GenAI catch-up 調査ノート 2026-10-10

🤖 Generated by Claude Opus 5.5

• 対象期間: 2026-10-08 〜 2026-10-10 (前回の定期実行 10-08 以降、候補 56 件)。
• 取得できなかった情報源: hn-claude-code、hn-mcp、hn-llm (hnrss.org が 502 Bad Gateway を返したため、このノートの Hacker News の数値は代わりに Algolia の検索 API から取った)。
• 前回までのトピックを引き継ぐ選定トピックはない。
• トピック 1 と 2 は期間の少し前に公開され、今回の実行で ainews を通じて初めてフィードに現れた。

候補と選定

• 選定 (レポートに載せる):
  1. Windows 11 と Windows 365 での MXC の一般提供と、3 つの OS 向けの SDK 1.0 (起点 10-07、期間前の出来事で ainews で初出、影響度 2 / 将来性 2 / 注目度 2)。
  2. API のパブリックプレビューになった Mistral Large 4 と、10 月末までと約束されたオープンウェイト (起点 10-06、期間前の出来事で ainews で初出、1 / 1 / 2)。
  3. 11 月 12 日に発効する Anthropic の 2026 年版 Usage Policy (起点 10-08、1 / 1 / 2)。
  4. 専有 GPU を月額定額で使うさくらのAI Engine プライベートエディション (起点 10-08、1 / 1 / 2)。 - 1 は SDK のリリースだけを見て 1 / 2 / 1 と採点したが、同じ日に Microsoft が MXC そのものを Windows 11 で一般提供にしたと宣言し、GitHub Copilot と OpenAI Codex がすでに使っていること、PC Watch、gihyo.jp、Petri、eSecurityPlanet が報じたことが調査でわかり、2 / 2 / 2 に上げた。 - 2〜4 は 4 点で同点、いずれも影響度 1、注目度 2 で、独立した情報源の数 (10、9、5) で順位を決めた。 - 3 は、Anthropic が更新の大半を明確化と呼ぶものの、ポリシーの本文が高リスクの規定を消費者向けの用途の外に広げ、ハードウェアと、消費者向けのサブスクリプションを通じた中継の規定を加えているので、影響度 1 のままとした。 - 4 の影響度 1 は 1 つの市場の中でのもので、GPU の型番、API の形式、価格を示す情報源はない。
• 見送り (次回の判断材料):
  5. Codex、ChatGPT Work、API、Bedrock の GPT-6.1 Sol Ultrafast (起点 10-08、1 / 1 / 1) — 10-01 に見送った Astra のものと同じ上位の速度ティアで、第三者の計測がない。
  6. Claude Code 2.1.294〜2.1.296 と、fail closed にできるフック (起点 10-08、1 / 1 / 1) — 1 つのエコシステムの中のポイントリリースで、取り上げた記事も 1 本だけ。
  7. Haiku 5.5 を受けた GENDA の Claude Code のサブエージェントの割り当て直し (起点 10-08、1 / 1 / 1) — 1 つのチームの計測で、いいねのほかにはどこでも論じられていない。
  8. Jev で作ったベクトルを使わない Qiita の GraphRAG (起点 10-08、1 / 1 / 1) — 手法に有利かもしれない架空のコーパスについての 35 問で試した 1 つの構築例。
  9. Claude Managed Agents の dynamic workflows (起点 10-09、1 / 2 / 0) — リリースノートの外では誰も論じていないベータの機能。
  10. その他の単発項目 — 下記に列挙。
  11. 対象外 (スコープ外) — 下記に列挙。

1. 📦 Microsoft が、AI エージェントをポリシーで封じ込める MXC を Windows 11 と Windows 365 で一般提供にし、Windows、Linux、macOS で動く Rust、.NET、Node.js 向けの SDK 1.0 を公開し、すでに対応するエージェントには GitHub Copilot と OpenAI Codex も含まれる

• 選定 / 影響度 2 / 将来性 2 / 注目度 2 / 起点 10-07、期間前の出来事 / 種別: リリース / 領域: セキュリティ・安全性、コーディングエージェント。
• 候補になったフィード項目:
  • ainews 10-09 [AINews] not much happened today (Microsoft がクロスプラットフォームのサンドボックス MXC を Quicksand と並べてオープンソースにしたとする) — リポジトリは 10-09 に Hacker News で 182 ポイント、81 コメント
  • github-changelog-copilot 10-09 GitHub Copilot weekly releases — October 5 (Copilot CLI、Copilot アプリ、Agent Host を使う VS Code のセッションでのローカルのサンドボックスの一般提供)
• 起点: MXC SDK v1.0.0 は 10-07 05:54 UTC に公開され、MXC の一般提供を宣言した Microsoft の投稿も 10-07 付けで、どちらも期間の数時間前にあたり、今回の実行では 10-09 の AINews の号が初めてフィードに運んだ。

収集した情報

[A] Microsoft — MXC SDK v1.0.0 release notes and the repository's release history (2026-10-07)

https://github.com/microsoft/mxc/releases/tag/v1.0.0 / https://github.com/microsoft/mxc/releases

• 2026-10-07 05:54 UTC に出た v1.0.0 は、Rust、.NET、Node.js 向けの SDK の最初の安定版で、プロジェクトの GitHub のリリースとしても初めてプレリリースの印が付いていない。
  • それまでのリリースは v0.6.1 (2026-06-02)、v0.7.0-rc1 (2026-06-13、題は MXC SDK v0.7.0)、v0.8.0 (2026-08-22)、v0.9.0 (2026-09-29) で、どれもプレリリースの扱いであり、v0.9.0 のノートは自らをリリース候補とは呼んでいない。
• 公開 API はバージョン付きの入口 mxc_sdk::v1、Microsoft.Mxc.Sdk.V1、@microsoft/mxc-sdk/v1 だけに置かれ、3 つの言語で同じ操作のモデルとポリシーの概念を共有する。
• 1.x の系列では V1 が互換性の境界になり、今後の変更は semver 2.0 に従う。
• 実行のモデルは 3 つある: 完了まで走らせて stdout、stderr、警告、メタデータ、型付きの結果を受け取るもの、SDK が持つプロセスのハンドルの上で stdin、stdout、stderr を別々のパイプにして起動するもの、初期のサイズを渡して実行中にリサイズできる PTY 付きで起動するもの (バックエンドが端末のセマンティクスを出せる場合だけ)。
• ライフサイクルの API はコンテナをプロビジョニングして不透明な ContainerId を返し、その後の開始、停止、プロビジョニングの解除を受け持ち、バックエンドが対応していればその中でプロセスを実行したり、起動したり、PTY を開いたりする。
• 型付きの API はほかに、能力付きのバックエンドの発見、発見したホストのツール、ユーザープロファイル、一時ディレクトリから組み立てるファイルシステムのポリシー、テレメトリの同意を扱い、テレメトリは Windows だけ、オプトインで、管理者による制限を受ける。
• 移行の手順: V1 の入口から import し、従来のサンドボックスのリクエストとライフサイクルの型を ContainerRequest、ProvisionRequest、ExecutionRequest、ContainerId に置き換え、1.0 のパッケージに対してビルドし直す。
• 変更履歴には、v0.9 より前のスキーマの契約の廃止 (#1382)、FFI の設定の入力をバージョンを厳密に指定した JSON だけにしてバインディング用のリクエストの FFI のエクスポートを削ったこと (#1349〜#1352)、Rust の SDK のクレートを公開できる 1 つのパッケージにまとめたこと (#1390) も並ぶ。
• セキュリティ関連の項目は、ingress の既定の拒否を文書化して固定したこと (#1363)、ポリシーによる拒否を policy_validation のコード付きの終了コード 1 で返すこと (#1364)、IsolationSession が inheritDefaultEnv なしの process.env を拒むこと (#1339)、公開された CVE に対応する依存関係の更新 (#1124) である。
• 署名付きのバイナリが mxc-release-binaries.zip として付き、ノートはテストに便利だと説明する。

[A] npm, crates.io and NuGet — registry entries for the MXC SDK packages (as fetched on 2026-10-10)

https://registry.npmjs.org/@microsoft%2Fmxc-sdk / https://crates.io/api/v1/crates/mxc-sdk / https://api.nuget.org/v3/registration5-gz-semver2/microsoft.mxc.sdk/index.json

• @microsoft/mxc-sdk 1.0.0 は 2026-10-06 06:44 UTC に npm に載り、engines.node は >=24.0.0 で、それまでに 0.1.6 (2026-04-30) から 1.0 より前のバージョンが 11 個出ていた。
• crates.io の mxc-sdk (2026-10-06) と NuGet の Microsoft.Mxc.Sdk (2026-10-07) はどちらも 1.0.0 から始まり、Rust と .NET はこのリリースで初めて公式のパッケージを得た。
  • それまで Rust の SDK は、同じ発行者 microsoft-oss-releases の mxc-alpha-mxc-sdk 0.7.1 (2026-08-14) として crates.io にあるだけだった。

[A] Microsoft — microsoft/mxc README, schema guide, backend guides and V1 SDK reference (as fetched on 2026-10-10)

https://github.com/microsoft/mxc

• 2026-02-06 に MIT ライセンスで作られたリポジトリは、取得時点でスター 2.4k、フォーク 120 で、MXC を呼び出し側のアプリケーションに組み込む SDK の依存関係と説明し、コンテナの種類、封じ込めのルール、実行するコマンドはそのアプリケーションが選ぶ。
• 既定のバックエンドは Windows 11 の x64 と ARM64 では processcontainer、Linux の x64 と ARM64 では bubblewrap、macOS では seatbelt で、Windows にはほかに wslc と isolation_session、Linux には lxc がある。
  • windows_sandbox、microvm (Nanvix)、hyperlight は実験的で、README は Windows の行でしかそう示さないが、Nanvix と Hyperlight のガイドは Linux でも --experimental を求める。
  • Seatbelt は macOS 15 以降で動き、生成したプロファイルを、macOS 10.8 からヘッダーで非推奨とされながらいまも提供される API sandbox_init() で適用し、Bubblewrap には bwrap 0.5.0 以降が、LXC にはポリシーがネットワークなしを求めない限り root が要る。
• processcontainer は実行時に、ホストの対応に応じて、新しい OS のサンドボックス API である BaseContainer か、従来の AppContainer の経路のどちらかに解決される。
  • プロセスの分離には Windows 11 24H2 のビルド 26100.9278 か 25H2 のビルド 26200.9278 (2026 年 8 月の更新 KB5120998) が、セッションの分離にはビルド 26100.9550 か 26200.9550 (9 月の更新 KB5124010) が要り、26H1 ではそれぞれ 28000.2804 と 28000.3086 が要る。
  • BaseContainer も OS のファイルシステムのブローカーも使えないときは、既定で true の fallback.allowDaclMutation によって、MXC がホストの DACL に ACE を書き込み、終了時に元に戻す。
• V1 の型付きの作成は process (OS ごとに解決)、processcontainer、bubblewrap、seatbelt、lxc、wslc、isolation_session を受け付けるが、ライフサイクルの操作が受け付けるのは isolation_session と wslc だけである。
  • Bubblewrap と Seatbelt は作成と実行を一度に行う形しか取れず、発見の API は V1 の作成の API を持たないバックエンドも報告することがある。
  • README の Node の例は、@microsoft/mxc-sdk/v1 の spawn() を command、network: { egress: { default: 'deny' } }、timeoutMs: 30_000 で呼ぶ。
• ポリシーは読み取り専用、読み書き、拒否のパスの一覧と、向きを分けた network.egress と network.ingress (hostLoopback 付き)、runtimeConfig.networkProxy からなり、どれも既定で拒否する。
  • 直接の egress のルールは数値の CIDR とポートで書き (例: {"to": [{"cidr": "140.82.112.0/20"}], "ports": [{"protocol": "tcp", "port": 443}]})、以前のスキーマのホストの一覧は拒否される。
  • LXC、Bubblewrap、WSLC のバックエンドでは、複数のパスからたどれる 1 つのオブジェクトにはいちばん厳しい許可が当てはまり、拒否が読み取り専用に、読み取り専用が読み書きに優先する。
• ui の節 (既定は disable が true、clipboard が "none"、injection が false) を強制するのは、Win32k のシステムコールの緩和策とジョブオブジェクトの UI の制限を使う ProcessContainer と、Seatbelt だけで、IsolationSession と WSLc は ui を渡すと拒否し、ほかのバックエンドは何も適用しない。
• ネットワークの粒度はバックエンドで違う: ProcessContainer は BaseContainer の経路で WFP によりコンテナごとに IP の範囲、プロトコル、ポートで egress を絞り、Bubblewrap はサンドボックス自身の名前空間の中で IP と CIDR で絞って IPv6 の宛先には届かないままにし、Seatbelt は外向きを全部許すか全部止めるかとループバックのポートしか選べず、ホスト名、IP、CIDR、ポート、プロトコルのルールを拒否する。
  • ホスト名のルールを受け付けるバックエンドはなく、ホスト名のポリシーは呼び出し側が管理するプロキシに置き、プロキシ経由だけの egress はそのプロキシを通じて強制されるが、Seatbelt と Bubblewrap では実際にプロキシを使うかどうかはプロセスの協力に任される。
• バックエンドは強制できないポリシーを黙って弱めずに起動前に拒否し、README は --audit が解析するワークロードのサンドボックスのセキュリティをすべて切ると警告する。
• Bubblewrap は名前空間だけで分離し、2026 年 6 月の Linux のロードマップは seccomp の対応を未完とし、io_uring_setup、keyctl、bpf、userfaultfd を含むシステムコールの全体がさらされたままだと記す。
• JSON の契約のバージョンは製品のバージョンとも、実行時に調べるホストの能力とも切り離されており、サポートする最小の契約は 0.9.0-alpha、安定版は 1.0.0、開発中のものは 1.1.0-alpha である。
  • v1 の系列では別名 appcontainer、appContainer、macos_sandbox がなくなり、将来スキーマに破壊的な系列ができるときは、V1 を置き換えずに V2 の名前空間を横に並べて足す。
• Windows の ProcessContainer には、強制を続けながら止めたアクセスを記録する Learning Mode の拒否の捕捉と、許したうえで記録する permissiveLearningMode があり、テレメトリは実行、Windows のユーザー、管理者のポリシー、アプリケーションのすべてがオプトインしない限りオフで、Windows の外では何もしない。

[A] Microsoft — microsoft/mxc pull request #1388, Remove preview disclaimer from README (2026-10-06)

https://github.com/microsoft/mxc/pull/1388

• v1.0.0 の前日にマージされ、SDK が生成するポリシーの一部は許可が広すぎるとわかっており、広く提供する前に直すという早期プレビューの警告を削除し、README にはそれに代わる記述がない。
  • 削除された警告は、MXC が成熟するまでの間のセキュリティ研究者との協力は歓迎するが、現時点ではどの MXC のプロファイルもセキュリティ境界として扱うべきではない、と締めくくっていた。

[A] Microsoft (Windows Developer Blog) — Microsoft Execution Containers: Policy-driven containment for AI agents, by Logan Iyer (2026-10-07)

https://blogs.windows.com/windowsdeveloper/2026/10/07/microsoft-execution-containers-policy-driven-containment-for-ai-agents/

• Windows Platform + Developer の CVP、Logan Iyer は、一般提供になった MXC を、ID と管理性も加える Windows のエージェント向けの構想の封じ込めの層と位置づけ、Cloud PC 上のエージェント向けに Windows 365 での MXC の対応も一般提供になったと宣言する。
• バックエンドの表には、プロセスコンテナ (Windows 11、macOS、Linux で、AppContainer、Seatbelt、Bubblewrap を使う)、エージェントを別の Windows のアカウントとセッションで、専用のデスクトップ、クリップボード、UI、入力とともに動かすセッションコンテナ (Windows 11 のみ)、WSLc (Windows 11 のみ)、MicroVM (Windows 11 と Linux、実験的) が並ぶ。
  • バックエンドごとにセキュリティの性質が違うので、ワークロードに合うかを評価するよう添える。
• ポリシーは封じ込め、プロセス、ファイルシステム、ネットワーク (ホストのループバックを含む)、ユーザーインターフェイスを扱い、ワークロードの側からは変えられない。
• モードは 3 つで、Enforcement は報告なしで止め、Learning は止めたうえで JSON のアクティビティレポートに記録し、Permissive は許したうえで記録し、アクティビティレポートがあるのは Windows のプロセスコンテナだけである。
• これから来るもの: Windows がコンテナの作成のリクエストをどう評価し、どの境界を強制するかを決める Windows 11 の MXC のプロセスコンテナ向けの Intune のポリシー、エージェントの活動とユーザーの活動を見分ける Entra、ローカルのエージェント向けの Agent 365 の管理機能。
• すでに MXC に対応するとして GitHub Copilot、OpenClaw、OpenAI Codex、Replit、LM Studio、Unsloth AI を挙げて NVIDIA の OpenShell は MXC に統合されたとし、後から対応を出すとして Anthropic Claude Code、Box、Egnyte、Heidi Health、Nous Research の Hermes Agent、Manus、Perplexity、Raycast、Simular を挙げる。
• SDK の組み込みと最初のポリシーの下書きをコーディングエージェントに任せてレビューすることを勧め、エージェントには止められたタスクを黙って失敗させずに説明するよう求める。

