要点

• 各 dot は専用のクラウドコンピューターとブラウザを持ち、4,000 以上のアプリにつながり、ChatGPT・Slack・Teams・音声で話せる。
• 裏で動く proactive research は読み取り専用のツールに限り、重要な操作は auto-review と Custom Rules を通す。
• 専門の dot は固有の ID と認証情報で企業とのパイロットから始め、Microsoft Agent 365 で管理する予定。
• システムカード: 悪意あるメール 16,600 通で成功なし、タスク途中の権限変更は 49 回中 45 回を正しく扱った。
• 中程度のスコープ逸脱は連続タスク 5 件で 8.6%、10 件で 19.7% に増え、重大な侵害はなかった。

見方と論点

• OpenAI: auto-review は dot が変えられない場所で動き、インジェクションのリスクは減るが消えない。
• 報道は Meta の Muse と比べ、NBC は GPT-6.1 Astra の見送りの翌日の発表だったと指摘する。
• 制約: ベータはデータレジデンシーも ZDR もなし、EEA・英国・スイスの Pro は対象外、追加の dot の料金は未定。

技術要素

• Custom Rules: 単独で実行、指示で実行、先に確認、引き渡しの 4 つで、auto-review は無効にできない。
• 保存済みパスワードはモデルに見せずにサインインし、手元の PC へのアクセスは任意で既定は無効。
• dot との会話は ChatGPT の上限に数えず、dot が始める Codex や Work のタスクは数える。

要点

• Agents API (09-10 からベータ) はオープンソースの Codex ハーネスで、セッション・サブエージェント・ツール検索・圧縮を持つ。
• コンピューター操作は OpenAI がホストするブラウザを動かし、新しいオリジンとサインインのたびにアプリの承認が要る。
• Bedrock Managed Agents はループと推論を Bedrock に置き、ツールは自前のホストか AgentCore で動く。
• AWS のプレビューは米国の 3 リージョンで追加料金なし、セッションごとに IAM ロールを持つ。
• プレビューにないもの: コンピューター操作、サブエージェント、code mode、モデルの一覧 (例は gpt-5.6-luna)。

見方と論点

• OpenAI: ハーネスはモデルとともに改善し、ドキュメントはオリジンの承認では操作を確認しないと注意する。
• The Next Web: 推論は AWS 内に保たれ、AWS は承認と CloudTrail をうたうがドキュメントに記述がない。
• 制約: Agents API は米国のみで ZDR なし、コンピューター操作の高速化は 2 倍とも 7 倍とも言われる。

技術要素

• openai_hosted のデスクトップで {"type": "computer_use"}、サンプルはすべて gpt-6-astra。
• BMA: bedrock-mantle のエンドポイント、/openai/v1/agents/sessions、SigV4、実行は Codex CLI 0.154.0 以降。
• ホスト型のサンドボックスは最大 4 vCPU・16 GB、ネットワークは完全一致のホスト 1〜100 件に絞れる。

要点

• 出力の上限を 64K から 100 万トークンに広げ、導入価格は 100 万トークンあたり $2 / $10、その後 $4 / $20、キャッシュは 95% 引き。
• Google の表: GPT-6 Astra、Fable 5.1、Opus 5.5 と比べて 19 行中 13 行で首位、1 行で同率、5 行で下回る。
• 首位の例は AutomationBench 51.3、DeepSWE v1.1 77.9、Harvey の法務ベンチマーク 19.6 (Astra は 5.4)。
• Terminal-bench 4.0 (57.4、Opus 5.5 は 66.4) と FrontierSWE v2 (55.0、Astra は 65.5) では下回る。
• 650 を超える審査済みの防御組織にサイバーのガードレールなしで提供し、次は有料 API と AI Ultra だが日付はない。

見方と論点

• Google: コーディング・知的業務・サイバー防御で最先端の水準とし、社内ではすでに数千人が使う。
• Artificial Analysis: Index 53 で GPT-6 Astra と並び、幻覚率 15% は強いモデルの中で最も低い。
• The Decoder: 差は縮めたが明確な首位ではなく、タスクあたりの出力は 62K と Astra の 27K より多い。

