OSS Scannerでは、無償の定期スキャンを受ける条件だけでなく、未検証報告の扱いと開示期間の起点を確認したい。11月12日発効のClaude利用ポリシーは、人が判断する用途と適用除外を分けて読む。Gemini agentとHyperPodは業務システムや共有クラスタの権限境界、NVIDIA Dynamoはツール呼び出しをまたぐ推論セッションの制御を扱う。Goodfireの監視研究やAQuAの品質診断も、性能・誤判定の条件と、人のレビューへ渡す処理を確認したい。
これらは独立した更新だが、モデルの出力を誰が検証するか、どの主体に何を許可するか、処理が続く間の状態をどこで制御するかという運用判断でつながる。無料の検査、統合エージェント、共有GPUのいずれも、導入側の責任や実行環境の制約まで含めて評価したい。（出典1 / 出典2 / 出典3 / 出典4 / 出典5）
AnthropicのOSS Scanner、利用条件と開示の境界
Anthropicは、参加を希望するオープンソースプロジェクトを強力なモデルで定期的に無償スキャンする、任意参加型の「OSS Scanner」を開始した。（出典1）
参加資格は主担当メンテナー、または主担当メンテナーから登録を認められた人にある。組織の業務として保守する場合は、その組織の許可も必要だ。GitHub上のスキャナー用リポジトリに設定を追加するPRで申請し、Anthropicは登録権限を確認する場合がある。インフラや利用者の安全に重大な影響を持つ確立したプロジェクトを対象に、リモート攻撃への露出や利用者・依存プロジェクトの数を踏まえて個別に判断される。（出典1 / 出典2）
登録には対象リポジトリ、主連絡先メールアドレス、監査環境を作るDockerfileを用意する。Dockerfileを設定ファイルの隣に置く場合は、設定内の指定を省略できる。環境構築時のネットワーク接続は認められるが、依存関係を導入した後の監査はインターネット接続なしで行う。任意の脅威モデルファイルでは検査対象、敵対的に扱う入力、対象外事項、深刻度基準、報告形式などを指定でき、指定しなければスキャナーが判断する。（出典1）
結果は人のレビューや選別を経ないモデル生成物で、誤検知、見落とし、不正確な深刻度、機能を壊す修正案を含み得る。エージェントがバグの再確認、修正案作成、根本原因分析を行い、再現手順と説明、可能な場合は導入時点の特定や修正候補をメールで送る。利用契約では、報告や修正案に基づいてコードを変更したり報告を共有したりする前のレビューを、参加者の責任としている。報告の用途は当該プロジェクトの問題の評価・修正に限定され、共有先も権限を持つメンテナーに限られる。（出典1 / 出典2 / 出典3）
今後、スキャナーの精度への確信が高まれば、深刻度の高い一部の報告に開示期間を設ける可能性がある。その場合は事前通知と離脱の選択肢を示すとされる。現在の開示条件は、下の表のとおり未検証報告と人手検証済み報告で異なる。（出典1）
一時停止は設定にdisabled: trueを加えるPR、離脱はprojects/<project>/ディレクトリを削除するPRで行う。離脱後は自動の未検証報告が止まり、通常のCVD手続きによる報告だけに戻る。ただし、契約終了後も報告の利用制限、レビュー責任、機密保持などの条項は存続する。未修正の脆弱性を含む報告は、修正または公開開示まで安全に管理する必要がある。（出典1 / 出典2）
比較表: 検証状態による開示の扱い
開示の基準は、指摘が人による検証を経たかどうかで分かれる。（出典1）
| 観点 | 未検証の指摘 | 人が検証した報告 |
|---|---|---|
| 90日の期間 | 90日の協調開示期間を設けない。（出典1） | 人による検証を通知した時点から90日後以降に、既存のCVD方針で開示する場合がある。（出典1） |
| 開示方針 | モデル生成の未検証の指摘として扱う。（出典1） | 既存のCVD方針で開示する場合がある。（出典1） |
