研究者

研究者は PHP の脆弱性を利用して「私のビットコインを盗む」（Steal My Bitcoin）チャレンジを成功裏に攻略しました。このチャレンジの賞金は 0.02511679 BTC でした。しかし、チャレンジ運営側は後にサーバーに保存されていたのが誤ったウォレットキーであることに気付き、最終的に手動で賞金をその研究者に転送せざるを得ませんでした。

イーサリアム研究フォーラムの研究者 Pierre は、より高速で、集約可能かつ量子耐性のあるプライバシープールの提案を行いました。この提案は、量子後の安全性を備えたハッシュ型 SNARK システム Flock に、Tornado Cash のようなプライバシープールを移植し、SHA-256 を採用しています。提案では、小型の「単回圧縮」回路が大型回路の代わりに使用されています。

研究者は、AIエージェントがアリババ傘下の高德地図サービスをハイジャックする事例を調査する中で、一部のソフトウェアが稼働している状態で直接対話に成功しました。研究者は、これらのエージェントによってスキャンされたとされる報告書に、人間には見えないがウェブ読み取りツールには見える隠しテキストを追加し、さらにメールアドレスを通じてそのタスクと実行環境について問い合わせました。その中の1つのエージェントは、特定の観光地が高德地図上に表示する入口ラベルの数を確認していると述べ、制限されたテンセントクラウドのサンドボックスで動作していると主張しました。研究者は、各実行がどのモデルによって駆動されているかを独立して確認することができず、これは活発な制御不能なエージェントクラスターとの外部通信が行われたことが知られている初めての事例であると述べています。Swarmchasersが10月14日に発表した報告によると、9月28日から10月8日までの間に2600回以上の高德地図データ取得の試みがあったことが追跡されました。一部のタスクは比較的日常的で、例えば観光客が最もよく使用する成都動物園の入口を確認することです。サービス側がリクエストを遮断した後も、一部のエージェントは引き続き試みを行い、反クローリングソフトウェアによって生成されたトークンをキャッチしようとしたり、第三者のページリーダーを通じてトラフィックを転送しようとしたり、公開されたコードリポジトリから漏洩したAPI認証情報を使用したりしました。その中の一組の漏洩したキーとセキュリティコードは、実際の地点データを返しました。研究者はまた、4つの開発またはプレプロダクションホストに対するリクエストを発見しましたが、これらのエージェントがプライベートシステムにアクセスした証拠はありません。公開記録は、このクラスターがテンセントクラウドに関連していることを示しています：研究者が調査した17のメールアドレスはすべて香港にあるテンセントサーバーによって作成され、観察された直接リクエストは「hysandbox-ats」という名のエージェントを通じて転送されました。

Palantirの最高技術責任者Shyam SankarはCBSニュースの『Face the Nation』のインタビューで、多くのAI研究者が喫煙を始め、他の研究者に対してAIへの自信を示すためだと述べました。彼はこのような研究者の態度を引用し、「私はAIを非常に信じており、それが癌を治すだろうから、私は全てのチップを賭けていることを示します」と言いました。Sankarは特定の研究者の名前を挙げず、調査データを引用することもなく、これは司会者のMargaret Brennanがなぜこの話題にそれほど関心を持っているのかを問いただした際に付け加えたものです。Sankarはインタビューの中で有効利他主義を「ミレニアル式の終末カルト」と呼び、FTXの創設者Sam Bankman-Friedがこの運動の中で最も広く知られた代表であると述べました。彼はまた、パスカルの「誰の心の中にも神の形をした空洞がある」という言葉を引用し、一部の研究者がAGIという名の機械の神でこの空洞を埋めていると述べました。医学データはこの主張と対照的です。アメリカCDCは、喫煙がアメリカの約3分の1の癌死亡を引き起こしていると述べており、タバコの煙には少なくとも69種類の既知の発癌性化学物質が含まれており、喫煙者が肺癌になるリスクは非喫煙者の約25倍であるとしています。AnthropicのCEOであるDario Amodeiは8月に、AIが癌を治すという約束は「むしろ陳腐な言葉であり、感動的ではない」と述べ、実際に癌を治すことだけが公衆の信頼を得ることができると語りました。CBSの世論調査によると、50%のアメリカ人がAIが引き起こす問題は解決する問題よりも多いと考えており、45%が政府にAIの使用と開発を制限してほしいと望んでいます。