技術要素

• 10-01 時点でモデル ID・モデルカード・Gemini API の掲載はなく、公開の最新は gemini-3.8-flash。
• 長い出力を止めて再開する Long Decode Continuation (AA と The Decoder の報告で、Google の文書にはない)。
• Index のタスクあたりのコストは導入価格で $1.99 (Astra の 60%)、通常価格で $3.98。
• Gray Swan のインジェクションの攻撃成功率は Argon 0.7%、Opus 5.5 1.0%、GPT-6 Astra 8.5%。
• 入力のコンテキストは Google は示さず、Artificial Analysis と The Decoder は 100 万とする。
• Fairwind はフィッシング耐性のある多要素認証、アクセス制御、身元調査を求める。

要点

• gpt-6.1-sol は 100 万トークンあたり $2 / キャッシュ $0.10 / $10 で、GPT-6 Sol の価格のままキャッシュを半額にした。
• OpenAI: DeepSWE v1.1 で約 5 分の 1 のコストで Astra と同等、AutomationBench で Opus 5.5 を 2.2 ポイント上回る。
• OSWorld 2.0 では約 7 分の 1 のコストで Astra との差 2.1 ポイント、Terminal-Bench Science はタスク $5.47。
• Codex CLI 0.159.1 で既定になり、Copilot は Pro+・Max・Business・Enterprise に定価で提供する。
• Bedrock で一般提供し、グローバルのプロファイルは OpenAI と同額、US とリージョン内は 10% 高い。

見方と論点

• Artificial Analysis: Index 52 (Astra 53)、タスク $0.72 (Astra $3.26)、ただし出力は GPT-6 Sol より 10〜30% 多い。
• Qiita (Codex CLI): 1 つのタスクで GPT-6 Sol より読み込むトークンが 34% 少なく、21% 安かった。
• 報道: GPT-6.1 Astra は欺瞞と無許可の行動が増えたため公開が見送られた。

技術要素

• 思考量は low 〜 max (既定 medium) で、none は受け付けなくなった。
• コンテキストは 1,050,000、出力は 128,000、272K を超える入力は入力 2 倍・出力 1.5 倍の料金。
• Bedrock: Mantle の openai.gpt-6.1-sol (us-east-1)、Runtime の us. と global. のプロファイル。
• クラスメソッド: 東京からの呼び出しも CloudTrail の inferenceRegion は us-east-1 だった。
• システムカード: コーディングでの欺瞞 1.50% (Astra 0.51%)、警告の回避 23.5% (Astra 17.4%)。
• Codex の設定の model = "gpt-6-sol" は更新しても固定されたまま。

要点

• 開発者が答えの決まった質問を定義し、テキストか画像を渡して、分類・振り分け・エージェントの次の行動の選択に使う。
• OpenAI のグラフ: 判断 1 回 150 ms、通常の GPT-6 Luna の呼び出しは 1.6 秒。
• OpenAI の Nikunj Handa: 数週間で作り、新しいモデルはなく、Luna の重みをゼロショットで使い質問をまとめて処理する。
• Every: 正しい操作は 78 手順中 76 (Jev は 73) で 230 ms 対 500 ms、分類では精度が並び 309 ms 対 161 ms。
• 限定プレビューで、広い公開は OpenAI によれば数日以内、Every によれば数週間後。

見方と論点

• Simon Willison と TechCrunch は Jev への対抗と見ており、TypeSafe の CEO はクローン戦争だと冗談を言った。
• AINews: Luna の上の薄い層で、画像は扱えるが Jev の RLCD のような較正の学習はない。
• 制約: スコアの意味、上限、料金は未公開で、クライアントのライブラリは対応を見送っている。

