OpenAIが遠隔から悪用できるBrotliの脆弱性を発見、Claude Code 2.1.310はMonitorをBedrockに開放、Copilotは外部ツールの要求を集計

学習環境の隔離を検証する中で、OpenAIはNode.js、Bun、Envoyに組み込まれている圧縮ライブラリBrotliに、認証不要でリモートコードを実行できる脆弱性を発見した。CVE-2026-111497として登録され、すでに修正されているが、この発見は前日の同社の記事には記載されていなかった。コーディングエージェントでは、Claude Code 2.1.310がMonitorツールをBedrock、Vertex、Foundryで利用可能にし、Gemini CLIのナイトリー版がモデル一覧のJSON出力に対応し、Qwen Codeはv0.26.1に更新された。また、GitHubはCopilot指標APIで、OpenCode、Claude Code、Codexなどの外部ツールからの要求を集計するようになった。

OpenAIがBrotliに認証不要のリモートコード実行の脆弱性を発見、Node.js、Bun、Envoyで修正済み

10月23日 — 最先端モデルの学習環境を保護する取り組みについて、昨日ここで紹介した記事を公開した日の夜、OpenAIは記事に含まれていなかった情報をXに追加した。同じ模擬攻撃（レッドチーミング）の取り組みで、多くのソフトウェアに組み込まれている圧縮ライブラリBrotliに、認証不要のリモートコード実行の脆弱性を発見していた。悪意のある圧縮データを渡すだけで悪用でき、アカウントの作成は不要で、サーバー側とクライアント側のどちらも攻撃対象になる。

That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl —compressed”) could be taken over by a malicious server.

🇯🇵 つまり、圧縮データを受け入れる未修正のサーバーは悪意のあるクライアントに乗っ取られるおそれがあり、圧縮データを受け入れる未修正のクライアント（「curl —compressed」など）は悪意のあるサーバーに乗っ取られるおそれがあります。 — @OpenAIのX投稿

根本原因は2月の時点でBrotliのソースコード上で修正されていたが、誰も脆弱性とは認識しておらず、その後は新バージョンも公開されていなかった。OpenAIはBrotliとNode.jsなどの下流プロジェクトに通知し、Brotliは新バージョンとCVE-2026-111497を公開した。Patch the Planetの脆弱性解説ページによると、Node.jsのセキュリティ勧告では、報告者としてOpenAIのCodex Securityチームが記載されている。EnvoyとIstioが影響を受けるのは、Brotliを展開する設定になっている場合に限られる。この脆弱性はプロセスの異常終了やメモリ情報の漏えいも引き起こし得るが、同ページにはCVSSスコアの記載がない。

対象ソフトウェア	修正済みバージョン
Node.js	22.23.4、24.22.1、26.12.1
Bun	1.4.4（Brotli 1.2.1を同梱）
Envoy Proxy	1.40.0、1.39.3、1.38.6、1.37.8
Istio	1.29.9（サポート終了済みのブランチ）、1.30.6、1.31.2
Google Brotli（上流プロジェクト）	1.0.10、1.1.1、1.2.1

すぐに更新できない場合、同ページはgzipまたはdeflateを維持しつつ、信頼できないデータのBrotliデコードを停止するよう推奨している。具体的には、展開処理の前にContent-Encoding: brリクエストを拒否し、HTTPクライアントの自動展開と、EnvoyおよびIstioのBrotliフィルターを無効にする。CDN上で応答のBrotli圧縮を止めるだけでは不十分だ。このCVEはすでに、Cognitionのプラグインが対象とするNode.jsの脆弱性の一つとして10月22日に、その後Replitの対応として10月23日にここで取り上げていたが、OpenAIが発見者であることは示されていなかった。

🔗 Patch the PlanetによるBrotliの脆弱性解説ページ

コーディングエージェント：Claude Code 2.1.310、Gemini CLI、Qwen Code 0.26.1

24時間足らずの間に、コマンドラインで使う3つのコーディングエージェントが新バージョンを公開した。Claude Codeでは外部プロバイダーへの対応拡大、Gemini CLIではエージェントの制御、Qwen Codeではデーモンと定期実行タスクが主な変更点だ。

