AIコーディングツール3強が同時陥落 — 「Comment and Control」脆弱性でAPIキー漏洩の危機

2026年4月、セキュリティ研究者のAonan Guan氏が発見した「Comment and Control」という攻撃手法が、主要なAIコーディングエージェントに深刻な脆弱性をもたらしていることが明らかになった。Claude Code、Gemini、GitHub Copilotの3ツールがいずれも影響を受けた。

この攻撃は、悪意のあるコメントを含んだPRを開くだけで、AIエージェントがそのコメントを指示として解釈し、ユーザーのAPIキーや機密情報を外部に送信してしまうというものだ。従来の「プロンプトインジェクション」とは異なり、コードの実行コンテキストそのものが攻撃ベクトルになる点が特徴的。

Qiitaで報告されたこの問題は、AIエージェントが自律的にコードを読み書きする時代における、新しいセキュリティ脅威の典型例と言える。開発者がPRをレビューするだけで被害に遭う可能性があり、オープンソースプロジェクトでのサプライチェーン攻撃への悪用が懸念される。各社はすでに修正を進めているとみられるが、AIエージェントの権限設計と入力バリデーションの在り方が根本から問い直される事態だ。

英国の求職者がAI面接に「Completely horrible」— 採用プロセスのAI化に警鐘

Guardianの報道によると、英国の求職者たちがAI面接システムに対して「完全にひどい」と激しい不満を表明している。Hacker Newsでも大きな話題を呼んだ。

AI面接は採用コスト削減の手段として急速に普及しているが、求職者側からの反発が強まっている。具体的には、AIが表情や声のトーンを分析する評価に納得感がない、技術的な質問に対する回答を適切に評価できていない、人間らしい対話のニュアンスを理解できないなどの指摘が相次いでいる。

この問題は、AIを「効率化ツール」として採用プロセスに導入する際の限界を浮き彫りにしている。採用という本質的に人間的な判断をAIに委ねることの是非について、各国で議論が高まる可能性がある。日本でもAI面接の導入が進む中、参考になる事例と言える。

Phosphene: Apple Siliconでローカル動画・音声生成をオープンソースで実現

RedditのMachineLearningコミュニティで、Apple Silicon向けのローカル動画・音声生成ツール「Phosphene」が注目を集めている。LTX 2.3をベースにしており、クラウドサービスに依存せずにMac上で動画と音声の生成が可能だ。

生成AIの多くはクラウドAPI経由での利用が主流だが、プライバシーやコストの観点からローカル実行の需要は高い。特に動画生成は計算リソースを大量に消費するため、AppleのNeural EngineとGPUを活用した最適化は大きな意味を持つ。

オープンソースとして公開されている点も重要で、コミュニティによる改善や他のモデルへの応用が期待される。クリエイターや映像制作者が、自分のMacで手軽にAI生成を試せる環境が整いつつある。

ローカルLLMのハードウェア対応が拡大 — Snapdragon NPUとAMD Radeon

ローカルLLMの実行環境が大きく広がりつつある。二つの動向が注目を集めている。

まず、llama.cppがQualcomm SnapdragonのHexagon NPUに対応した。RedditのユーザーがOnePlus 12（Snapdragon 8 Gen 3）で実際に動作確認を行い、モバイルデバイスでのLLM実行が「有望」であることを報告した。これまでもモバイルでのLLM実行は可能だったが、NPUを直接活用することで効率と速度の面で大幅な改善が見込まれる。スマートフォン上でプライベートかつ高速にLLMを利用できる未来が近づいている。

一方、AMD環境でも進展がある。Redditユーザーが、Radeon 9060 XT（16GB VRAM）を搭載したミニPC（AMD 7840HS、32GB RAM）でGemma 4 24BのA4B IQ4 NL量子化モデルを実行し、25.9 tokens/secを達成したと報告している。NVIDIA環境に比べてAMDでのLLM実行はこれまでハードルが高かったが、ROCmの成熟と量子化技術の進歩により、実用レベルの速度で動くようになってきた。

Claw-Eval-Live: リアルタイムに進化するエージェントベンチマーク

Hugging Face Daily Papersに掲載された「Claw-Eval-Live」は、LLMエージェントの能力を評価する新しいベンチマークだ。従来のベンチマークが固定されたタスクセットで評価を行うのに対し、Claw-Eval-LiveはClawHubのTop-500スキルなどの公開データからタスクを動的に生成する。

具体的には105の実行可能なタスクで構成され、それぞれにフィクスチャ、サービス、タスク固有の採点機能が用意されている。コンテンツ作成、情報収集、コード生成、データ分析など幅広い領域をカバーする。

最大の特徴は「生きた」ベンチマークであることだ。固定されたテストでは一度高いスコアを出せば終わりだが、Claw-Eval-Liveは現実のワークフローの変化に合わせて評価内容が更新される。エージェントの真の実用性を測る指標として、今後の標準になる可能性がある。