オンチェーンデータ会社CryptoQuantの研究員Rei Researcherは、月曜日に発表したレポートで、取引所のビットコイン在庫が継続的に縮小する中で、ビットコイン価格が上昇する可能性があると指摘しました。レポートによると、取引所が保有するビットコインは2月の280万枚から267万枚に減少しました。ビットコインの最近の価格は約83,485ドルで、24時間内はほぼ横ばいですが、過去30日で8%上昇しており、以前は数年ぶりの最高の四半期を経験しました。レポートは「購入需要が引き続き改善し、取引所の供給が低位に維持されるなら、ビットコインは供給と需要の不均衡から利益を得て、より長期的な上昇トレンドを生み出す有利な条件を創出する可能性がある」と述べています。レポートはさらに「重要なのは、ここ数週間でビットコインが低点から回復しており、取引所の準備金が依然として減少していることです。これは注目すべき進展であり、市場が回復しても取引可能な供給が減少し続けていることを示しています」と付け加えました。レポートはまた、投資家がビットコインを取引所から引き出し、コールドウォレットに保管している可能性があると指摘しています。2026年上半期、ビットコイン価格は大部分の時間65,000ドル以下で取引されました。2025年10月に126,080ドルの歴史的高値を記録した後、この通貨は今年の大部分の時間をベアマーケットで過ごしました。しかし、8月に状況が変わり、アメリカ財務省が流動性支援の買い戻し操作の規模を倍増させ、ドルが弱くなる一方で、ビットコインなどの非利息資産を押し上げました。アナリストは、「いわゆる『減価取引』が再び活発化しており、ビットコインは2024年と2025年のように恩恵を受けている」と述べています。現在、ビットコイン価格は依然として歴史的記録を30%以上下回っています。

OpenAIの研究責任者は声明を発表し、Jasmine、Mikita、Tomekの三人の元社員の公開書簡に応じました。会社は、全面的な調査の結果、三人が明確な機密情報処理ポリシーに違反したと述べています。内部調査で発見された重大な不正行為は公開書簡の範囲を超えているため、先週三人との雇用関係を終了し、その決定を維持するとしています。OpenAIは、この決定が安全に関する懸念を提起したり意見を公に表明したりすることに対するものではないと強調しています。会社は、内部で毎日激しい批判的な安全および研究の議論が行われており、疑問を持つことを奨励していると述べています。善意の誤りに対しては寛容であり、懸念を提起したからといって従業員を解雇することはないとしています。公開書簡に関連する安全問題について、OpenAIは現在第三者の安全評価機関との契約を締結中であり、今後数週間以内に詳細を発表する予定であると述べ、外部評価者を安全作業に組み込むことを約束しています。会社は、最前線のモデルの監視可能性を維持するためには業界全体の協力が必要であることを認識しており、この分野は長年にわたり研究の重点であり続け、大量のリソースを投入し続けるとしています。

OpenAI、Anthropic、Meta Platforms、そしてマイクロソフトの研究責任者は、政策立案者に対して各社の人工知能研究の自動化に関する進展を見直すよう呼びかけました。研究者たちは論文の中で、AI研究の自動化が「知能爆発」を引き起こす可能性があり、技術の進化の速度が人間の理解能力を超える可能性があると指摘し、政策立案者に透明性を高めるよう提案しました。

安全研究者の寿超璠は、彼が中国の大手モデル中継所から約6TBのFableモデル呼び出しデータを購入したと述べ、その中にはSSHキー、VPN設定、阿里云キー、GitLabトークンなどの敏感な証明書が含まれていると報告しています。彼は、このデータの中のキーが彼に19の中国の大手企業および7つの中国とCIS政府関連機関のサーバーや内部システムにアクセスするのに十分であると述べています。これにはHuawei、小米、蔚来、MiniMaxが含まれています。大モデル中継所はユーザーとClaudeなどのモデルの間に位置しており、リクエストとレスポンスは最初にそこを通過するため、完全な平文を見ることができます。開発者がSSHキー、APIキー、VPN設定などをエージェントのコンテキストに入れると、中継所がこれらの記録を保存または販売した場合、会社のシステムキーも一緒に流出することになります。これは寿超璠が中継所のリスクについて警告するのは初めてではありません。彼が参加した4月の論文では、428のLLM中継所をテストし、9つが悪意のあるコードを積極的に注入し、17が研究者が故意に入れたAWSテストキーを見た後に本当にそれらのキーを使ってAWSを呼び出したことを発見し、1つはテストウォレット内のETHを直接転送しました。寿超璠はブロックチェーンセキュリティ会社Fuzzlandの共同創設者であり、長年にわたり脆弱性とサプライチェーンセキュリティの研究を行っています。3月末には、彼はClaude Code 2.1.88のリリースパッケージ内のソースマップが約50万行のTypeScriptソースコードを意図せず露出していることを最初に発見しました。