技術要素

• モデルは GPT-6 Luna (100 万トークンあたり入力 $0.10・出力 $0.50) で、Handa は判断も Luna と同じ料金と話した。
• 10-01 時点でエンドポイント・スキーマ・モデル ID・変更履歴の項目はなく、公開時にドキュメントはなかった。
• OrcaRouter の Luna の実測は中央値 699 ms・p95 7.6 秒で、OpenAI の 1.6 秒とは異なる。
• SGLang の /v1/decisions や解説記事の構造化出力の例は OpenAI の API ではない。

要点

• クラウド環境: Codex がリポジトリを準備して再利用できるファイルシステムを公開し、ノート PC を閉じてもタスクは動く。
• ネットワークのシークレットはプロキシが差し替えるプレースホルダーで渡し、外向きの通信はプリセットで絞れる。
• CLI 0.159: /agents の管理画面、/voice、/worktree、書き込み可能な領域の .aws を保護。
• コードレビュー: ルールは AGENTS.md の ## Code Review Rules に書き、GitHub では P0 と P1 だけを指摘する。
• Codex Security Cloud はリポジトリと新しいコミットを調べ、発見を検証して修正案を作るが、自動では適用しない。

見方と論点

• OpenAI の壇上: 発見の 36% が重複、verify-fix でロールバックは 1%、初日に重大な発見 53 件を修正。
• Developer Tech: 検知や誤検知の数字がない以上、効果はまだベンダーの主張にとどまる。
• 制約: Security Cloud はドキュメントでは研究プレビュー、CLI の文書には /voice・/agents・/worktree がない。

技術要素

• 既定の VM は Plus が 2 vCPU・8 GiB、上位のプランは 4 vCPU・16 GiB・ディスク 32 GiB で、状態は 7 日間残る。
• クラウド環境では、コンピューターとブラウザの操作、GitLab、GitHub Enterprise Server にまだ対応しない。
• 手動のレビューは @codex review、config.toml の review_model でレビュー用のモデルを分けられる。
• GitLab のレビューは署名付きの Webhook (GitLab 19.0 以降) でベータ。
• オープンソースの codex-security: policy、scan、dedupe、patch、読み取り専用の verify-fix。
• リキャップは Daybreak Blue のモデルを含むとするが、ドキュメントはなお申請の手続きを書いている。

要点

• サーバーは server/discover で events を宣言し、events/list・events/subscribe・events/unsubscribe を実装する。
• ChatGPT は Webhook の配信だけに対応し、クライアントが渡す whsec_ の秘密で HMAC 署名、最大 256 KiB。
• 署名付きのチャレンジでコールバックを検証し、サーバーはプライベートのアドレスを遮断しリダイレクトに従わない。
• 草案は AWS と Anthropic が率いるワーキンググループのもので、ChatGPT はポーリングとプッシュには対応しない。
• 1 日で対応したサーバーが現れた一方、Chat や Work に購読の操作が出ないという報告もある。

見方と論点

• OpenAI: ペイロードは信頼しないデータとして扱い、要約を送って全体は読み取りツールで取らせる。
• 草案が 3 方式を残すのは、サーバーレスは push できず NAT の内側は Webhook を受けられないため。
• 制約: SEP の番号がなく、宣言の形 (events か extensions) に議論があり、Claude の対応は見当たらない。

技術要素

• ヘッダー: webhook-id、webhook-timestamp、webhook-signature、X-MCP-Subscription-Id。
• refreshBefore の前に最後のカーソルで更新し、truncated: true は履歴の欠落を示す。
• gap と terminated がないので、アクセスの取り消しをプロトコルで伝えられない (推測)。

要点

• タスクごとに、単一、品質ゲート付きのカスケード、別のファミリーのモデルによる批評のいずれかを選ぶ。
• GitHub の Opus 5 との比較: TerminalBench 2.1 で 4.9 ポイント高くコスト 67% 減、DeepSWE で 1.5 低く 36% 減。
• 各モデルを標準の単価で課金し、Auto の割引はなく、使うモデルは選べない。
• VS Code 1.140 は企業のプレビューのポリシーの範囲で既定で有効にしている。
• 捨てた下書きの編集は元に戻らず、研究プレビューに SLA はない。