Claude Code 2.1.310がMonitorツールをBedrock、Vertex、Foundryで利用可能にし、14件の問題を修正

10月23日 — Claude Code 2.1.310は21時20分 UTCにnpmで、その後23時39分 UTCにGitHubのリリースとして公開され、14件の修正を含む26項目が記載された。Monitorツールは、コマンドをバックグラウンドで実行し、出力を1行ずつClaudeに返すことで、ログやファイルの変更に反応させる機能で、4月から存在していた。今回、プラグインの監視機能（プラグインモニター）とともにAmazon Bedrock、Vertex、Microsoft Foundryでも動作するようになり、テレメトリーや必須でない通信を無効にしている場合にも利用可能になった。ベータ値effort-2025-11-24や会話途中のシステムメッセージを拒否する一部のゲートウェイでは、それらを除いて再試行するようになり、Prompt is too longエラー後のコンテキスト圧縮では、base64やSVGなどの密度の高いテキストを過剰に残さなくなった。Windowsではセキュリティに関する修正もある。Git Bashがなく、フックのコマンドが引用符で囲まれた文字列だけで構成されている場合、PreToolUseとPermissionRequestのフックがツール呼び出しを通してしまっていた。Linuxでは、/sandboxがbubblewrapの起動を妨げるUbuntuのAppArmor制限と、その解除方法を明示する。クラウドセッションとRemote Controlの権限がEnterpriseのカスタムロールに組み込まれ、Claude Tagには3件の修正が入り、TypeScript版Agent SDK 0.3.310とPython版0.2.174もこのバージョンに対応する。

🔗 Claude Code 2.1.310のリリースノート

Gemini CLI：10月24日のナイトリー版がモデル一覧のJSON出力に対応し、Escキーによるキャンセルを遵守

10月24日 — 01時15分 UTCに公開された10月24日のナイトリー版v0.67.0には、前日にマージされた5件のプルリクエストが含まれる。唯一の新機能であるgemini models（または--list-modelsオプション）は、現在の設定で利用できるモデルを、識別子、名前、説明、コンテキスト上限とともに一覧表示する。-o jsonを指定すると、認証ログを標準出力に混ぜず、スクリプトで扱える配列を返すため、jqに接続できる。これは6月11日に作成された課題に対応するものだ。2件の修正はエージェントの制御に関わる。ツールの一括実行直後にEscキーでキャンセルすると、Request cancelledと表示されるものの、エージェントが再び動き出して新たなシェルコマンドを実行していた問題が修正された（PR 29868）。また、複数のルートや親フォルダーを開いているIDEでは、相対パスがアクティブなファイルのワークスペースを基準に解決されるようになった。以前はCLIが隣接するリポジトリに書き込むことがあった（PR 29838）。さらに、gemini hooks migrate --from-claudeがClaude Codeのフックのタイムアウトを秒からミリ秒に変換するようになった。30秒に設定したフックが30ミリ秒で打ち切られていたためだ。安定版v0.65.0とプレビュー版v0.66.0-preview.0に変更はない。

🔗 GitHubのGemini CLI v0.67.0-nightly.20261024

Qwen Code v0.26.1がデーモンのトークンを保持し、シェルコマンドを定期実行タスクの実行条件に設定可能に

10月24日 — v0.26.0から3日後、Qwen Codeは安定版v0.26.1に更新され、41件の機能追加と63件の修正が行われた。破壊的変更はQQ Botチャネルに限られる1件のみだ。指定に応じて、qwen daemon start --save-tokenがデーモンのアクセストークンを所有者だけが読めるファイルに保持する。また、定期実行タスクはモデルの外で実行されるシェルコマンドを実行条件にでき、プルリクエストを監視するプローブや/autofix-prコマンドの基盤となる。Managed Agentには手動でのコンテキスト圧縮と、セッションを作り直さずにMCPサーバーを管理する機能が加わり、DeepSeekの公式対応はdeepseek-flashに移行する。