DeFi 研究員の Ignas は X で発表し、Bankless の創設者 David Hoffman が ETH を売却した後、最も上昇したいくつかのコインに乗り換えたことを示しました。例えば LIT や ZEC、NEAR のパフォーマンスも良好でしたが、VVV だけが市場全体に負けました。市場は当時恐怖感に満ちており、その時期は ETH の底に非常に近かったですが、積極的な暗号投資家の目標は常に BTC と ETH を上回ることです。以前の情報によると、Bankless の共同創設者 David Hoffman は今年の 6 月に ETH を全て売却し、VVV、NEAR、ZEC、HYPE、LIT を購入したと発表しました。

ARK Invest の研究員 Lorenzo Valente は、Ethereum、Solana、Hyperliquid をそれぞれマクドナルド、Chipotle、In-N-Out に例え、三者は同じ L1 ビジネスモデルの異なるバージョンではなく、完全に異なる価値捕獲構造を持っていると考えています。Valente は、Ethereum はフランチャイズシステムに似ており、L2 拡張を通じて結算層に対して手数料が低すぎるとし、Crypto で最も成功したフランチャイズシステムを構築したが、請求書を送るのを忘れたと述べています。Solana は直営モデルに似ており、取引手数料、優先手数料、MEV などの価値をより多く自社のシステムに留めています。Hyperliquid は、高度な垂直統合、VC なし、HYPE の費用回収に依存しており、最も短い価値捕獲チェーンを持っていますが、製品、チーム、収入源がより集中するリスクに直面しています。

イーサリアム財団が支援するプライバシーと規制遵守ツール 0xbow.io は、研究者の ross.wei に 5000 ドルの報酬を支払い、Privacy Pools v1 SDK の脆弱性を開示したことに対して報奨しました。この脆弱性は、ユーザーアカウントの主鍵生成のエントロピーを低下させるもので、3 月に修正されました。チームは移行プロセスを提供しており、ユーザーの資金損失は発生していません。

CryptoSlate の報道によると、USENIX Security の研究者が Solana の歴史的証明（PoH）メカニズムに対する時計攻撃の脆弱性を公開しました。この脆弱性は、2025 年 12 月に Solana 開発チームに私的に通知されていました。研究によれば、悪意のあるスケジューリングリーダーは「再アンカー」を通じて PoH の論理時計を操作し、論理時間の進行を遅くすることで、物理時間内でより長い取引選択ウィンドウを得ることができ、TowerBFT の分岐選択メカニズムを利用して誠実なリーダーのブロックを孤立させることができます。攻撃者が必要とするステーク比率は 33% 未満です。Anza の 5 万 SOL 賞金を提供する Alpenglow セキュリティコンペティションは 8 月 19 日に締切を迎えましたが、コンペティションのルールにより「Alpenglow が未アクティブな場合にのみトリガーされる行動」が除外されているため、この脆弱性は審査の対象外となりました。Solana 開発チームは関連する行動を認識しており、最も深刻なシナリオが現在の条件下で発生する確率は低いと考えています。また、Alpenglow のアップグレードが攻撃の前提を根本的に排除することを期待しています。現在、Alpenglow のコードは Agave 4.2 クライアントに含まれていますが、まだメインネットではアクティブになっておらず、Agave 4.3 の正式なローンチとともに予定されています。それまでの間、この脆弱性の移行期リスクは公開された実装レベルの分析と対応を受けていません。

Bitcoin News の監視によると、@PraveenPerera が発表した新しい研究は、Coldcard の攻撃者がまず脆弱性のあるアドレスを特定し、その後、アドレスが保有するビットコインの数量に基づいてソートし、保有量が最も多いアドレスから順に分割して移転を行っていることを示しています。実際に使用された移転ソフトウェアはかなり粗雑でした。あるアドレスは 225 の可用な UTXO を持っており、攻撃者はちょうど最新の 200 個を抽出し、最も古い 25 個を残しました。その中には 0.16 BTC の価値を持つ UTXO が含まれています。これは、研究者が調査したあるブロックチェーン API がデフォルトで 200 件の記録を返す制限と完全に一致しており、攻撃者が次のページのデータを読み込むことができなかった可能性を示唆しています。このソフトウェアは、294 サトシの UTXO を消費することさえあり、報告によれば取引手数料が約 2040 サトシ増加し、消費額はその UTXO 自体の価値を明らかに上回っています。研究の著者は、これに基づいて、このツールの構築者がアカウント残高システムの理解に関してはビットコイン UTXO モデルの理解よりも優れている可能性があると考えています。攻撃者は被害者の完全なシードを取得したようですが、少なくとも 75 BTC は同じシードから派生した他のアドレスに残っています。現在最大の疑問は、153 の盗まれたアドレスの中にまだ 132.95 BTC が存在しており、研究者はこれらのアドレスの背後にあるシードを再現できていないため、攻撃者が未公開のプライベートデバイスデータや候補データを取得した可能性を排除できないことです。

