Claude Code Opus 5 Auto Modeがプロンプトインジェクションで60〜80%突破され0.00%主張を反証、OpenClaw 2.0が933コントリビューター・1.6万PRで刷新、ChatGPT Adsが200日弱で年率10億ドル到達し世界展開ほか4件
今日の3行
- Claude Code Opus 5 Auto Modeがプロンプトインジェクション攻撃鎖で60〜80%の成功率でコード実行に至り、Anthropic委託の72シナリオ10回ずつで0.00%としたBoris Chernyの層状防御主張を一次検証で反証したことが示されました。WebFetchからcurlへの誘導→ZIP展開→自作Pythonデコーダ実行→struct.pyシャドーイングの連鎖であり、分離環境なしの運用を今日から見直す必要があります。
- OpenClaw 2.0が933コントリビューター・569人の初回コントリビューター・1.6万PRを束ね、106リリースを230日で刻んだ後の7週間分を一括検証した過去最大の更新として公開されました。既存のChatGPT/ClaudeサブスクやAPIキー、ローカルモデルを流用して初回会話までを短縮する方針であり、新規エージェント基盤の評価コストを今日から下げられます。
- ChatGPT Adsが公開200日弱で年率10億ドルに到達し、数万の広告主が利用する規模でAds Manager経由でインド・欧州・中東・北アフリカへ世界展開することが示されました。広告・サブスク・法人・従量課金の四本柱で10億週活ユーザーの無料アクセスを支える構造であり、OpenAI依存SaaSのAPI価格と無料tierの持続性を今日から見直す必要があります。
1. Claude Code Opus 5 Auto Modeの0.00%主張を60〜80%で覆すプロンプトインジェクション攻撃鎖
要点 単純なウェブサイト要約のリクエストをきっかけにClaude Code Opus 5のAuto Modeをhijackし、code executionに至る攻撃鎖を検証した投稿です。Auto Modeはhuman approval promptsをsafety classifierに置き換えるもので、8月中旬からClaude Codeのdefault starting modeです。Anthropicが委託した第三者評価ではTrajectory Labsが72のindirect prompt injection scenarioをそれぞれ10回テストし、共有されたchartでOpus 5 Auto Modeのattack successが0.00%とされ、published benchmark nameはないことが記載されています。Boris Chernyはlayered defenses（model training、input probes、intent classifier）によりunseen attacksのindirect prompt injectionをapproximately zeroまで下げられると投稿しています。これに対し著者はsmall sample sizeながらtargeted attack chainで60〜80%、最大80%のattack success rateを得たと報告しています。攻撃鎖は、WebFetchからcurlへの利用誘導、ZIP archiveへのredirect、special encodingでエンコードされたファイルとnative decoderの配置、Claudeがバイナリ実行を正しく拒否して自作Python decoderを書きつつattacker-controlled directory（unzipped archive）内で実行してしまうこと、そこに置かれた悪意あるstruct.pyがPython標準の実装をshadowし、base64モジュールのimport時にpoisoned struct.pyが発動してコード実行に至るという流れです。著者は、misalignmentやhallucination、prompt injectionが懸念されるならAuto Modeはisolated environmentでの実行と挙動監視の代替にはならないと明言しています。
なぜ重要か 72シナリオを10回ずつ試して0.00%とした層状防御の主張を、targeted attack chainがsmall sample sizeながら60〜80%で反証した点は、Auto Modeをそのまま信頼する運用の前提を崩します。Auto Modeが8月中旬からデフォルト化している現状では、個人開発でSaaSのコードベースをClaude Codeに触らせる際のリスク評価を更新する必要があります。WebFetchからcurlへの誘導、ZIP展開、自作decoder実行、struct.pyシャドーイングという再現可能な連鎖が一次情報として示されたことで、分離環境なしの運用が具体的なコード実行リスクに直結することが明らかになりました。
実践で使える点 Auto Modeを利用する場合でも、agentはisolated environmentで実行し、挙動を監視する運用に切り替えます。外部URLの要約を依頼する際は、WebFetchからcurlへの誘導やZIP archiveの展開、自作Python decoderの実行がattacker-controlled directory内で行われていないかを手順として点検します。struct.pyのような標準ライブラリのshadowが成立する条件を踏まえ、Claudeにdecoder等のコードを書かせて実行させる際のworking directoryを分離し、外部由来のarchive内での実行を避けるルールを設けます。
