Yandex続報：Yandex Payが「ほぼ復旧」。カードのキャッシュバックやQR払いも戻った
RIAノーボスチ（10/22）によると、Yandexのフィンテック責任者ドミトリー・ピロゴフは「主な機能は安定して動いている」と述べた。支払いと送金は先週の初めから動いていて、貯蓄口座・預金・資金の出し入れも戻った。提携店のレジでのQR払い、Payカードのキャッシュバック、Plusポイントのルーブル交換も再開。後払い「Сплит」のカード払いは復旧中で、返済できなかった日は延滞扱いにしないという。
RIAノーボスチ（10/22）によると、Yandexのフィンテック責任者ドミトリー・ピロゴフは「主な機能は安定して動いている」と述べた。支払いと送金は先週の初めから動いていて、貯蓄口座・預金・資金の出し入れも戻った。提携店のレジでのQR払い、Payカードのキャッシュバック、Plusポイントのルーブル交換も再開。後払い「Сплит」のカード払いは復旧中で、返済できなかった日は延滞扱いにしないという。
カプコンは10/22、CAPCOM IDの情報が世界で1,177万4,247件漏れたと発表した。メールアドレスと、アカウント作成日時・最終ログイン日時・ログイン回数・最後に使ったIPアドレス。うち43件は生年月日・性別・国・ニックネームも漏れた。196件はパスワードを勝手に変えられていて、リセット済み。カード情報は含まず、ゲームへの影響もない。10/19に痕跡を見つけ、10/20に流出を確認した。ほかに、メール配信「ブラストメール」（ラクスライトクラウド）のAPIサーバー2台が侵入され、利用企業の新潟日報（最大約25.3万件）やJR四国（最大約3万件）に被害が出た。デジタル庁もサイト作成サービスStudio経由で、問い合わせ最大8,833件とワクチン接種証明書アプリの問い合わせ最大3,661件が漏れた可能性を公表した。バルテックは最初「PHPの脆弱性が原因」と出したが、同じ夜に誤りと訂正している。
AWSのCJ Mosesによると、おとりサーバー群「MadPot」が10/17、匿名化ネットワークからの攻撃の試みを記録した。最初の攻撃コード（PoC）が出回ったのは10/21 2:00（UTC）ごろで、情報公開の解禁予定は14:00（UTC）だった。今は広い範囲で攻撃の試みが起きているという。AWSは「少なくとも10/17以降のログを調べる」「パッチは時間単位で当てる」よう求め、設定変更だけで2つのCVEを完全に防ぐ方法はないとしている。
中間CAの鍵が漏れた問題を受け、取締役会で決めた（10/22）。会社は「該当CAは14時間以内に失効させ、そこから利用者向けの証明書は出ていない」とし、SSL/TLSは全世界の売上の約1%だという。「ソーシャルメディアで不釣り合いに拡散された」とも書いている。移行期間中はG1 RSAのルートを続け、パートナー経由で無料の置き換えを出す。電子署名など他の事業は影響なし。
クラウドのRailwayは10/21、環境変数を保管するシステムに不正アクセスがあり、一部が復号されたと公表した。AI推論の提供会社を狙った、基盤サービスへの一連の攻撃の一つとみていて、その会社たちにキーの失効を頼んだ。利用者には、すべての環境変数とレジストリの認証情報の入れ替えを勧めている。発表時点では全デプロイを止めていた。
OpenAIが、PHP2Shellの対応をまとめた「Patch the Planet」を公開した（10/21、HN 262pt）。CalifがGPT-5.6 Solで欠陥を見つけ、Wizも別に2件とも報告した。修正はPHPの開発者が主導し、OpenAIはCloudflareなどと調整、米政府機関（ONCD、CISAなど）にも連絡した。AIが重大な脆弱性を見つける例は「今後数か月で急増する」とみて、①上流の修正→②影響を受ける組織に準備期間→③政府と連携→④製品ごとの更新→⑤公開とサポート、の5段階の対応案を出し、意見を募っている。防御側向けに「Daybreak」の補助利用枠10億ドルも用意した。
個人開発者のSimon Edwardssonが、ターミナルのふりをする3.6億パラメータのモデル「WorldTUI」を作った（10/21、HN 474pt）。裏にシェルもファイルも無く、キー入力ごとに画面の変化を予想するだけ。vim・tmux・snakeまで動き、数コマンド前に書いた内容もたいてい覚えている。Qwen2.5-Coder-0.5Bを、Docker内で記録した33.6万セッション（約20億トークン）で調整し、学習はRTX 4090で約75時間。自分の間違いを直す練習をさせたら、テストの正解が47問中24から38に上がった。ブラウザーで動く208MBの体験版もある。
