尚ブログ
← AIニュース

Grok で作って公開されたアプリ3万5,578件が、ログインなしで開ける状態だった

📌 今日のポイント

⚠️ 注意：セキュリティ会社の調べで、Grok で作って公開されたアプリ3万5,578件がログインなしで開けた

AI の Grok に説明して作らせたアプリのうち、ネットで開けた37,571件の94.7%が、だれでもログインなしで開けました。セキュリティ会社 Claroc が11月10日に公開した調査です。ある勤怠表では、プログラムの中に社員全員のパスワードがそのまま入っていました。調査に使った有料アカウントでは、公開の画面で最初から「リンクを知っている全員」が選ばれていたといいます。アプリのアドレスは、だれかが一度開くと、ネットの住所録（DNS）への問い合わせを集めるサービスの記録に入り、探せるようになります。調査した人が ChatGPT で作ったアプリを共有すると、最初の設定は「自分だけ」でした。

尚

尚の目線

僕は、AI と作った物を公開する前に、ログインしていない窓で開いて中身を確かめるようにします。
AI でアプリを作って公開した人は、シークレットウィンドウでアドレスを開き、中身が見えないか確かめてください。
公開の設定の画面を AI に見せて「だれが開ける設定か」を説明させるのもおすすめです。

出典：Claroc（英語）／The Hacker News（英語）

⚠️ 注意：Microsoft が11月の定例の更新を公開、Outlook の穴1件はすでに悪用されていた

Microsoft は11月10日（現地時間）、毎月の定例の更新を公開しました。The Hacker News の数えでは、Microsoft 以外が番号をつけた分も含めて1,259件の穴が直り、1,000件を超えるのは2か月続けてです。このうち Outlook の穴（CVE-2026-124194）は、すでに攻撃に使われています。細工したメールのファイルを開くと、ふだん出る警告なしに攻撃者の場所へつながり、なりすましに使える認証の情報が漏れるおそれがあります。The Hacker News によると、見つけた人の1人は Anthropic の研究者で、Claude を使っていました。この穴は Windows の更新ではなく、Office の更新で直ります。

尚

尚の目線

僕の PC には、Windows の11月のセキュリティの更新がもう入っていました。
Office の Outlook（クラシック版）を使う人は、Windows とは別に「ファイル」→「Office アカウント」→「更新オプション」→「今すぐ更新」を押してください。
会社の PC は更新の流れが違うので、社内の情報システムの窓口に任せましょう。

出典：Microsoft（英語）／Microsoft 365 Apps の更新の一覧（英語）／The Hacker News（英語）

🗞 動き：内閣府の会議で、高性能な AI の事業者に命令と罰則を設ける素案が示された

内閣府の「制度の在り方検討ワーキンググループ」が11月11日に開いた2回目の会議で、AI の法律の見直しの素案が出ました。一定以上の性能を持つ AI の、特定のリスクに限って、法律で事業者に安全の措置を義務づける案です。事業者から国への報告、国からの勧告に加え、必要なら国が強制力のある命令を出し、違反は罰則で守らせる形です。事務局がまとめた「案」の段階で、対象の線引きや罰則の中身はこれから決めます。共同通信は、年末までに法改正を含む見直しの全体像が示されると報じました。

尚

尚の目線

僕は、年末の全体像の発表で、毎日使っている AI の会社が対象に入るかを確かめます。
読者のみなさんも、使っている AI のサービス名を AI に渡し、「日本でどんな決まりがかかっているか」を一覧にさせてみてください。

出典：内閣府（制度の在り方検討ワーキンググループ 第2回）／内閣府（資料1-3・PDF）／共同通信（47NEWS）

🧰 道具：Google が最上位のモデル「Gemini 4 Carbon」を一般に提供、アプリでは AI Ultra 向け

Google は11月10日、10月に発表した「Gemini 4 Carbon」を、開発者や企業、一般の利用者に広げました。Google が自社で最も強いとするモデルで、サイバーセキュリティや、長い手順を自分で進める作業が得意だといいます。Gemini のアプリや検索の AI モードでは、最上位の「Google AI Ultra」の契約者に順次広げます。有料の API（プログラムから AI を呼ぶ使い方）は、11月30日まで100万トークン（AI が文章を数える単位）あたり入力2ドル・出力10ドルで、その後は4ドル・20ドルです。開発の道具 Antigravity には、1つの頼みを複数の AI で分担する「/swarm」の試し版も出ました。

尚

尚の目線

僕は Google の AI の有料プランを契約していないので、アプリからは対象外です。
API を有料で使う人は、11月30日までの半額のうちに、いつもの頼みを Carbon と今のモデルで1回ずつ出し、答えと料金を比べてください。
結果は AI に表にさせると、続けるかを決めやすくなります。

出典：Google 公式ブログ（英語）／Google 公式ブログ（日本語）

📎 短信

  • ⚠️ アプリの置き場 Railway が、10月の不正アクセスで盗まれた AI のキーの不正利用を約74万ドルと見積もりました。→ キーを作り直し、覚えのない請求は申し出る
  • ⚠️ Zoom が、Windows 版の Zoom Workplace の重い穴2件を直しました。→ 7.1.8 以降にする
  • 🗞 米ニューヨーク州が11月10日、大きな AI の開発元の登録の受付を始めました。2027年1月から、重大な事故を72時間以内に届け出る義務がかかります。

出典：Railway（英語）／Zoom（英語）／Zoom（英語・2件目）／TechCrunch（英語）