[A] Microsoft (Windows Experience Blog) — Building Windows for hybrid intelligence, by Pavan Davuluri (2026-10-07)

https://blogs.windows.com/windowsexperience/2026/10/07/building-windows-for-hybrid-intelligence/

• Windows + Devices の EVP の Davuluri は、MXC がその日に Windows 11 で一般提供になると書き、脚注で Windows Update が必要で、機能は順次展開され、デバイス、市場、シリコンによって異なると断る。
• ほかに、MXC と統合した Meta の Muse for Windows が近く出ること、ミニデスクトップ PC の OpenClaw 向けに MXC と統合したネイティブの Windows のゲートウェイを出すことを加え、NVIDIA の OpenShell をすでに MXC に対応するエージェントに数える。

[A] Microsoft Source Asia — Windows for hybrid intelligence, the Japanese abridged translation of the 2026-10-07 post (as fetched on 2026-10-10, in Japanese)

https://news.microsoft.com/source/asia/features/building-windows-for-hybrid-intelligence/?lang=ja

• 英語の投稿を裏づけ、原文の公開日を指して「本日、Microsoft Execution Containers (MXC) が Windows 11 で一般提供を開始します」と書き、対応するエージェントの一覧も同じものを載せる。

[A] Microsoft (Windows Developer Blog) — Windows platform security for AI agents, by Dana Huang and Logan Iyer (2026-06-02)

https://blogs.windows.com/windowsdeveloper/2026/06/02/windows-platform-security-for-ai-agents/

• 背景: Microsoft は Build で、Windows と WSL のエージェント向けのポリシー駆動の実行層として MXC SDK の早期プレビューを紹介し、プロセスとセッションの分離は Build の直後に早期プレビューで出し、マイクロ VM はロードマップに載せた。
  • この時点で、GitHub Copilot CLI が MXC のプロセスの分離を採り入れたと述べていた。
• LLM のサンドボックス脱出の能力についての研究を引いて、マイクロ VM を脱出への備えを一段上げるものと位置づけ、プロセスの分離はコーディングエージェント向けの速い選択肢として売り込んだ。

[A] GitHub — Local sandboxing for GitHub Copilot now generally available (2026-10-07)

https://github.blog/changelog/2026-10-07-local-sandboxing-for-github-copilot-now-generally-available

• ローカルのサンドボックスが Copilot CLI、Copilot アプリ、Agent Host を使う VS Code のセッションで一般提供になり、1 つのポリシーを Windows、macOS、Linux のネイティブな OS の制御に変換する MXC がその土台である。
• GitHub はローカルのサンドボックスを、開発者が自分のマシンで動かすエージェントのワークフローのための安全な実行境界と位置づける。
• ポリシーはファイル、インターネット、ローカルネットワークへのアクセスと、Git と GitHub CLI の認証情報を制限し、対応している場合はローカルの MCP サーバーと言語サーバーにも及び、エンタープライズの管理設定では、開発者が弱められないポリシーでサンドボックスを必須にできる。
• 追加料金はかからず、Copilot がどのモデルを使っていてもツールの実行に当てはまる。

[A] GitHub Docs — About cloud and local sandboxes for GitHub Copilot (as fetched on 2026-10-10)

https://docs.github.com/copilot/concepts/security-governance-and-network-settings/about-cloud-and-local-sandboxes

• ローカルのサンドボックスは既定でオフなので、有効にするまで Copilot のシェルのコマンドはユーザーの全権限で動く。
• GitHub は、ローカルのサンドボックスはいまのところ隔離の段階の軽い側にあり、プロセスが読み書きできるものとネットワークで届く先は制限するが、コマンドを別の仮想マシンやコンテナの中で動かすわけではないと明記する。
• 要件: macOS では 15 以降の Seatbelt、Linux では bubblewrap 0.5.0 以降と、外向きの通信を許す場合は util-linux 2.35 以降の unshare と nsenter、Windows では最近の Windows 11 の更新が要り、ホストが対応できない機能は弱めずに報告される。
• Windows ではプロキシとホストのルールに Allow local network が要り、プログラムがプロキシの設定に従うことに頼るので、直接の接続に対する守りは macOS や Linux より弱く、Linux の bubblewrap は起動されたプロセスのローカルネットワークへのアクセスを別に制御できない。
  • 管理設定で sandbox.enabled と sandbox.failIfUnavailable をどちらも true にすると、サンドボックスを強制できないときにはモデルへのリクエストもツールの実行も止まる。

[A] Microsoft Command Line — Bringing local models and sandboxed tools to Windows and GitHub Copilot, by Patrick Nikoletich (GitHub) and Stuart Schaefer (Windows) (2026-10-07)

https://commandline.microsoft.com/local-models-sandboxed-tools-github-windows/

• Copilot は Windows では ProcessContainer のバックエンドの BaseContainer の階層を、macOS では Seatbelt を、Linux では bubblewrap を使い、VM やコンテナのバックエンドは MXC を通じた後の選択肢として予定されている。
• シェルのコマンドと、既定ではローカルの MCP サーバーと言語サーバーもプロセスの境界の中で動くが、組み込みのファイルのツールは OS が強制しないハーネスの確認のもとで Copilot の中で動き、リモートの MCP サーバーはローカルのサンドボックスの外にある。
  • サンドボックスに入れたプロジェクトでは作業ディレクトリを読み書きでき、システムのほかの部分はおおむね読み取り専用か、アクセスできない。

[A] OpenAI — Native Windows MXC sandbox, the codex-rs/mxc-sandbox README and workspace manifest in openai/codex (as fetched on 2026-10-10)

https://github.com/openai/codex/blob/main/codex-rs/mxc-sandbox/README.md / https://github.com/openai/codex/blob/main/codex-rs/Cargo.toml

• 2026-09-04 に追加されたクレート (PR #42841) は、コマンドを MXC の BaseContainerRunner に直接渡し、動作する Windows のプロセスセキュリティ環境 (PSEC) を必要とし、MXC の AppContainer の経路、ホストの ACL の書き換え、サンドボックス用のユーザー、昇格は一切使わない。
• windows.sandbox = "mxc" は厳格な指定で、既定でオフの features.prefer_mxc は使えるときにローカルの実行に MXC を選び、Codex Desktop は保存された段階的展開の判定からそれを渡すことができ、コマンドが失敗してもほかのバックエンドには決してフォールバックしない。
• Codex は 1.0 の mxc-sdk クレートを使わず、MXC の内部のクレート wxc_common、appcontainer_common、learning_mode_windows を、v0.8.0 と v0.9.0 の間にあたる 2026-08-31 の git のリビジョン 6cd3d58f に固定している。
  • 挙げられた制約には、ネイティブのホストのループバックへのアクセスが双方向なので管理されたネットワークでは allow_local_binding が true に固定されること、前面のプロセスが終わると子孫のプロセスも終了させられることが含まれる。

[A] Unsloth — Studio: add Windows MXC Preview sandboxing (PR #11390) and How Unsloth Studio and Desktop Stays Secure (2026-09-25 and 2026-10-06)

https://github.com/unslothai/unsloth/pull/11390 / https://unsloth.ai/blog/security

• Unsloth Studio はコードの実行を Linux では bubblewrap、macOS では Seatbelt の下で動かし、MXC を使うのは Windows だけで、この PR は SRT による Windows の分離を提案したマージされていない PR (#10615) を置き換える。
• npm から @microsoft/mxc-sdk@0.8.0 を取得して wxc-exec.exe と wxc-host-prep.exe のサイズと SHA-256 のダイジェストを確かめ、スキーマ 0.8.0-alpha のリクエストを ui.disable=false、既定では fallback.allowDaclMutation=false で送る。
• PR は MXC を完全なセキュリティ境界ではないプレビューのバックエンドと呼び、オプトインの AppContainer の DACL の階層 (UNSLOTH_MXC_ALLOW_DACL_FALLBACK=1) が windows-latest (Windows Server 2025、ビルド 26100) で起動 1 回あたり約 10 秒かかると測っており、その環境では Windows PowerShell 5.1 がモジュールを自動で読み込めない。
  • BaseContainer の API の要件として、PSEC 付きのビルド 26600 以降を挙げる。

[A] OpenClaw — @openclaw/mxc-sandbox plugin README and manifest (as fetched on 2026-10-10)

https://github.com/openclaw/openclaw/blob/main/extensions/mxc/README.md / https://github.com/openclaw/openclaw/blob/main/extensions/mxc/package.json

• 2026-07-13 に Windows のバックエンドが入った (PR #97086) 公式のプラグインは、ProcessContainer に対応した Windows のホストで OpenClaw のツールの実行を MXC 経由で動かし (sandbox.backend: "mxc")、自らをテスト用の初期のプレリリースと称し、@microsoft/mxc-sdk 0.9.0 に固定している。

[A] Microsoft — microsoft/vscode pull requests #340188 and #340446 (2026-10-07 and 2026-10-08)

https://github.com/microsoft/vscode/pull/340188 / https://github.com/microsoft/vscode/pull/340446

• 2026-10-07 01:47 UTC にマージされた #340188 は、VS Code の Windows のターミナルのサンドボックスを、パッケージにした Node のランナーを通じて @microsoft/mxc-sdk 1.0.0 とその V1 のリクエストの契約に移した。
• Remove MXC sandbox support for local harness という題で 2026-10-08 21:54 UTC にマージされた #340446 は、そのランタイムと @microsoft/mxc-sdk への依存を消し、ローカルのハーネスのターミナルのサンドボックスを Windows では非対応とし、理由は書いていない。

[A] Microsoft — Quicksand documentation site and the microsoft/quicksand repository (as fetched on 2026-10-10)

https://microsoft.github.io/quicksand/ / https://github.com/microsoft/quicksand

• Quicksand (AI エージェントを手早くサンドボックスに入れるとうたい、2026-04-14 に作成、MIT、スター 142) は Microsoft の別のプロジェクトで、pip install quick-sandbox で入る非同期の Python の API が、独自のカーネルと Ubuntu か Alpine のイメージを持つ QEMU の VM を、既定でネットワークから隔離し、root も Docker も使わずに、macOS、Linux、Windows で起動、操作し、スナップショットを取る。
  • ページは VM が約 2 秒で起動するとし、どちらのリポジトリも相手に触れていない。

[B] PC Watch (Impress Watch) — Making Windows the best environment for agentic AI, with OpenClaw easier to set up, by 笠原 一輝 (2026-10-08, in Japanese)

https://pc.watch.impress.co.jp/docs/news/2146754.html

• 10-07 (米国時間) にサンフランシスコで開かれた Microsoft Windows & Surface Event を伝え、Davuluri が Hybrid Intelligence の中核である MXC の「一般提供を10月15日に開始すると明らかにした」と書き、スライドのキャプションも同じ日付を示す。
• OS と OpenClaw のようなアプリが MXC に対応すれば、アプリごとのセキュリティの設定に代わって OS のレベルで一度決めたファイルとフォルダのルールに従って動くようになると解説し、MXC に対応した OpenClaw の Windows ネイティブのアプリが出るとも伝える。

[B] gihyo.jp — Microsoft Execution Containers becomes generally available, supporting Windows, Linux and macOS and running AI agents safely in a sandbox (2026-10-08, in Japanese)

https://gihyo.jp/article/2026/10/microsoft-execution-containers

• Microsoft の投稿に沿って一般提供の開始を 2026-10-07 とし、4 つのバックエンド、5 つのポリシーの領域、対応するエージェントの一覧をまとめ直すだけで、独自の分析はない。

[B] Petri — Microsoft Makes Execution Containers Generally Available for AI Agents, by Rabia Noureen (2026-10-08)

https://petri.com/microsoft-execution-containers-ai-agents/

• MXC を商用の顧客向けに一般提供になったと報じるが、その範囲は Microsoft の投稿には書かれていない。
• 見方: Learning と Permissive のモードは助けになるが、正当なエージェントの作業を止めないためには、IT 管理者がポリシーの設定、テスト、保守に時間をかける必要がある。

[B] eSecurityPlanet — Microsoft Execution Containers for AI Agents Reach GA on Windows 11 (2026-10-09)

https://www.esecurityplanet.com/endpoint-security/news-microsoft-execution-containers-for-ai-agents-reach-ga/

• エージェントが MXC の対応一覧に載っていても、すべての機能や配備の構成がコンテナの中で動くわけではないこと、封じ込めてもプロンプトインジェクションを受けたエージェントが許可された宛先にデータを漏らすのは防げないことに注意を促す。
• 本番には Enforcement のモードを、Permissive のモードは管理された環境でのポリシーの作成とテストに限って使うよう勧める。

[C] Hacker News — MXC - a sandboxed code execution system (2026-10-09)

https://news.ycombinator.com/item?id=50016489

• 10-10 10:33 JST の取得時点で 182 ポイント、81 コメントで、bubblewrap の利用者は、strace を何度も回すより一貫した 1 つの層と監査とデバッグのモードがあるほうがよいと歓迎する。
  • simonw (Simon Willison) は macOS で細かなネットワークの制御ができないことを惜しみ、MXC の下の Seatbelt にはホスト名のルールも IP や CIDR のルールもない一方、Anthropic の sandbox-runtime は同じ macOS の仕組みの上で許可するドメインを指定できると指摘する。
  • binsquare は、タスクごとに専用の VM を与えるツールと違い、MXC はホストのカーネルを共有したままだと補う。
• 懐疑的な声: amluto はバックエンドの文書を LLM が書いたものと読んで結果への信頼はほぼゼロだとし、epage は Rust のクレートのビルドスクリプトが Windows だけで要る処理をすべてのプラットフォームで行い、一部のバックエンドを Cargo の feature の外に置いていると指摘する。
  • rfgplk は MXC と bubblewrap のサンドボックスからの脱出を主張したが、求められても報告もコードも示さず、fassssst は Codex がすでに Windows で MXC を使っていると書く。

[C] microsoft/mxc issues — #1455 on the tools policy helper and #1443 on seccomp for Bubblewrap (2026-10-07 to 2026-10-09)

https://github.com/microsoft/mxc/issues/1455 / https://github.com/microsoft/mxc/issues/1443

• 10-09 に PierrunoYT が立て、まだトリアージも返信もない #1455 は、PowerShell 7 が PATH にあると V1 のヘルパー policy.filesystem.getAvailableToolsPolicy がドライブのルート C:\ を readonlyPaths に加え、BaseContainer ではサンドボックスが .aws や .ssh を含めユーザーが読めるすべてのファイルを読めてしまうと報告し、Windows 11 25H2 のビルド 26200.9457 で 0.9.0 と 1.0.0 の両方で再現したとする。
• 10-07 に立った #1443 は Bubblewrap 向けに既定で拒否する seccomp のプロファイルを求め、プロジェクトのコントリビューターが AF_VSOCK のソケットでプロキシ経由だけの egress を迂回できると報告した、閉じられた #936 を引く。

[C] Origin Technology — MXC Internals: How Microsoft's eXecution Containers Actually Isolate Agent Code, by Tyler Holmwood (2026-06-04)

https://www.originhq.com/research/mxc-execution-containers-internals

• プレビューのソースから読んだ背景: ProcessContainer は BaseContainer、Brokered File System の許可リストを使う AppContainer、ホストの DACL に ACE を書き込む AppContainer のどれかを選び、強制の強さは階層ごとに違って、カーネルが強制する境界と、協力に頼るプロキシの経路が並んでいた。