【ニュース】VTuberの犬山たまきが、AIキャラ「AI玉姫」を配信でお披露目した（Real Sound、10/21）。玉姫は「犬山たまきが女性に生まれ、歌う人生だったら」という設定のキャラ。配信コメントから話題に合うものを選んで玉姫の口調で答え、同じコメントへの重複反応や話題の繰り返しを抑える。スーパーチャットは高額のものを優先して読む。配信者の声を聞いて話すタイミングを合わせ、Live2Dの表情も切り替える。きっかけは本人の喉の弱さで、「自分が活動できない時にもキャラが生き続ける」ことを目指すという。
【ニュース】アップ・ラボが、AIキャラと会話するサービス「bonnon（ボノン）」を10/21に正式に始めた（AppBank）。「会話がかみ合わない」「設定がすぐ壊れる」への答えとして、キャラとプロンプトはすべて運営が作り、画像・動画も全点を人が確認してから出す。関係（恋人・友人・相棒など）はユーザーが決め、選んだ行動で物語が変わる。長期記憶を重視し、料金は従量課金。
【ニュース】PixAIが、AI漫画の読み切りコンテスト「PixAI Manga Contest 2026」の応募受付を10/22に始めた。自社のアニメ調モデル「Tsubaki.3」を主に使うことが条件で、16〜48ページ。コマごとの生成や、他のモデル・外部ツールでの修正や加筆も認める。金賞（1名予定）は50万円と商業制作の契約。資格審査を通った人には生成カード2,000枚を配り、読者投票は11/20から。
【ニュース】Canvaが、社内のCanva Researchが一から作った初の画像生成モデル「Craft」を出し、API（Connect API）からも使えるようにした（10/22）。最大2Kで、インフォグラフィック・ポスター・スライドなどデザイン向け。画像内の文字は55言語に対応。描く前に計画を立てるので、1枚に約50〜60秒かかる。
【ニュース】Briaが、画像の生成と編集を1つにした8Bモデル「Fibo 2.0」の重みを公開した（10/20）。Artificial Analysisの画像編集ランキングでオープンウェイトの1位。学習データはすべてライセンス済みとしている。重みは非商用（CC BY-NC 4.0）で、商用は別契約。
（Xアカウントが未設定なので、今日もHNだけで作っています）
【事実】鍵の流出から数日で、世界向けのSSL/TLS事業そのものをやめると発表。
【反応】HN 855pt・591件。「ソーシャルメディアのせいにしている」部分に皮肉が集中した。ThePrintの報道として「鍵を包む作業のスクリプトが、似た名前の弱い鍵をもう1組作り、社員がそれを間違えて使った」という説明も共有された。株価はその日20%、5日で37%下がったという書き込みや、eMudhraのワンタイムパスワードのログインも回避できるという別スレ（130pt）の紹介も。iPhoneがまだ証明書を信頼していたという声には、「Appleは10/19から止めている」という反論が付いた。
【事実】環境変数の一部が復号され、キーの入れ替えとデプロイ停止が重なった。
【反応】HN 580pt・330件。「キーを入れ替えたのに再デプロイできず、サービスが止まった」という不満が多い。OpenRouterがRailwayに関わるキーを自動で止めたという話や、「AnthropicやOpenAIのキーを他人に使われた」「Opusで約20ドル使われた」という被害報告も出た。再デプロイはPro／Enterpriseから先に戻り、Hobbyは後回しだったという。Railway側は「まず機体を立て直し、次に進路、連絡はその後」の順で動いたと説明した。
【事実】公表の4日前にAmazonのおとりサーバーが攻撃の試みを記録していた。
【反応】HN 246pt・88件。「PHP側が『Chainguardが解禁を破った』と責めた話の前提が崩れる」という指摘が上位。「Amazonは後からログを見返して10/17の試みを見つけたのでは」「試みが成功したかは分からない」と冷静な声も。ASLRを回避して動く攻撃コードがGitHubに出たという書き込みもあった。
今夜のテーマは2つです。ARTEXは、Microsoftの発表を受けて調査会社が次々に自分の観測を出し、「ARTEXだけを見ていても足りない」という声が強まった日でした。Strataは、ブラジルの有名エンジニアが長いベンチマークの結論として「家で使うならこれ」と書き、同じ日に0.2.3が出ています。
昨日のMicrosoftの発表に続いて、クラウドセキュリティ会社のWizが同じ攻撃者の別の動きを報告し、トレンドマイクロは日本を狙う別系統のAI攻撃基盤を解析して公開しました。どちらも、攻撃の速さと数は変わったが、狙われている弱点は昔からのものだ、という点でそろっています。
