trending.md — 高密度トレンドシグナル

1. アリババがQwen3.8-2.4T-A95Bをオープンソース化——初のQwen-Max級フラッグシップ、2.4兆パラメータ

• ベロシティ: ▮▮▮ トレンド
• ソース: Hugging Face · 2.4T params · ~1d ago
• タグ: alibaba qwen open-weights moe llm

アリババのQwenチームはQwen3.8-2.4T-A95Bのオープンウェイトを公開した。Qwen-Max級（フラッグシップ）モデルが完全にオープンソース化されるのはこれが初めて。細粒度Mixture-of-Experts（MoE）で、総パラメータ2.4兆（トークンあたり約95Bを活性化）、レイヤーあたり512エキスパート（ルーテッド10 + 共有1）、Gated DeltaNet + Gated Attentionのハイブリッドアーキテクチャ、マルチトークン予測で訓練。ネイティブコンテキストは262Kトークンで約1Mまで拡張可能。オープン版はテキストのみ、思考モードは強制。自己報告ベンチマークはTerminal-Bench 2.1が86.6、PaperBench 93.0、GPQA Diamond 92.6、SWE-bench Pro 67.7。ウェイト（BF16で約4.9TB）はHugging FaceとModelScopeでカスタムQwen3.8-Maxライセンスの下に公開。

注目の理由: 能力曲線の最上位でオープンとクローズドの差を埋めるものだ。ダウンロード可能なQwen-Max級モデルは、これまでアリババのAPIを呼ぶしかなかったチームのファインチューニングとセルフホスティングの経済性を変える。中国ラボがフロンティア級のオープンウェイトを、米国ラボがより小型で高速なモデルを出す、という2026年の構図をさらに推し進める。

テキストのみ · 思考モードは無効化不可 · vLLM/SGLang/TokenSpeedで、またはNVIDIA GB300 NVL72ラック全体でFP8・GPUあたり4000+ tok/sで運用可能。

🔗 Hugging Face · 🔗 NVIDIA Technical Blog

2. DeepSeekがHarnessをオープンソース化——「すべてがプラグイン」なClaude Code対抗のエージェントフレームワーク

• ベロシティ: ▮▮▮ トレンド
• ソース: GitHub · 38.9k stars · ~18h ago
• タグ: deepseek agents plugin-architecture typescript cli

DeepSeekはDeepSeek Harness（v0.1、MIT）の開発者プレビューを公開した。Cordisプラグインシステム上に構築されたコーディング・オフィス向けエージェントフレームワークだ。モデル、ツール、スキル、セッション、サンドボックス、ストレージ、スケジューリング、UIはすべて組み合わせ可能なプラグインで、開発者はハーネスのコアを変更せずに設定層で機能を拡張・置換できる。4つの実行モード（Standard、PTCプログラム的ツール呼び出し、Minimal、Create）を同梱し、追記専用セッションログとTrajectoryビューで再開・フォーク・取得・再生に対応。npx @deepseek-ai/dsh webで起動する。

注目の理由: DeepSeekは「安価なフロンティアモデル」戦略をハーネス層にまで拡張し、OpenAI CodexとClaude Codeを直接狙う。「すべてがプラグイン」は、モノリシックなCLIから組み合わせ可能なエージェントランタイムへという2026年の大きな流れとも一致し、DeepSeekはスタック全体をオープンソース化している。

開発者プレビュー——互換性を破る変更が予想される · コミット12k超 · dsh-pluginトピックでプラグインを発見。

🔗 deepseek-ai/deepseek-harness · 🔗 DoNews

3. CVE-2026-72898——MetabaseのSQLインジェクションがCVSS 10.0、悪用進行中、CISA期限は今日

• ベロシティ: ▮▮▮ トレンド
• ソース: Bishop Fox · CVSS 10.0 · ~3d ago
• タグ: cve sql-injection metabase kev cvss-10

MetabaseのPOST /api/session/reset_passwordエンドポイントに未認証SQLインジェクション（CVSS 10.0）が存在し、遠隔の攻撃者はアプリケーションデータベースに任意のSQLを注入して完全な管理者権限を奪える。Metabaseが保持する、接続済みの全ウェアハウス（Snowflake、BigQuery、Databricksなど）への常設認証情報も含む。Metabaseは8月6日にゼロデイとして開示し、実際の悪用を確認。CISAは8月11日に既知の悪用脆弱性（KEV）カタログへ追加し、連邦機関の修復期限を8月14日（今日）とした。各ブランチで修正済み：x.58.24+、x.59.21+、x.60.17+、x.61.11+、x.62.9+、x.63.5+。一時回避策はパスワードリセットエンドポイントの遮断。

注目の理由: 本番データストアへの生きた認証情報を持つBIツールは理想的な踏み台だ。注入クエリ1本で接続済みの全データベースへ連鎖的に到達できる。約2500のインターネット公開インスタンスと流通する公開PoCを考えれば、未パッチのセルフホスト展開は格好の標的であり、パッチ適用だけでは過去の侵害を解消できない。