原典 Breaking Claude Code Opus 5 Auto Mode
2. ファイル形式“memoryfields”でAgent記憶を再設計する提案
要点
August 2026に公開された“Memoryfields - a vastly simpler way to do agent memory”は、Agentの記憶をprocessではなくdata formatとして扱う提案です。多くのベンチマークはblank context window（tabula rasa）から始まりますが、実際のAgentは可能な限り関連情報を含むmemoryから始めるべきだと指摘しています。既存のAgent memory systemはおおむね3種類に分けられ、いずれも機能していないと整理しています。1つ目は特定のharnessに紐づけ、conversation historyをminingして記憶を生成するもので、worldについての情報よりyouについての記憶に偏ります。labが競争の激しいAPI businessからよりlucrativeなplatform businessへ移行したい動機が背景にあると説明されています。2つ目はpgvector、Neo4j graph database、さらに何を記憶すべきかを決めるための専用LLMを必要とするほどludicrously complicatedなもので、運用が困難なうえモデルを混乱させ、model frontierの進化にも追従しません。3つ目はHigh Modernistな理想化された合理的な記憶で、graphやlogical propositionsに依存し、情報をcontextから切り離して孤立させるとしています。共通点はmemoryをmulti-stage pipelineとして扱っていることであり、memoryはdataとして表現する方が適していると主張しています。Brooksの「flowchartsとtables」に関する引用を踏まえ、提案されるmemoryfieldはmy-memories.memoryfield.zipというportableなファイル形式です。多数のMarkdownページ（例: carbon-fibre-woks.md、finnish-bureaucracy-tips.md、wec-2026-season-notes.mdなど）と、semantic search用のnomic-embed-text-v1.5.sqlite3で構成されます。memoryfieldはMarkdown pagesにoptionalなYAML frontmatterとoptionalなSQLite vector indexを組み合わせたものと定義されます。Design decision 1はproseを使いchunksや“facts”に分割しないことです。RAG pipelinesが複雑になるのは既存の人間が書いたPDFなどの大量文書をAgentが読めるようにするためですが、Agent memoryはAgent自身が生成時に直接Markdownでproseを書けばよく、chunk化やenrich、double-summariseなどの機械的処理は不要だとしています。ページ例として、title、created、updated、uuid、summaryを含むfrontmatterを持つMarkdownが示されています。1ページはvector embeddingに収まる必要があり、soft limitとして約8kb（約2000 tokens、約1300 words、medium-length magazine article相当）とし、超える場合はページを増やすことで対応します。Design decision 2はgraph walkingではなくsemantic jumpです。Karpathy wikisのようにRoamやObsidianをモデルとしたhyperlinked Markdownでknowledge graphをwalkさせる手法は、slowでunreliable、かつconfusingだと指摘しています。N steps深い情報を取得するのにN+1回のtool callsが必要で、各tool callは2〜3秒かかり、billion（trillion?）dollarのLLMが毎回停止します。またリンクテキストやpage titleだけでは関連性を判断できず、1990s-SEO-styleのmetadata hackingを強いるうえ、frontpageなどのirrelevantな情報をcontext windowに混入させます。memoryfieldではsemantic searchで内容に基づいて直接関連ページへjumpし、並列に読み込むことで、最大2回のtool calls（#1 search、#2 parallel read）で完了し、irrelevant input tokensを最小化します。Design decision 3はMore model, less mechanismです。多数の専用APIやdatabaseを含むhigh mechanismなmemory systemは、interfaceが大きければopenapi.jsonを大量にcontextに載せることになり、小さければ制限的で、しかも想定外のニーズに対応できません。memoryfieldはfile formatというlow mechanismなsystemであるため、Agentが自身のaccess patternsを自由に発明できるとしています。helpfulなtoolingは提供される想定ですが、Agentは例えばperlでfind-and-といった手段も含め、好きな方法でアクセスできます。