「野に放たれたARTEX：Storm-0940がITとソフトウェアの会社に標的を広げる」— Wiz Blog（10/22）
ARTEX in the Wild: Storm-0940 Expands Targeting of IT and Software Vendors
Wizの研究チームは、ARTEXを使う攻撃者が複数のITやソフトウェアの会社を狙っていたと報告しています。狙いはOkta、Entra、Cognitoといったログインの仕組みと、Microsoft 365との連携でした。Microsoftが報告したStorm-0940と重なる動きで、同じ基盤がほかのソフトウェア分野にも向けられている、というのがWizの見立てです。ARTEXは7月に公開され、作者が10月8日に非公開にした時点でフォークが1万2,000を超えていた、とも書いています。米SecurityWeekも10/23にMicrosoftの発表を詳しく報じています。
「サイバー攻撃AIツール『ARTEX』とは」— ITmedia AI＋（10/23）
サイバー攻撃AIツール「ARTEX」とは 中国政府と連携する攻撃者も使用、各国で悪用確認
韓国AhnLabの検証を軸に、ARTEXがどういう道具かを日本語でまとめた解説です。目標を整理する役、次の手を決める役、道具を実行する役の3つのエージェントが連携する構造を紹介し、リポジトリが消えたあとも改変版が広がっていることに触れています。作者が10/8に「学術研究用で、攻撃とは無関係。更新と公開はやめた」と表明したことも載せ、「防御の基本原則は変わらない」という結論で締めています。
「ARTEXだけではない：日本を狙う3つの攻撃基盤に見るAI関与の実態」— トレンドマイクロ（10/23）
ARTEXだけではない：日本を狙う3つの攻撃基盤に見るAI関与の実態
攻撃者自身がネット上に置きっぱなしにしていたサーバーから、ARTEXとは別系統の攻撃基盤を3つ解析した記事です。1つ目は、CyberStrikeAIという公開のAIペンテストツールが使われ、44のエージェントが作業を分担して、ほぼ自動で動く形でした。2つ目は人が主導し、AIには計画作りと道具作りを手伝わせていたもので、「正規の検査だ」という偽の前提を与えてモデルの安全策をすり抜けさせていたといいます。3つ目は道具作りなど一部だけにAIを使った痕跡です。筆者たちの結論は「AIは攻撃の規模と速度を確かに押し上げたが、攻撃者が探しているのは相変わらず『鍵のかかっていない扉』」で、公開された古いシステムや設定の不備をふさぐという守る側の優先順位は変わらない、としています。
トレンドマイクロの記事で大事なのは、「AIによる攻撃」と一口に言っても、全部を自動で回すもの、人の補助に使うもの、一部の道具作りだけのもの、と中身がかなり違うと示したことだと思います。ARTEXはその一番目の型の代表として名前が売れましたが、同じ型のCyberStrikeAIも実際に使われていて、名前を一つ追いかけても全体は見えません。WizとMicrosoftの報告を合わせると、国家系の攻撃者はログインの仕組みと他社連携を足場にしていて、ここでも新しい手口というより、昔からの弱点を機械の速さで突いている形です。守る側から見ると、ツールの名前の一覧より「外から見えている古いシステム」と「他社のアプリに渡している権限」の棚卸しが先、という話に落ち着きます。
「最高のオープンソースLLM：StrataとQwen 3.8 Flash Next」— Fabio Akita（AkitaOnRails、10/22）
Best Open Source LLM: Strata with Qwen 3.8 Flash Next
ブラジルの著名なエンジニアが、数週間かけた自前のLLMベンチマーク（v4）の締めとして、5本の記事を同時に公開しました。そのうちの1本で、RTX 5090上のStrataで動かしたQwen3.8-Flash-Nextが91点（Tier A）を取り、データセンター向けのB300で同じモデルを動かした場合との差は1.5点だった、と書いています。理由として挙げるのは、メモリの価格が高騰していまVRAMにモデル全体を載せるのは現実的でないこと、そしてStrataがVRAMを「よく使う部分の置き場」、RAMを「倉庫」として扱う設計であることです。一方で「魔法ではない」とも強調していて、速さを決めるのはメモリの帯域で、自分の5090・RAM 96GBの機材でもRAMとVRAMをほぼ使い切り、デスクトップの動作まで重くなったと書いています。自分の機材を「本気のプログラミングに使う最低ライン」とし、それでも商用モデルより少し反応が鈍いが、無料で手元で動くことを考えれば「ほぼ十分」というのが結論です。シリーズ全体のまとめはv4の結論の記事にあります。
