週間ニュースまとめ - Google I/O 2026とエージェント優先の時代

日付は各発表・報道の現地日付。

Googleの発表はどれも「エージェント優先(agent-first)」を掲げていた。先週の#001で、AI製品の次の競争力は信頼の設計から出てきそうだと書いたが、今週はより強いエージェントと、それに見合うだけ大きくなったサプライチェーンのリスクが同じ週にやって来た。

先週のTanStack npm攻撃に続き、今週はGitHubとPHPパッケージがサプライチェーン攻撃を受けた。

GitHubは5月20日(米国時間)、社員の端末にVS Code拡張Nx Consoleの悪意あるバージョン(18.95.0)が入り、内部リポジトリが流出したと明らかにした。攻撃者は約3,800件のリポジトリを盗んだと主張し、GitHubの調査結果もその数とおおむね一致した。流出したのはGitHubの内部リポジトリで、それ以外に保存された顧客情報への影響はないとGitHubは説明している。ただし、サポート問い合わせの記録など一部の顧客情報が含まれている可能性はあるという。Internet Watch · @IT

悪意あるバージョンは偽の拡張ではなかった。Nxの事後分析によると、攻撃者は1週間前のTanStack事件の際にあるコントリビューターのPCから盗んだ認証情報で正規の配布アカウントを使った。このバージョンは5月18日UTC 12時30分にVisual Studio Marketplace、12時33分にOpen VSXで公開され、それぞれ12時47分と13時9分に取り下げられた。拡張が有効になると、npm・AWS・GitHubのトークン、SSH鍵、.envファイルなどを集め、HTTPS、GitHub API、DNSを使った隠れた通信路で外部へ送っていた。Nxの事後分析

PHP側では5月22〜23日、多言語ライブラリLaravel Langのパッケージ4つが汚染された。Snykの分析では、攻撃者は流出したGitHubの個人アクセストークンでリリースタグを悪意あるコミットに差し替え、汚染されたバージョンは約700にのぼる。仕込まれたコードはPHPのリクエストごとに実行され、AWS・GCP・Azureの認証情報、SSH鍵、.envファイルなどを狙っていた。Packagistは5月23日に該当バージョンを取り下げた。Snykの分析 · The Hacker News

先週はnpmパッケージ、今週はVS Code拡張とPHPパッケージ。何かをインストールすること自体が、ますます大きなリスクになっている。

Park Labsのようにひとりで複数のサービスを運営していると、依存関係とツールチェーンがそのまま攻撃対象になる。自分が現実的な防御だと考えているのはこうだ。面倒でも自動アップデートを止め、拡張は信頼できる発行元のものだけ残し、よく狙われるAPIキーやトークンは定期的に入れ替える。Nxのように正規の発行元アカウントが破られることもあるので、新しいバージョンをすぐ入れないだけでも防御になる。

Google、Gemini 3.5 Flashを公開

Googleは5月19日、Gemini 3.5シリーズ最初のモデルとしてGemini 3.5 Flashを出した。Googleが示したスコアは、マルチモーダル理解のベンチマークCharXiv Reasoningで84.2%、MCP Atlasで83.6%。出力速度は他のフロンティアモデルの4倍だという。5月26日時点で、Googleは3.5 Proを翌月(6月)に出すと予告していた。Googleの発表

コストには注意したい点がある。API料金は100万トークンあたり入力$1.50、出力$9.00で、Gemini 3 Flashの3倍。思考(thinking)トークンも出力として課金される。Classmethodが実際に呼び出した例では、全2,793トークンのうち1,613トークンが思考トークンだった。Artificial Analysisが自社の知能指数(Intelligence Index)の評価を回すのにかかった費用は$1,552で、Gemini 3.1 Proより75%多かった。Artificial Analysis · Classmethod

だから自分は「Flashらしいコスパ」に疑問符をつける。請求額を大きく動かすのは、料金表ではよく見えない思考トークンだ。個人的には、6月に出るという3.5 Proのほうが楽しみだった。

Google、Antigravity 2.0を公開し個人ユーザー向けGemini CLIの終了を予告

Antigravity 2.0はエージェント中心の開発プラットフォームだ。複数のエージェントを並べて動かし、予約タスクを組めるデスクトップアプリ、ターミナル用のAntigravity CLI、カスタムエージェントを作るSDKで構成される。GoogleはCLIをGoで作り、反応が速くなったと説明している。Antigravity 2.0 · Antigravity CLI · Google Developers Blog

I/Oのステージで、Googleは93のサブエージェントを並列で動かし、約12時間で動くOSの中核部分を作ったと紹介した。処理したトークンは26億、費用は$1,000未満。その上でDOOMを動かそうとしてキーボードドライバーがなく止まると、発表者が音声で頼み、エージェントがその場でドライバーを作ってゲームが動いた。いずれもGoogleがステージで示した数字だ。AlphaSignal