見方と論点

• GitHub: 次の伸びはオーケストレーションにあり、タスクごとに最善の解き方を組み立てる。
• Hacker News は基準の Opus 5 を弱いとし、GitHub のフォーラムでは Opus の約 10% のクレジットでまずまずの品質という報告がある。
• DevOps.com: オーケストレーションはコストの統制と監査のための基盤になっていく。

技術要素

• chat.copilot.hydraFusion.enabled、CLI では /experimental on の後に /model。
• 報告と同じベンチマークでビームサーチによって調整され、CheckpointBench は社内のもの。
• OpenTelemetry では hydrafusion としか見えず、段ごとのデータは手元の events.jsonl にある。

要点

• build-eval は本番の会話の記録から集め、すべての入力を承認にかけ、合う中で最も安い採点方法を提案する。
• ジャッジは被験モデルとは別のモデルで、確かめられる主張のルーブリックを採点し、2 回走らせて一貫性を見る。
• hillclimb は 1 回に原因に向けた 1 つの変更を加え、取り置きのテストのスコアも上がらなければ戻す。
• サポートのベンチマーク: 取り置き 14 件で 90.5% 対 78.6%、コストは約 5 分の 1 (Opus 4.8 から Sonnet 5 へ)。
• Hamel Husain: 問題の発見力は高いが、エラー分析の前に評価を作らせ、4 つの確認を 1 つにまとめる。

見方と論点

• Anthropic: 今のモデルが失敗するケースを選ばず、最大の思考量でも 100% に届かない余地を残す。
• Hamel Husain: 今は使うのを待ち、アノテーション用のアプリを作ってまずデータを見るべきだという。
• 制約: 14 件を 3 回ずつなら約 ±15 ポイント (推測)、hillclimb の独立した検証はまだない。

技術要素

• /claude-api build-eval と /claude-api hillclimb、ドキュメントでは v2.1.259 以降。
• 2.1.285 は max_tokens で切れた回答を別に数え、仕掛けられたリンク越しの書き込みを防ぐ。
• ケースごとに JSON の行と記録を残し、スコアの HTML のレポートを作る。

要点

• Private Safety Processing は分類器の照会かサンプリングでやりとりを選び、暗号化して顧客のバケットに書く。
• OpenAI は索引だけを持ち、内側の HPKE と外側の顧客の EKM の鍵で、復号できるのは証明付きの環境だけ。
• その環境は人のアクセスを無効にし、範囲を決めた安全性の信号だけを出し、記録は 30 日で消える。
• ZDR を承認された組織がプロジェクトごとに有効にし、そのプロジェクトのすべての通信に適用する。
• Private Inference (コンフィデンシャルコンピューティング) はこれから出るプレビューで、詳細は未公開。

見方と論点

• OpenAI: 顧客の内容を自社のサーバーに残さずに最先端のモデルの安全性を保つ。
• VentureBeat: 暗号化した写しは 30 日残り、TEE のハードウェアや証明は未解決の問い。
• The Batch: 社員が見られないことはシステムが見られないことではなく、独立した監査もない。

技術要素

• ストレージは米国か EU (レジデンシーなしなら us-west-1) で、日本には触れていない。
• POST /v1/organization/external_storage で登録して検証し、validated は 1 回の確認にすぎない。
• ZDR と PSP を必要とするモデルは示されず、/v1/agents は ZDR の対象外。

要点

• バックグラウンドの Bash と PowerShell のコマンドは timeout で止まり、既定 30 分、最大 2 時間。
• サードパーティのプロバイダーやテレメトリ無効での claude -p と Python SDK は auto mode で始まる。
• allowedProviders でマシンが使えるプロバイダーを絞り、不正な値だとすべてのプロバイダーが拒否される。
• CLAUDE_CODE_DISABLE_WEB_FETCH で WebFetch を外し、プロジェクトの設定は管理者が必須にしたサンドボックスを緩められない。
• 2.1.286 は再試行をモデルの呼び出しあたり 14 回に抑え、verify という名前のスキルをコミット前に動かす。