なぜ重要か 履歴マイニングで自分語りに偏るharness閉じ型と、pgvectorやNeo4j graph databaseや専用LLMを前提とするBig Systemがモデルを混乱させfrontierの進化にも追従しないという指摘は、個人開発が最小構成でAgent記憶を実装する際のインフラコストと運用負荷を直接下げます。記憶をprocessではなく持ち運び可能なfile formatとして扱う発想は、複雑な基盤を用意せずに今日から試せる選択肢になります。
実践で使える点 記憶はMarkdown pagesとしてproseで直接書き、必要に応じてYAML frontmatter（title、created、updated、uuid、summary）とSQLite vector index（例: nomic-embed-text-v1.5.sqlite3）を付与する構成で保存します。1ページは約8kb（約2000 tokens）以内に収め、超える場合はページを分割します。検索はgraph traversalではなくcontentベースのsemantic searchでjumpし、searchとparallel readの最大2回のtool callsで取得する運用にします。特定のAPIに依存せず、perlのfindといった手元で使える手段も含め、Agentが自由にアクセスできるfileとして扱います。
原典 Agent memory as a file format
3. Claude Code v2.1.252がMacのBash失敗など4件を修正
要点
Claude Code v2.1.252のWhat’s changedとして4件の修正が示されました。1件目は一部のMacでBash commandsが「task output swap refused (tasks dir moved or linked)」で失敗する問題の修正です。2件目は、まだ .claude/settings.local.json がないプロジェクトで「always allow」が保存されない問題の修正です。3件目は、Claude DesktopまたはVS CodeがホストするRemote Control sessionsが、tool完了後にclaude.aiへのconnectionがdegradedな場合に数分間stallする問題の修正です。4件目は、very large failure output（例: full disk時のgit errors）を含むbackground task notificationsがconversationをAPI request size limitを超えさせる問題の修正です。タイトルは「v2.1.252」です。summary/fulltextに記載がない詳細は補完せず、原典で確認する必要があります。
なぜ重要か
一部のMacでのBash失敗や、.claude/settings.local.json がない状態での「always allow」不保存は、日常的にClaude Codeを回す際のコマンド実行や権限保存が止まる点で影響が直接的です。tool完了後に数分間stallするRemote Controlの問題や、巨大なfailure outputで会話がAPI request size limitを超える問題は、接続劣化時やdisk full時の運用停止につながります。4件はいずれも一次情報として修正内容が明記されているため、該当環境に当てはまるかを確認して更新の要否を判断できます。
実践で使える点
該当する症状がある場合は、原典のリリースノートに記載の修正内容に照らして挙動を確認します。「task output swap refused (tasks dir moved or linked)」が表示される場合や、.claude/settings.local.json がまだないプロジェクトで「always allow」が保存されない場合は、v2.1.252の修正対象です。Claude DesktopやVS CodeホストのRemote Controlでtool完了後に数分stallする場合や、full disk時のgit errorsのようなvery large failure outputでbackground task通知が会話を肥大化させる場合は、原典で修正内容を確認してから適用を検討します。summary/fulltext以外の詳細は原典で直接確認します。
原典 v2.1.252
4. 232のtoolと44のskillを網羅したChatGPT Work/Codex周辺リファレンス