急な変更には不満も出た。Google AI開発者フォーラムでは、あるユーザーが、HubとIDEが会話履歴まで別々の二つのアプリに分かれ、頼っていた作業の流れがなくなったと書き、2.0.6で入った「Open in IDE」ボタンがLinuxでは表示されないとも報告している。Google AI開発者フォーラム

Googleは同じ日、Gemini CLIをAntigravity CLIへ移すと発表した。6月18日から、Google AI Pro・Ultraと無料の個人ユーザーのGemini CLIリクエストは処理されなくなる。Gemini Code Assist Standard・Enterpriseのライセンスや有料APIキーで使う場合はそのまま使える。Agent Skills、Hooks、Subagents、拡張機能(現在はAntigravityプラグイン)は引き継がれるが、最初から機能が1対1でそろうわけではないとGoogleは説明している。5月26日時点で、個人ユーザーは6月18日までに移行する必要があった。Google Developers Blog

Google、Gemini APIにManaged Agentsのプレビューを追加

API呼び出し1回で、隔離されたLinuxサンドボックスにエージェントを立ち上げる機能だ。エージェントはGemini 3.5 FlashベースのAntigravityエージェントで、計画を立ててツールを呼び、コードを実行し、ファイルを扱い、ウェブから最新データを取ってくる。AGENTS.md、SKILL.mdのようなマークダウンファイルで指示とスキルを定義すれば、別途のオーケストレーションコードなしでエージェントとして登録される。自分なりにひとことで言えば、エージェント実行環境のサーバーレス化だ。Googleの発表 · Custom Agentsのドキュメント

Google、常時動く個人エージェントGemini Sparkを発表

Gemini Sparkは、Google Cloudの専用仮想マシン上で24時間動く個人AIエージェントだ。ノートPCを閉じても、スマホをロックしても、バックグラウンドで作業を続ける。GmailやDocsなどWorkspaceアプリの文脈を使い、専用のGmailアドレスに仕事を送って任せることもできる。毎月届く請求書・サブスクの領収書の見直しといった繰り返しの作業向けで、お金を使う、メールを送るといったリスクの高い動作の前には、まずユーザーに確認するよう設計されている。5月26日時点では、米国のGoogle AI Ultra加入者向けベータが予告されていた。The Next Web · Googleブログ

OpenClawやHermes Agentで話してきた個人秘書を、Googleが自社サービスの上に載せた格好だ。

Google、動画から始まるGemini Omniを公開

Gemini Omniは、Geminiの推論力にGoogleの生成メディアモデルを組み合わせたモデルだ。Omniでは10秒の動画を音付きで作り、チャットで雰囲気・動き・カメラアングル・背景を何度も続けて直せる。Googleは、Omniが重力・運動エネルギー・流体力学といった力を直感的に理解していると説明している。Geminiアプリなどで作った動画には、目に見えない透かしSynthIDが自動で入る。DeepMind · Geminiの動画生成

Demis Hassabis氏はOmniを「どんな入力からでも何でも作れる」モデルであり、AGIへの一歩だと紹介した。この1年、Geminiを世界を理解しシミュレーションするワールドモデルへ広げてきたとも話している。個人的には、今回のI/Oでいちばん印象に残った言葉だった。Decrypt

SynthIDを消そうとする側のツールもある。GitHubのオープンソースremove-ai-watermarksは、SynthIDを含む見えない透かしやC2PAなどの出所メタデータを画像・動画から消せるとうたっている。画像を生成し直す方式なので、すべての検証ツールをすり抜けるとは保証できないとREADME自身が書いている(10月22日確認)。

Google、検索窓を刷新し情報エージェントを予告

AI Modeの標準モデルが全世界でGemini 3.5 Flashに切り替わった。Googleは今回の刷新を、25年以上続く検索窓で最大のアップグレードと呼んでいる。新しい検索窓は入力に合わせて広がり、テキスト・画像・ファイル・動画・Chromeのタブを受け付ける。バックグラウンドでウェブを見張り、自分の質問に関わる変化を知らせる情報エージェントは、夏にPro・Ultra加入者から提供するとした。Personal IntelligenceはAI Modeで約200の国と地域、98言語に広がり、サブスクなしで使える。Google検索の発表

検索窓に質問してリンクの一覧を受け取るやり方は、本当に終わりつつあるようだ。

Google、AI StudioでネイティブAndroidアプリを生成

Google AI Studioで、プロンプトひとつからKotlin・Jetpack ComposeのネイティブAndroidアプリを作れるようになった。ブラウザ内のエミュレーターでプレビューし、USBでつないだ実機にインストールし、Play Consoleの内部テストトラックに載せるところまで、別に何かをインストールする必要はない。アプリはカメラ、GPS、加速度センサー、Bluetoothといったデバイスの機能をAndroid APIで使う。Android Developers Blog · Google AI Studioの発表

