあるパッケージバージョンを削除するだけでは対処が不完全です。
  • Google APIキーの削除は伝播に中央値16分（最大23分）かかります。キーのローテーションは30分の作業として扱い、その間はGCPの認証情報別トラフィックグラフで不審なアクセスを監視してください。
  • Firefox 151がデスクトップ向けWeb Serial APIを出荷し、Chrome/Edgeと並んでクロスブラウザカバレッジが完成しました。ネイティブソフトウェアなしにWebアプリからマイクロコントローラや開発ボードと通信できるようになりました。