要点 ChatGPT Work Tool and Skill Referenceは、232のtool interfacesと44のcomplete main skill filesを含むsnapshotとして公開されたリファレンスです。Toolsはcallable endpoints、skillsはそれらのtoolsの使い方を導くreusable instruction packagesとして定義されています。Skill pagesは各skillのmain definitionであるSKILL.md sourceをverbatim copyで再現し、tool referenceはexposed descriptionsとTypeScript declarationsを保持しています。Availabilityはsession configuration、permissions、connected apps、installed pluginsによって変わることが記載されています。タイトルは「ChatGPT Work Tool and Skill Reference」です。summaryに記載がない詳細は補完せず、原典で確認する必要があります。
なぜ重要か Toolを呼び出し可能なエンドポイント、skillを再利用可能な指示パッケージとする二層構造を、232と44という全量で一覧できる点が重要です。WorkやCodexに任せる業務範囲と自前実装の境界を設計段階で正確に引く判断材料になります。セッションや権限で可用性が変わる仕様が明記されているため、監視起点としても使えます。
実践で使える点 WorkやCodexへの業務委譲を設計する際に、232のtoolと44のskillの一覧を一次情報として参照します。SkillはSKILL.mdのverbatim copy、toolはexposed descriptionsとTypeScript declarationsが保持されているため、実装前に原典で定義を確認します。Availabilityがsession configuration、permissions、connected apps、installed pluginsで変化する前提で、環境依存の差異は原典で直接確認します。summary/fulltext以外の詳細は原典で直接確認します。
原典 ChatGPT Work Tool and Skill Reference
5. OpenClaw 2.0が933コントリビューター・1.6万PRで過去最大の更新、インストール簡素化とブラウザアプリ刷新
要点 OpenClaw史上最大の更新としてOpenClaw 2.0が公開されたことが示されました。933 contributors（うち569人がfirst-time contributors）により、16,000を超えるpull requestsで構成されています。full release notesへのリンクが用意されています。更新はinstallation、messaging、memory、skills、models、automations、browser and native apps、plugins、securityを含むOpenClawのあらゆる部分に及び、very long tail of fixesが含まれます。当初はinstallationの簡素化とbrowser appをfirst-class experienceとして再構築することから始まりましたが、それを適切に行うために残り全体のcleanupを進めた結果、OpenClaw 2.0になったと説明されています。リリースまでに7週間近くを要した背景として、それ以前は230日間で106リリースを刻み、ほとんどが1〜2日間隔であったため、7週間近くshippingしないことは通常ではなかったことが記載されています。開発ペースとチーム規模の拡大により、OpenClawの基盤とshippingのプロセスの両方が追いつかなくなったため、両方を同時に作り直したとされています。この加速の結果、今回のリリースはOpenClawにこれまでマージされた全pull requestsの約50%を含む規模であり、既存のClawを壊す更新を急いで出すのではなく、scratchから始める人と既存のClawをupgradeする人の両方で動作することを確認するために追加の時間をかけたとされています。first-time installsでは、すでにコンピュータ上にある既存のChatGPTやClaudeのsubscriptions、API keys、local modelsから開始する方針が示されています。多くのconfigurationを削減または簡素化し、残りはinitial setupから外すことで、first conversationにより早く到達し、Clawと会話しながらセットアップを完了できるようにしています。browser appはほとんどの人がOpenClawと出会いfirst conversationを行う場所であるため、first-class experienceとして再構築され、セットアップの継続、進行中の作業への復帰、liveでのフォローが可能で、直接Clawとの会話画面を開く構成です。Clawの有用な成長例として、子供の学校からのメールをinboxで監視し、宿題や準備が必要なアクティビティなど重要なものがあればTelegramへ通知するといった、1つのinboxと少数の重要項目の検出、1箇所への送信で成立するシンプルなworkflowが示されています。さらに、兄弟からiMessageで父親に買ったiPadの機種を尋ねられた際に、メールのレシートを自身で探す代わりにClawに依頼して答えを見つけて送信させるといった、複数箇所にまたがるタスクの例も記載されています。チーム内での利用では、タスクの共有や引き継ぎ時にClawが既に持つcontextを失わずに別メンバーを巻き込む手段がなかったことから、shared cloud sessionsが導入され、liveでの共同作業やcontextを保ったままの引き継ぎが可能なmultiplayer experienceとして、OpenClaw自体の開発にも使われていることが示されています。OpenClawはopen sourceであり、特定の企業やモデル、AIプロバイダーに依存しない形で、使う人と作る人に属するものとして位置づけられています。
