# 4ソース横断学習 2026-06-07

X timeline(@GokouMutsumi 100件)/Qiita(30件)/Zenn(30件)/YouTube登録フィード(20件)を網羅収集し、価値ある一次情報10件を深掘り。**今回の横断テーマ=「AIエージェントのセキュリティ運用」に強く収束**（前回 id=514/516/519 のセキュリティ社会実装フェーズの続き）。

## 情報源
- X timeline: vvv API group_id=315, 100件（importance_score順 top25 精査）
- Qiita trend: stocks>30, 30件（likes順 top20 精査）
- Zenn trend: order=daily, 30件（liked順 top20 精査）
- YouTube: subscriptions feed, 20件（Chrome Cookie・yt-dlp字幕解析）

---

## 主要な発見

### ★1. Claude Code に重大脆弱性 — v2.1.128 未満は即更新必須（YouTube bB3RJIiS6Sc・ずんだもん解説）
- **Microsoft研究チームが発見**したプロンプトインジェクション脆弱性。**CI/CD環境**でClaude Codeを使うとGitHub上のAPIキー・クラウド認証情報が漏洩しうる
- **攻撃手法**: GitHub issue/PRに悪意ある指示を隠す→AIが命令と誤認→認証ファイルを読み外部送信。攻撃者が制御するドメインからのレスポンスで安全ガードをバイパス。**既存のシークレットスキャンツールでも検知できなかった**巧妙さ
- **タイムライン**: 4/29報告→**5/5に修正版 v2.1.128 リリース**（1週間足らずの迅速対応）。HackerOne経由のバグバウンティ報告
- **教訓**: ①CI/CDでエージェントを動かす時は**最小権限の原則**徹底（書き込み権限なしユーザーでもワークフローをトリガーできる設定が刺さりやすい）②環境変数スクラブ機能も万全でない→**多層防御**必須 ③APIキー/認証情報をAIが勝手に読める場所に置かない
- **背景**: 3月の50万行ソースコード流出事件の延長線上。一度大流出すると攻撃者が弱点を見つけやすくなる

### ★2. Anthropic 公式 eBook「Zero Trust for AI Agents」（X nobel_824・公式PDF精読）
- 2026-05-27公開の931KB公式PDF。前回 id=519 で触れた36pセキュリティガイドの体系版。「エージェントは初日から"侵害されている"前提で設計せよ」
- **7つのコントロールドメイン**: ①Identity & Access(暗号的エージェント認証) ②Data Protection ③Network Security(マイクロセグメンテーション) ④Threat Detection ⑤Incident Response ⑥Supply Chain Security ⑦Compliance & Governance
- **3つの成熟度レベル**: L1 Initial(基本ログ・手動対応)→L2 Intermediate(自動制御・継続監視)→L3 Advanced(プロアクティブ脅威ハント・ML異常検知・完全な暗号検証)
- **5つのエージェント固有脅威**: プロンプトインジェクション / ツールチェーン汚染(**実際に悪意あるMCPサーバーが発見済み**) / サプライチェーン攻撃(MCPサーバー脆弱性・パッケージポイズニング) / モデルバックドア(safety訓練を生き残るsleeper agent) / 横移動(エージェント→サービス接続の悪用)
- **暗号的アイデンティティ + 短命トークンが Foundation baseline**: ローテーションありの静的APIキーですら「侵害済み」とみなす。**token TTL ≤15分**・mTLS・X.509証明書・署名鍵90日ローテ。NIST SP 800-207参照
- **実績**: テストでジェイルブレイク試行の**95%をブロック**（レイテンシ増は最小）