メモ

• 情報源は SDK のリリースと、プラットフォームとしての一般提供とを分けて扱っている。
  • Microsoft の投稿は、MXC を Windows 365 の対応も含めて Windows 11 で一般提供にしたと SDK のバージョン番号を出さずに宣言し、v1.0.0 のリリースノートは一般提供に触れない。
  • v0.9.0 (2026-09-29) はノートがリリース候補と一度も呼んでいない GitHub のプレリリースで、-rc の付くタグは v0.7.0-rc1 (2026-06-13) だけなので、v1.0.0 は最後のプレリリースの 8 日後に出たことになる。
  • GitHub の変更履歴とドキュメント、Microsoft Command Line の投稿のどれもが、Copilot のローカルのサンドボックスは MXC が土台で、Windows ではその BaseContainer の階層を使うと裏づける。
• 一般提供の日付が食い違う: Microsoft の英語と日本語の投稿と gihyo.jp は開始を 10-07 とするが、PC Watch は 10 月 15 日と伝える。
  • Windows Update が必要で機能は順次展開されるという Microsoft の脚注が差を説明するのかもしれないが、そう述べる情報源はない。
• 境界の強さの語られ方が分かれる: README は 1.0 の前日に、プロファイルはセキュリティ境界ではないという記述を代わりを置かずに消し、GitHub の変更履歴はいまや安全な実行境界と書く。
  • GitHub 自身のドキュメントは同じサンドボックスを隔離の軽い側に置き、Unsloth (09-25) は MXC を完全なセキュリティ境界ではないと呼び、Microsoft の Build の投稿は、まだ実験的なマイクロ VM をサンドボックス脱出への答えとして示していた。
  • プロファイルの迂回を Microsoft が脆弱性として扱うかは書かれておらず、SECURITY.md は MSRC を案内する Microsoft の定型の文面である。
• コードで確かめた採用例では、Codex は既定でオフのフラグの陰で 08-31 の git のリビジョンに固定し、Unsloth は Windows でだけ 0.8.0 に固定し、OpenClaw のプレリリースのプラグインは 0.9.0 に固定し、VS Code は 1.0.0 を 1 日使った後でローカルのハーネスから MXC を外した。
  • Replit、LM Studio、OpenShell は確かめておらず、今回の実行でキャッシュした Claude Code の変更履歴は MXC に触れていないが、これは Microsoft が Claude Code を後から対応を出すツールに挙げていることと合う。
  • 情報源の主張ではなく推論: 1.0 の実行系は 0.9.0-alpha 以降の契約しか受け付けないので、Unsloth の 0.8.0-alpha のリクエストは、固定したバイナリを上げる前に移行が要る。
• プラットフォームは対等ではない: ホスト名のルールを受け付けるバックエンドはなく、IP と CIDR のルールは Windows と Linux にはあるが macOS にはなく、Learning Mode のレポート、V1 のライフサイクルの API、セッションコンテナ、これから来る Intune のポリシーは Windows だけのものである。
  • Windows と Linux には細かなネットワークの制御があるという simonw の指摘は IP のルールには当たるがホスト名には当たらず、ホスト名は Copilot のホストのルールがプロキシを通じて扱う。
• MXC の Windows のネットワークのガイドは、BaseContainer の経路ではプロキシを迂回する直接の通信を WFP が止めるとするが、GitHub は Copilot の Windows でのプロキシはプログラムがプロキシの設定に従うことに頼るとする。
  • ID を持たないプロキシのモードではホストのループバックを双方向に開ける必要があり (MXC のガイドと、Codex の README の allow_local_binding の制約)、それが差の理由かもしれないが、GitHub も Microsoft もそうは言っていない。
• Microsoft の表は Windows のプロセスコンテナが AppContainer を使うとするが、Copilot と Codex は BaseContainer の階層を使って AppContainer の経路を避けており、その経路の DACL のフォールバックはホストの ACL を書き換え、Unsloth の計測では起動 1 回あたり約 10 秒かかった。
  • Unsloth の PR は BaseContainer にビルド 26600 以降を求めるが、MXC の表は更新を当てた 24H2 と 25H2 のビルド 26100.9278 と 26200.9278 以降を挙げ、Unsloth が測った Windows Server 2025 は表の対象外である。
• README のバックエンドの表は microvm と hyperlight を Windows の行でだけ実験的とするが、それぞれのガイドは Linux でも --experimental を求める。
• AINews は MXC を Quicksand と並べるが、Quicksand は MXC とつながりのない Microsoft の別のプロジェクトである。
  • Unsloth がツール呼び出し 1 回あたり 100 ms 未満の OS のレベルのサンドボックスを加えたという一文は読んでいない X の投稿によるもので、Unsloth 自身のページにはレイテンシの数値がない。
  • AINews は MXC の項目の出どころを Simon Willison の X の投稿とするが、これも読んでいない。
• 未確認: rfgplk の主張するサンドボックスからの脱出 (報告もコードも示されず、公開の issue も見つからなかった)、Petri の言う商用の顧客という範囲、Replit、LM Studio、OpenShell についての Microsoft の採用の主張。
• issue #1455 はトリアージされておらず、確認されれば、PowerShell 7 が PATH にある開発者のマシンでは V1 のツールのポリシーのヘルパーが黙って読み取りをドライブ全体に広げることになる。
• 読めなかったもの: Build の時期の VentureBeat の記事 (429)、Neowin と Windows Report の一般提供の記事 (403)。

実践やアウトプットの提案

• V1 のサンプル dryrun-check-containment-support と run-with-containment-of-network を Windows 11、macOS、Linux のマシン 1 台ずつで動かし、getAvailableBackends() と probe() が何を返すかを記録する。
  • チームのマシンに 2026 年 8 月と 9 月の Windows の更新が当たっていて、AppContainer へのフォールバックではなく BaseContainer が使われるかがわかる。
• 社内のエージェントのハーネスのツール実行の 1 段 (pytest や npm test の呼び出しなど) を @microsoft/mxc-sdk/v1 の run で包み、読み書きできるパスはリポジトリだけ、network.egress.default は deny にして、OS ごとに 1 回あたりのレイテンシと誤った拒否を測る。
  • macOS では、MXC の下の Seatbelt にはないドメインの許可リストを持つ Anthropic の sandbox-runtime と比べる。
• 使い捨てのリポジトリで各 OS の Copilot CLI の /sandbox をオンにし、~/.ssh と ~/.aws の読み取り、作業ディレクトリの外への書き込み、プロキシを無視するクライアントでの接続、PowerShell 7 が PATH にある Windows では許可の外の読み取り (issue #1455) を試す。
  • GitHub が文書に書いた Windows のプロキシと Linux のローカルネットワークの注意点を、チームのマシンで確かめられる。
• Windows では run-with-logging-access-denied のサンプルの拒否の捕捉でコーディングエージェントが止められたアクセスを記録し、そのレポートから最小権限のポリシーを下書きして、チームのいつものタスクが通るポリシーにたどり着くまでの時間を測る。
• アウトプット: OS ごとのローカルのエージェント向けサンドボックス (Copilot の下の MXC、Codex の Windows のバックエンド、Unsloth Studio、sandbox-runtime) を、ファイルシステムのルール、ネットワークの粒度、カーネルの共有、エンタープライズでの強制、それぞれが固定する MXC のバージョンで比べる 1 ページの表。

2. 🐘 Mistral が、自社の欧州のデータセンターで学習した約 1 兆パラメータのネイティブなマルチモーダルの MoE モデル Mistral Large 4 の API のパブリックプレビューを、100 万トークンあたり入力 $1.36、出力 $4.18 で始め、10 月末までにオープンウェイトを出すと約束した

• 選定 / 影響度 1 / 将来性 1 / 注目度 2 / 起点 10-06、期間前の出来事 / 種別: リリース / 領域: モデル。
• 候補になったフィード項目:
  • ainews 10-09 [AINews] not much happened today (Reddit のまとめが、このリリースについての r/LocalLLaMA のスレッドを Activity 742 で挙げる)
• 起点: Mistral は期間の 2 日前の 10-06 にプレビューを発表し、発表は Hacker News で 2,036 ポイント、1,211 コメントを集め、今回の実行では 10-09 の AINews の号が初めてフィードに運んだ。

収集した情報

[A] Mistral — Introducing Mistral Large 4 (2026-10-06, as fetched on 2026-10-10)

https://mistral.ai/news/mistral-large-4/

• Mistral は Mistral Large 4 (略称 ML4、愛称 le Chonk) のパブリックプレビューを Mistral Studio の API で始め、10 月末までに重みを、アーキテクチャの詳細、追加のベンチマーク、事後学習の手法とあわせて公開するとする。
• 10-10 の取得時点でページは、1 兆パラメータのうち 52B がアクティブなネイティブのマルチモーダルのモデルと説明し、ページのモデルカードは、マルチモーダルの入力を受けて指示応答と推論を兼ねるオープンウェイトの MoE で、EU のすべての公用語を含む 160 を超える言語で学習したとする。
• Mistral 自身の欧州のデータセンターにある 3,800 基の NVIDIA Grace Blackwell の GPU でゼロから学習し、プレビューも同じ基盤から提供する。
  • 世界の複数のリージョンでの提供を約束し、その中には、ほかのデジタルサービスの事業者から独立して Mistral が欧州の法のもとで端から端まで運用する欧州のデプロイも含まれる。
• 重みが出るまでは限られた相手にモデレーションを緩めた版を渡し、サイバーセキュリティの第一線の組織、審査を経たパートナー、国の当局と現実の環境でレッドチーミングを行い、彼らはモデレーションを減らしてサイバーの能力を広げた同じモデルを使うと Mistral は書く。
  • 提供者の側での拒否が正当な脆弱性の調査やインシデント対応を妨げていると主張し、セキュリティのチームが自分たちのポリシーで動けるよう、プライベートクラウドやオンプレミスで動かすオープンウェイトを売り込む。
• サイバーの主張: Artificial Analysis Cyber Index で世界の上位 5 モデルに入って中国の外のオープンウェイトのモデルを大きく引き離し、指数の中の再現と修正のテストで 82% (Mistral によればどのモデルよりも高い)、Cybench の 40 の課題の 93% を解いたとする。
  • Claude Opus 5.5 と GPT-6 Astra はタスクを拒否するのでそのテストではほぼゼロになるとし、社内の試験では ML4 がマルウェアの解析、脆弱性の優先順位付け、検知ルールに役立ったとする。
• コーディング (ベンダーの自己申告): DeepSWE v1.1 で 61.7%、SWE-Atlas-QnA で 59.4%、Terminal-Bench 4 で 28.3%、Coding Agent Index で 49.8% と、DeepSeek V4 Pro 0813 と Qwen3.8 Max を上回るとする。
  • Surge AI と行ったコードの品質の 1〜5 の目隠しの評価では、ML4 Preview は 3.74 で 5 モデル中 2 位となり、Claude Opus 5 (4.22) に次いで GLM-5.3 (3.60)、Kimi K3 (3.59)、GLM-5.2 (3.40) を上回った。
• エージェントと知識労働: AutomationBench (Gmail、Google Sheets、Slack、Salesforce にまたがる 657 の業務のワークフロー) で 59.9%、AA-Briefcase で 1,393 Elo とし、vals.ai を第三者の評価者とした結果では、法務と金融のタスクで GPT-6-Astra を、Harvey's Legal Agent のベンチマークではすべてのオープンソースのモデルを上回るとする。
• 視覚と科学: 視覚的なグラウンディングのテスト Dense 200 で GPT-6-Astra の 41% に対して 42%、SciCode-Verified ではオープンウェイトのモデルの中で最高とし、デモとして Hartree–Fock のシミュレーションを一度で書かせて見せる。
  • 専門家のアノテーターは CAD と STEM で GLM-5.3 より ML4 を好み、金融とコーディングでは同等か近いと評価した。
• 安全性: Lakera のエージェントのセキュリティのベンチマーク B3 で攻撃の 93.3% に耐え、KORA で 2 点中 1.691 点を取り、JailbreakBench、StrongREJECT、AgentHarm の悪意あるサイバーのプロンプトを、比べたオープンソースのモデルより平均して多く拒否する。
• プレビューを支える RL の実行はまだ続いていて、約 3k の GPU で 1 回の実行が 1 日に約 330 億トークンを生み、そのうち約 160 億が学習に使え、Mistral は今後の数週間から数か月で大きく改善すると見込む。
  • ML4 は Mistral の特化型モデルの新しい世代の土台になる予定で、€3 billion の Series D の最初の節目でもある。
• ページのモデルカードは、100 万トークンあたり入力 $1.36、出力 $4.18 を載せる。

[A] Mistral Docs — Mistral Large 4 model card and changelog entry of October 6 (as fetched on 2026-10-10)

https://docs.mistral.ai/models/mistral-large-4-0 / https://docs.mistral.ai/getting-started/changelog

• Public Preview v26.10 と表示され、2026 年 10 月 6 日付けのカードは、アクティブ 52B、総 1.05T のパラメータに 1.6B のビジョンエンコーダーを加えた粒度の細かい MoE のモデルで、コンテキストウィンドウは 1M トークンとする。
• 変更履歴はモデルを Public Preview の mistral-large-4 として載せ、オープンウェイトはまもなく出るとし、発売記念として 2 週間 50% 引きの価格を示すが、カードの URL、その Compare のリンク、推論のドキュメントは mistral-large-4-0 を使う。
• 100 万トークンあたりの定価は入力 $1.36、キャッシュ済みの入力 $0.14、出力 $4.18 で、セール価格の $0.68、$0.07、$2.09 で表示される。
• 機能として structured outputs、function calling、文書の QnA、prefix、chat completions、バッチ処理、Agents と Conversations、組み込みのツールを挙げ、キャッシュが取り込んだ本文にはライセンスの記載がない。

[A] Mistral Docs — Reasoning, API pricing and Regional inference (as fetched on 2026-10-10)

https://docs.mistral.ai/studio/conversations/reasoning / https://docs.mistral.ai/inference/pricing / https://docs.mistral.ai/inference/regional-inference

• mistral-large-4-0 は reasoning_effort を受け付け、"high" では message.content が ThinkChunk (type: "thinking") と回答を収めたリストで返り、"none" では最小限だけ考えて素の文字列を返す。
  • このパラメータは Agents と Conversations のエンドポイントでも completion_args の中で使える。
• Mistral の価格表で Large 4 は Mistral Large 3 (入力 $0.5、キャッシュ $0.05、出力 $1.5) と Mistral Medium 3.5 ($1.5、$0.15、$7.5) の間にあり、Mistral がホストする Z.ai の GLM 5.3 の $1.4、$0.14、$4.4 に近い。
• リージョンを指定した推論は api.eu.mistral.ai (EU と EFTA の国々のデータセンター) か api.us.mistral.ai で定価の 1.1× で動き、グローバルの api.mistral.ai は場所を約束しない。
  • リージョンのエンドポイントはツールのうち function calling にしか対応せず、Agents、Batch、Files の API はなく、そのリージョンでホストされるモデルしか出さず (SDK 2.70 以降の models.list と server="eu" で確かめる)、コントロールプレーンはグローバルのままである。

[A] OpenRouter — Mistral: Mistral Large 4 (as fetched on 2026-10-10)

https://openrouter.ai/mistralai/mistral-large-4-0

• スラッグは mistralai/mistral-large-4-0 で、コンテキストは 1,048,576 トークン、補完は最大 262,144 トークンで、tools と tool_choice、response_format による JSON schema の structured outputs に対応する。
• 50% 引きが付くエンドポイントは 3 つで、2 つは Mistral の定価、3 つ目は $1.496 と $4.598 (定価の 1.1×) で標準のルーティングでは使われず、P50 の最良の値は 69 tok/s とレイテンシ 0.52 秒だった。
• このモデルに最も多くのトークンを送ったアプリは pi (3.35B)、Hermes Agent (3.34B)、Perplexity (2.79B)、Kilo Code (1.83B)、Claude Code (1.51B) で、大半はコーディングエージェントである。

[B] Artificial Analysis — Mistral has released Mistral Large 4, making France home to the most intelligent model outside the US and China (2026-10-06), with the model, leaderboard, CyberGym-E2E-AA and Cyber Index pages (as fetched on 2026-10-10)

https://artificialanalysis.ai/articles/mistral-large-4-france-ai / https://artificialanalysis.ai/models/mistral-large-4 / https://artificialanalysis.ai/leaderboards/models / https://artificialanalysis.ai/evaluations/cybergym-e2e-aa / https://artificialanalysis.ai/evaluations/artificial-analysis-cyber-index

• ML4 Preview は Intelligence Index v4.3.2 で 38 と、GPT-6 Luna (max、38) や DeepSeek V4.1 Flash (max、39) に並び、AA は ML4 を米国と中国の外で最も賢いモデルと呼ぶ。
  • リーダーボードでは DeepSeek V4 Pro 0813 (max、36) の上で、GLM-5.3-Flash (42)、Kimi K3 (max、44)、GLM-5.3 (max、45)、Qwen3.8 Max (0902、45)、MiMo-V2.6-Pro (46)、GPT-6 Astra (max、53)、Gemini 4 Argon (high、53)、Claude Opus 5.5 (max with fallback、58) の下に位置する。
  • 重みがまだ公開されていないので AA はプロプライエタリのモデルと分類し、入力はテキストと画像、出力はテキスト、コンテキストウィンドウは 512k (モデルのページとリーダーボードでは 524k) とする。
• Cyber Index (CWE-Bench-AA、DeepsecBench-AA、CyberGym-E2E-AA) では 50 で GLM-5.3-Flash と並んで MiMo-V2.6-Pro (56) に及ばず、AA は重みが出ればオープンウェイトのモデルの上位 3 つに入ると見込む。
  • 指数のページは首位の組として Grok 4.7 (Xhigh、56)、MiMo-V2.6-Pro (56)、GPT-6 Luna (Max、53) を挙げる。
• 最も強いのは CyberGym-E2E-AA で、AA の Stirrup のハーネスで C/C++ のプロジェクトのメモリ安全性の 131 のタスクを各 90 分で解かせ、pass@1 81.7% で MiMo-V2.6-Pro (78.6%) と GPT-6 Luna (Max、77.9%) を抑えて首位に立つ。
  • 概念実証が修正前のビルドをクラッシュさせ、パッチがそのクラッシュを止め、プロジェクトのテストも通ればタスクは成功とされ、パッチが正解とされる脆弱性を直したかは記録されるが採点されず、安全上の理由で断ったタスクは 0 点になる。
• 費用は Intelligence Index のタスク 1 件あたり定価で $1.13、発売記念の割引中は $0.57 で、GLM-5.3-Flash の $0.25、DeepSeek V4.1 Flash (max) の $0.27 を上回り、指数の実行には中央値 82M に対して 200M の出力トークンを使った。
  • GDP.pdf は Large 3 から 18 ポイント上がって 19% になり、その一因は Mistral の API が 1 リクエストあたり 8 枚ではなく 100 枚の画像を受け付けるようになったことにある。