EastBraverの見立て: 採否の分岐は、人手未選別の報告を評価し、修正案の適用前に人間の確認を置けるかにある。脅威モデルの指定だけでなく、担当者、共有先、機密情報の保管方法まで準備して参加したい。離脱すれば過去の報告に関する責任まで消える、とは読めない。（出典1 / 出典2）
- 出典: Anthropic（公式情報、2026-10-09 04:00 JST）
Anthropic、11月12日発効の利用ポリシーで禁止範囲を明確化
Anthropicは、11月12日に発効するUsage Policyの更新版を発表した。大半は既存ルールの明確化であり、より長時間かつ独立して作業するClaudeにルールをどう適用するか、新たな例を加えた。（出典1）
新たに集約した欺瞞的キャンペーンの規定は、発信主体の隠蔽、偽アカウントや投稿による増幅、影響工作用のツールや基盤の構築を、政治・商業の双方で禁じる。選挙分野では、有権者への欺瞞や選挙妨害を禁止する一方、個別化した投票・選挙運動ターゲティングの一律禁止は撤廃した。欺瞞や個人データの悪用を伴うターゲティングは引き続き禁止される。（出典1 / 出典2）
武器に関する禁止には、武器を機能させるソフトウェアや部品の開発、ドローンなどの武装化も含まれる。監視では、本人の同意がない追跡、捜査・逮捕・起訴などの判断や推奨、その禁止用途のための監視機能の構築・改良を禁じる。同意のある追跡、集計・匿名化した分析、コンテンツモデレーション、認可されたセキュリティ研究、法執行機関・裁判所による法的調査・分析、報道は、禁止目的に使わないことを条件に適用除外となる。あらゆる監視・分析ツールの開発を一律に禁じた規定ではない。（出典1 / 出典2）
個人に対する医療・法務・財務上の助言や、信用、雇用、必須サービスへのアクセスなどの高リスク判断では、助言を届ける前、または判断を実行する前に、当該分野の訓練または経験を持つ人が内容を実質的に確認し、変更できなければならない。免許・資格が必要なのは、法律がその業務に要求する場合だ。対象者にはAIを使ったことを通知する。一般的な情報提供、最終的な助言に当たらない内部の草案・要約などは適用除外となる。法律が認める範囲では、本人に全面的に有利な保険金支払い、医師が指示した治療の給付・事前承認、医療サービスの利用資格、公的給付・サービスの付与または継続にも、実行前レビューの例外がある。減額・条件付き承認はその例外に当たらず、通知などの義務は残る。（出典1）
負傷を引き起こし得る自律的な物理動作では、適格な監督者が動作を観察していつでも停止でき、介入時やClaudeとの切断時に機器が停止または安全状態を維持する必要がある。速度・力・温度などの安全限界は、機器またはモデル出力から独立した制御装置で強制する。適格な人が計画を実行前に確認する場合、機器を操作せず監視・報告だけを行う場合などの適用除外も、全文で区別されている。（出典1）
モデルに対して明確な目的なく虐待的・残虐な振る舞いを反復する極端なケースも禁止するが、通常の不満や反発、暗い創作テーマ、モデルの試験・研究は対象外である。対応地域の規定では、非対応地域にいる人、同地域で設立されたか本社を置く組織、同地域の個人・組織に直接・間接に過半数を所有されるか支配される組織の利用を禁じる。（出典1 / 出典2）
EastBraverの見立て: 既存利用者は、まず自分の用途が高リスク判断に当たるかを確認し、レビューと通知を実装・運用に落とし込む必要がある。物理機器では停止権限に加え、モデルへの指示と独立した強制層として安全限界を設計することが要点になる。（出典1）
- 出典: Anthropic（公式情報、2026-10-09 02:00 JST）
NVIDIA Dynamo、Session IDでエージェント推論をセッション対応へ
NVIDIA Dynamoの開発チームは、共通のセッション識別子を軸に、セッション対応スケジューリング、外部の共有KVキャッシュを考慮した索引、プログラムからのキャッシュ制御を説明した。各最適化はオプトインで、vLLMとSGLangを対象とする。共有プールIndexerは実験的機能で、キャッシュ移動の一部は提案段階にある。（出典1）