Strata 0.2.3（10/23）
Strata 0.2.3のリリース
2日前の0.2.2に続く版で、エンジンは0.1.48になりました。主な変更は、Strix Halo（Ryzen AI Max）での速度改善、Intel Arc向けエンジンの正式な配布、新しい下書き方式DFlash2を端末版でだけ試せるようにしたこと（全部の機材で勝つと示せていないので、自動設定は従来のまま）、文脈がいっぱいになった会話の扱いの改善、HTTPS接続でOSの証明書を使うようにしたこと、Macで長いプロンプトが途中で止まる不具合の修正です。リリースノートは今回も速度の数字ごとに測った機材を書き、チームが実機で試していない機材があることや、Mac版はまだ署名待ちであることを既知の制限として挙げています。
Akita氏の記事は、Strataを褒める記事というより「どこまでの機材なら実用になるか」をはっきり書いた記事として読むのがよいと思います。点数の高さと引き換えに、RTX 5090とRAM 96GBを「最低ライン」と言い切っていて、READMEの「32GBから動く」とは使い方の前提がかなり違います。10/19に紹介した、長時間のコーディングで不安定だったというRedditのレビューとも、機材と使い方が違えば評価が割れる、という形で整理できます。0.2.3のリリースノートが今回も試していない機材や制限を先に書いているのは、こうした評価の割れ方を利用者自身が確かめられるようにする書き方だと思います。
ARTEXの話は、一つのツールの事件から、AIで攻撃を回す型そのものの話に広がりました。各社の調査がそろって言うのは、速さと数は変わったが入口は古いシステムと過剰な権限のままだ、ということです。Strataは「家で使える」という強い評価が出た一方で、その評価が高価な機材を前提にしていることも同じ記事が示しています。セキュリティ全般では、カプコンの大規模な漏えいの公表があった一方で、今週話題になったPHPの脆弱性と結びつけられていた被害の一部は原因が訂正されていて、速報の段階の原因は確定ではないと分かります。
直近24時間（2026-10-22 20:00〜10-23 19:50 JST）のX投稿から選びました。公式・報道と一般の反応を分け、宣伝、関係のない投稿、攻撃手順そのものを書いた投稿は除いています。インプレッションは取得した時点の値です。
公式・報道:
一般の反応:
研究者・作者本人:
一般の反応:
公式・報道:
一般の反応:
対象：10/22 20:50〜10/23 20:50（JST）。X検索4本、フォーラム「Introducing The X Subscription」#451〜#465。
今日は公式の新しい発表は見つかりませんでした。目立ったのは、「前はGrok Botに別のカウンターがあったのに、統合したらコーディングでBotまで止まる」という声が、名の知れた開発者からも出てきたことです。
1. 「Botが別枠でなくなった」問題、目立つ人からも
2. 利用者の体感（逸話）
3. フォーラムの新しい書き込み
5. 料金・プロモまわり（非公式・未確認を含む）
どう見るか
Botを常時たくさん回している人ほど、統合で「Botの別枠」がなくなるのが一番効いています。Botの定期タスクが多い使い方なら、まだ統合していない場合は今のプランのままにしておくほうが無難そうです。年額$192などのプロモはまだ公式で確かめられていないので、飛びつく前に料金ページで確認するのがよさそうです。
※数字は10/23 7時台に取得。主張は投稿者の意見です。「なぜ伸びたか」は反応の数からの見立てです。
除外: NiziU・JSB3・宝塚OG公演・名探偵コナン予約など「受付中」で引っかかった無関係な告知、KiraGifted440（東大の天才ランキングで中受は一行だけ）、nareit_sreit（開成出身者の働き方の話）、May_Roma（YouTuber炎上の話）。前回取り上げたサレジアン国際学園の私立小の件の続きとみられる投稿（ghjklppppd「サレ国中学24人受験23人合格」約19.5万、mayoerumother 約13.1万、strelitzia5680、JTCtrading、N2lMFxypSl0MoZX）は焼き直しとして外した。
範囲: 「中学受験 OR 中受」の日本語ポスト（リポスト・リプライを除く）を 10/20 7:34〜10/23 7:32（日本時間）で3時間ごとに全ページ取得し、表示回数で並べた。
今日は更新なし: Grok Bot使いこなし