セルフホストのx.58–x.63ブランチが対象 · x.58未満は影響なし · Metabase Cloudは修正済み。

🔗 Bishop Fox · 🔗 CISA KEV

4. ClineがKanbanを公開——各カードが独自のgit worktreeで動くローカルなマルチエージェントスケジューラ

• ベロシティ: ▮▮ 上昇中
• ソース: GitHub · 1.3k stars · ~1d ago
• タグ: cline multi-agent worktree orchestration cli

ClineはKanban（Apache 2.0、リサーチプレビュー）を公開した。同一リポジトリ上で複数のCLIコーディングエージェントを並列実行するローカルWebボードだ。各タスクカードは一時的なgit worktreeを起動し（node_modulesなどgitignore対象ファイルはシンボリックリンクで共有）、エージェント同士がマージ競合なしで並行作業できる。カードは依存チェーンで連結でき、自動コミット/自動PRと組み合わせれば自律パイプラインになる。内蔵のレビューループはインラインのdiffコメントをエージェントに返す。インストール済みのCLIエージェント（Cline、Claude Code、Codex、OpenCode）を自動検出し、npx kanbanで完全ローカルに動作する。

注目の理由: 「タスクごとにworktree」は並列エージェントオーケストレーションの標準的な隔離プリミティブになりつつある（Cline CLI v3.0.3も--worktreeフラグを追加）。Kanbanはそのプリミティブを、単一コードベース上のコーディングエージェント群を操作するポイント・アンド・クリックのコントロールプレーンにした。

リサーチプレビュー——権限バイパスやランタイムフックなどCLIエージェントの実験的機能を使い、より高い自律性を実現。

🔗 cline/kanban · 🔗 Cline Docs

5. Ponytail——「最も怠惰なシニア開発者」エージェントスキル——挑戦を受けて自らベンチマークを修正

• ベロシティ: ▮▮ 上昇中
• ソース: GitHub · 82k stars · ~1d ago
• タグ: agent-skills yagni benchmark claude-code codegen

Ponytail（github.com/DietrichGebert/ponytail）はコーディングエージェントに7段の「意思決定ラダー」を注入する——それが存在する必要があるか、既に存在するか、標準ライブラリやネイティブの1行で済むかを確認してから最小限を書く（「最高のコードは、書かなかったコードだ」）。当初の「コード削減80–94%」という主張はScott LogicのColin Eberhardtに挑戦され、裸の「YAGNI原則に従え」プロンプトがそのベンチマークで上回ることが示された。作者は公平なエージェントベースライン（実際のFastAPI/Reactリポジトリで12件の機能チケットをヘッドレスClaude Codeが編集）でベンチマークを再構築し、平均約54%のコード削減、約20%のコスト削減、約27%の高速化へと公開修正した。

注目の理由: 1つのスキルを超えて、評価基準のないまま増殖するエージェントスキルというカテゴリ全体へのひな型だ。Ponytailの応答——公開された行動テストフレームワークと再現可能なベンチマーク——は「スキルは主張を証明すべき」という期待を打ち立てる。

作者は以前の数字を「タスクごとの上限を平均と誤報告したもの」と明記——Eberhardtは「本当に嬉しい」と応じた。

🔗 DietrichGebert/ponytail · 🔗 InfoQ

6. CVE-2026-63077——JetBrains TeamCityのエージェントポーリングプロトコルにおける未認証RCE、実地で悪用

• ベロシティ: ▮▮ 上昇中
• ソース: Rapid7 · CVSS 9.8 · ~1w ago
• タグ: cve teamcity ci-cd rce kev

JetBrains TeamCity On-PremisesにCVSS 9.8の未認証リモートコード実行が存在する。根因はビルドエージェントポーリングプロトコルにおける安全でないデシリアライズで、このプロトコルはメインWeb UIとネットワークインターフェースを共有するため、インターネットに公開されたサーバーは直接到達可能。攻撃者は一時エージェントを登録し、エージェントコマンドエンドポイントにシリアライズされたXStreamガジェットチェーンを送り、SQL/JSPポリグロットのWebシェルを配置してOSコマンドを実行する。7月27日に開示され、悪用開始後の8月5日にCISAのKEVカタログへ追加。Rapid7がPoCを公開し、以降バルク悪用ツールも出回る。修正版は2025.11.7と2026.1.3、または2017.1+向けのパッチプラグイン。

注目の理由: TeamCityはソースリポジトリ、CIシークレット、デプロイパイプラインの手前に位置する——ここでのRCEはサプライチェーン級の足がかりだ。Censysは約4500の公開インスタンスのうちパッチ確認済みは約450と観測しており、CI/CD侵害の持続的なソフトターゲットとなっている。

攻撃チェーン：エージェント登録 → XStreamデシリアライズ → HSQLDBのSCRIPTがJSP Webシェルを書き込み → 匿名GETがRuntime.exec()を実行。

🔗 Censys · 🔗 Rapid7 PoC (sfewer-r7)

7. Tursoが無改造のDoomをSQLクエリとして実行——SQLiteのVDBEを「データベース界のLLVM」に

• ベロシティ: ▮ 安定
• ソース: Turso Blog · PoC demo · ~1d ago
• タグ: sqlite rust bytecode database llvm