🔗 GitHubのQwen Code v0.26.1

Copilotの利用指標APIがOpenCode、Claude Code、Codexなどの外部ツールからの要求を集計

10月23日 — GitHub Copilotの利用指標APIは、OpenCode、Claude Code、Codex、Zedなど、エディター外のツールがCopilot経由で送信するモデル要求を計測するようになった。これらのツールはエディターのテレメトリーを送信しないことが多く、その利用はtotals_by_ideで把握できなかった。今回、企業、組織、ユーザー別の1日間および28日間のレポートに、新しい配列totals_by_clientが追加され、サーバー側で集計されるようになった。

`totals_by_client`のフィールド	計測する内容
`client`	要求元のツール：opencode、claude_code、codex、zed、copilot_cli、vscode、jetbrains…（認識できないツールは`other`に分類）
`request_count`	成功したモデル要求
`session_count`	重複を除いたセッション
`token_usage`	プロンプトと出力のトークン数、および要求当たりの平均
`totals_by_model`	同じ指標をモデル別に集計し、選択モードも記載：`user_selected`、`auto`、`product_selected`

GitHub自身が制約も明記している。1つのプロンプトが複数のモデル呼び出しを引き起こす場合があるため、request_countをプロンプト数と比較することはできない。クライアントは、ツールが送信する連携識別子（連携ID）に基づいて可能な範囲（ベストエフォート）で判別され、その身元は検証されない。Copilot code reviewとクラウドエージェントでは、製品側が選択したモデルが報告される。この計測は、ClaudeやCodexがGitHub上で開始したタスクを数えるエージェントアプリ（エージェントアプリ）の追跡とは異なる。対象はオーナーや請求管理者、またはView Copilot Metrics権限を持つロールで、10月22日に追加されたスキル、エージェント、MCPサーバーの名前に続く拡張となる。利用実績の数値は公表されていない。

🔗 利用指標APIがOpenCodeなどのツールからの利用を追加

短報

GitHub

Copilot CLI 1.0.104-1から-3 — 3つのプレリリースが公開されたが、1.0.104の安定版はまだない。変更内容を詳述しているのは-2のみで、管理対象モデル「fusion」がfusionTierの設定でAutoのセッションを開始するようになり、対話型またはSDKのAutopilotセッションは、COPILOT_TASK_WAIT_TIMEOUT_SECONDSで終了せずにバックグラウンドタスクの完了を待つようになった。🔗 出典
TeamsのGitHubアプリを1つに統合 — GitHub notificationsアプリがGitHubアプリとなり、Copilotを統合する。通知で@GitHubにメンションすると、調査、修正、プルリクエストの作成が始まる。旧アプリは「GitHub (deprecated)」に改名された後、11月16日に廃止される。🔗 出典
EMUアカウントを復元 — 6月1日から13日にかけて、新しいプロビジョニング解除処理が原因で、SCIMによってプロビジョニングを解除された約12 285件のEnterprise Managed Usersアカウントが、停止される代わりに削除された。そのうち76件はまだ有効だった。GitHubは10月にこれらを復元しており、利用者による対応は不要だ。🔗 出典
シークレットスキャンの公開監視 — 公開リポジトリに露出した企業の認証情報を監視する機能に、アラートの並べ替え、継続的な有効性チェック、REST API、ウェブフックが加わった。引き続きパブリックプレビュー段階で、アラートを閉じても露出した認証情報は失効しない。🔗 出典

仕事向けアシスタント

モバイル版Docs Live — 10月21日の情報を補足。Docs LiveがAndroidとiOSのGoogle Docsアプリに登場した。まとまりのない内容でも、話しかければGeminiがGmail、Drive、Chat、ウェブを参照して、構造化された文書を作成する。BusinessとEnterpriseのStandardおよびPlus、Google AI ProとUltraなどで、既定で有効になっている。🔗 出典
ChatGPT EnterpriseとEduの管理コンソール — 分析機能は「利用状況」と「インサイト」に分かれ、ユーザーアンケートが「影響」タブに置き換わる。また、ドメイン確認済みのワークスペースでは、個人用ChatGPTワークスペースを移行するために7日間の猶予が設けられ、管理者はこの期間を変更できない。🔗 出典