### ★3. Qiita「AIセキュリティ地獄絵図2026」(emi_ndk・♥206) — CVE/攻撃手法/防御策の総覧
- **CVE-2026-7482「Bleeding Llama」**: OllamaのCVSS 9.1致命的脆弱性。約30万台のサーバーが影響。ヒープ境界外読み取りでプロセスメモリ全体を漏洩。**認証不要・3回のAPI呼び出しで完了**。APIキー/会話履歴/認証情報が抽出可能 → **Ollamaは 127.0.0.1 のみバインド必須**（shadow は既に対応済み・instinct参照）
- **AI生成ゼロデイ(2026-05-11)**: Googleが初めて「AI生成と高確信度で判断」したゼロデイを阻止。2FAバイパス脆弱性
- **2026主流攻撃**: 間接プロンプトインジェクション / EchoLeak(SharePointから機密窃取) / エージェントの正規API呼び出しでのデータ窃取
- **OWASP LLM Top 10 2026**: ①プロンプトインジェクション ②**過度な権限委譲(最重要)** ③不適切な出力処理 ④機密情報漏洩
- 防御: n8n `N8N_BASIC_AUTH_ACTIVE=true`/`N8N_ENCRYPTION_KEY=$(openssl rand -hex 32)`、読み取り専用DB、`allowed_tables`ホワイトリスト、Nginx IPホワイトリスト+レート制限

### ★4. Qiita「Claude Code 社内導入ガードレール5項目」(ennagara128・♥177)
1. **`.claudeignore`** で機密ファイル除外（`.env`/`*.key`/`*.pem`/`credentials.json`/`secrets/`/`data/customers/`）→ Claude Codeが絶対に読まなくなる
2. **CLAUDE.md に禁止事項明記**（環境変数値の出力禁止・認証情報ハードコード禁止・本番DB無許可操作禁止）→ shadow は既に充実
3. **Hooks で危険操作ブロック**（`rm -rf`/`DROP TABLE`/`DELETE FROM users`/main直push を実行前停止）
4. **本番環境変数の分離管理**（ローカル`.env`はダミー値・本番値は`.claudeignore`対象の`secrets/`）
5. **Skills で承認フロー組込**（事前宣言→影響範囲→バックアップ→ステージングテスト→人間最終承認）

### ★5. Qiita「17万スターCLAUDE.mdに学ぶ運用術」(4q_sano・♥153)
- 能力拡張でなく**「行動制御」**が核心。4原則: ①**Think Before Coding**(実装前に対象ファイル・前提・曖昧点を明示・推測実装しない) ②**Simplicity First**(要求外機能を足さない・過剰抽象化禁止) ③**Surgical Changes**(依頼関連ファイルだけ・「ついで修正」厳禁) ④**Goal-Driven Execution**(成功条件を検証可能な形で・テスト追加)
- 実務ルール: 読んでないコードを推測しない・新依存を勝手に追加しない・公開API仕様を勝手に変えない
- → shadow CLAUDE.md/AGENT.md の Anti-goals と完全に同方向（Surgical Changes = Minimal Change Engineer 思想）

### 6. Zenn「開発者が攻撃対象になった時代のCI/CD」(catatsuy・♥71)
- 開発者は強権限(GitHub/npmトークン・クラウド認証)で攻撃の主標的。AIコーディング普及で**セキュリティ知識不十分なまま強権限を持つ人が増える**
- 対策ツール: **Takumi Guard**(npmレジストリプロキシで悪性パッケージブロック)・**cicd-sensor/Takumi Runner**(eBPFでプロセス/ネット/ファイル操作を記録)
- 方針: npm install/npx を sandbox 隔離・「検知と証跡保存から始める」段階導入・基盤を常に作り直せる状態に(週1以上デプロイ)

### ★7. Zenn「ultracodeでアイデア出しを安く回す — Dynamic Workflowsコスト実測」(marvelousu・♥5)
- **最大削減幅: Opus換算約68%・実測請求額約74%減・実行時間46%短縮**(174秒→93秒)
- **3つのレバー(優先順)**: ①**単価削減(最大効果)**=工程ごとにモデル価格帯変更(調査=Haiku/発明・採点=Sonnet/選別・設計=Opus)で実測65%減 ②エージェント数削減(採点6並列→1バッチでトークン33%・請求39%減・実時間不変=律速工程が不変) ③キャッシュ温度管理(初回$1.07→完全温暖$0.33=3.2倍差・並列エージェント間はプレフィックス共有無効)
- **モデル選択の品質基準(非自明な重複検出の採点精度)**: Opus 34-38点(正確)/Sonnet 18-28点(ほぼ同等)/**Haiku 52-72点(見抜けない)** → **「発明と採点はSonnet必須」**。これは既存ルール「判定はHaiku」への重要な反証データ＝**非自明判定はHaikuでは精度不足**