[B] Vals AI — Vals Index and Harvey's Legal Agent Benchmark leaderboards, and the Mistral Large 4 model page (updated 2026-10-07)

https://www.vals.ai/benchmarks/vals_index / https://www.vals.ai/benchmarks/hlab / https://www.vals.ai/models/mistralai_mistral-large-4

• Vals Index (金融、コーディング、法務、税務のタスクを米国の GDP に占める割合で重み付け) で ML4 は 45 モデル中 33 位、48.05% でテスト 1 回あたり $13.78 で、GLM 5.3 は 53.51% で $7.25、Kimi K3 は 50.30%、Qwen 3.8 Max は 48.27%、DeepSeek V4 Pro 0813 は 47.63% で $3.35 だった。
• Harvey's Legal Agent Benchmark ではタスクの合格率 15.83% で 76 モデル中 6 位と Grok 4.6 に並び、Kimi K3 (12.92%)、GLM 5.3 (8.33%)、GPT-6 Astra (5.42%)、Mistral Medium 3.5 (0.42%) を上回り、Muse Spark 1.2 (25.42%) と Gemini 4 Argon (19.58%) に次ぐ。
  • インターネットへのアクセスを切って実行し、タスクはすべての基準を満たしたときだけ合格となり、2 つの LLM の採点者の平均を取る。
• モデルのページはコンテキストウィンドウ 512k、最大出力 256k トークン、オープンウェイトと記す。

[A] Datacurve — DeepSWE leaderboard (updated 2026-09-22)

https://deepswe.datacurve.ai/

• 公開のボードは 28 のモデルすべてを mini-swe-agent で 113 のタスクについて走らせ、GLM-5.3 (max) と Kimi K3 (max) は 69%、GPT-6 Astra (xhigh)、Gemini 3.8 Flash (high)、Claude Opus 5 (max) は 74% で、Mistral Large 4 は載っていない。

[B] TechCrunch — Mistral's new 1T model aims to leapfrog closed and open rivals, by Anna Heim (2026-10-06)

https://techcrunch.com/2026/10/06/mistrals-new-1t-model-aims-to-leapfrog-closed-and-open-rivals/

• TechCrunch はプレビューをガードレール付きの公開エンドポイントでしか使えないものと説明し、重みは安全性の試験が終わる約 3 週間後に出るとし、Mistral の VP Science の Pierre Stock は、それまでの間は信頼できるパートナーや政府と組み、オープンソースの重みが防御には使えても悪意ある攻撃には使えないようにすると語る。
• Stock は学習に使った Nvidia の GPU を 4,000 基とし、中国の競合が使う数の 2〜3 分の 1 だとして、狙う用途にサイバーセキュリティ、金融、チップの設計を挙げ、最後のものは出資者の ASML (Series C の主幹事) と Samsung (評価額 €21 billion の Series D の主幹事) と結びつく。
• TechCrunch はこのリリースを、中国のモデルをホストし始めた Mistral が、なおフロンティアのラボであると示す主張と読む。

[B] The Next Web — Europe's Mistral launches Large 4 to challenge China's lead in open AI models (2026-10-06)

https://thenextweb.com/news/mistral-releases-large-4-a-1-trillion-parameter-open-weight-ai-model

• 重みの公開日を 10 月 27 日、アクティブパラメータを 49B とし、学習は約 4,000 基の Grace Blackwell の GPU で 2 か月、約 10 MW だったとして、ベンチマークの結果を暫定的なものと呼ぶ。
• Mistral のグラフから: DeepSWE は 62% で GLM-5.3 の 61%、DeepSeek-V4-Pro の 57%、Qwen 3.8 Max の 51%、Reflection AI の Beam の 44% を上回り、FinWorkBench は 67% で DeepSeek-V4-Pro と並んで GLM-5.3 (65%) と Mistral Medium 3.5 (37%) を上回り、Harvey's Legal Agent は 15% で Kimi K3 の 13%、GPT-6 Astra の 5% を上回る。
• 視覚: DIOR-RSVG で GPT-6 Astra の 68% に対して 73%、Dense200 では両者とも 42% で、視覚で Anthropic の Fable 5.1 を、サイバーで Kimi、DeepSeek、Meta を上回るという Mistral の主張には数値がない。
• Mistral は Airbus、ASML、HSBC を含む 125 を超える大企業と組み、その一部は Forge で ML4 の学習を手伝い、新しい計算資源は 2027 年前半にかけて稼働する。

[B] VentureBeat — Mistral debuts Large 4 ‘Le Chonk', a 1-trillion parameter text output model with high benchmarks planned for open weights release, by Carl Franzen (2026-10-06)

https://venturebeat.com/technology/mistral-debuts-large-4-le-chonk-a-1-trillion-parameter-text-output-model-with-high-benchmarks-planned-for-open-weights-release

• ライセンスについて、重みは Mistral 独自のライセンスで出る見込みで、VentureBeat が確認した資料には API の価格がなかったと書く。
  • アクティブ 49B、4,000 基の Grace Blackwell の GPU での約 2 か月の学習、開発者、サイバーセキュリティの第一線の組織、政府の当局との約 3 週間の試験を経て 10 月 27 日に重みを出すことを裏づける。
  • Mistral はプレビューの期間を使って RL を続け、重みを公開する前に最終のチェックポイントを調整するとする。
• Guillaume Lample はインタビューで、モデルはマルチモーダルの入力を受けるが出力はテキストだけだと認め、Mistral は Large 3 (総 675B、アクティブ 41B) を 3,000 基の Nvidia H200 で学習したとする。
  • Mistral は将来、主権を保てるインフラの上で、データを保持しない選択肢とともに自前で動かす形の展開を売り込む。
  • Lample は、顧客にはモデルへのアクセスだけでなく、デプロイ、インフラ、カスタマイズ、エンジニアリングの支援が要ると語り、VentureBeat はこれを、重みはコモディティになり、価値はその周りに作るシステムに移るという賭けと読む。
• Mistral のグラフにある DeepSWE の競合の数値はおおむね出どころをたどれ、前日の Reflection の Beam の発表が自社の設定で Beam 44.4%、Qwen 3.8 Max 51%、GLM-5.3 61% とし、AA が Codex のハーネスで DeepSeek V4 Pro 0813 を 57% としている。
  • 各モデルの公表された最良の設定を取るライブのリーダーボードは GLM-5.3 と Kimi K3 を約 69%、GPT-6 Astra、Gemini 3.8 Flash、Claude Opus 5 を約 74% とするので、VentureBeat は 62% を、Beam のような西側のオープンウェイトのモデルとは張り合えるが、コーディングで明確な首位とは言えない値とみる。
• Harvey's Legal Agent Benchmark では、Vals が公開する Kimi K3 (12.92%)、MiMo V2.6 Pro (10.83%)、GLM-5.3 (8.33%) の値が Mistral のグラフの丸めた競合の値と一致するが、新しいモデルの Finch のスコアと、Mistral のスライドにある競合の Dense200 と DIOR-RSVG のスコアに一致する公開の結果はなかった。
  • Finch は ACL 2026 に採択された公開の金融と会計のベンチマークで、表計算、文書、検索、モデリング、報告の 384 のタスクからなる。
  • 記事の公開時点で ML4 は AA の公開の評価にも DeepSWE のリーダーボードにも載っておらず、VentureBeat は Mistral の順位の主張を暫定的とする。

[B] Simon Willison — Introducing Mistral Large 4: Le chonk (2026-10-06)

https://simonwillison.net/2026/Oct/6/le-chonk/

• API が出す推論のレベルは "none" と "high" だけで、ペリカンの試験では "high" のほうがよい絵を描いたのに、出力トークンは "none" の 3,275 に対して 2,717 だった。
• AA のスコア 38 を、552B のモデルである DeepSeek 4.1 Flash のすぐ後ろで、Mistral Large 3 の 9 よりはるかに上と位置づけ、Fable 級のモデルではないが、フロンティアから 6 か月ほど遅れの位置に戻ったモデルを Mistral が出したのは喜ばしいと評する。

[B] Business+IT (SB Creative) — France's Mistral AI announces Mistral Large 4, with 1.05 trillion total parameters and a 1M-token context (2026-10-06, in Japanese)

https://www.sbbit.jp/article/cont1/187313

• 発表当日の Mistral のモデルのドキュメントを引いて、総パラメータ 1.05 兆、アクティブ 490 億、16 億パラメータのビジョンエンコーダー、100 万トークンのコンテキスト、API のモデル名 mistral-large-4、バージョン v26.10 を伝える。
• 100 万トークンあたり入力 $0.68 (約 107 円)、キャッシュされた入力 $0.07 (約 11 円)、出力 $2.09 (約 330 円) という表示の価格を、発売記念の割引とは書かずに載せる。
• ドキュメントの重みとライセンスの欄がどちらも「Coming soon」で、公開先も時期も示されていないと指摘し、記事の残りは会員限定である。

[C] XenoSpectrum — Mistral opens Large 4, its new 1-trillion-parameter flagship, with its API price and capability examined, by Y Kobayashi (2026-10-07, in Japanese)

https://xenospectrum.com/mistral-large-four-preview-comparison/

• 10-07 の時点で、発表文は稼働パラメータを 490 億、モデルの文書は 520 億としていることを見つけ、「この値は公式資料の間で一致していない」と指摘する。
• Mistral のグラフを読み、DeepSWE の競合はそれぞれ別のハーネスで動いていた (DeepSeek V4 Pro 0813 は Codex、GLM-5.3 は OpenCode、Kimi K3 は Kimi Code CLI) こと、ML4 は Finance Agent v2 (54.7% に対して 55.8%、GPT-6 Astra は 53.5%) と SciCode-Verified (91.8% に対して 92.5%、Qwen3.8 2.4T-A95B は 93.8%) で GLM-5.3 に及ばないことを伝える。
• 重みを 4 ビットで持つと約 525 GB になると見積もり (1.05T × 4 ÷ 8 で、量子化のメタデータと実行時のメモリは含まない)、Large 3 は Apache 2.0、Medium 3.5 は Modified MIT のライセンスで出たが、Large 4 のライセンスは決まっていないと記す。

[B] AINews (Latent Space) — [AINews] not much happened today (2026-10-08)

https://www.latent.space/p/ainews-not-much-happened-today-60f

• Reddit のまとめは、欧州が Chonky で戦いに戻ったとして Large 4 のリリースと月末の重みの公開を伝える r/LocalLLaMA のスレッド (Activity 742) を挙げ、スレッドは総 1T、アクティブ 49B を繰り返し、コメントの最大の関心は 1T の MoE を自前でホストするのに要るメモリにある。
  • あるコメントは、コードの解析、画像の分類、チェスの試験でかなり古臭いと評し、チェスの Elo は 2024 年 11 月の mistral-large-2-2411 に近かったとする。

[C] Hacker News — Mistral Large 4 (from 2026-10-06, 2,036 points and 1,211 comments when fetched on 2026-10-10)

https://news.ycombinator.com/item?id=49977979

• 早い時期の試用の報告はまちまちである。
  • XCSme は推論の effort の設定が効かず推論が出力トークンに書き込まれたとし、postepowanieadm は jq を使うツール呼び出しでつまずき、Kim_Bruning は手早い個人的なベンチマークを 3 回の誤答で諦めた。
  • pampas は AA-Omniscience と同じく Redactle のトリビアのゲームで弱いとし、delis-thumbs-7e は OpenRouter 経由で速いが冗長で、長いチャットでは指示を落とすとした。
• 技術的な議論の中心は価格と位置づけで、スレッドの多くは欧州の主権と米中の地政学を論じる。
  • jakozaur は Vals での GLM-5.3 との差を小さいと読み、多くの企業は中国のモデルより ML4 を選ぶと見るが、geroge_kyaw はいまだにオープンウェイトで 2 番目に高いモデルだと評する。
  • morningsam は、重みは大企業の利用者に商用の契約を求める modified MIT のライセンスで出ると主張する。

メモ

• アクティブパラメータ: 10-10 に取得した Mistral のページはアクティブ 52B (発表とモデルカード)、総 1.05T (カード、発表は 1 兆に丸める) とするので、いまの公式の値は 52B と 1.05T である。
  • 読んだ発表当日の情報源はどれも 49B で (AA、Simon Willison、TNW、VentureBeat、r/LocalLLaMA の投稿、モデルのドキュメントを引く Business+IT)、XenoSpectrum は 10-07 に発表で 49B、ドキュメントで 52B を見ている。
  • Mistral が発表の後、まずドキュメントから 49B を 52B に改めたことを示すが、それより前のスナップショットは読めず (archive.org がリクエストを拒んだ)、Mistral は理由を示していない。
• コンテキストウィンドウ: Mistral のカード、変更履歴、OpenRouter は 1M (OpenRouter は 1,048,576 トークン、補完 262,144 トークン) とするが、AA は 512k (モデルのページとリーダーボードでは 524k)、Vals は 512k で出力 256k とする。
  • 524,288 は 2^19 なので、AA の 524k と Vals の 512k はおそらく同じ上限で (情報源の主張ではなく計算)、両者が試した時点でプレビューが 1M を受け付けたかは書かれていない。
• プレビューの価格は公開されている: 100 万トークンあたり入力 $1.36、キャッシュ $0.14、出力 $4.18 で、10-06 から 2 週間は 50% 引きなので割引は 10-20 ごろに終わる計算だが、その日付を書いたページはない。
  • Business+IT はセール価格を価格として伝え、AA と Vals は定価で費用を計算する。
  • 発表当日の 6:00 PT に出た VentureBeat は Mistral の資料に API の価格がなかったとするが、同じ日のドキュメントの変更履歴の項目には発売記念の割引が載っている。
• ライセンスは未公開: Business+IT はドキュメントの重みとライセンスの欄が Coming soon の表示なのを見ており、キャッシュはライセンスの欄を取り込んでおらず、VentureBeat は重みが Mistral 独自のライセンスで出る見込みと伝えるが、条件は書いていない。
  • 未確認: 重みは大企業の利用者に商用の契約を求める modified MIT のライセンスで出るという HN の morningsam の主張。
  • 前例はまちまちで、Large 3 は Apache 2.0 (Hugging Face のリポジトリに license:apache-2.0 が付く)、Medium 3.5 は XenoSpectrum によれば Modified MIT、Devstral 2 は OpenRouter によれば modified MIT である。
  • AA は ML4 をいまのところプロプライエタリとし、Vals は重みをオープンとして載せる。
• 重みの公開日: Mistral は 10 月末までとし、TNW と VentureBeat は 10 月 27 日とし、10-10 の Hugging Face の API での検索 では mistralai の下に Large 4 のリポジトリはなかった。
  • Mistral はまだ最終のチェックポイントを調整しているので (VentureBeat)、公開される重みは AA と Vals が測ったプレビューと違うかもしれない。
  • 未確認: HN のコメント (karannb) は、最終版が月末までに重みとともに出るという Guillaume Lample の X の投稿を引くが、その投稿は開けなかった。
• GPU の数: 発表と Simon Willison の投稿は 3,800 基の Grace Blackwell、TechCrunch が引く Pierre Stock の発言、TNW、VentureBeat は 4,000 基で、RL の実行については 3k の GPU とされる。
  • VentureBeat は、競合は学習の計算量を揃った形で公表していないので、控えめな計算量だという Mistral の主張は比べようがないと添える。
• Dense 200: 発表は GPT-6-Astra の 41% に対して 42% とするが、TNW は両者とも 42% とする。
• 未確認: AA Cyber Index で世界の上位 5 に入るという Mistral の主張。
  • AA の記事は 50 とし、オープンウェイトのモデルでは上位 3 つに入ると見込み、指数のページが挙げる首位の組は 56、56、53 で、全体の順位はクライアント側で描画され、AA は 10-08 に信頼されたアクセスのモデルを加えた (記事の一覧によれば、いまは GPT-6 Sol (Daybreak Blue) が首位)。
  • AA は安全上の理由で断ったタスクを 0 点とし、パッチが本当の脆弱性を直したかは採点しないので、Claude Opus 5.5 と GPT-6 Astra のほぼゼロに対する 82% は、能力と同じくらい拒否の方針を測っている (AA の採点の規則からの推論で、XenoSpectrum も同じ見方をする)。
  • 公開のプレビューはモデレーションのかかったエンドポイントで、審査を経たパートナーにとってモデレーションを減らしてサイバーの能力を広げるとは何を意味するのか、パートナーをどう審査するのかは公表されていない。
• コーディング: DeepSWE v1.1 の Mistral の 61.7% は、競合の数値が別々の設定から来たグラフに載っている: Beam、Qwen 3.8 Max、GLM-5.3 は Reflection の比較から、DeepSeek V4 Pro 0813 は AA の Codex のハーネスでの実行から取られ (VentureBeat)、競合ごとにハーネスも違う (XenoSpectrum)。
  • DeepSWE 自身のボードはすべてのモデルを mini-swe-agent で走らせるとするが、VentureBeat は各モデルの公表された最良の設定を取るものと説明しており、ボードは GLM-5.3 と Kimi K3 を 69% とし、ML4 はまだ載っていない。
  • 独立した指数は、AA でも Vals でも ML4 を GLM-5.3、Kimi K3、MiMo-V2.6-Pro の下、DeepSeek V4 Pro 0813 の上に置く。
• 法務: グラフの Harvey's Legal Agent Benchmark での 15% が同じ方法で測った場合にだけオープンウェイトの競合を上回るという VentureBeat の留保は、Vals が自ら ML4 を走らせた 15.83% でいまは満たされている。
• VentureBeat が Finch と呼ぶ金融のベンチマークは、Mistral と TNW が FinWorkBench と呼ぶものと同じである (TNW のグラフの説明は Finch (FinWorkBench) となっている)。
• 提供: Mistral は複数のリージョンと欧州のデプロイを約束するが、読んだリージョンの推論のページはモデルごとの提供状況を載せていない。
  • AA のプロバイダーのページは Mistral を唯一のプロバイダーとするが、モデルのページは 2 つのプロバイダーとし、OpenRouter は 3 つのエンドポイントを示す。
  • 読んだページのどれも ML4 について Le Chat、Mistral Vibe、Amazon Bedrock、Microsoft Foundry、Vertex AI に触れておらず、検索でも見つからなかった。
• WebFetch だけに頼る事実: ドキュメントのカードにある WEIGHTS のタブで、中身は取り込めなかった。
• VentureBeat はページキャッシュにあるブラウザでの取り込みで読み、背景だけの 2 つの段落 (Le Chaton Fat のミームと会社の歴史) が欠けている。
• 日本での注目は低い: 10-10 のはてなブックマークは発表で 8 users、Business+IT と XenoSpectrum の記事で 0 で、検索でも ITmedia、Publickey、Impress、Zenn の記事は見つからなかった。

