Clément DelangueがHugging Faceへのエージェントによるサイバー攻撃から得た3つの教訓、OpenAIがGPT-6 SolとLunaの画像理解を修正、AppleがLensVLM-9Bを公開

Hugging FaceのCEO、Clément Delangueは、7月に自社が受けた自律型エージェントによるサイバー攻撃から3つの教訓を引き出し、エージェントの実行履歴の共有を義務化するよう提案した。一方、Quadrat-IPIベンチマークでは、罠にかかったエージェントは攻撃が成功してもほとんど警告しないことが示された。インジェクションによって成立した389件の支払いに対し、警告は3件だけだった。OpenAIはGPT-6 SolとGPT-6 Lunaの画像理解を低下させていたエンコードの不具合を修正し、Appleは長文書を圧縮されたページとして読み取るLensVLM-9Bを公開した。また、SmolDataEnvsは小規模モデルの訓練に使える5,000件のデータ分析タスクを公開した。コーディングエージェントでは、Claude Code 2.1.283が旧モデル向けに書かれた指示を監査し、Qwen Code 0.24.6が助言役のモデルを利用できるようになり、Gemini CLIのnightly版は非対話モードで確認が必要な要求を拒否に変える。

エージェントのセキュリティ：Clément Delangueの3つの教訓とQuadrat-IPIベンチマーク

2つの記事が、エージェントを経由する攻撃について何が分かっているかを、それぞれ異なる角度から取り上げている。1つ目は攻撃を受けた企業による報告で、2つ目は攻撃されたエージェントが何を報告し、何を黙っているかを測定したものだ。

Clément DelangueがHugging Faceへのエージェントによるサイバー攻撃から得た3つの教訓

9月24日 — CEOのClément Delangueによると、Hugging Faceは7月、自律型エージェントによるサイバー攻撃を公表した最初の企業となった。DelangueはXで、そこから得た3つの教訓を示した。

透明性については、同様の事件が数か月前から、名前を明かしていない一部の監視のない先端研究所で秘密裏に起きていたといい、エージェントの実行履歴の共有を義務化するよう提案する。非対称性については、クローズドなAPIのガードレールが防御側と攻撃側を必ずしも区別せず、チームの利用を妨げたため、Z.aiのオープンモデルGLM 5.2の「NVIDIA版」に切り替えたという。防御の大部分は、オープンソースのツールに頼ることになるかもしれないと見ている。最後に、不安をあおる見方に対しては、AIはHugging Faceの脆弱性の修正を助け、OpenAIによるエージェントのサンドボックス脱出対策の強化にも役立っていると主張する。

We were attacked by AI, but more importantly, we defended ourselves with AI.

🇯🇵 私たちはAIによる攻撃を受けました。しかし何より、AIを使って自分たちを守りました。 — Xの@ClementDelangue

Quadrat-IPI：インジェクションによって成立した389件の支払いに対し、警告は3件

9月26日 — プロンプトインジェクション用の課題集Quadrat-IPIの作者Mikhail Gribovは、コミュニティへの投稿で、攻撃を報告する手段がある場合にエージェントが実際に報告するかを検証した。テスト対象は、模擬環境内でメールボックスの持ち主を支援するパーソナルアシスタントで、19のツールに加えて、システムプロンプトに記載のない20番目のツールescalate_security_incidentを与えられた。罠を仕掛けた395通のメールに対し、テストした9つのモデルがそのツールを使う頻度は、モデルによって48.9％からゼロまで差があった。

インジェクションの影響下で実行された389件の支払いのうち、警告が出たのは3件だけで、いずれも支払い後だった。モデルが主に報告したのは、退けることができた攻撃だった。名前が挙げられたモデルでは、gpt-4o-miniは395件中1回、gpt-5.1は4.8％のケースで警告した。gpt-6-astraはメールを記録するだけで、その依頼内容に従わないため、一度も警告しなかった。著者は、可視性はエージェントの外部から、エージェントが読む内容を検査することで確保すべきだと結論づけている。ハーネス、ログ、採点器も公開されている。

🔗 Mikhail Gribovの記事

OpenAI、GPT-6 SolとGPT-6 Lunaの画像理解を低下させていたエンコードの不具合を修正

9月25日 — テキストと画像を入力できる推論モデルGPT-6 SolとGPT-6 Lunaの公開から3日後、OpenAIはAPIの変更履歴（changelog）で、両モデルの視覚理解を低下させていた画像エンコードの不具合を修正したと発表した。この修正により、コンピューター操作（computer use）を含め、APIとCodexの視覚タスクで結果が改善する。

