AI News
11月8日のAIニュース
毎朝、AIのニュースから経営と仕事に関わるものを選び、出典へのリンクを付けて載せています。各項目に、編集者 小畑タカユキのひとことと、今日すぐ試せることを添えています。
-
Claude Codeの「今後は確認しない」設定ファイルに、パスワードやキーが残ったまま公開リポジトリへ
セキュリティ企業Apiiroの調査として、The Hacker Newsが11月7日に報じた。Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま `.claude/settings.local.json` に保存されることがあり、コマンドに打ち込んだパスワードやトークンも平文で残る。公開GitHub上の約10万4千件のうち1,122件に少なくとも1つの秘密情報があり、合計1,379件（データベースのパスワード379件、SSHログイン43件、AWSキー23件など）。ファイルを消してもgitの履歴やフォークには残るため、まずすべての鍵を変更してから片付けるよう勧めている。
出典
- The Hacker News11/7
小畑のひとこと
便利な「次から聞かない」が、そのまま鍵の置き場所になっていた、という話です。僕は、AIの道具が作る設定ファイルも `.env` と同じく「秘密が入っているかもしれないもの」として扱うのが安全だと考えています。ツール側の対策を待つより、自分のリポジトリを一度見るほうが早いです。
やってみよう
Claude Codeを使っているプロジェクトで `.claude/settings.local.json` を開き、パスワードやトークンが書かれた行がないか確認してください。あれば、その鍵を変更し、ファイルをプロジェクトの `.gitignore` に追加しましょう。
-
GitHub Actions、公開リポジトリの `pull_request_target` を12月2日から既定でブロック。11月10日深夜に試験停止
GitHubは、公開リポジトリで `pull_request_target` イベントを既定でブロックする変更を12月2日に実施すると告知している（当初は11月2日予定）。本番前に2回の試験停止があり、11月9日と16日の16:00〜18:00（UTC）、日本時間では11月10日と17日の午前1時〜3時。この間、対象のワークフローは実行されず、エラー注記つきの失敗として記録される。非公開・内部リポジトリとGitHub Enterprise Serverは対象外。
出典
- GitHub Changelog11/2
小畑のひとこと
AIエージェントがPRを出す機会が増えるほど、外部からのPRで秘密情報が使われる経路は締めておきたいところです。僕は、止まって困るワークフローを先に見つけておけるこの試験期間はありがたい仕組みだと見ています。明日の夜中に急に落ちて慌てるより、今日5分見ておくほうが楽です。
やってみよう
公開リポジトリを持っている人は、`.github/workflows` の中で `pull_request_target` を検索してください。使っていなければ対応不要、使っていれば `pull_request` に替えられるか、許可が必要かをメモしておきましょう。
-
Google、コード内の古いTODOコメントがAIエージェントを寄り道させると分析
Googleは11月6日、社内のコーディングエージェントの数億ステップ分の記録を分析した結果を公開した。ファイルを読むセッションの13%で `TODO(bug/...)` などのバグ参照に出会い、その6%でエージェントがそのバグに手を出した。うち83%は利用者が頼んでいない行動で、41%はすでに閉じたバグを追っていた。こうした寄り道があるセッションは、ステップが70%、トークンが77%、待ち時間が105%増えた。Googleは古いTODOを照合して消す専用エージェントを6か月動かし、数千件を削除、人のレビューでの承認率は95%超だったという。
小畑のひとこと
人なら読み飛ばすメモを、AIは「やるべき仕事」として読んでしまいます。僕は、AIに任せるほど、コードや資料の古いメモを片付けることが、そのまま費用と時間の節約になると感じています。後回しにしてきた掃除の価値が上がった、という話です。
やってみよう
自分のプロジェクトで `TODO` を検索し、もう終わった作業を指しているものを1つだけ消してみてください。数が多ければ、件数だけ数えてメモしておくのでも十分です。
-
Google DeepMind、人が導くAIエージェントで旧式の1024ビットRSAに2つの弱点を発見
Google DeepMindは11月6日、暗号の専門家がAIエージェントを導き、旧式の1024ビットRSAに2つの弱点を見つけた研究を公開した。同社は、現在主流の2048ビット以上の方式はこの手法では安全なままだと明記している。あわせて、AIを使う時代には過去の「破るのは難しい」という前提に頼らず、暗号の基準を継続的に試す必要があるとしている。
小畑のひとこと
今すぐ危ないのは古い1024ビットの鍵だけで、普通のサイトのSSLが破られたという話ではありません。ただ僕は、「昔の設定のまま動いているもの」がAIで狙われやすくなる流れの一例だと受け取りました。長く放置している機器やサーバーほど、一度棚卸しする価値があります。
やってみよう
自分が管理するサイトのURLをブラウザで開き、鍵マークから証明書の詳細を見て、公開鍵が「RSA 2048ビット以上」または「ECDSA」になっているか確認してください。
-
Meta、Museアプリの中に自分専用の小さなアプリを作れる「spaces」を開始
Metaは11月6日、AIアシスタントアプリMuseに「spaces」を追加した。やりたいことを説明すると、Museがギフト管理、日替わりの単語ゲーム、DIYの計画ボードなどの専用画面を作る。使いながら会話で手直しでき、サイドバーやメインのタブに置いたり、表示する時間を決めたりできる。ほかのアプリをつなぐと、裏で内容が自動更新される。Museが使える地域ならどこでも、11月6日から利用できるとしている。
出典
- Meta11/6
小畑のひとこと
「アプリを探す」から「話して自分用の画面を作る」へ、普通の利用者の体験が変わりつつあります。僕はWeb制作の立場から、小さな業務ツールなら作るより先に、こうした機能で足りないかを試す時代になったと感じています。ただし、つなぐアプリと見せる情報は自分で選んでください。
やってみよう
いま表計算やメモで管理している小さな一覧（買い物、案件、家族の予定など）を1つ選び、「どんな画面があれば楽か」を3行で書き出してみてください。Museに限らず、手元のAIに頼むときの依頼文になります。
要点は出典の記事をもとに編集部がまとめたものです。日時は日本時間で、出典側の公開・更新の時刻です。詳しくは各リンク先でご確認ください。
Next Step今日のニュースを読んだあとに
自社でAIをどう使うか、一緒に考えませんか。
記事で気になった事例を、御社の業務にどう落とし込むか。個別の作戦会議と、編集者による日々の発信をご用意しています。
フォームから申し込めます。現状の業務を伺い、AIで何から始めるかを一緒に整理します（オンライン・20分、大阪市内は対面可）。
AI導入の作戦会議を申し込む（無料）小畑タカユキをフォローする
AIを前提にした仕事の進め方を、毎日発信しています。