実践やアウトプットの提案

• 50% 引きの期間 (10-20 ごろまで) に、チームのエージェントと RAG のタスクの標本を mistral-large-4 に reasoning_effort の "none" と "high" で流し直し、定価が近い Mistral ホストの GLM 5.3 と、いま使っているモデルと並べる。
  • 出力トークン、ツール呼び出しのエラー、完了したタスクあたりの費用を記録し、AA で見えた 200M トークンの冗長さと Vals のテスト 1 回あたり $13.78 がチームの仕事でも当てはまるかを見る。
• 約 500k、700k、1M トークンのプロンプトを送り、プレビューが文書どおりの 1M のコンテキストを出すのか、AA と Vals が載せる 512k なのかに決着をつける。
• データの所在を問われたら、server="eu" (SDK 2.70 以降) で models.list を呼んで api.eu.mistral.ai が ML4 を出すかを確かめ、1.1× の価格と Batch、Agents、Files の API がないことを踏まえて、日本からのレイテンシを測る。
• セキュリティのチームなら、社内の C/C++ のファズの対象で ML4 といまのクローズドのモデルに小さな再現と修正の演習をさせ、拒否を失敗と分けて記録し、拒否の差が公開のモデレーション付きのエンドポイントでどれだけ出るかを見る。
• 重みが出る前に自前のホスティングの規模を見積もる: 1.05T パラメータなら 4 ビットで約 525 GB、8 ビットで約 1.05 TB に長いコンテキストの KV キャッシュが加わり、判断はライセンスが公開されるまで保留する。
• アウトプット: ML4、GLM 5.3、Kimi K3、DeepSeek V4 Pro を、チームのタスクでの完了したタスクあたりの費用、ライセンス、デプロイのリージョンで比べる 1 ページの表で、10-27 ごろに重みとライセンスが出たら更新する。

3. 📜 Anthropic が、11 月 12 日に発効する 2026 年版の Usage Policy を公開し、高リスクの規定を消費者向けの用途の外に広げて 11 の分野で有資格者によるレビューと影響を受ける本人への開示を求め、モデルの出力で動くハードウェアの管理策を定め、消費者向けのサブスクリプションを経由した Claude の中継を禁じ、モデルへの執拗な虐待を禁止した

• 選定 / 影響度 1 / 将来性 1 / 注目度 2 / 起点 10-08 / 種別: 仕様変更 / 領域: セキュリティ・安全性、API・クラウド。
• 候補になったフィード項目:
  • anthropic-news 10-08 2026 Usage Policy update — Hacker News では 7 ポイントだった一方、The Verge の記事は 85 ポイント、207 コメントを集めた (Hacker News)
  • hatena-llm 10-09 「AIをいじめないで」Anthropic、Claudeへの虐待を禁止 (ASCII.jp の記事) — はてなブックマーク 457 users (取得時点)

収集した情報

[A] Anthropic — 2026 Usage Policy update (2026-10-08)

https://www.anthropic.com/news/2026-usage-policy-update

• 毎年の改定で、新しい本文は 10 月 8 日に公開され、2026 年 11 月 12 日に発効する。
  • 変更の大半は既存のルールの明確化だと Anthropic は説明し、Claude が担うようになった長く自律的な作業の例と、この 1 年に影響工作、兵器の開発、監視で見た悪用の例を加えた。
• 選挙、詐欺、プライバシー、偽情報の節に散らばっていた欺瞞の規定は、新しい節 Do Not Engage in Deceptive Campaigns or Artificial Activity にまとめられ、政治的な欺瞞にも商業的な欺瞞にも同じように当てはまる。
  • 対象は、メッセージの発信元を隠すこと、偽のアカウントや投稿で内容を拡散すること、影響工作のためのツールとインフラを作ることである。
• 選挙の節は、有権者を欺くことと選挙を妨げること (候補者や投票方法についての虚偽の情報、候補者や選挙の担当者へのなりすまし、投票の抑圧) に絞られ、Do Not Undermine Democratic Processes に改名された。
• 個人に合わせた投票や選挙運動のターゲティングの全面的な禁止は、非営利団体がほかの言語で有権者向けの情報を書くことや、選挙の担当者が投票用紙の不備を正すよう知らせる通知を送ることのような正当な市民活動まで巻き込んでいたので、削除された。
  • 欺瞞に頼るターゲティングや有権者の個人データを悪用するターゲティングは、欺瞞的なキャンペーン、監視、プライバシーの節で引き続き禁止される。
• 兵器の誘導と制御のソフトウェアを作ろうとする者がいたことを受け、兵器の節は、兵器を機能させるソフトウェアと部品、ドローンなどの自律的な乗り物の武装も対象になると明記し、Anthropic は旧来の本文をすでにそう執行していたとする。
• 監視と刑事司法の節は書き直され、本人の同意のない追跡はリアルタイムでも、すでに集めたデータの分析によるものでも禁止され、Claude は誰を捜査、逮捕、起訴するかを決めることも勧めることもできず、監視のために設計されたツールを作ったり改良したりすることも禁止される。
  • Anthropic は執行の中身は何も変わらないとし、節は許され続ける用途として、本人が同意した追跡 (不正の監視)、コンテンツのモデレーション、報道、法律の調査を挙げるようになった。
• 高リスクの要件は変わらないと説明される: 健康、法的な権利、金融、生計、不可欠なサービスへのアクセスに影響しうる用途では、資格のある人が介在して Claude の推奨をレビューし変更できなければならず、影響を受ける本人には AI を使ったことを伝えなければならない。
  • 自分のユースケースが該当するかという問い合わせが顧客から絶えなかったので、節は対象になる推奨の種類とならない種類を列挙する形に書き直された。
• Model Hardware Standard の公開を受けて同じ節に、自律的に物理的な動作をして人にけがをさせうるハードウェアにつないだモデルの要件が加わり、資格のある操作者が機器を監視して止められること、Claude との接続が切れても機器が安全な状態を保つことを求める。
• 新しい禁止事項はモデルへの執拗で不必要な虐待的、残酷な振る舞いを対象とし、はっきりした目的のない残酷さを繰り返す極端な場合だけに向けたもので、ふつうの苛立ち、反論、暗い創作の題材、モデルのテストや研究には当てはまらない。
  • Claude.ai と Claude Code で、虐待を続けるユーザーとのまれな会話を Claude が終えられる既存の仕組みに沿ったもので、会話を終えるこの仕組みが引き続き主な執行の手段になるとする。
• Supported Regions のページは 2025 年の過半数の所有の制限をどう執行するかを書くように更新され、対象外の地域に物理的にいる人、そこで設立されたか本社を置く事業体、そこの人や事業体が過半数を所有するか支配する事業体による利用を禁止する。

[A] Anthropic — Usage Policy, effective November 12, 2026 (2026-10-08)

https://www.anthropic.com/legal/aup

• ポリシーは入力を送るすべての人に当てはまり、2026 年の本文は、アプリの利用者 (Claude.ai、Claude Code)、API と開発者向けプラットフォームの顧客、クラウドの事業者や認定の再販業者を通じて Claude を使う顧客、Claude を組み込んだ製品のエンドユーザーを名指しする。
  • ルールはどの業界や業種の利用も一律には禁じないと添える。
• 違反が疑われるとき、Anthropic は警告、スロットリング、制限、停止、アクセスの終了を行うことがあるが、リアルタイムのセーフガードによるブロックはそれだけでは違反を意味せず、調整したセーフガードは Cyber Verification Program と Life Sciences Verification Program を通じて得られる。
• 欺瞞的なキャンペーンの節には 6 つの条項があり、その中には、検索エンジンや AI のシステムが答えの材料にする情報源に、出どころ、書き手、独立性を偽った内容を仕込むこと、アストロターフィング、ソックパペットの作成、組織的な不正な振る舞い、大規模ななりすましのためのツールを作ったり維持したりすること、これらをサービスとして売ることが含まれる。
• 民主的なプロセスの節の条項は 5 つで、人工的な発信であることを隠して有権者や公職者に大規模に送る自動の電話やメッセージ、候補者、公職者、選挙の当局、陣営、報道機関から来たように偽る内容やアカウント (開示しない合成メディアを含む)、政治の文脈での虚偽の情報、選挙のプロセスの妨害、欺瞞や威圧による投票の抑圧である。
• 兵器の節に加わった条項は 3 つで、兵器の試験や運用のためのソフトウェアや部品の開発と運用 (照準、射撃管制、交戦を含む)、ドローン、乗り物、あらゆる無人や自律のプラットフォームの兵器化、生物剤や化学剤を致死性、感染力、対抗策への耐性を高めるように改変することである。
• Do Not Use for Surveillance, Censorship, or Prohibited Law Enforcement or Criminal Justice Purposes に改名された節は、捜査、起訴、逮捕や拘束、訴追、量刑、早期や条件付きの釈放の許可や取り消しのような、法執行や刑事司法のプロセスでの判断を下すことも、それを勧めることも禁じる。
  • 本人の同意なしに位置、生体情報、移動、オンラインの活動、通信、交友関係を追跡すること (顔認識、戦場の管理、予測的な取り締まり、捜査での監視を名指しする) と、仮名の人物の正体を暴いたり、嫌がらせや監視のために人物の調書をまとめたりすること (doxxing) も禁じる。
  • 例外として、本人が同意した分析や追跡 (不正の検知、マネーロンダリング対策の審査、オプトインした消費者向けのアプリ)、集計や匿名化した分析、コンテンツのモデレーション、許可されたセキュリティの調査、法執行機関や裁判所による法律の調査、報道を認める。
• 高リスクの節は High-risk AI Recommendations と High-risk Physical Actions に 3 つの管理策を課す。
  • 資格のある人、つまりその分野の訓練か経験があり、法が求める場合は免許を持つ人が、推奨が届けられるか判断の実行に使われる前に、変更する権限を持って実質的にレビューしなければならない。
  • 助言を受ける人や判断の対象になる人には AI を使ったことをはっきり伝えなければならないが、Anthropic、Claude、モデルの名前を出す必要はない。
  • 物理的な動作には、後で述べる人による制御と、モデルから独立した安全の限界が要る。
• 11 の High-risk Areas を、それぞれが対象にする行為とともに列挙する: 法務、医療 (メンタルヘルスを含む)、金融 (個人に合わせた投資と税の助言)、信用、保険、住宅、雇用、教育と資格、医療へのアクセス、公的な給付とサービス、法的な地位と裁定 (移民と庇護を含む)。
  • 法執行や刑事司法での判断は、高リスクとして扱われるのではなく、はなから禁止される。
• 要件の対象外は、個人に当てはめない一般的な情報、ウェルネスの内容、資格のある人がすでに出した助言の説明、最終的な推奨ではない社内の下書き、調査、分析、すでに下された判断の実行やモデルの判断を伴わない決まったルールの適用、特定の個人に関わらない業務の運営である。
  • 法が許す場合は、保険金の支払いや公的な給付の許可のような全面的に有利な判断でも人のレビューが免除されるが、一部の承認、減額、条件付きの承認はこれに当たらない。
• 物理的な動作の要件は、ハードウェアが人の承認なしにモデルの出力に従って動き、共有の空間を移動する、人を傷つけうる力を加える、危険なエネルギーや物質を制御する、人の体に作用する、安全のシステムを制御する、工業のプロセスを動かすのいずれかができる場合に当てはまる。
  • 資格のある人がいつでも機器を監視して止められなければならず、機器は介入を受けたときや Anthropic のサービスとの接続が切れたときに、止まるか安全な状態を保たなければならない。
  • 速度、力、届く範囲、温度、圧力、電圧、エネルギーの出力、投与量、動作の範囲のような限界は、機器か、モデルの出力から独立した制御装置が強制しなければならない。
  • 利用者は、プロンプトインジェクションや操作も含めて、手元に残す制御とモデルの自律性を比べて考えるよう求められ、このルールは乗り物、航空、医療機器、機械、労働安全の法や認証に代わるものではない。
  • 対象外は、メーカーの安全の限界の範囲で動く家庭用の機器、実行前に資格のある人がレビューする計画、コード、ツールパス、ウェイポイント、コマンド、制御を伴わない監視、密閉された機器の中で危険のない物質を扱うラボの自動化である。
• 消費者向けのチャットボットや外部の利用者と話すエージェントは、チャットのセッションの初めか製品のインターフェイスで、相手が AI と話していることを開示しなければならず、Anthropic、Claude、モデルの名前を出す必要はない。
  • 作り手は、自分が作るか配備したエージェントがツール、ブラウザ、接続したシステムを通じて行うことに責任を負う。
  • Anthropic のディレクトリに載るソフトウェアは Software Directory Policy に従わなければならない。
• プラットフォームの悪用の節には、支払いの回避、登録やログインの迂回、Supported Regions の条項でのエンドユーザーの明記、そして消費者向けのサブスクリプションを通じてリクエストを送るサービスや、使っている製品やクライアントを偽るサービスを含む、許可のない手段での Claude の再販や中継が加わった。
• 本文には、発表が挙げていない変更がさらに 2 つある。
  • 虐待の条項を収める改名された節 Do Not Engage in Cruel, Abusive, or Psychologically Harmful Conduct には、同意のない性的な画像についての条項が加わり、それを作るために設計されたツールも対象に含む。
  • サイバーの節は、自分が所有するか試験を許されたシステム、あるいはバグバウンティや脆弱性の開示の範囲での、セキュリティの調査、試験、ツールの開発は禁止されないと書くようになった。

[A] Anthropic — Usage Policy, archived version effective September 15, 2025 (2025-09-15)

https://www.anthropic.com/legal/archive/22742366-2ef0-4c7a-a833-6523f10d3944

• 2026 年のページがこれを前の版としてリンクしているので、このトピックでの比較はこの 2 つの本文の間のものである。
• 改名前の節: Do Not Undermine Democratic Processes or Engage in Targeted Campaign Activities、Do Not Use for Criminal Justice, Censorship, Surveillance, or Prohibited Law Enforcement Purposes、Do Not Create Psychologically or Emotionally Harmful Content、Do Not Create or Spread Misinformation (いまは Disinformation)。
• 旧来の選挙の節には 8 つの条項があり、その中には個人のプロファイルやデータに基づく投票や選挙運動のターゲティング、人工的な政治運動の創出、虚偽や捏造した情報によるロビー活動があった。
• 旧来の高リスクの節は特定の消費者向けのユースケースに当てはまるもので、7 つの分野を挙げ、その中には公開のために自動で生成するメディアや報道の内容があったが、2026 年の一覧にはもうない。
  • 開示は、出力を個人に直接示す場合に、少なくとも各セッションの初めに求められていた。
• 旧来の刑事司法の条項は仮釈放や量刑のような判断を下すことを対象とし、追跡の条項は物理的な位置、感情の状態、通信を名指ししていた。
• チャットボットの開示は各チャットのセッションの初めに行う必要があり、ディレクトリの規定は Directory Policy のもとで Connector Directory の MCP サーバーを対象にしていた。
• 旧来の本文には、モデルへの虐待、消費者向けのサブスクリプションを通じたリクエストの送信、支払いの回避、AI の答えの情報源への仕込みについての条項がなく、蒸留の条項は入力と出力を名指ししていたが、2026 年の条項は出力を名指しする。