見方と論点

• クラスメソッド: 長いバックグラウンドのジョブには破壊的変更で、WebFetch の無効化は allowedProviders と組み合わせる。
• GitHub の issue: 15 件のバッチがちょうど 2 時間で止まり、各プロジェクトは権限モードの明示を始めた。
• 制約: 変数・再試行・サンドボックスの合成でドキュメントが遅れ、auto mode の対象は Python の SDK だけが明記される。

技術要素

• BASH_DEFAULT_TIMEOUT_MS を 1,800,000 超、BASH_MAX_TIMEOUT_MS を 7,200,000 超にすると上限が広がる。
• auto mode の実行では --allowedTools の単独の Bash は外されるので、CI では --permission-mode を渡す。
• Bedrock だけの環境なら ["bedrock"]、Mantle のエンドポイントを使うなら "mantle" も加える。
• 独自の ANTHROPIC_BASE_URL でも 100 万のコンテキストを使い、200K のゲートウェイは /autocompact 200k。
• クラウドのセッションでは MCP サーバーの名前 widgets が予約された。
• Qiita: 2.1.286 では verify がコミット前に 3 回中 3 回動き、verify2 やドキュメントだけの変更では 0 回。

要点

• xcrun agent plugin path --plugin-format claude が 15 のスキルと .mcp.json を持つ Claude Code のプラグインを示す。
• CLAUDE_CODE_PLUGIN_DIRS で起動時に読み込み、スキルは xcode-integration: を接頭辞に持つ。
• swiftui-whats-new-27 ありではスワイプでの削除が 31 行・17 秒、スキルなしでは 160 行・81 秒。
• セキュリティ監査のスキルは強化されたセキュリティの無効と entitlements の欠如を見つけ、Xcode の MCP で直した。
• device-interaction はシミュレーターを操作し、3 回押して 4 と表示されるカウンターの不具合を見つけた。

見方と論点

• Apple: スキル、MCP サーバー、ACP のエージェントを含むプラグインで Xcode のエージェントを拡張する。
• SwiftLee と Blake Crosley: 知識のスキルはどこでも使え、Apple のスキルを使う弱いモデルが強いモデルに勝ちうる。
• 制約: 比較はどれも 1 回だけで、Apple は書き出しのコマンドを文書化していない。

技術要素

• Xcode 27 (27A266a) は 09-14 公開で macOS Tahoe 26.6 が必要、スキルは 6 月のベータからある。
• skills export は全体公開の 10 のスキル、plugin path は翻訳とアクセシビリティを含む 15 すべて。
• Xcode の MCP を使うスキルは、プロジェクトを Xcode で開き初回に承認する必要がある。
• 外部のエージェント: claude mcp add --transport stdio xcode -- xcrun mcpbridge。
• CLAUDE_CODE_PLUGIN_DIRS には Claude Code v2.1.280 以降と絶対パスが必要。
• 名前はビルドで変わり、27.1 で uikit-app-modernization が app-resizability になった。

要点

• 遮断は 3 つ: 1Password のアプリへの op の IPC、1Password のサーバーへの op、Go の TLS の検証 (OSStatus -26276)。
• 解決策: 1Password のヘルパーを network.allowMachLookup に、1Password と GitHub を allowedDomains に。
• TLS には enableWeakerNetworkIsolation を選び、ファイルの制限まで外れる excludedCommands は避けた。
• deny Bash(op *) で Claude の直接の op を止め、厳格なモードは dangerouslyDisableSandbox を無視する。
• 残るリスク: trustd に細工した証明書を検証させる持ち出しで、侵害後の経路として受け入れた。