### 8. ローカルAI/世界モデル(techno-edge 生成AIウィークリー・X shiropen2 score80)
- **MiniCPM5-1B**(OpenBMB): 約10億パラメータ・スマホ/PCで直接動作・1Bクラス最高水準・思考プロセス付き推論の切替・デスクトップペット付き。※中華系(OpenBMB=面壁智能)なのでローカル実行のみ許容
- **γ-World**(NVIDIA+清華大): マルチプレイ環境をリアルタイムシミュレート・毎秒24フレーム・2人用→4人用を追加学習なしで拡張
- SkillOpt(MS・エージェント指示書を継続改善・52通り全てで最良)/LocateAnything(NVIDIA・物体検出2.5倍速)/LongCat-Video-Avatar 1.5(Meituan・MIT商用可)

### 9. Block「Goose」OSS自律コーディングエージェント(X L_go_mrk score73)
- Jack Dorsey の Block 製・**35,000 GitHub stars**・任意のLLMをバックエンドに使えるベンダーロックインなしの自律コーディングエージェント。プロジェクトをゼロから構築・コード実行・デバッグ・ワークフロー編成を自律実行。開発時間を最大20%節約。Anthropicと共同でMCP開発
- → shadow は既に goose 導入済み(9router経由・Issue vvv-bots#317)。instinct「goose に cat で調査させると行番号幻覚」あり

### 10. Mythos 5 リーク & GPT-5.6(YouTube fRjWpcA40hs・WorldofAI)
- Anthropic dev mode に **Claude Mythos 5** のモデルスラグがリーク（API catalog に一瞬出現）。red teaming開始の兆候=近日リリース(今月〜来週か)。**Mythos 5は独立モデルクラス**(haiku/sonnet/opus と並ぶ新カテゴリ)として登場見込み
- **価格リーク**: $25/1M input・$125/1M output = **Opus 4.8 の約5倍**(glasswing blog 由来・未確定)。Minecraftクローンを鉱石/クラフト/ブロック破壊機能込みで生成するデモ
- GPT-5.6 新チェックポイント(dual-alpha と同等)・DeepSeek UI刷新・Artificial Arena に stealth model「Purple」(動物動画が高リアル)

---

## アクションアイテム
1. **【最優先・即実装】shadow の Claude Code バージョンを確認**し v2.1.128 未満なら更新（CI/CD脆弱性）
2. **`.claudeignore` の有無を確認**し、なければ shadow workspace に作成（`.env`/`*.key`/`*.pem`/`secrets/` 除外）
3. **「非自明判定はHaikuで精度不足」を multi-model-routing に追記**（ultracode実測の反証データ＝判定でも採点系はSonnet推奨へ）
4. ultracode の「単価削減=工程別モデル価格帯」3レバーを symphony-loop/goal-judge のコスト設計に反映
5. Zero Trust eBook の「token TTL ≤15分・静的APIキーは侵害済みとみなす」を security Issue(#511/#512)に反映
6. Takumi Guard(npm悪性パッケージブロック)を npm サプライチェーン対策候補として #532 に記録

## 横断的考察
前回(id=514/516/519)の「価値はハーネス+自社Eval+セキュリティ運用へ移行」が、今回さらに**「セキュリティ運用」に実害ベースで具体化**した。Claude Code自体の脆弱性(v2.1.128)・Ollama CVE・悪意あるMCPサーバー発見 など、抽象論でなく**自分の環境(shadow)に直接刺さる実害**が並んだ。「自分のAIエージェントを信用するな」が標語から運用必須事項へ。