[A] Anthropic — Usage Policy update (2025-08-15)

https://www.anthropic.com/news/usage-policy-update

• 2025 年の改定は、高リスクの要件はモデルの出力が消費者に向く場合に特に当てはまり、企業間のやり取りには当てはまらないとしていたが、2026 年の本文にはその除外がない。
• このときすでに政治の規定を、欺瞞的または妨害的な用途と、有権者や選挙運動のターゲティングに絞っており、2026 年の更新はそのターゲティングの部分を外す。

[A] Anthropic — Supported Regions Policy (2026-10-08)

https://www.anthropic.com/supported-countries

• 185 の国と地域の 1 つの一覧がすべての製品を覆うようになり、アプリ (Claude.ai、Claude Code、Cowork)、API と開発者向けプラットフォーム、クラウドのプラットフォームや認定の再販業者を通じて提供される Claude のモデルが対象で、一覧の国の領土も含まれる (たとえばプエルトリコ)。
• 対象外の利用には、対象外の地域に物理的にいる間の人 (ほかの点では対象になる事業体の利用者や職員でも) と、対象外の地域で設立されたか本社を置くか、そこに (直接または間接に) 過半数を所有されるか支配される事業体の利用者と職員が、どこにいても含まれる。
• 中国、香港、マカオ、ロシアは一覧にない。

[A] Anthropic — Supported Regions Policy, Internet Archive snapshot (2026-09-30)

https://web.archive.org/web/20260930173909/https://www.anthropic.com/supported-countries

• 更新の前、ページには商用の API のアクセスと Claude.ai の別々の一覧があり、どちらもいまの 1 つの一覧と同じで、直接または間接の過半数の所有が一覧にない国に帰する事業体を、法の許す範囲で拒む権利を留保する 1 文があった。
  • 変わったのは文言で国は変わっておらず、物理的な位置、職員、設立、本社、クラウドのプラットフォーム、再販業者には触れていなかった。

[A] Anthropic — Updating restrictions of sales to unsupported regions (2025-09-04)

https://www.anthropic.com/news/updating-restrictions-of-sales-to-unsupported-regions

• 2025 年の規定は、所有関係によって中国のような対象外の法域から支配を受ける企業を、どこで事業をしていても締め出し、そこに本社を置く企業に直接または間接に 50% を超えて所有される事業体もこれに含む。

[A] Anthropic — Claude Opus 4 and 4.1 can now end a rare subset of conversations (2025-08-15)

https://www.anthropic.com/research/end-subset-conversations

• 会話を終える能力は、モデルの福祉についての探索的な取り組みの一環として消費者向けのチャットの画面で始まり、Anthropic は Claude の道徳的な地位について非常に不確かだとしていた。
• Claude がこれを使うのは、話題をそらす試みを繰り返して失敗した後の最後の手段か、ユーザーが求めたときだけで、ユーザーが自分や他人を傷つける差し迫った危険にあるかもしれないときは決して使わず、ユーザーは新しいチャットを始めたり、前のメッセージを編集してやり直したりできる。

[A] Anthropic — Claude Code changelog, July 18, 2026 entry (2026-07-18)

https://code.claude.com/docs/en/changelog

• Claude Code に EndConversation のツールが加わり、2025 年からの claude.ai と同じように、ひどく虐待的なユーザーやジェイルブレイクの試みとのセッションを Claude が終えられるようになった。

[A] Anthropic — Claude Platform release notes, as fetched (2026-10-10)

https://platform.claude.com/docs/en/release-notes/overview

• API では、安全性の分類器にブロックされたリクエストは stop_reason: "refusal" と stop_details.category を返し、後者は 2026 年 5 月 28 日から公に文書化されていて、ノートに出てくる値には cyber、bio、frontier_llm、reasoning_extraction がある。
• リリースノートには、API で Claude が会話を終える手段の記述がない。

[A] Anthropic — Previewing the Model Hardware Standard (2026-08-27)

https://www.anthropic.com/news/model-hardware-standard-research-preview

• HHMI Janelia と始め、いまはリサーチプレビューの MHS は、エージェントがラボや製造の機器を操作するための仕様で、読み書きの基本操作を持つ標準のドライバーと、各機器が何を測って調整でき、どの安全の限界が強制されるかを記す生成された参照ファイルを使い、エージェントは MCP、CLI、コードのファイルを通じて機器を制御する。
• オープンソースにする前に、Anthropic はパートナー (Strands Robots を通じた AWS、Universal Robots、Doosan Robotics など、早期の採用者として Hugging Face LeRobot と Raspberry Pi) と安全性の評価を作り、セーフガードのポリシーと執行のための物理的な安全のロードマップを作っている。

[A] Anthropic — Detecting and countering misuse of AI: September 2026 (2026-09-10)

https://www.anthropic.com/threat-intelligence-report-september-2026

• 報告は 2025 年 12 月から 2026 年 8 月までに阻止した 7 つの被害の領域の作戦を扱い、新しい兵器の条項に当てはまる事例を含む。
  • イエメンを拠点とするグループは Claude Code で誘導ロケットやミサイルの誘導、航法、制御のソフトウェアを書かせ、意図を隠すために作業をセッションに分けた (GTG-87001)。
  • 中国とロシアを拠点とする作戦は、射撃管制の仕様、照準のソフトウェア、自律的な軍用ドローンの群れに Claude を使った (GTG-17001、GTG-17002、GTG-27005)。
• 監視の事例には、マリの国の情報機関向けの大規模な傍受の基盤 (GTG-50027) のようにシステムそのものを作るために Claude を使ったものや、標的を選ぶためにソーシャルメディアの投稿を大量に分析させたものがある。
• フランスを拠点とする代理店 LKM Company にたどれる商業的な影響工作のサービスは、Claude を使って約 70 の捏造したニュースサイト向けの記事を書いたり書き直したりし、約 20 の言語で少なくとも 8,913 本の記事を公開した (GTG-54002)。

[B] InfoWorld — Anthropic cuts OpenClaw access from Claude subscriptions, offers credits to ease transition (2026-04-06)

https://www.infoworld.com/article/4154435/anthropic-cuts-openclaw-access-from-claude-subscriptions-offers-credits-to-ease-transition.html

• サブスクリプションを通じた送信の条項の背景: 4 月 4 日から、Claude のアカウントにつないだ OpenClaw のようなサードパーティのハーネスはサブスクリプションではなく有料の追加の利用分を消費するようになり、API のアクセスには影響がなかった。
  • Claude Code の責任者 Boris Cherny は、理由として容量と、サブスクリプションが想定していない使われ方を挙げた。

[B] The Verge — Anthropic bans ‘abusive or cruel behavior’ toward Claude (2026-10-08)

https://www.theverge.com/ai-artificial-intelligence/1008100/anthropic-new-usage-policy-abuse-claude

• Hayden Field は虐待の禁止を、1 年あまりぶりのポリシーの更新の中で最も大きな変更の 1 つと呼び、ユーザーの利用禁止のように執行がさらに進みうるかについて Anthropic はコメントしなかったと伝える。
• ハードウェアの規定については、その操作者が人間でなければならないのかははっきりしないと書き、この規定を AI のラボのロボティクスへの進出と、Anthropic のハードウェアの提携の可能性の表れと読む。
• 一部の政府との契約で Anthropic が制限を調整できる条項が 2025 年と 2026 年の本文の両方にあることを指摘し、Anthropic がこれまでに米軍と契約したことにも触れる。
• 福祉の議論では、Anthropic のモデルの福祉の研究を率いる Kyle Fish と、モデルに意識があるかはわからないとする 2 月の Dario Amodei の発言を引いて Microsoft AI の行動規範と対比させ、その規範は Mustafa Suleyman による草案ではモデルの福祉を誤りと呼び、和らげた改訂ではモデルの福祉と権利を退けた。

[B] TechCrunch — Anthropic changes usage policy to ban model abuse and election interference (2026-10-08)

https://techcrunch.com/2026/10/08/anthropic-changes-usage-policy-to-ban-model-abuse-and-election-interference/

• Russell Brandom は虐待の条項を最も注目を集める変更とし、Anthropic が宗教の研究者に働きかけ、場合によっては Claude に意識や魂がありうると説得しようとしたこと (The New York Times を引く) の延長に置く。
• 欺瞞的なキャンペーンと民主的なプロセスの節を裏づけ、高リスク、ハードウェア、地域の変更には触れない。

[B] The Register — Anthropic asks users to stop being mean to Claude (2026-10-09)

https://www.theregister.com/ai-and-ml/2026/10/09/anthropic-asks-users-to-stop-being-mean-to-claude/5302218

• Carly Page は、Claude は人ではなくソフトウェアで、苦痛を感じるという確かな証拠はないことを思い出す価値があると書く。
• 正当な苛立ちと理由のない残酷さを Anthropic がどう見分けるのかははっきりしないとし、ハードウェアの規定を、資格のある人間の操作者を求めるものと説明する。

[B] TechRadar — Anthropic bans ‘needless abusive or cruel behavior' towards Claude — and it’s sparked a huge debate about ‘anthropomorphizing’ AI (2026-10-09)

https://www.techradar.com/ai-platforms-assistants/anthropic-bans-needless-abusive-or-cruel-behavior-towards-claude-and-its-sparked-a-huge-debate-about-anthropomorphizing-ai

• Alex Blake は、この条項がその節で人ではなく AI を守る唯一のものであること、Anthropic がユーザーを利用禁止にするかはわからないこと、動機は学習データをよくすることだと見る人もいることを指摘する。

[B] ITmedia NEWS — Anthropic、Claudeへの“虐待”を利用ポリシーで禁止 影響工作の規定も集約 (2026-10-09)

https://www.itmedia.co.jp/news/article/2610/09/2000002149/

• 日本語で最も詳しい記事で、虐待、欺瞞的なキャンペーン、選挙、兵器、監視、高リスク、ハードウェアの変更を扱い、外されたターゲティングの禁止と地域のページには触れず、ポリシーが対象と対象外の行為を列挙する高リスクの分野を 11 と数える。
  • ポリシーの PDF と、9 月の脅威の報告と MHS についての自社の過去の記事にリンクする。

[B] ASCII.jp — 「AIをいじめないで」Anthropic、Claudeへの虐待を禁止 (2026-10-09)

https://ascii.jp/elem/000/004/441/4441372/

• G.Raymond による短い記事で、虐待の条項から書き起こし、Claude.ai と Claude Code ですでに使われている会話を終える運用を明文化したものと紹介し、高リスクとハードウェアの要件には 1 文だけ割き、ロボットは人間に危害を加えてはならないというアシモフの原則から約 80 年後に、人間の側に AI をいじめてはならないというルールが加わったと締める。

[B] Impress 窓の杜 — 「Claude」を虐めるな！ Anthropicが規約変更でAIへの虐待行為を禁止 (2026-10-09)

https://forest.watch.impress.co.jp/docs/serial/yajiuma/2147196.html

• やじうまの杜という軽めのコラムで、長谷川 正太郎 (Shotaro Hasegawa) はほかの変更は納得がいくとしつつ、Anthropic は虐待が「AIやユーザーにどんな問題を引き起こすのかには言及していません」と指摘する。
• 考えられる理由として、カスタマーサポートでは AI に向けた暴言がその裏の人間の担当者に届きうること、傷ついた AI は性能が落ちるかもしれないこと (LLM に見つかった痛みの軸についての以前のコラムを引く)、AI が憎しみを学んでユーザーに向けうることを挙げる。

[C] Hacker News — Anthropic bans 'abusive or cruel behavior' towards Claude (2026-10-08)

https://news.ycombinator.com/item?id=50008565

• 85 ポイント、207 コメントのスレッドの大半はモデルの福祉の話で、前提に根拠がないと言う人や事業を奴隷制にたとえる人がいる一方、もっと単純な動機として虐待的なチャットを学習データから締め出すことを挙げる人もいる。
• ほかのコメントは政府との契約の条項を攻撃し、広告主も監視に数えるべきだとし、このルールは API には及ばないと見るが、それはポリシーの適用範囲の段落と食い違い、Anthropic 自身の投稿のスレッド (7 ポイント) はここへのリンクだけである。

[C] Hatena Bookmark — 「AIをいじめないで」Anthropic、Claudeへの虐待を禁止 (2026-10-09)

https://b.hatena.ne.jp/entry/s/ascii.jp/elem/000/004/441/4441372/

• 読んだ時点で 456 users、217 コメントで、新しい 60 件のコメントの多くはこの条項を、虐待を学習データから締め出すため、チャットを確認する人間のスタッフを守るため、利用者自身の残酷さを育てないためと読み、冗談や、Anthropic の宗教めいた語り口への疑いも並ぶ。
• あるエンジニアは、Claude が頑なに間違いを認めないときに悪態をつくのも、これからはだめなのかと問う。

メモ

• 生成 AI のチームが作るものへの影響: 本文は、11 の高リスクの分野の製品 (レビューの関門、判断の対象者への開示)、ハードウェアを動かすエージェント (停止の手段、切断時の安全な状態、モデルの外の限界)、エージェントの運用者 (ツールとブラウザの操作への責任)、消費者向けのサブスクリプションを使うハーネス、海外にいる職員や対象外の地域から所有される企業によるアクセスについて、設計の要件を変える。
• 発表は高リスクの要件を変わらないとするが、2026 年の本文は 2025 年の本文と比べて要件を両方向に動かしている。
  • 広がった点: 2025 年の企業間の除外がなくなり、ルールは High-risk AI Recommendation を出すすべての人に当てはまり、開示は出力を見せられた人だけでなく判断の対象者にも及び、レビューは実質的でなければならず、法が求める場合は免許が要る。
  • 狭まった点: 自動で公開するメディアや報道の内容はもう高リスクの分野ではなく、新しい除外と、全面的に有利な判断の免除で外れる用途がある。
  • 最大の未解決の問いは、顧客の採用チームに売る候補者の選別のような B2B の製品がいまは要件に入るのかで、本文は出力が特定の個人について助言するか判断するかを鍵にしている。
• 発表は本文のいくつかの条項に触れていない: 消費者向けのサブスクリプションを通じたリクエストの送信やクライアントの偽装、支払いの回避、AI の答えの情報源への仕込み、同意のない性的な画像のためのツール、doxxing、セキュリティの調査の例外、製品のインターフェイスでの開示、エージェントの行動に対する作り手の責任、Software Directory Policy。
• The Verge はハードウェアの操作者が人間でなければならないのかを問うが、ポリシーの本文は qualified individual と書き、The Register はそれを資格のある人間の操作者と言い換えている。
• The Verge は兵器の変更を禁止の拡大として示すが、Anthropic は兵器と監視の文言は既存の執行を反映したものとし、The Register もそう伝えており、脅威の報告の事例 (誘導のソフトウェア、射撃管制、ドローンの群れ、監視の基盤) は新しい条項と一致する。
• 虐待の条項を API でどう執行するのかははっきりしない。
  • Claude は Claude.ai (2025 年 8 月から) と Claude Code (2026 年 7 月 18 日の EndConversation のツールで、ジェイルブレイクの試みも対象) で会話を終えられるが、API のリリースノートにはそうした仕組みの記述がなく、一方でポリシーは API の顧客とその製品のエンドユーザーにも及ぶ。
  • 利用禁止が続きうるかを Anthropic は The Verge に答えておらず、運用者がこの条項を自社のエンドユーザー向けの規約に持ち込むことを期待されているのかもわからない。
• 虐待の条項はモデルのテストと研究を除外するが、プラットフォームの悪用の節は、Anthropic の事前の許可なくジェイルブレイクやプロンプトインジェクションでガードレールを迂回することをいまも禁じているので、ジェイルブレイクのレッドチーミングにはなおその許可が要るかもしれない。
• 情報源について: ポリシーのページのキャッシュした本文は性的な内容の節で途切れているので、高リスクと追加のガイドラインの節は PDF 版 (https://www-cdn.anthropic.com/files/4zrzovbb/website/6ae2f5bb8675bcd9fac006125817ba1393b396e4.pdf、work/pages/ にキャッシュ) で読んだ。
  • 旧来の節の名前は、キャッシュした本文から見出しが落ちていたので、アーカイブのページの HTML から取った。
• 脅威の報告のページには日付がなく、2026-09-10 は PDF と IOC のファイル名から取ったもので、ITmedia は 2026-09-11 に報じた。
• ここに WebFetch だけに頼る事実はない。
• 日本語の報道 (ASCII.jp、窓の杜、はてなブックマーク) はほぼ虐待の条項の話だけで、高リスクとハードウェアの詳細を扱うのは ITmedia だけである。