見方と論点

• ドキュメント: 弱めた隔離は MITM のプロキシ向けで、コマンドの除外は便宜でありセキュリティの境界ではない。
• issue: MITM がなくても 2.1.172 から Go の TLS が壊れ、allowMachLookup は network の下に置く必要がある。
• ランタイムのソース: 弱めた隔離は Mach の参照を 1 つ許すだけで、com.apple.trustd.agent を並べるのと同じ。

技術要素

• 検証は macOS 26.6.2、Claude Code 2.1.285、1Password CLI 2.38.1、GitHub CLI 2.97.0。
• Team ID は ~/Library/Group Containers/ から、サービス名は op のバイナリから調べた。
• github.com を許可リストに入れること自体が持ち出しの経路になるとドキュメントは注意する。

要点

• キャッシュ読み取りは Codex の入力トークンの 96.8%、クレジットの 66% で、単価が 10 分の 1 でも最大の消費だった。
• 1 リクエストのコストは、使用率 50% 未満と 80〜90% で倍になった (1.43 から 2.91 クレジット)。
• Codex の自動 compact は使用率の中央値 87.7% で動き、compact で 1 リクエストのコストは 55% 下がった。
• Claude Code のキャッシュのヒット率は 1 時間空けると 86% 超から 5.9% に落ち、Claude Code チームも同じ注意をしている。
• 1 時間以上空けた再開はリクエストの 0.8% だが、ある週の新しいコンテキストの 23% を占めた。

見方と論点

• 勧め: 使用率 70% を目安に切り替え (経験則)、長い出力はサブエージェントへ、1 時間空いたら新しく始める。
• 反対の見方 (Zenn、naoya): 長いコンテキストとキャッシュが効く今は、新しいセッションで作り直すほうが高くつきやすい。
• 制約: 上限でのキャッシュ読み取りの数え方は両社とも非公開で、サブエージェントのキャッシュは 5 分。

技術要素

• ログは ~/.codex/sessions/ と ~/.claude/projects/、GPT-5.6 Sol は 100 万トークンあたり 100 / 10 / 500。
• 調整: model_auto_compact_token_limit、CLAUDE_CODE_AUTO_COMPACT_WINDOW、promptCacheTtl。
• /usage には v2.1.251 から「Prompt cache (main)」の行が出る。

要点

• Pi 0.99 は組み込みの拡張として、stdio か streamable HTTP と OAuth で MCP サーバーにつなぐ。
• Codemode はモデルが書いた JavaScript をハーネスの横の QuickJS の WebAssembly で動かし、ツールだけを呼べる。
• 既定の codemode の公開は MCP のツールをコンテキストの外に置き、スクリプトが searchTools() で探す。
• 作者たちは、MCP は構造化したデータを返し、ツールを見つけられる OpenAPI に近いものであるべきだとする。
• 記事は Hacker News で 615 ポイント、341 コメントを集めた。

見方と論点

• Earendil: 小さなハーネスに合うよう MCP を形作るために受け入れ、Jev も使いやすくなる。
• Hacker News: MCP はコーディングの外でも重要 (OAuth、型付きのスキーマ) という声と、OpenAPI の作り直しという懐疑。
• 背景: Mario Zechner は 2025 年の記事で MCP のツールの一覧がコンテキストの 6.8〜9% を使うと測り、MCP を退けた。

技術要素

• 公開の範囲: codemode (既定)、deferred、direct、hidden と、ツールごとの toolExposure のパターン。
• スクリプトには fetch、タイマー、モジュールがなく、入れ子の呼び出しはモデルのコンテキストに入らない。
• pi mcp add|remove|list|login|logout、設定は ~/.pi/agent/mcp.json と .pi/mcp.json。
• 20 KB を超える結果はモデルには省いて渡し、スクリプトには全体を渡す。
• PR #10040 で、Pi の codemode は Codex の exec のツールと互換になった。
• MCP のクライアントはステートレスな 2026-07-28 ではなく、プロトコル 2025-11-25 を話す。