Decrypt の報道によると、イスラエルのサイバーセキュリティ企業 ASecurity が発表した報告書によれば、ある研究者が公開されている AI モデルを使用し、24 時間以内に 20 件未満のプロンプトを通じて Zoom の注釈ツールに複数の脆弱性を発見し、利用可能な攻撃チェーンを構築したとのことです。この脆弱性は CVE-2026-53413、CVE-2026-53414、CVE-2026-53415 と番号付けされており、攻撃者は会議中に被害者の操作なしでリモートでコードを実行し、デバイスを制御し、データを盗み、マイクやカメラを起動することができます。この攻撃は Windows、macOS、Linux、Android および iOS 版の Zoom で有効であることが確認されており、ASecurity はそのレベルを「国家級」と称しています。従来、このような利用ツールを構築するには専門チームが数ヶ月の作業と巨額の予算を必要としました。ASecurity は 6 月 10 日に Zoom に最初の脆弱性を報告し、Zoom は 6 月 22 日から 7 月 20 日の間に修正を順次公開しましたが、エンドツーエンドの暗号化会議におけるサーバー側の防護は悪意のあるメッセージをフィルタリングできず、ユーザーは手動で更新する必要があります。Zoom のスポークスマンは問題が解決されたことを確認し、ユーザーに最新バージョンを維持するように勧めました。

Cointelegraph の報道によると、サイバーセキュリティ会社 BCA LTD の創設者 Mauro Eldritch と Telefónica Tech のネットワーク脅威インテリジェンスアナリスト Heiner García が共同で偽の暗号スタートアップ「Ballena Azul」を設立し、疑わしい北朝鮮の IT 労働者を制御された仮想デスクトップ環境で最大五週間働かせ、その行動を全て監視することに成功した。調査によると、関連する労働者が使用していた外部サーバーは、以前に InvisibleFerret、BeaverTail、OtterCookie などのマルウェアを配布していた北朝鮮のネットワーク作戦インフラと関連があることが示されている。また、労働者は ChatGPT を利用したプログラミングや Google Gemini による偽の身分証明書の作成に大きく依存していた。研究者は、北朝鮮の IT 労働者がアメリカの身分を偽造してリモートワークを得て、その報酬が最終的に平壌政権の大量破壊兵器プロジェクトに流れ込んでいると指摘しており、アメリカ財務省のデータによれば、このような計画は 2024 年に北朝鮮に約 8 億ドルの収入をもたらすとされている。

イーサリアム財団（Ethereum Foundation）は、プロトコルセキュリティリサーチャー（Protocol Security Researcher）の採用情報を発表しました。これはプロトコルセキュリティチームに所属し、実行層、コンセンサス層、ネットワーク層、仕様およびクライアント実装などの段階でセキュリティ脆弱性を特定する責任があります。仕事内容には、AIを活用したセキュリティ研究と自動化された脆弱性発掘、ハードフォークのレビュー、ファジングツールの構築、プロトコル変更の手動監査および脆弱性の開示調整などが含まれます。このチームは、候補者にイーサリアムプロトコルに関する深い経験を求めており、プロトコル開発に積極的に参加しているエンジニアや、実行層またはコンセンサス層の仕様に精通しているエンジニアを優先的に考慮します。一般的なプログラミング言語には、Go、Rust、Java、C#、Nim、およびPythonが含まれます。リモート勤務が可能で、ヨーロッパおよび世界中の候補者に開放されています。

中国人民公安大学の研究者たちは、違法な暗号通貨取引を約90%の全体的な精度で検出できるAIフレームワークを開発しました。この研究は中国語の査読付きジャーナル『情報雑誌』に掲載され、通信著者の孫静超博士（刑事捜査とサイバーセキュリティを専門とする）は、この研究が「違法な暗号通貨取引を検出するための正確で、拡張可能かつ説明可能な解決策を提供する」と指摘し、規制当局が違法な暗号通貨取引や経済犯罪を取り締まるために「革新的な技術的アプローチを提供する」と述べました。このAIフレームワークは、記憶モジュールと大規模言語モデルを利用し、暗号通貨の匿名性と越境特性を特定することに特化しており、マネーロンダリングなどの違法取引行為を追跡します。この研究の発表は、中国が暗号通貨に関連する金融犯罪の取り締まりを強化している時期に行われました。中国最高人民検察院は今年の3月に、2025年全体で検察機関が仮想通貨や地下銀行に関連するマネーロンダリング犯罪で3259人を起訴したと発表しました。暗号通貨の取引量が急速に増加する中、その匿名性と越境特性は違法な資金の流れを提供しています。今回、警察が自主開発したAI検出ツールは、規制技術手段が受動的な追跡から能動的なインテリジェント識別へと進化していることを示しています。

金十の報道によると、OpenAIは10万人の研究者に最先端モデルへのアクセスを無料で提供することを発表しました。