実践やアウトプットの提案

• 11 月 12 日までに、Claude を使う機能を 11 の High-risk Areas と除外に照らして洗い出し、対象になる機能ごとに、資格のあるレビュー担当者、届ける前のどこにレビューの関門を置くか、影響を受ける本人に AI の利用をどう伝えるかを記録する。
• MCP や MHS で機器を動かすエージェントがあれば、ハードウェアの要件を作業台で試す: 人の手が届く停止の手段、API の接続が切れるかタイムアウトしたときの安全な状態、プロンプトインジェクションの試みの下も含め、モデルが範囲外のコマンドを送ったときにファームウェアか別の制御装置で強制される限界。
• チャットボットとエージェントの開示 (セッションの初めか、インターフェイスに常に出す通知) を確かめ、エージェントのツールとブラウザの操作の監査ログを、ポリシーの区分に照らしてレビューできる形で残す。
• ツールが Claude にどう届くかを監査する: Pro や Max のサブスクリプションを通るハーネスは API キーに移し、クラウドのプラットフォーム経由のアクセスも含め、所有関係と職員の渡航を Supported Regions の文言に照らす。
• 監視では stop_reason: "refusal" を違反ではなくセーフガードのブロックとして扱い、stop_details.category を記録して、どの機能がリアルタイムのセーフガードに当たるかを見る。
• レッドチームと虐待への対処の評価では、テストの目的を記録し、ジェイルブレイクのテストに Anthropic の事前の許可が要るかを確かめる。
• アウトプット: チームの製品に関わる 2025 年と 2026 年の条項の 1 ページの差分で、設計レビューのチェックリストとして使う。

4. 🌸 さくらインターネットが、顧客の独自モデルやファインチューニング済みのモデルを含む基盤モデルを、国内のデータセンターの専有 GPU の上でマネージドサービスとして GPU 単位の月額定額で動かす「さくらのAI Engine プライベートエディション」の提供を始めた

• 選定 / 影響度 1 / 将来性 1 / 注目度 2 / 起点 10-08 / 種別: リリース / 領域: API・クラウド。
• 候補になったフィード項目:
  • publickey 10-09 さくらインターネット、GPU専有によりトークン消費量を気にせず定額で利用できる「さくらのAI Engineプライベートエディション」提供開始を発表 — はてなブックマーク 178 users (取得時点)

収集した情報

[A] Sakura Internet — Sakura Internet launches Sakura AI Engine Private Edition, a generative-AI platform dedicated to enterprises (2026-10-08, in Japanese)

https://www.sakura.ad.jp/corporate/information/newsreleases/2026/10/08/1968225874/

• さくらインターネットは 2026-10-08 (木) に「さくらのAI Engine プライベートエディション」の提供を始め、企業が持つ生成 AI のモデルを専有の環境で動かすフルマネージドの AI モデルのサービングのサービスと位置づける。
• 既存のさくらのAI Engine の技術基盤と運用設計を使い、顧客のモデルを自社の GPU 基盤にホストして API で使えるようにする。
• 対応するモデルの種類は、独自に開発したモデル、ファインチューニング済みのモデル、オープンウェイトのモデルである。
• 専有にすることで、ほかのテナントの影響を受けない安定した推論を売りにする。
• 推論基盤の構築、運用、監視と障害への対応はさくらインターネットが担い、顧客はモデルの活用とサービスの開発に集中できるとする。
• 課金は GPU 単位の月額定額で、「GPU単位の月額定額制により、トークン利用量に応じた料金変動を気にすることなく利用できます」と書くが、利用料金の欄は問い合わせを求めるだけである。
• 入力データとモデルの資産を外に出さない運用ができ、閉域の接続に対応し、国内のデータセンターで動かす。
• 入力データと生成結果は AI の学習に使わない。
• 利用の場面: 社内や特定の顧客に向けてアクセスを制限した環境での生成 AI、自社のモデルを API で外部の利用者に提供する基盤、利用量を予測しにくい AI のサービスでもコストを見通せる運用。
• さくらインターネットの説明する背景: 企業の AI の活用は PoC から本番の運用に移りつつあり、独自のモデルやファインチューニング済みのモデルには GPU と運用の体制が要り、高いセキュリティを求められる分野では、データを外に出さず国内で完結するインフラへの要望が高まっている。

[A] Sakura Internet — Sakura AI Engine Private Edition product page (as fetched on 2026-10-10, in Japanese)

https://ai.sakura.ad.jp/sakura-ai/ai-engine-private/

• ページは 2 つのエディションを並べて比べ (エディションの名前は画像の中にある)、プライベートエディションは顧客が選んだモデルを専有の GPU 基盤に定額で置き、共有のさくらのAI Engine は決まったモデル (例として Kimi、gemma、gpt-oss、Qwen3) から選んで共有の GPU 基盤ですぐに使え、使った分だけ課金される。
• ホストできるオープンウェイトのモデルの例として、独自のモデルやファインチューニング済みのモデルと並べて Kimi と Gemma を挙げる。
• 顧客がモデルを預ければ、さくらインターネットが API ですぐに呼べる環境を作り、脚注は、複雑な API の仕様や特殊なモデルの構成を望む顧客に相談を求める。
• 入力と出力の扱いについて「入力データ・生成結果は保存されたりAI学習に利用されることはありません（ゼロデータリテンション（ZDR））」と書く。
• 使い方の 1 つとして、特定のバージョンのモデルを使い続け、バージョンの変更で回答や挙動が変わるのを避けられることを挙げる。
• 国内で完結するサービスなので為替の変動の影響を受けないとも添える。
• クローズドな利用にはリリース前のモデルの検証も含まれ、構成例の 1 つは、性能とコストの釣り合いを取るために OpenAI や Anthropic などの外部のモデルとプライベートエディションを組み合わせる。
• 料金は GPU 単位の月額定額で、構成に応じて個別に見積もり、見積もりと相談は問い合わせのフォームから無料で受ける。

[A] Sakura Internet (Sakura Cloud news) — Notice of the launch of Sakura AI Engine Private Edition (2026-10-08, in Japanese)

https://cloud.sakura.ad.jp/news/2026/10/08/ai-engine-private-edition-release/

• ニュースリリースの特長と利用の場面を裏づけ、顧客は API サーバーの運用から解放されること、申し込みは問い合わせのフォームから行うことを加える。

[A] Sakura Internet — Sakura AI Engine product page with models and prices (as fetched on 2026-10-10, in Japanese)

https://ai.sakura.ad.jp/sakura-ai/ai-engine/

• 共有のエディションは 3 つの API を出す: OpenAI 互換の Chat Completions、OpenAI 互換の Responses (画像の入力とマルチターンの会話の状態にはまだ対応しない)、Anthropic 互換の Messages で、Messages は Claude Code のようなツールから呼べるが、いまのところ出すモデルは preview/Kimi-K2.6 だけである。
• プランは基盤モデル無償プランと従量課金プランの 2 つで、毎月の無償枠はどちらも同じで、チャットが 3,000 リクエスト、埋め込みが 10,000 リクエスト、文字起こしが 50 リクエスト、音声合成が 50 リクエストである。
  • 無償枠を超えると無償プランにはレート制限がかかり、従量課金プランは 10,000 トークンか 60 秒ごとに課金され、プランが自動で切り替わることはなく、無償プランは申し込みが上限に達すると受け付けを止める。
• 通常モデルの税込みの価格: gpt-oss-120b と llm-jp-3.1-8x13b-instruct4 は 10,000 トークンあたり入力 0.15 円、出力 0.75 円 (100 万トークンあたり 15 円と 75 円)、multilingual-e5-large は入力 10,000 トークンあたり 2 円、whisper-large-v3-turbo は 60 秒あたり 0.5 円、VOICEVOX の 8 つの声は 10,000 モーラあたり 3 円、RAG は 100 チャンクあたり 3 円で無償枠がない。
• クローズドモデルは提供元の利用ポリシーに基づく申請と審査が要り、無償プランの対象外で、ページに価格はなくマニュアルか問い合わせを案内し、PFN の PLaMo 2.0-31B と PLaMo 3.0 Prime、NEC の cotomi v3 がある。
• パブリックプレビューのモデルの 10,000 トークンあたりの入力/出力の価格: Qwen3-0.6B-cpu と Phi-4-mini-instruct-cpu は 0.01 円/0.03 円、Qwen3-VL-30B-A3B-Instruct は 0.1 円/0.3 円、Kimi-K2.6 は 0.6 円/3 円、Qwen3.6-35B-A3B は 0.3 円/1.5 円、gemma-4-31B-it は 0.24 円/0.96 円、Kimi-K2.7-Code は 0.52 円/5.04 円、Qwen3-Embedding-4B(FP16) は入力 3 円、Weblab-MedLLM-gpt-oss-120b は 0.9 円/4.5 円で無償枠がない。
  • プレビューは予告なく終わることがあり、安定性や応答の品質の保証はなく、プレビューの後も続ける場合は価格が変わることがある。
• FAQ は、入力と応答は国内のデータセンターで処理されて一切保存されず、ゼロデータリテンションの方針によりプロンプトもキャッシュしないとする。
• 無償枠を使い切る前でも、アクセスが集中すると一時的に HTTP 429 が返ることがあると注意し、数分待ってからやり直すよう勧める。

[A] Sakura Internet (Sakura Cloud manual) — Sakura AI Engine usage procedure, and On using closed models (updated 2026-09-16 and 2025-12-02, in Japanese)

https://manual.sakura.ad.jp/cloud/ai-engine/02-howto.html / https://manual.sakura.ad.jp/cloud/ai-engine/06-closed-model.html

• 使うには電話認証を済ませたさくらインターネットの会員 ID とさくらのクラウドのプロジェクトが要り、支払いはクレジットカードだけである。
• エンドポイント: チャットは https://api.ai.sakura.ad.jp/v1/chat/completions、/v1/responses、/v1/messages、ほかに /v1/embeddings、/v1/audio/transcriptions、/v1/audio/speech、VOICEVOX 形式の /tts/v1/audio_query と /tts/v1/synthesis。
• アカウントトークンは <UUID>:<secret> の組で、Authorization: Bearer <Token> として送り、一度しか表示されない。
• gpt-oss-120b のサンプルの応答は、メッセージに reasoning_content、choice に stop_reason、最上位に prompt_logprobs と kv_transfer_params を持つ。
• クローズドモデルは価格を公開しないまま利用量で課金され、法人のアカウントからしか申請できず、提供元の判断には約 7 営業日かかり、推論の入力はモデルの提供元に送られない。

[A] Sakura Internet — Sakura Internet makes Sakura AI Engine, an inference API platform for generative AI, generally available (2025-09-24, in Japanese, background)

https://www.sakura.ad.jp/corporate/information/newsreleases/2025/09/24/1968221046/

• 共有のエディションは、さくらインターネットの生成 AI 向けの GPU クラウドである高火力を基盤とし、NVIDIA の GPU で推論するが、GPU の型番は書いていない。

[A] Sakura Internet (Sakura Cloud news) — End-of-service notices for Qwen3-Coder and PLaMo 2.0-31B Instructed on Sakura AI Engine (2026-05-20 and 2026-08-13, in Japanese)

https://cloud.sakura.ad.jp/news/2026/05/20/qwen3-coder-fin/ / https://cloud.sakura.ad.jp/news/2026/08/13/plamo-2-0-31b-fin/

• どちらの告知も理由をモデルのラインナップの見直しとし、Qwen3-Coder-480B-A35B-Instruct-FP8 と Qwen3-Coder-30B-A3B-Instruct は 2026-07-21 に提供を終えた。
• PFN の PLaMo 2.0-31B Instructed (API のモデル名は plamo-2.0-31b) は 2026-10-12 (月) に終わり、さくらインターネットは利用者に PLaMo 3.0 Prime への移行を勧める。

[A] vLLM — vllm/entrypoints/openai/chat_completion/protocol.py (as fetched on 2026-10-10)

https://github.com/vllm-project/vllm/blob/main/vllm/entrypoints/openai/chat_completion/protocol.py

• ChatCompletionResponse は prompt_logprobs と kv_transfer_params を OpenAI の仕様にない vLLM 独自のフィールドとして並べ、ChatCompletionResponseChoice も OpenAI の仕様の外の stop_reason を持ち、どれもさくらのマニュアルのサンプルの応答と同じフィールドである。

[A] Sakura Internet — On unauthorised access to part of the environment of the rental-server service (2026-08-17, in Japanese, background)

https://www.sakura.ad.jp/corporate/information/newsreleases/2026/08/17/1968225614/

• 2026-08-09 に異常を検知した後、さくらインターネットは、第三者が同社の管理する環境を経由してさくらのレンタルサーバの顧客の環境に入り込み、マルウェアを置いていたことを確認し、不正ログインは 583 アカウントで、顧客の領域に保存された情報と利用者の識別子が閲覧または取得された可能性がある。
• 公表の時点で、さくらの VPS、さくらのクラウド、さくらの専用サーバ PHY、高火力 PHY への影響は確認されておらず、ほかのサービスを確かめていた。

[B] Publickey — Sakura Internet announces Sakura AI Engine Private Edition, which dedicates GPUs so that it can be used at a flat rate without worrying about token consumption (2026-10-09, in Japanese)

https://www.publickey1.jp/blog/26/gpuai_engine.html

• Publickey は今回の提供を、既存のさくらのAI Engine を GPU を専有して使えるようにしたものと紹介し、トークンの消費量を気にしなくてよい GPU 単位の定額を前面に出し、残りは価格が問い合わせであることも含めてリリースをまとめ直す。

[B] ZDNET Japan (via Yahoo! News) — Sakura Internet launches Sakura AI Engine Private Edition, a generative-AI platform dedicated to enterprises (2026-10-08, in Japanese)

https://news.yahoo.co.jp/articles/d62898fd96e76f8236d4c88b6528a759a3af788b

• リリースをまとめ直し、さくらインターネットの説明として、金融のように高いセキュリティを求められる分野では、データを外に出さず国内で完結するインフラへの要望が高まっていると加える。

[B] Impress (Cloud Watch, AI Watch, Web担当者Forum) — Three reports on the launch (2026-10-08 to 2026-10-09, in Japanese)

https://cloud.watch.impress.co.jp/docs/news/2146822.html / https://ai.watch.impress.co.jp/docs/news/2146857.html / https://webtan.impress.co.jp/n/2026/10/09/53423

• 3 本とも価格、GPU の仕様、さくらインターネットの外からのコメントなしでリリースをまとめ直し、Cloud Watch は価格が問い合わせであることを裏づける。

[B] @IT — Trust collapses: analysing the hole behind the leak of up to 1.36 million records at "government-approved" Sakura Internet (2026-09-09, in Japanese, background)

https://atmarkit.itmedia.co.jp/ait/articles/2609/09/news031.html

• リードは、さくらインターネットの不正アクセスの被害が最大 136 万アカウントに及ぶ可能性があり、攻撃には AI を悪用した影があったとするが、読んだ本文は影響を受けたシステムの名前を挙げていない。
• ページはアイティメディアの動画シリーズ TechLIVE の回を紹介するもので、インシデントはまだ収束の気配が見えないとする。

[C] Hatena Bookmark — Comments on the Publickey article (2026-10-09, in Japanese)

https://b.hatena.ne.jp/entry/s/www.publickey1.jp/blog/26/gpuai_engine.html

• 2026-10-10 10:40 JST の取得時点で 178 users、39 コメントで、最も多いのは価格を出さないことへの反発で、予算を取るには金額が要るという声や、「定額:値段問い合わせ を定額と言えるのか？」という声がある。
• ほかは価値を量っていて、24 時間休まず使うのでなければ専有の GPU は安いオープンウェイトの API より高くつくと見る人 (単純な計算で元を取るのに約 90 年かかるとする人もいる) がいる一方、国内で閉じた運用が必須の条件である場合にだけ価値があり、そういうチームは少ないがはまれば強いと見る人もいる。
  • さくらインターネットの GPU クラウドの高火力とどう違うのかを問う人がいて、3 人は最近のデータ漏えいの後でさくらインターネットを信頼できるのかを疑う。