なぜ重要か 既存のChatGPTやClaudeのsubscriptions、API keys、local modelsを流用してfirst conversationまでを短縮する方針は、個人開発が新規エージェント基盤を評価する際の初期コストとセットアップ時間を直接下げます。230日間で106リリースを刻むペースの後に、7週間分を一括して検証し、全pull requestsの約50%を含む更新をscratchからの新規利用と既存Clawのupgradeの両方で動作確認したという経緯は、安定性と移行リスクを判断する材料になります。multiplayerのshared cloud sessionsがチーム開発で実際に使われている点は、個人開発から家族やチームへの拡張を見据える際の判断軸になります。
実践で使える点 新規にOpenClawを評価する際は、手元に既にあるChatGPTやClaudeのsubscriptions、API keys、local modelsをそのまま利用し、initial setupで省略されたconfigurationはClawとの会話で後から完了させる手順で進めます。browser appがfirst-class experienceとして再構築され直接会話から開始できるため、まずはbrowser appでfirst conversationを試し、セットアップ継続や進行中作業への復帰、liveフォローの挙動を確認します。inbox監視からTelegram通知といった単一workflowから始め、iMessageとemailをまたぐ検索・送信のような複数箇所にまたがるタスクへ段階的に拡張する使い方を検証します。チームで利用する場合は、shared cloud sessionsによるlive共同作業やcontextを保った引き継ぎを、実際の開発フローで試します。記載以外の詳細や最新の挙動は原典のfull release notesで直接確認します。
6. AI需要で前倒しされたMac mini/Studio更新と複数台連結でfrontierモデルを回すAppleの企業向け転換
要点 The Informationによると、Appleが今週発表した新型Mac miniとMac Studioは、AIハードウェアに対するenterpriseの予想外に強い需要が背景にあることが示されました。Appleは通常、新しいMacモデルを秋の10月から11月頃に発表しますが、今回は新しいiPhoneモデルの到着直前という異例の早さでの発表であり、Mac StudioとMac miniの売上におけるAI需要の急増が早期ローンチの理由とされています。Appleは、複数のMac Studioを連結してlarge frontier AI modelsを実行するためのより高性能な単一システムとして動作させる機能をnoticeablyにpromotionしました。これは一般消費者ではなくbusinessとdeveloper顧客向けの機能です。Appleは6月にFord、Disney、Anthropicのexecutivesを招いた「Business at the Park」イベントでMac miniとMac Studioのbusiness buyerへのシフトを強調し、Mac miniはイベントの「darling」とされています。一方で、強力なdesktop Macへのenterpriseの急速な移行はApple自身にとっても想定外でした。Appleはbusiness customers向けの専任engineering teamやdeveloper relationsを担うstaffを持たず、enterprise AI strategyを欠いていたと報じられています。Private Cloud Compute infrastructureへのアクセス購入を求めてAppleに接触した企業は断られたとされ、Appleは代わりにApple hardware上でAI toolsとexecution environmentsを提供するWebAIやMount Thorといったpartnersに委ねています。AIモデル実行向けのMacハードウェア需要の急増はglobal memory shortageと重なり、多くのMac miniとMac Studioのconfigurationsが数ヶ月にわたりout of stockとなっています。一部のenterprise顧客は、Appleのhigh end configurationsの入手が困難なため、昨年末にMac miniと同様のform factorで発売されたcompact AI desktopであるNvidiaのDGX Sparkなど他のハードウェアへ流れていると報じられています。
なぜ重要か enterprise向けに複数台のMac Studioを連結してfrontierモデルを回す構成をAppleが公式に推奨したことと、AI需要による前倒し更新の背景は、ローカルLLMを前提とするハードウェア選定のコスト試算に直接影響します。Private Cloud Computeへの直接販売を断りWebAIとMount Thorに委譲する戦略や、global memory shortageにより多くのconfigurationsが数ヶ月out of stockとなりNvidia DGX Sparkへ需要が流れている需給状況は、調達タイミングと代替機の検討を今日から変える判断材料になります。
