今日の流れ
今日の3つのニュースはどれも「預けたものがどこで、どう動いているか」を問う。リモート接続ツールのTailscaleは、すでに接続権限を持つ人がその範囲を超えられた欠陥を修正し、会計ソフトSmart A 10を手がけるドゥゾンビズオンは、外部の人物が社員アカウントで開発サーバーに入った形跡を明らかにした。どちらも扉を壊した攻撃ではなく、すでに渡していた鍵から始まった。
AIモデルも同じだ。独立評価機関Artificial Analysisが採点方法を変えたv5ランキングで上位3つは1点差だったが、同じClaude Opus 5.5でも、どれだけ深く考えさせるかでスコアは35点から58点へ、タスクあたりの費用は約10倍開いた。どのモデルを使うかと同じくらい、どの設定で使うかを自分で決める必要がある。
Tailscale 1.104.4、SSHとServeの欠陥4件を修正
Tailscaleは10月26日にセキュリティ告知TS-2026-014〜017の4件を公開し、10月28日リリースの1.104.4ですべて修正した。Tailscaleはオフィスや自宅のPCをインターネット越しに1つの社内ネットのようにつなぐリモート接続ツールで、Tailscale SSHはそのネット内の別のPCにコマンド画面で入る機能だ。最も重いTS-2026-014は、接続ルールでフォワーディング（2台のPCの間に別の通り道を開く機能）を許可していると、接続した人が管理者専用の内部の通り道まで開けた欠陥だ。TS-2026-015は1つの接続でメモリを膨らませ続けてサービスを止められた欠陥で、残り2件は内部サービスをネットに公開するServe機能で見つかった。
おととい伝えたのは、欠陥が修正版なしで先に公開された段階だった。その後Tailscaleは調査状況のページで、大半は権限昇格、つまり接続を許された利用者が割り当てられたアカウントの権限を超えて操作できる問題だと確認した。修正版までの暫定策として、tailscaledサービスの設定にTS_SSH_DISABLE_FORWARDING=1を加えて再起動するよう案内し、全員がTailscale SSHを止める必要はないとした。
AIで作った社内ツールをオフィスのPCやサーバーに置き、外からTailscaleで接続しているなら該当する。起点は見知らぬ外部の人ではなく、すでに接続を許された機器や人なので、外注の開発者や退職者、共用ノートPCが接続リストに残っているとリスクが高まる。更新と接続リストの整理は1つの作業としてまとめるのがよい。
影響を受ける正確なバージョン範囲は告知に書かれていない。Tailscaleは確認済みの欠陥と影響バージョンをまとめた追加勧告と技術解説を出すとしたが、日付は示していない。それまでは「1.104.4以上か」だけを基準にすればよい。
ドゥゾンビズオン、Smart A 10とAPOバックアップで流出の可能性
ドゥゾンビズオンは10月18日、会計・人事ソフトSmart A 10の開発サーバーで侵入の形跡を確認したと告知した。身元不明の人物が社員のVPNアカウント（社外から社内ネットに入る専用の通り道のアカウント）で内部システムに接続し、データを照会した記録が見つかったという。流出の可能性がある項目は、一部の利用企業が管理する情報主体の氏名・住民登録番号の下6桁・口座番号・住所・携帯電話番号・メールで、住民登録番号の下6桁と口座番号は暗号化されているとした。10月23日には、バックアップサービスAPOバックアップでも、バックアップ製品ベンダーの脆弱性を通じて暗号化データの一部が外部に持ち出された形跡を告知した。
同社はどちらの告知でも、流出は確定ではなく可能性を前もって知らせるもので、どの顧客のどの情報かはまだ特定できていないと記した。バックアップデータはすべて暗号化され、暗号鍵が漏れた形跡はないという。韓国の科学技術情報通信部は10月26日にこれを重大な事故と判断して官民合同調査団を設け、Smart A 10の利用企業は11万社を超えるという同社側の説明が報じられた。
小さな会社や税務会計事務所は、社員の給与・人事記録をこうしたクラウドソフトに預けている。自分が直接破られなくても預け先が破られれば社員の情報が漏れうるし、社員への周知やなりすまし連絡への備えは利用企業の役目として残る。ドゥゾンビズオンは、同社や侵入者を装って金銭を要求したり、ファイルやリンクを開かせたりする連絡に応じないよう呼びかけた。
実際の流出範囲、攻撃者、正確な侵入時期はまだ調査中だ。同社は業務プラットフォームWEHAGOには影響がないとしつつ、予防として2段階認証を有効にするよう勧めた。調査結果が出たら対象の顧客と項目をあらためて知らせるとしている。
Artificial Analysis v5、上位3つが1点差
独立評価機関Artificial Analysisは10月27日、複数の試験をまとめてAIモデルに総合スコアをつけるIntelligence Indexをv5に改めた。最初の発表ではClaude Opus 5.5が58点、GPT-6 Astraが57点、GPT-6.1 Solが55点で、いずれも最も深く考えさせる設定での値だ。翌日にはGoogleのGemini 4 Carbonが59点で1位になったが、このモデルはまだ一部の利用者にしか開放されていない。
v5では試験の約60%を非公開の問題や答えを伏せた問題にした。公開された試験問題はモデルが学習中にすでに見ている可能性があるため、初めて見る問題で実力を測るための変更だ。知識業務・コーディング・科学・一般を25%ずつ反映する構成にも変わったので、以前のバージョンのスコアとそのまま比べてはいけない。
実務でより役立つのは設定ごとの差だ。Claude Opus 5.5は最も深く考えさせると58点でタスクあたり10.04ドル、最も浅くすると35点で0.98ドルだった。Claudeのeffort、ChatGPTの推論レベルのように「どれだけ考えさせるか」を選ぶメニューがまさにこれで、1位のモデルに乗り換えるより、この設定を仕事に合わせて選ぶほうが費用を大きく動かしうる。
総合スコアはあらゆる仕事の順位ではない。Carbonは9つの試験のうち4つで1位だったが、コーディング作業を任せる評価では、Claude Codeと組み合わせたOpus 5.5が62点でCarbon（59点）を上回った。タスクあたりの費用もCarbonは7.76ドルで、Opus 5.5の最高設定（10.04ドル）より低く、GPT-6 Astraの最高設定（6.25ドル）より高かった。
今日やってみること
Tailscaleを使うPCごとにコマンド画面でtailscale versionと打ってバージョンを確認し、1.104.4以上に上げる。すぐに上げられないサーバーは、tailscaledサービスの設定にTS_SSH_DISABLE_FORWARDING=1を加えて再起動する。
Smart A 10やAPOバックアップを使う会社なら、ドゥゾンビズオンからの個別案内を受け取ったか確認し、社員になりすましのメッセージや電話への注意を伝える。韓国の個人は、金融監督院の個人情報露出者事故予防システム、名義を盗んだ携帯電話の開通を防ぐエムセイファー、自分名義の口座を一度に確認できる口座情報統合管理サービスを使える。
社内VPNやリモート接続のアカウント一覧を開き、退職者・外注スタッフ・使っていない機器のアカウントを削除する。今日の2つのセキュリティ事件はどちらも、すでに発行済みのアカウントが起点だった。
よくAIに任せる業務を1つ選び、同じモデルの思考の深さを低・中・高に変えて実行し、結果の質、かかった時間、使用量を記録する。ランキングの1点差より、自分の業務で生じる差がモデルと設定を選ぶ基準になる。