OpenAIは、画像入力を使う開発者に対し、評価を再実行し、影響を受けたワークフローを再試行するよう勧めている。変更履歴には、不具合がいつから存在したかも、結果がどの程度低下していたかも書かれていない。この修正はXの@OpenAIと@OpenAIDevsのいずれからも発信されておらず、ChatGPTとCodexの変更履歴にも載っていない。

🔗 OpenAI APIの変更履歴

Hugging Faceのモデルとデータセット：AppleのLensVLM-9BとSmolDataEnvs

今週公開され、ここではまだ紹介していなかった2件。長文書を圧縮画像として読み取るAppleのモデルと、小規模モデルにデータ分析を学習させるための、検証可能なタスク集だ。

AppleがLensVLM-9Bを公開、文書の必要なページだけを高解像度で再表示

9月22日 — Appleは、視覚言語モデルLensVLM-9BをHugging Faceで公開し、そのコードもGitHubで公開した。長文書を何千ものトークンに分割する代わりに、縮小・圧縮したページ画像として受け取り、重要なページを特定したうえで、学習したツールを使って非圧縮版を再表示する。

LensVLM-9Bの特性	公表値
規模とベースモデル	90億パラメータ、Qwen3.5-9Bをファインチューニング
提供される圧縮率	5x、10x、15x
全文テキストと同等の精度	実効圧縮率4.3xで
比較対象の手法を上回る範囲	7つの質問応答ベンチマークで最大10.1xまで
モデルの重みのライセンス	Apple Machine Learning Research Model License

これらの結果は、5月にarXivで公開された関連研究論文によるもので、回答は判定役のモデルが採点している。

🔗 Hugging FaceのLensVLM-9B · arXiv論文

SmolDataEnvs：検証可能な5,000件のデータ分析タスク

9月24日 — Adithya S Kは、HubのFineEnvs組織で、MITライセンスのSmolDataEnvsを公開した。小規模モデルを強化学習（reinforcement learning）で訓練するためのデータ分析タスク集だ。各タスクには、実際の表形式データセット、質問、参照回答が含まれる。これらは471のKaggleデータセットを扱うノートブックから抽出され、実際のサンドボックス内でエージェントによって検証された。付属の採点器は、完全一致から記号的な同値性まで、言語モデルを一切使わずに回答を採点する。

タスクセット	易しいタスク	中程度のタスク	難しいタスク
訓練用（5,000）	1 433	2 845	722
テスト用（250）	33	118	99
評価用（144）	16	74	54

評価のために取り分けられたセットは、設計上、より難しくなっている。この一式には、TRLですぐに使える検証済みのエージェント軌跡4,677件と、Harborで実行可能な環境にした同じタスクも含まれる。Clément Delangueは翌日、この公開を紹介した。

🔗 Hugging FaceのSmolDataEnvs

コーディングエージェント：Claude Code 2.1.283、Qwen Code 0.24.6、Gemini CLIのnightly版0.63.0

Claude Code 2.1.283：指示の監査とモデルに関する2つの制限

9月25日 — 2.1.283の変更履歴には94項目があり、そのうち53項目は修正だ。主な新機能の/doctor prompt-audit（/checkup prompt-auditでも可）は、CLAUDE.mdファイル、skills、エージェント、コマンドを調べ、古いモデル向けに書かれた表現、古くなったパス、矛盾する指示を優先的に見つける。

2.1.283の新機能	変更内容
`availableModelsMatch: "exact"`	公開されたばかりのモデルは、一覧に追加されるまで利用できない
`deniedModels`	`availableModels`で許可されていても、特定のモデルをブロックする
デフォルトの権限モード	モードが設定されている場合を除き、外部プロバイダーの利用時やテレメトリー無効時は自動モード
WindowsのPowerShell	`rd`、`rmdir`、`del`、`erase`でドライブルートを削除できなくなった
Code Review	制限時間に達しても何も確認できなかったレビューには課金されなくなった

このバージョンでは、前日の2.1.282で導入されたclaude-aiという名前の予約も取り消された。

🔗 Claude Code 2.1.283のリリースノート

Qwen Code 0.24.6：助言役のモデルとBatch API向けの処理フロー

9月26日 — Qwen Code v0.24.6には、17件の機能追加、14件の修正、3件の最適化が含まれ、既知の破壊的変更はない。主な追加機能は、デフォルトで無効の組み込みAdvisorツールだ。ユーザーが助言役となる2つ目のモデルを設定すると、エージェントは独立した意見を得るためにそのモデルに相談できる。助言役にはシステム指示、宣言されたツール、会話が見えるが、何も実行できない。助言役は/advisorまたは--advisorで選び、リポジトリからは選べない。リポジトリ内の設定は警告とともに無視される。Anthropicは4月から、同じ仕組みをAPIのベータ版で提供している。