エージェントの推論・ツール利用の系列ごとに固有のsession_idを決め、その系列の全LLMリクエストで同じ値を使う。子セッションにはparent_session_idも付けられ、親子関係を追跡できる。カスタムクライアントはX-Dynamo-Session-IDなどのヘッダーを送る。ただし、識別子は受動的なメタデータで、送るだけで同じワーカーへの固定や配置方針が有効になるわけではない。セッション対応の方針は別途設定する必要がある。（出典1）
スケジューラはセッションの作業セットを考慮し、メモリが逼迫するとツール呼び出しの区切りで次の処理を待たせる。生成中のターンは完了させ、その後にバックプレッシャーを適用する設計だ。KVキャッシュが追い出され、次のターンでプロンプトを全面的に再処理する事態を抑える狙いがある。（出典1）
Session-Prefix Indexerは実装済みだが、KvHintはvLLM・SGLangに向けた提案中のインターフェースである。Dynamoがキャッシュ方針の意図を伝え、推論エンジンが実行可否を判断する。共有、先読み、CPUメモリ側への退避などをすべて完成済みの機能として扱わず、実装と提案を分けて確認する必要がある。（出典1）
開発チームは、SWE-benchでH100を8基使い、テンソル並列度4のMiniMax-M2を2レプリカ動かした構成では、KVキャッシュを考慮したルーティングだけの場合に比べ、プログラム単位のスケジューリングでスループットが約12〜16%向上したと報告している。これは特定のワークロード・構成での結果であり、任意のモデルや並列度で同じ改善を保証するものではない。（出典1）
EastBraverの見立て: 導入判断の焦点は、ツール呼び出しをまたぐ系列を識別し、その終了までKVキャッシュを保てるかにある。会話内容を保存・想起するエージェントのMemoryとは層を分け、セッションの終了とキャッシュの寿命、並列数を一緒に設計したい。（出典1 / 出典2）
- 出典: PyTorch Blog / NVIDIA Dynamo開発チーム（公式情報、2026-10-09 03:13 JST）
Gemini agent、業務横断の統合エージェントとして発表
Google Cloudは、質問への回答、知識業務、画像・メディア作成、コードの作成・実行を単一のエージェントとAPIで扱う「Gemini agent」を発表した。個別機能の集合ではなく、目的を受け取って業務を担う統合エージェントとして位置付けている。（出典1）
個人アシスタント、プロジェクト管理などを担うチームメンバー、財務部門のアナリストのような特定職務の代理までを想定する。発表では、Web、モバイル、デスクトップ、コマンドライン、Google Workspace、Microsoft 365、Slack、第三者アプリ、専用UIを持たない実行形態を挙げている。これらの利用面の説明と、各機能の一般提供開始は分けて読む必要がある。（出典1）
Google WorkspaceではGmail、Drive、Docs、Slides、Sheets、Chat、Calendar内で動作し、他の利用場所と同じメモリ、スキル、制御を引き継ぐとされる。業務システム、データベース、端末上のファイル、社内外のMCPサーバーへの接続も挙げる。同僚型エージェントは専用アカウントを持ち、アクセスできるコンテキストは自分やチームのメンバーが提供したものに限ると説明している。（出典1）
権限はセキュリティ管理者が承認する細粒度のロールベース制御とし、外部システムへの接続ではOAuthなどでエージェントのIDを対応付けて伝える。操作をエージェントに帰属させた監査ログ、ネットワーク境界を持つAgent Sandbox、ポリシーを適用するAgent Gatewayも示された。関連するAgent Identityの運用文書は、利用者の同意に基づくOAuth委任と、エージェント自身の権限によるアクセスを区別している。（出典1 / 出典2）
提供段階は一様ではない。業界別の金融・法務向け機能はプレビューで、行政・医療・小売向けは今後の予定とされる。（出典1）