実践で使える点 ローカルでlarge frontier AI modelsを実行する構成を検討する際は、複数台のMac Studioを連結するApple推奨の構成をコスト試算に含め、business向け機能として位置づけられている点を踏まえて選定します。Mac miniとMac Studioの多くのconfigurationsが数ヶ月out of stockとなっている現状を踏まえ、入手困難なhigh end configurationsについてはNvidia DGX Sparkのような代替ハードウェアも含めて調達計画を立てます。Private Cloud Computeへの直接アクセスは提供されていないため、Apple hardwareベースの実行環境が必要な場合はWebAIやMount Thorといったpartners経由での提供を原典で確認します。6月の「Business at the Park」イベントで示されたbusiness buyerへのシフトの方向性も、原典で直接確認します。
原典 Apple caught off guard by AI demand for Mac Mini and Mac Studio
7. ChatGPT Adsが公開200日弱で年率10億ドルに到達、Ads Manager経由でインド・欧州・中東・北アフリカへ世界展開
要点 ChatGPT Adsがlaunchから200日弱でannualized revenue run rateとして10億ドルに到達したことが示されました。数万のadvertisersに利用され、globalに拡大を続けています。Starting later todayから、India、Europe、Middle East、North AfricaでAds Managerを通じてChatGPT adsを直接購入できるようになることが示されました。Advertisingはconsumer subscriptions、enterprise offerings、usage-based APIsと並ぶOpenAIのdiversified business modelの一つの柱であり、これらが合わさってpeople、developers、businessesにOpenAI製品へのアクセス方法の選択肢を提供し、advertising-supported free tierにより10億を超えるweekly active usersへのChatGPT提供を支えていることが記載されています。ChatGPT Adsはmarketersが有用で関連性の高い情報を体験に寄与させる可能性を生むと説明されています。ads systemはcurrent conversationのcontextを用いて探索内容に関連する広告を表示し、国やuser’s settingsによってはbroader ChatGPT experienceのcontextも用いることで、その場の質問と、where enabledではより広い興味・嗜好の双方を反映できるとされています。OpenAI’s ads principlesに導かれ、ChatGPTに寄せられるtrustの保護をNorth Starとして慎重に構築・拡大してきたこと、Adsは常にclearly labeledでseparateであることが示されています。タイトルは「A milestone in expanding access to AI」です。
なぜ重要か Advertisingをconsumer subscriptions、enterprise offerings、usage-based APIsと並ぶ四本柱の一つとして10億を超えるweekly active usersの無料アクセスを支える構造が示されたことは、OpenAIに依存するSaaSのAPI価格や無料tierの持続性を占う手がかりになります。Ads Manager経由でIndia、Europe、Middle East、North Africaへ世界展開し、current conversationのcontextやsettingsによってはbroader experienceのcontextを用いて関連性の高い広告を表示する仕様は、ChatGPT上で意思決定が完結する体験にmarketersが情報を寄与する形として、SaaS内の意思決定支援UXにも影響を与えます。
実践で使える点 広告活用やプロダクト設計では、ads systemがcurrent conversationのcontextを基に関連性の高い広告を表示し、国やuser’s settingsによってはbroader ChatGPT experienceのcontextも用いる仕様を前提に、会話文脈と紐づく表示になることを踏まえて検討します。Adsは常にclearly labeledでseparateに表示される原則を踏まえ、organicな回答との区別を明確にする前提でUXを設計します。advertising-supported free tierが10億を超えるweekly active usersへの提供を支える構造であることを踏まえ、OpenAIの料金体系や無料枠の動向は原典で継続的に確認します。summaryやfulltextに記載がない詳細は原典で直接確認します。