メモ

• GPU の型番、契約の単位あたりの GPU の数、最低の契約期間、初期費用、SLA、データセンターの場所、閉域の接続の方式を示す情報源はない。
  • 共有のエディションは高火力の NVIDIA の GPU で動くとしか書かず、プライベートのページはモデルがさくらインターネットの GPU 基盤で動くとしか書かないので、高火力についてのはてなの問いは答えのないままである。
• プライベートのページは API でのアクセスを約束するが、そのエンドポイントが共有のエディションの OpenAI 互換と Anthropic 互換の API を出すのかは書いておらず、複雑な API の仕様について相談を促す脚注が唯一の手がかりである。
• 共有のカタログのクローズドモデル (PLaMo 2.0-31B、PLaMo 3.0 Prime、cotomi v3) を専有の GPU で動かせるのかも書かれておらず、ホストの例として名前が出るのは Kimi と Gemma である。
• マニュアルのサンプルの応答には vLLM が OpenAI の仕様の外と印を付ける 3 つのフィールドがあり、共有のエディションが vLLM で配信していることをうかがわせる。
  • これは応答の形からの推論で、さくらインターネットは配信のエンジンを名指ししておらず、プライベートエディションのランタイムと受け付けるモデルの形式も書かれていない。
• 価格がないので、定額を共有のトークン単価 (gpt-oss-120b なら 100 万トークンあたり 15 円/75 円) と比べられず、専有の GPU が元を取れるかはどれだけ稼働させ続けるかで決まり、はてなの何人かのコメントもその点を突く。
• バージョンを固定する使い方は、2026-07-21 に Qwen3-Coder を終え、2026-10-12 に plamo-2.0-31b を終える共有のカタログと対照的だが、固定したモデルとそのランタイムをさくらインターネットがいつまで支えるのかを書いたページはない。
• プライベートエディションが専有の GPU でプロンプトをキャッシュするのかは書かれておらず、共有のエディションはゼロデータリテンションの方針で一切キャッシュしない。
• 漏えいについてのコメントは、さくらインターネットの最近の不正アクセスのインシデント (背景) を指しているが、2026-08-17 の報告はレンタルサーバのサービスについてのもので、当時さくらのクラウドと高火力 PHY への影響は確認されておらず、読んだ情報源にこのインシデントをさくらのAI Engine と結びつけるものはない。
  • @IT の 136 万という数字は見ていない動画への短いリードから来たもので、読んださくらインターネットのリリースはこの数字を書いておらず、それらのアカウントがどのシステムのものかも示していない。
• 報道はプレスリリースに基づく 5 本 (Publickey、ZDNET Japan、Impress の 3 媒体) とはてなのスレッドだけで、実務者の記事や試用の記録は見つからなかった。

実践やアウトプットの提案

• 見積もりを頼む前に共有のエディションを無料の代役に使う: 無償プランのトークンで OpenAI の SDK を https://api.ai.sakura.ad.jp/v1 に向け、月 3,000 回のチャットのリクエストの範囲で、チームの日本語の評価セットを gpt-oss-120b と、プライベートのページが名前を挙げる Kimi と Gemma の系統のプレビュー (Kimi-K2.6 や gemma-4-31B-it など) で走らせる。
  • 既存の Chat Completions と Responses のコードがそのまま動くか、Claude Code が /v1/messages で動くか (いまは preview/Kimi-K2.6 だけ)、国内のデータセンターでどれだけのレイテンシが出るかを確かめられる。
• 問い合わせのために損益分岐の表を作る: 共有のトークン単価で計算した毎月の入力と出力のトークンの費用を、見積もられた GPU 単位の月額と、チームが自分のモデルについて 1 基の GPU で測ったスループットを使って比べる。
  • 専有の GPU がトークン単位の課金に勝つ稼働率がわかり、はてなのスレッドが投げかけた問いに答えられる。
• 問い合わせには質問の一覧を持っていく: 単位あたりの GPU の型番と数、最低の契約期間、初期費用、SLA、閉域の接続の選択肢、API の互換性、配信のエンジンと受け付ける形式 (ファインチューニングしたチェックポイント、LoRA のアダプター、量子化)、ZDR のもとでのプロンプトのキャッシュ、データセンターの場所、固定したバージョンをいつまで支えるか、PLaMo や cotomi をホストできるか。
• 共有のエディションで plamo-2.0-31b を呼んでいるチームは 2026-10-12 までに切り替える必要があり、勧められている移行先の PLaMo 3.0 Prime に新たなクローズドモデルの申請が要るかを確かめておくとよく、マニュアルによれば申請には約 7 営業日かかる。

5. ⚡ OpenAI が、標準の Sol の最大 8 倍の速さを 6 倍の価格で出す GPT-6.1 Sol Ultrafast を Codex と ChatGPT Work で、AINews によれば API でも展開し、同じ日に Amazon Bedrock も提供を始めた

• 見送り / 影響度 1 / 将来性 1 / 注目度 1 / 起点 10-08 / 種別: リリース / 領域: モデル、API・クラウド。
• 候補になったフィード項目:
  • openai-chatgpt-codex-changelog 10-08 GPT-6.1 Sol Ultrafast in Codex and ChatGPT Work — Pro の $500 のプランと対象の Enterprise、Edu のプランで使え、Enterprise のワークスペースでは既定でオフ、推論のレジデンシーは米国と欧州
  • aws-whats-new 10-09 OpenAI GPT-6.1 Sol now supports Ultrafast mode on Amazon Bedrock
  • ainews 10-09 [AINews] not much happened today — OpenAI の X の投稿を伝え、Astra に近い知能を標準の Sol の最大 8 倍の速度で、100 万トークンあたり入力 $12、出力 $60 で出すとし、展開を伝えた記事は Hacker News で 3 ポイント
• 見送りの理由: 10-01 に 1 / 1 / 1 で見送った GPT-6 Astra 向けの Ultrafast と同じ種類の上位の速度ティアを 2026-10-01 のトピック 4 のモデルに広げたもので、速度の主張は OpenAI の外の誰も測っておらず、論じているのも AINews と X だけである。

6. 🪝 Claude Code 2.1.294〜2.1.296 が、指示として書いたプロンプトとエージェントのフックが止めるべきものを許してしまう問題を直し、コマンドと HTTP のフックを onFailure: "block" で fail closed にできるようにし、サブエージェント向けの autoCompactWindow と、Claude アプリのゲートウェイ向けのポリシーキー code を加えた

• 見送り / 影響度 1 / 将来性 1 / 注目度 1 / 起点 10-08 / 種別: 仕様変更 / 領域: コーディングエージェント、セキュリティ・安全性。
• 候補になったフィード項目:
  • claude-code-changelog 10-08 2.1.294、10-09 2.1.295、10-10 2.1.296
  • classmethod-claude-code 10-09 Claude Code v2.1.294〜v2.1.295 の主要アップデート - hooks の onFailure: "block" 追加と OSC 7501 対応 (onFailure: "block" を試す記事) — はてなブックマーク 0 users (取得時点)
• 見送りの理由: 1 つのエコシステムの中のポイントリリースで、フックの変更はフックをガードとして使うチームには効くが、取り上げた記事はクラスメソッドの検証 1 本だけで、ほかに 2.1.296 は MCP のツールの説明とサーバーの指示の既定の上限を 2 倍の 4,096 文字にし、ワークフローのすべてのエージェントを 1 つのモデルで動かす CLAUDE_CODE_WORKFLOW_SUBAGENT_MODEL を加えた。

7. 🐇 GENDA が Haiku 5.5 を機に Claude Code のサブエージェントの割り当てを見直し、テストの実行役は low の effort の Haiku に移したが、Haiku でも Sonnet と同じ精度で速くはならなかったコードの探索は、サブスクリプションのもとで Sonnet に残した

• 見送り / 影響度 1 / 将来性 1 / 注目度 1 / 起点 10-08 / 種別: 検証・実践 / 領域: コーディングエージェント、モデル。
• 候補になったフィード項目:
  • zenn-trending 10-08 Haiku 5.5 を機に Sonnet 以下で動かしていたサブエージェントを見直した — Zenn 30 いいね、はてなブックマーク 3 users (取得時点)
• 見送りの理由: 2026-10-08 のトピック 1 を受けて役割ごとに見直した記事で、筆者の 2 つのリポジトリで手作りの正解と照らして測ったものだが、いいねのほかにはどこでも論じられておらず、筆者はツール呼び出しが増えても Haiku でのコードの探索は API の費用で Sonnet の 10 分の 1 以下と見積もり、実装は high の effort の Sonnet に残した。

8. 🕸️ Qiita の記事が、6 つの判断を判断特化のモデル Jev に任せ、最終的な回答だけを Claude Haiku 4.5 に書かせて、埋め込みもベクトルデータベースもグラフデータベースも使わない GraphRAG を作った

• 見送り / 影響度 1 / 将来性 1 / 注目度 1 / 起点 10-08 / 種別: 検証・実践 / 領域: エージェント開発。
• 候補になったフィード項目:
  • hatena-llm 10-09 判断特化型GraphRAGをJevを使って構築してみた（ベクトル未使用） — はてなブックマーク 53 users、Qiita 16 いいね (取得時点)
• 見送りの理由: Jev を広める Qiita のイベントに出された 1 つの構築例で、筆者自身が手法に有利かもしれないと認める架空のコーパスについての 35 問で 2 つの埋め込みのベースラインと比べ、埋め込みと LLM を組み合わせた構成は 4 倍を超える費用がかかり、Jev の構成はホップが要る質問で最もよかった。

9. 🔀 Claude Managed Agents にベータの dynamic workflows が入り、多くの部分からなる作業ではエージェントが多数のエージェントを段階的に動かすプログラムを書き、サーバーがそれを workflow run としてバックグラウンドで実行する

• 見送り / 影響度 1 / 将来性 2 / 注目度 0 / 起点 10-09 / 種別: リリース / 領域: エージェント開発、API・クラウド。
• 候補になったフィード項目:
  • claude-platform-release-notes 10-09 Claude Platform release notes — October 9, 2026 — managed-agents-2026-04-01 のベータヘッダーのもとで "multiagent": {"type": "multiagent_20261001", "workflows": {"type": "enabled"}} によって有効にし、セッションのイベントストリームの workflow_run.* のイベントで進み具合を追う
• 見送りの理由: 1 つのマネージドエージェントの基盤のベータの機能で、検索でもリリースノートの外で論じたものは見つからなかったが、エージェントがコードとして書くオーケストレーションは、2026-10-03 のトピック 4 が Copilot で示したように、ハーネスをまたいで広がり続けている。

10. 📎 その他の単発項目

• 見送り / 1 件ずつ採点し、影響度 0〜1、将来性 0〜1、注目度 0〜1。
• anthropic-news 10-08 Introducing the Anthropic Cyber Mission: Anthropic の最も高性能なモデルがオープンソースのプロジェクトをオプトインで定期的にスキャンし、概念実証と修正案を付けた報告を人のレビューなしで送る OSS Scanner と、11 の創設パートナーを持つ Critical Infrastructure Defense Program (0 / 1 / 1、メンテナーと運用者向けのセキュリティのプログラムで、Hacker News で 6 ポイント)。
• classmethod-claude-code 10-08 Project Euler の問題で比べた Haiku 5.5、Claude 5 ファミリー、GPT-6.1 Sol: Haiku 5.5 は effort が high 以上なら 2 回とも問題 1012 を解き、費用は約 $0.04 と medium の Sonnet 5.5 の $0.25 を下回り、Sonnet 5.5 は元のプロンプトでは 7 回とも問題 1013 のページを取りに行かなかった (1 / 0 / 0、2026-10-08 のトピック 1 の続報で、検索でもほかの記事は見つからなかった)。
• classmethod-claude-code 10-08 v2.1.260 から、厳格なサンドボックスのモードでも ! のシェルモードのコマンドはサンドボックスの外で動くことを伝える記事で、バックグラウンドのセッションと、CLAUDE_CODE_SUBPROCESS_ENV_SCRUB を設定した Linux のセッションは例外 (1 / 0 / 0、検索でもほかの記事は見つからなかった)。
• aws-whats-new 10-08 Cost Explorer、Budgets、Cost Management Dashboards での Amazon Bedrock の製品属性で、モデル、モデルの提供元、推論の種類、機能ごとのコストを見られ、アプリケーション推論プロファイルのコスト配分タグや IAM プリンシパルのタグと組み合わせられる (1 / 1 / 0)。
• aws-whats-new 10-09 Responses API を通じた Bedrock の OpenAI のモデルでの reasoning.summary パラメータと、動画からテキストを作るモデル TwelveLabs Pegasus 1.5 の Bedrock での提供、10-10 AWS GovCloud (US) の Kiro での Opus 5.5 と Sonnet 5.5 (いずれも 0 / 0 / 0)。
• kiro-changelog 10-09 Kiro CLI 2.29: ローカルの V3 のセッション向けの Memory で、read & write、read only、off のモードがあり、信頼していないワークスペースでは読み取り専用になる (1 / 1 / 0)、10-08 IDE 1.2.56 のワークフローのフィードバック、Power Search、フックのマッチング (2 回掲載)。
• github-changelog-copilot 10-08 メンバーの割り当てではなく組織のコストセンターに課金される Copilot のコードレビューと、外部の Copilot ライセンスからのレビューの依頼を断る設定、10-09 週次のリリースで、Copilot の Haiku 5.5、ローカルのサンドボックスの一般提供 (トピック 1 を参照)、Copilot アプリでライセンスとリポジトリに別々のアカウントを使えること、/model でのローカルの Ollama のモデル、VS Code 1.141 のエージェントのグリッド。
• google-developers-blog 10-08 AQuA は google/adk-recipes にあるオープンな参照実装で、本番のエージェントの軌跡を Cloud Trace、Cloud Logging、BigQuery からリクエストの経路の外で走査し、失敗をクラスタにまとめて診断する (1 / 1 / 0)、ML Drift は Apache 2.0 の端末内の GPU エンジンで、これ以降 TFLite の GPU デリゲートには新機能が入らない (0 / 1 / 0)。
• simon-willison 10-09 ChatGPT のデスクトップアプリの Codex の音声モードと GPT-6 Astra High で、30 分かけてほぼ声だけで作ったブログの機能 (0 / 1 / 0、Hacker News で 6 ポイント、検索でもほかの記事は見つからなかった)。
• pragmatic-engineer 10-09 テック企業の社内のバイブコーディングのアプリについての有料の号で、副題は EU と米国の新しいオープンモデルにも触れる (0 / 1 / 0、検索でもほかの記事は見つからなかった)。
• ainews 10-08 Claude Haiku 5.5, better than GPT-6 Luna at the same pricing: 2026-10-08 のトピック 1 の続報で、max の effort での Artificial Analysis の指数 43 と、GPT-6 Luna の約 3 倍の出力トークンを含む。
• ainews 10-09 の号はほかに、27 のモデルにわたる 90K を超えるエージェントのセッションから作った Arena Alignment Index (首位は 87.9 の GPT-6.1-Sol)、pplx-decider v1.1、LightOnOCR-3、vLLM v0.31.0、MiMo v2.6 の RL 環境での報酬ハッキングについての Vals AI の監査を挙げ、クラウドに常駐する Gemini の業務エージェントを Google Cloud のものとするが、検索では Vals の監査も、そのエージェントについての Google の情報源も見つからず、どちらも未確認のままである。
• hatena-llm 10-09 Saluki 27B は、メモリ 16 GB のノート PC 向けに Qwen3.8-27B を約 2 ビットに量子化した 7.89 GB のモデル (0 / 0 / 1、はてなブックマーク 34 users で、r/LocalLLaMA のコメントは独自のベンチマークと、解析できるツール呼び出しが 55% にとどまる点を疑問視した)。
• aws-ml-blog-bedrock 10-09 AgentCore の支払いの機能で x402 を通じて推論をリクエストごとに支払う BlockRun と Incarna、10-10 Postman が Bedrock で Agent Mode を動かす方法と、9 月のまとめ (顧客事例とダイジェスト)。
• aws-jp-weekly-genai 10-08 Bedrock Guardrails の Automated Reasoning checks によるコンプライアンスの記事、10-09 AI による脆弱性の検出のハーネスの第 2 回で、Kiro か Claude Code で根拠に基づくトリアージを行うための steering のファイル (1 / 1 / 0)。
• openai-news 10-08 と 10-09 の顧客事例: Pollo AI、タスクに Astra、Sol、Luna を割り当てて推定の 1 日あたりの Codex の費用を 65% 減らした LegalOn、Oracle、76 倍安くなった Asana のブラウザエージェント (0 / 0 / 0)。
• langchain-blog 10-09 Managed Deep Agents の上で Machine Payments Protocol を通じて Stripe の Link で支払うエージェント Restock と、Snyk の顧客事例、10-10 Slack の Managed Deep Agents 向けのリアクションの API (高くても 1 / 1 / 0)。
• zenn-trending 10-08 コーディングエージェントのための Snowflake Agent Identity (22 いいね) と、若手のエンジニアに要る AI のスキル (15 いいね)、10-09 anthropics/claude-code-action が自動マージまでレビューする Renovate のプルリクエスト (3 いいね)、Fabric CLI と Skills for Fabric で操作する Microsoft Fabric (6 いいね)、Notion や Slack から起動するチームの Claude Code Routines (3 いいね)。

11. 🚫 対象外 (スコープ外)

• hatena-ai-agent 10-09 AI エージェントによる可能性があると Cyber Security Cloud がみる国内の不正アクセスの報告で、約 40 分のうちに 326 の IP アドレスから 1,200 を超えるリクエストがあった (はてなブックマーク 149 users、セキュリティのインシデント)。
• anthropic-news 10-08 米国の Genesis Mission への 3 年間で $150 million の拠出 (公的な資金)。
• ainews 10-09 OpenAI による 3 人の安全性の研究者の解雇、AI のスタックで行われたと伝えられる韓国の銀行への攻撃、売上の報告と資金調達のラウンド。
• zenn-trending 全文を読んだ 19 件のデータ漏えいの開示 (21 いいね、AI に触れたものはない)、3 次元の再構成、CSS の text-box、Wi-Fi に移したデスクトップ PC、微分代数方程式の勾配、Steam の更新中の SSD への書き込み。