Turso——SQLiteをRustで書き直すチーム（Limbo）——は、無改造のDoomをVDBEバイトコードプログラムとして動かした。カスタムLLVMバックエンド（vdbecc）がC→LLVM IR→SQLiteバイトコードへコンパイルし、Cのアドレス空間全体は1行の1つのBLOB（読み書きはBlobRead/BlobWrite）で、フレームバッファは1本の長いクエリとしてストリーム出力される——SELECT * FROM doom。操作はバインドパラメータ（「Doomの入力ハンドラはWHERE句だ」）、セーブはデータベースの保存。差分テストでフレームバッファがネイティブclangビルドとバイト単位で一致することを確認した。

注目の理由: SQLiteのバイトコードVMがSQLだけでなく任意のプログラムのコンパイルターゲットとして成立するという証明だ。この書き直しを、他のデータベース（再構築されたPostgresから始まる）を構築できる共有基盤として位置づけている。

レジスタ割り当ては不要——VDBEレジスタファイルは無制限なので、各SSA値は専用の永続レジスタを得る。

🔗 Turso Blog · 🔗 tursodatabase/limbo

8. LoopX——長時間稼働するAIエージェントチームを永続状態に保つオープンなコントロールプレーン

• ベロシティ: ▮ 安定
• ソース: GitHub · 4.6k stars · ~1w ago
• タグ: agents control-plane kanban state-kernel python

LoopX（MIT）は長時間稼働するエージェントチームのための、プロバイダ中立な「状態カーネル」だ。Codex、Claude Code、Cursorが有界なターンを実行する間、目標、型付きtodo、claim/lease、エビデンスログ、クォータ対応の自動ウェイク、検証可能な引き継ぎを安定に保つ。明示的にランタイムではない——「ループを続けてよいか」を判断し、Kanban（Lark/Feishuアダプタなど）へ投影するが、ボードが真実の源になることはない。状態は.loopx/ディレクトリにローカルファーストで保存され、Python標準ライブラリ以外の依存はない。危険な権限や本番書き込みは常に人間がゲートする。ByteDanceのエンジニアが維持し、英語・中国語のドキュメントとコースを提供。

注目の理由: エージェントの実行が数分から数日へ伸びると、不足する層は「別のランタイム」ではなく、ターンをまたぐ永続状態と人間のゲートだ。LoopXの「ボードは投影、カーネルが真実」というモデルは、数日・複数エージェントの作業におけるエージェントのドリフトへの明快な答えになる。

🔗 huangruiteng/loopx · 🔗 Moclaw Blog

9. HL-Gauss PPO——クリティックのスカラーヘッドをカテゴリカル予測器へ（COLM 2026）

• ベロシティ: ▮ 安定
• ソース: arXiv · COLM 2026 · ~2d ago
• タグ: reinforcement-learning ppo rlvr research arxiv

「Start Classifying: Categorical Critics for LLM Reinforcement Learning」（arXiv 2608.02181、COLM 2026採録）は、PPOのスカラーMSEクリティックを、ガウス平滑化されたHL-Gaussターゲットで訓練するカテゴリカル予測器に置き換え、それをスカラーへデコードして戻すためactor更新は不変——ドロップインのクリティック交換だ。報酬がスパースかつ二値で、小さな価値誤差がPPOの優位性を歪める可検証報酬のRLにおいて、HL-Gauss PPOは数学推論、ツール拡張数学、Search-R1でQwen2.5/Qwen3バックボーン上、強力なPPO・DAPOベースラインを一貫して上回り、較正の改善と低分散の優位性をもたらす。

注目の理由: RLVRはフロンティア推論モデルのエンジンであり、そのクリティックは最も較正が弱い構成要素だ。actorを一切変更せずに安定性と較正を改善するクリティックヘッドは、ポストトレーニングパイプラインにとって安価で移植可能な利得となる。

🔗 arXiv · 🔗 ZhijianZhou/HL-guass-ppo

10. CVE-2026-73240——Apache AlluraのCVSS 9.8 git引数インジェクションが未認証RCEを可能に

• ベロシティ: ▮ 安定
• ソース: IONIX · CVSS 9.8 · ~1d ago
• タグ: cve apache git rce command-injection

Apache Allura——SourceForgeの背後にあるforgeソフトウェア——に深刻な引数インジェクション（CWE-88、CVSS 9.8）が存在し、攻撃者が制御する入力をサニタイズせずに基盤のgitコマンド呼び出しへ渡すため、未認証の遠隔攻撃者が引数を注入してホスト権限で任意コマンドを実行できる。1.19.1より前の全バージョンが影響を受け、1.19.1へのアップグレード（ドキュメント記載の設定・データベース移行を含む）が必要。

注目の理由: git引数インジェクションは、gitを呼び出すあらゆるforgeやSCMツールで繰り返し発生する、影響範囲の大きいバグクラスだ。セルフホストのAlluraデプロイにとっては、認証不要で完全侵害に至るRCE——即時パッチを。

🔗 IONIX · 🔗 NVD