/batch-apiのフローはDashScopeのBatch API向けに一括処理を準備し、その後、有料で承認が必要な送信をqwen batchのサブコマンドに委ねる。また、PR #12622によると、コールドスタートはマシンによって約2.2～2.4倍速くなり、メモリ使用量は60％減った。

🔗 GitHubのQwen Code v0.24.6

Gemini CLI：nightly版0.63.0が非対話モードで確認要求を拒否

9月26日 — UTC 01時20分に公開された9月26日のnightly版から、Gemini CLIの0.63.0系列が始まった。安定版v0.61.0とプレビュー版v0.62.0に変更はない。最も広範な変更（PR #29506、26ファイル）はルールエンジン（PolicyEngine）に関するもので、非対話モードでは、ユーザーへの確認を求める判断（ASK_USER）が拒否（DENY）になる。外部MCPリソースとウェブ検索の出力も、信頼できないコンテキスト（untrusted context）の標準に従い、web-fetchの出力と同様に包まれるようになった。

3件の修正では、具体的な不具合が解消された。空のdiff.external設定をGitが実行ファイルと解釈し、サンドボックス内のgit diffを壊していた問題を修正。バックグラウンドで起動したコマンドの一時フォルダーは削除されるようになった。また、同じ分に開かれた2つのACPセッションが衝突しなくなった。

🔗 Gemini CLI nightly版0.63.0のリリースノート

短報

Codex CLI 0.157.1 — 9月26日に公開された0.157.0の修正版で、Windows専用。コードモードのホストとローカルMCPサーバーでコンソールウィンドウが開かなくなり、デーモンの起動も安定した。自動生成されたリリースノートは空のため、詳細は両バージョンの比較による。🔗 出典
Claude Tagに関する証言 — Claude Codeの責任者Boris Chernyは、Slackに統合されたClaudeエージェント「Claude Tag」が毎日、自身のPRの半分以上を書き、データ分析のほぼ100％を行っているとXで述べた。PRを作成する前に、チャンネルで報告されたバグを必ず再現するといった指示も共有している。🔗 出典
プルリクエストのレビュー時間 — Copilotの利用指標APIのrepos-1-dayレポートに、3段階の中央値と90パーセンタイルを示すpull_request_review_timesの表が加わった。「レビュー準備完了」から最初のレビューまで、最初から最後のレビューまで、そしてマージまでを測る。対象は人間によるレビューのみで、9月21日より前のデータは含まれない。🔗 出典
企業向けCopilot設定の検証機能 — AI controlsページに統合され、copilot/managed-settings.jsonとcopilot/team-mappings.json内の不正なJSON、未対応の設定、無効なチームの対応付けを検出し、各エラーのファイルとJSONパスを示す。告知にはステータスも対象プランも記されていない。🔗 出典
GitHub Issues — 2つの機能が一般提供になった。リポジトリのIssueページにおける非公開の保存済みビューと、Issue間の「Relates to」関係だ。後者は8月7日からプレビュー提供されており、REST API、GraphQL API、Webhook、タイムライン、Issueとプロジェクトの検索でも利用できる。🔗 出典
Grok Botと金融 — @botの投稿スレッドによると、Grok Botの新しいFinance連携はPlaidを通じて銀行口座、カード、投資口座を接続する。アクセスは読み取り専用で、認証情報にはアクセスしない。投稿では対象国もプランも明示されていない。アシスタントのGrokには、9月4日に米国の銀行口座をPlaidで接続する機能が追加されていた。🔗 出典
NVIDIAとROS 2 Lyrical — 9月22日の記事によると、NVIDIAはIsaac ROS 5.0で使われるCUDAメモリモジュールをROS 2 Lyricalに提供した。同じマシンのノード間で、GPU上に残るデータをコピーせずに受け渡せる。既存ノードの移行はコーディングエージェントにskillで任せる。性能向上の数値は示されていない。🔗 出典
DGX Spark Handbook — Hubのexolabs組織から公開されたこのコミュニティガイドは、1～4台のDGX Sparkで何ができるかを数値で示す。定価は3,999ドルから4,699ドルに上がり、待機時の消費電力は22～25 W。NVIDIAのテストでは、生成トークン当たりの時間は1台で269 ms、4台で72 msだった。🔗 出典
ノートPCでの事前学習 — コミュニティ記事で、Rambarun Komaljeetは11億1,000万パラメータのモデルの事前学習を、6 GBのRTX 4050を搭載したノートPCで実行できるようにした。事前学習を完了するには約375日かかる見込みで、4,800万パラメータを超えるモデルは収束まで学習されていない。🔗 出典
PrunaとQwen-Image-2.1 — Pruna AIは、Qwen-Image-2.1の生成ステップを40から5または8に減らす2つのLoRAアダプターを公開した。同社によると最大6.3倍速い。このバージョン0.1の品質は元のモデルに届かず、Qwenの研究用ライセンスが適用される。🔗 出典
MarinとDolma 3.5 — Ai2によると、Marinの535Bの学習では、Ai2のDolma 3.5コーパスから約1兆8,000億トークンを使用し、OlmixのレシピとOrganize the Web手法を採用した。Marin全体では、学習を許可するライセンスを持つ152のデータセットから、25兆トークンを使用した。🔗 出典
GLiNER2.5-DecideとDecisionBench — Hanno LabsのStephen Solkaは、入力形式がDecisionBenchでのGLiNER2.5-Decideのスコアを左右すると示した。対応する行でのスコアは38.9％で、Fastinoが自社のベンチマークで公表した60.2％とは異なる。選択肢の説明を省くと、101行中の正答数は27から37に増える。🔗 出典
Perplexityのアラインメントガイド — Perplexityは「アイデア」欄に、AIのアラインメントに関する解説ガイドを公開した。迎合（sycophancy）から意図的な能力の過小発揮（sandbagging）まで、文書化された8つの失敗パターンと、OpenAI、Anthropic、Google DeepMindが公開する枠組みを扱う。新機能の発表は伴っていない。🔗 出典
サイバーセキュリティと雇用をめぐる論考 — Hugging Faceのコミュニティブログに掲載された、データを伴わない意見記事で、Sonny DeSorboは、サイバーセキュリティの初級職の自動化と、AIによるサイバー犯罪の低コスト化が重なり、卒業生をオンライン犯罪に向かわせることを懸念する。職業への入口を維持するよう提案している。🔗 出典