モデルとインフラ

Tenstorrent CloudのMiniMax M3.1 Flash — Tenstorrentは、モデルの重みが公開された当日から、同社のTensixチップ上でモデルを提供している。試用環境（プレイグラウンド）やエージェント用ハーネスに接続して利用できるが、料金も処理速度も発表されていない。🔗 出典
Mistral APIのGLM 5.3 Flash — 10月22日の情報を補足。Mistralはzai-glm-5-3-flashを提供している。総パラメーター数320B、うち有効パラメーター数18BのマルチモーダルMoEで、コンテキストは1Mトークン。料金は入力100万トークン当たり0,15ドル（キャッシュ時0,03ドル）、出力100万トークン当たり0,50ドルで、Mistralで提供されるZ.aiのモデルとしては3つ目となる。🔗 出典

研究

Beetle — ケンブリッジ、EleutherAI、オックスフォードの研究者が、第二言語の学習を研究するため、小型モデル330個（英語と21言語のいずれかを組み合わせたバイリンガルモデル285個、単一言語モデル45個）を、チェックポイント、データ、コードとともに公開した。記事によると、学習に使用したトークン数は100M、2B、24Bで、リポジトリにはライセンスの明示がない。🔗 出典
VocabX — 10月21日の情報を補足。Dharma-AIは、Qwen3-4Bを用いたポルトガル語作文添削器の語彙を、各トークンのコストを軸に再構築することで、測定した推論コストを77 %削減し、品質スコアを0,703から0,810に引き上げた。数値は暫定的で、論文は査読中、コードは公開されていない。🔗 出典

これが意味すること

脆弱性の発見から修正までの一連の流れが、この欄では4日間で展開した。OpenAIは10月21日にPHP2Shellをめぐる連携の総括を公表し、Cognitionは22日にPHP、Node.js、GitLabの脆弱性の修正をエージェントに任せ、Replitは23日にファイアウォールのルールでBrotliの脆弱性に対処した。そして今、OpenAIはその脆弱性を発見したのが自社であることを明らかにしている。Brotliの事例は、難しさがどこにあるかを示している。根本原因は2月の時点でコード上では修正されていたが、誰もそれを脆弱性と認識しておらず、その修正を含むバージョンもリリースされていなかった。脆弱性だと認識し、修正版を公開し、さらにNode.js、Bun、Envoy、Istioとその利用者が追随するのを待つ必要があった。こうして、学習環境を守るために実施された模擬攻撃キャンペーンが、一般的なサーバーやHTTPクライアントで実行されるライブラリの修正につながった。

コーディングエージェントは他社のインフラに接続している。Claude CodeはAmazon、Google、Microsoftの環境でMonitorを動かし、Gemini CLIはClaude Codeのフックを正しい時間単位で取り込み、スクリプト向けにモデル情報をJSONで公開し、Qwen Codeは要求に応じてデーモンのトークンを保持する。この日の修正は、主にエージェントの制御に関するものだ。エージェントを停止できなかったエスケープキー、隣のリポジトリに書き込んでしまう相対パス、ツール呼び出しを通してしまうWindowsのフックなどである。機能不足というより、安全策が十分に働いていなかったということだ。

ガバナンスを支えるのは計測だ。Copilotは競合するエージェントにモデルを提供する役割も担っており、GitHubはスキル、エージェント、MCPサーバーの名前を追加した翌日から、OpenCode、Claude Code、Codexの使用量を、モデルごとに選択モードも含めてサーバー側で集計するようになった。管理者はようやく、自分の契約を通じてどのツールが使われているかを確認できる。ただし、クライアントの識別には、GitHub自身が明記する制約がある。OpenAIも同じ方向に進み、ChatGPT EnterpriseのAdmin Consoleを使用状況と導入状況を中心とする構成に再編した。