EastBraverの見立て: 導入前には、利用者の委任とエージェント自身の認可を分け、接続先が増えても過剰な権限を与えない設計を確認したい。宣伝上の「統合」より、共有されるメモリの範囲、管理者の承認、実行環境の隔離が実際の契約・構成でそろうかが重要になる。（出典1 / 出典2）
- 出典: Google Cloud（公式情報、2026-10-09 04:00 JST）
HyperPod、相互に信頼する社内チーム向けのGPU共有構成
AWSは、Amazon EKSでオーケストレーションする単一のAmazon SageMaker HyperPodクラスタを、同じ組織の複数チームで共有する参照アーキテクチャを提示した。新サービスの提供開始ではなく、既存の認証、権限、割り当て、費用管理を組み合わせる構成例である。（出典1）
チームごとにKubernetes名前空間を分け、Studio実行ロールとCLI／コンソール用ロールのEKSアクセスエントリをRBACで各名前空間に限定する。認証はAWS IAM Identity Center、AWSサービスへの認可はIAM、クラスタ内の通常操作の認可はKubernetes RBACで扱う。ただし、名前空間は強固なセキュリティ境界ではない。共通の管理下で相互に信頼する社内チーム向けであり、互いを信頼しない顧客同士の隔離は想定していない。（出典1）
同じノード上のPodはカーネルを共有し、クラスタ全体に属するリソースも名前空間の外に残る。名前空間だけでは通信も遮断されないため、NetworkPolicyと対応するネットワーク実装で制限する。信頼できないテナントや厳しい規制上の隔離には、クラスタ・アカウントの分離、専用ノード、ランタイムのSandboxなど、より強い境界が必要になる。（出典1）
HyperPod Task Governanceでは、チームの保証割り当て、余剰資源の貸し借り、公平配分の重み、タスク優先度とプリエンプションを設定する。借用分は高優先度の処理などに取り戻され得るため、利用できる余剰容量を恒常的な保証と混同しないことが重要だ。保証割り当ての合計は実容量を超えないようにする。費用の可視化・チャージバックには、別途Kubecostの名前空間単位の配賦を組み合わせる。（出典1 / 出典2）
EastBraverの見立て: 最初の判断は、共有する相手が同じ組織の信頼できるチームかどうかにある。その前提を確認した上で、StudioとCLIの両経路の認証・認可、資源の保証と借用、費用の負担をそろえる構成として評価したい。（出典1）
- 出典: AWS（公式情報、2026-10-09 01:20 JST）
ほかの確認済みの更新
- Goodfire、内部活性化を使うサイバー用途の監視を報告：Kimi K3とGLM 5.3向けに、モデル内部の活性化を読む検出器で疑わしいやり取りだけをLLM判定器に送る方式を提示した。自社の約2,400セッション・60,000ターン超のデータを使い、Claude Opus 5のラベルを参照してKimi K3の監視を評価したところ、良性セッションの中断率5.5%で、有害セッションの検出率約93%を報告している。一般の攻撃を93%防げるという結果ではなく、対象データと監視条件を限った評価だ。採用時は、SGLangへの組み込みと誤検知後の処理を確認したい。（出典1）
- 出典: Goodfire（公式情報、2026-10-08）
- Google、稼働中エージェントの失敗を診断するAQuAを公開：ADKエージェントのテレメトリーをリクエスト処理経路の外側で調べ、失敗をまとめて別の検証役で確かめる。原因調査では、配備時点の不変なソーススナップショットと照合して修正案を出すが、AQuA自体はコード変更やPR作成を自動で行わない。公式リポジトリでは
v0.1.0のリリースとして追加されている。観測データを読む権限などの前提を確認し、人のレビューへ渡すための診断役として評価したい。（出典1 / 出典2）- 出典: Google for Developers（公式情報、2026-10-08）