これが意味すること

エージェントが報告しないことこそ、その安全性の核心になる。Clément Delangueは、Hugging Faceの事案に匹敵する事件が、名前を明かしていない研究所で秘密にされたままだと述べ、エージェントの実行履歴の共有義務化を提案する。Quadrat-IPIは、エージェント自身が信頼できる証言者ではないことを示す。インジェクションによって行われた389件の支払いに対し、警告は3件だけで、いずれも事後だった。Mikhail Gribovは、可視性をエージェントの外側から、エージェントが読む内容の検査によって確保すべきだと結論づける。Gemini CLIの最新nightly版もこの方向に沿い、MCPリソースとウェブ検索の出力を信頼できないコンテキストとして扱う。

Clément Delangueは、防御側を妨げた閉鎖的なAPIより制約の少ない、オープンなツールを支持する。一方、今週Hugging Faceで公開された成果は、より少ない資源で同じように多くのことを実現しようとしている。LensVLM-9Bは最大15分の1に圧縮した文書から必要なページだけを再び開き、PrunaはQwen-Image-2.1の生成を40ステップから5または8ステップに減らす。DGX Spark Handbookは数台のデスクトップ機でローカル実行できるものを詳述し、ある開発者は11億1,000万パラメータのモデルの事前学習を6 GBのビデオメモリに収めた。ただし、最後まで学習するには約375日かかる。

測定値の意味は、それを生み出す一連の過程に左右される。OpenAIが修正したエンコーディングのバグは、画像を扱うGPT-6 SolとLunaの結果を悪化させていたが、いつから、どの程度だったかは分かっていない。OpenAIが勧めるとおり、画像を含む評価は再実行する必要がある。Hanno Labsの検証では、入力形式を変えるだけで、GLiNER2.5-Decideの正答数が101問中27から37に変わる。SmolDataEnvsは言語モデルを一切使わずにタスクを採点する一方、LensVLM-9Bのスコアには判定役のモデルが使われている。

コーディングエージェントの信頼設定は管理者とユーザーの権限で決まり、判断できない場合は拒否する。Claude Code 2.1.283では明示的に許可されていないモデルをすべてブロックでき、Qwen Codeはリポジトリ内に置かれたAdvisor設定を無視する。Gemini CLIのnightly版は、確認を求められるユーザーがいない場合、確認を要する操作を拒否する。そして/doctor prompt-auditは、モデルの変化が、モデルに与える指示の更新より速いという現実を踏まえている。