Anthropic、Project Glasswingの最初の1か月の結果を公開

Anthropicは5月22日、4月に始めたセキュリティプロジェクトProject Glasswingの最初の1か月の結果を公開した。約50のパートナーが、未公開のフロンティアモデルClaude Mythos Previewを使って高リスク・致命的な脆弱性を1万件以上見つけた。Cloudflareは約2,000件(うち高リスク・致命的なもの約400件)、MozillaはFirefox 150で271件を見つけた。1,000以上のオープンソースプロジェクトを調べた結果、高リスク・致命的な脆弱性は6,202件と推定された。立ち上げ時のパートナーにはAWS、Apple、Google、Microsoft、NVIDIA、JPMorganChaseなどが入っている。Anthropicの初期報告 · Project Glasswing

Anthropicは、こうしたモデルの悪用を防げるほど強い安全装置はまだどの会社も作れていないとして、モデルを一般公開せず、信頼できるパートナーにだけ提供している。1か月で1万件という数字と同じくらい、強すぎるモデルのジレンマが現実になったことが印象に残った。

Andrej Karpathy氏、Anthropicの事前学習チームに合流

「バイブコーディング」という言葉を生んだAndrej Karpathy氏が、5月19日にAnthropicの事前学習(pre-training)チームへの合流を発表した。OpenAIの共同創業者で、TeslaではAutopilotを率いた人物だ。Anthropicの広報担当者によると、Claudeで事前学習の研究を速めるチームを新たに立ち上げるという。TechCrunch · Karpathy氏のX投稿

OpenAIのモデル、80年来のエルデシュの単位距離予想を反証

OpenAIは5月20日、社内の推論モデルが平面の単位距離問題で長年の予想を反証したと発表した。1946年にPaul Erdősが出した問題で、正方格子の構成が事実上最適だというのが80年近く続いた通説だった。モデルは代数的整数論を使い、正方格子を多項式のオーダーで上回る無限の構成族を見つけ、外部の数学者たちが証明を確認した。プリンストンのWill Sawin氏は、同じアイデアで改善幅をさらに広げた。この結果を出したのは、数学専用に作ったシステムではなく汎用の推論モデルだ。OpenAIの発表

正直、素直に喜んでいいのか少し怖くもなった。

OpenAI、CodexにAppshots・ロック中のコンピューター操作・Goalモード

Codexはコーディングエージェントから、Mac全体を扱うエージェントへ広がりつつある。5月21〜22日のアップデートで、左右のCommandキーを同時に押すと最前面のアプリウィンドウを画面とテキストごとCodexに送れるAppshotsが入った。設定をオンにしておけば、Macがロックされた後もCodexがデスクトップアプリを使え、スマホから遠隔で指示を出せるようになった。目標を与えると数時間から数日かけて自分で作業するGoalモードも正式な機能になった。Appshots · Computer use · Follow goals

最近Codexがかなり良くなっているので、Claude Codeと両方使いながら比べているところだ。

今週いちばん強く思ったのは、エージェント優先が業界の標準になりつつあるということだ。

Googleはモデル(Gemini 3.5)から開発ツール(Antigravity)、API(Managed Agents)、個人秘書(Spark)、検索まで、すべてをエージェント中心に敷き直した。OpenAIのCodexはMac全体を扱い始め、Anthropicのパートナーはモデルで脆弱性を1万件以上見つけた。方向は同じだ。AIは人が指示したことを実行する段階を越え、環境を直接扱いながら長時間自分で動くようになっている。

だから、ひとり開発者としての問いも変わる。

• どのエージェントプラットフォームに縛られるか(個人向けGemini CLIの終了のように、ツールはいつでも消える)
• 常時動くエージェントに、自分のアカウントとデータをどこまでつなぐか
• 思考トークンのような見えないコストをどう予測するか
• インストールし、つなぐものすべてが攻撃対象だという前提を、どう運用に落とし込むか

強力なエージェントは、確かにひとり運営のレバレッジだ。ただ今週のセキュリティ事件が示すように、レバレッジが大きいほど小さなミスのコストも大きくなる。Park Labsもエージェントを積極的に使いつつ、権限・コスト・信頼の境界は狭く取り続けたい。

先週の#001で、これからは2〜3本だけ深く掘ると書いた。今週はGoogle I/Oがあまりに大きかったので、I/Oを2つのまとまりで深く扱い、残りは短くまとめた。

来週はAntigravity CLIをClaude Code・Codexと比べた使用記を挟むつもりだったが、その記事は書けなかった。次の週間#003は13週間後の8月24日に出た(10月22日追記)。