#security

Githubは2026年5月20日、社内エンジニアがVS Codeマーケットプレイスに掲載されていた毒入り拡張「Nx Console」（公開からわずか11分で削除）をインストールしたことで、内部リポジトリ約3,800件が流出したと公式に認めた。脅威グループTeamPCPが犯行を認めており、1Password・Claude Code・AWSなどの認証情報が窃取されたとみられる。

Valveは、ユーザーデータを盗むマルウェアが含まれていた無料ホラーゲーム「Beyond The Dark」をSteamから削除した。ゲームをダウンロードしたプレイヤーは個人情報漏洩の可能性がある。

CloudflareがProject GlasswingでAnthropicのセキュリティ特化モデルMythos Previewを自社インフラに実戦テスト。Mythosは複数の低深刻度バグを連結して実際に動作するエクスプロイトを生成でき、シニアセキュリティ研究者レベルの推論能力を示した。

Linus Torvalds氏がAI搭載の脆弱性発見ツールによる重複バグレポートの洪水がLinuxカーネルセキュリティメーリングリストを管理不能な状態にしていると警告。AI検出バグは定義上秘密ではないとして、レポートだけでなくパッチを作成するよう研究者に求めた。

Archestraチームは、単一のイシューにAIボットコメント253件・テストなしPR27件が殺到した問題を、コントリビューターオンボーディング検証とGitの--authorフラグの組み合わせで解決。AI支援の人間貢献と純粋なボットスパムを実用的に区別する手法を公開した。

GoogleのThreat Intelligence Groupが、AIが開発した初の既知ゼロデイエクスプロイトを実使用前に検出した。人気のオープンソース管理ツールの2FAをバイパスするPythonスクリプトで、大規模攻撃が開始される前に阻止された。

Claude Opus 4.5やGPT-5.5などのフロンティアモデルが中・上級CTF問題を自動で解けるようになり、オープンCTF大会の形式が事実上崩壊したという分析がHacker Newsで260票超を獲得した。

CalifのチームがAnthropicのMythos Preview AIと協力し、Apple M5シリコンのMemory Integrity Enforcement（MIE）を回避する初の公開カーネルメモリ破壊エクスプロイトをわずか5日で開発した。Appleが5年かけて構築した主力セキュリティ機能がAI支援で突破された。

2026年5月11日、攻撃者がGitHub Actionsの3つの脆弱性を連鎖させ、42個の@tanstack/*パッケージに84本の悪意あるバージョンを公開した。影響を受けたバージョンをインストールした開発者はすべての認証情報を直ちに更新する必要がある。

AnthropicはセキュリティバグバウンティプログラムをHackerOneで一般公開した。これまでセキュリティ研究者コミュニティ内で非公開で運営されていたが、今後は誰でも脆弱性を報告して報酬を受け取ることができる。

パッチもCVEも存在しない状態でLinuxカーネルの新たな権限昇格（LPE）脆弱性Dirtyfragが公開された。全主要ディストリビューションで非特権ユーザーがroot権限を取得可能。

セキュリティ研究会社Cyeraが、Ollamaで認証なしにメモリを漏洩させられる深刻な脆弱性「Bleeding Llama」を発見した。ネットワーク公開している場合は即時パッチが必要だ。