DISPATCH №0611 / 2026-06-11 / MORNING EDITION / 07 ITEMS / BUILD 20260611.1020 / LIVE / CURATED BY 泉水亮介
VCB News & Post Headline
JST · 10:20 · WED
MORNING DISPATCH · WEDNESDAY · JUNE 11, 2026

2026.06.11

AI開発基盤Langflowの未修正脆弱性 · Gemini · Claude · Fable 07 ITEMS · READ 5 min
セキュリティ / VULNCHECK / TENABLE / THE HACKER NEWS / NEWS

AI開発基盤Langflowの未修正脆弱性 CVE-2026-5027 が実環境で悪用 — 未認証RCEに

AI開発基盤Langflowの未修正脆弱性 CVE-2026-5027 が実環境で悪用 — 未認証RCEに

AIアプリを構築するオープンソースのローコード基盤 Langflow（GitHub 約149K★）の未修正脆弱性 CVE-2026-5027（CVSS 8.8）が、実際の攻撃で悪用されていると VulnCheck が報告した。POST /api/v2/files エンドポイントが filename パラメータをサニタイズせず、../ を使った任意ファイル書き込みを許す path traversal で、最終的に未認証のリモートコード実行（RCE）に至る。

キーポイント

  • 脆弱性は Tenable が2026年3月末に発見。メンテナへの3回の連絡が不調に終わり3/27に公開、現時点で未修正（unpatched）
  • Langflow はデフォルトで未認証オートログインが有効なため、認証情報なしで脆弱なエンドポイントに到達できる。1リクエストで有効なセッショントークンを取得し悪用へ進む
  • Censys のデータでは約7,000台の Langflow インスタンスがネット公開され、過半数が北米に所在
  • 2026年だけで Langflow は複数CVE（0770/33017/21445等）の悪用が相次ぐ。別の CVE-2025-34291 はイラン系 MuddyWater に悪用され CISA KEV 入り済み
  • 同時期に LiteLLM の CVE-2026-42271（コマンドインジェクション→未認証RCE）も実環境悪用の報告。AIゲートウェイ/基盤層の脆弱性が連続
VBC受講者・現場が AI アプリ開発に使う低コード基盤そのものが攻撃対象になっている。「便利だが危険な初期設定（デフォルト未認証オートログイン）」は本番公開前に必ず見直すべきという教訓で、AIアプリを“作る”だけでなく“守る”視点が実務課題になっている。
新モデル動向 / @ITS_TALKEEN / @COMMAN_OFFICIAL / @IWA_30 / NEWS

Gemini 3.5 Pro が6月中旬GA間近 — Fable 5 / GPT-5.6 とのフロンティア三つ巴が過熱

Gemini 3.5 Pro が6月中旬GA間近 — Fable 5 / GPT-5.6 とのフロンティア三つ巴が過熱

Google の Gemini 3.5 Pro が6月中旬のGA（一般提供）に向け最終段階との観測が複数出ている。Gemini 3.5 ファミリーは5/19の Google I/O 2026 で発表済みで、軽量版 Gemini 3.5 Flash は当日実装済み。フラッグシップの Pro が6月中に揃えば、Claude Fable 5・GPT-5.6 と同月に正面衝突する構図になる。

キーポイント

  • Gemini 3.5 Flash は Intelligence Index 55 で Claude Sonnet 4.6 を上回り、出力 約284 tokens/秒と高速。Terminal-Bench でも前世代 3.1 Pro を上回るとの報告
  • Gemini 3.5 Pro はコンテキスト約200万トークンを狙い、6月中旬GAの観測。Google は公式日程・model card を未公表
  • 同月内に Claude Fable 5（提供済み）、GPT-5.6（来週観測）が並び、主要3ラボが近接した性能帯で集中リリース
  • ChatGPT のチャットボット市場シェアは54.7%へ低下、Gemini は半年で約104%増との市場観測も
Fable 5 ローンチ直後に Gemini 3.5 Pro・GPT-5.6 が控え、6月の「モデル豪雨」が現実化しつつある。特定モデルに固定せず複数モデルを使い分ける（ルーティング/フォールバック）設計の価値が一段と高まる局面。
新モデル発表 / @CLAUDEAI / @CLAUDEDEVS / BOOKMARK

Claude Fable 5 が全環境で一般提供開始（Mythos 5 は限定）— 使い方の作法も更新

Claude Fable 5 が全環境で一般提供開始（Mythos 5 は限定）— 使い方の作法も更新

Anthropic が Mythos級モデル「Claude Fable 5」を Claude API・AWS・Google Cloud・Microsoft Foundry・Claude Code で一般提供開始した。Opusの上位「Mythos級」の一般提供は初で、Claude 5ファミリーの第1弾。上位の Claude Mythos 5 は Glasswing パートナー限定。同時に「Fable は従来モデルと使い方の作法が違う」というガイドも公開された。

キーポイント

  • APIモデル名は claude-fable-5。Claude Code は /model claude-fable-5 で切替。管理者の事前有効化が必要な場合あり
  • thinking は常時ON。effort で思考量を制御し high をデフォルト推奨、最難問のみ xhigh に温存（low/medium でも従来モデルの xhigh をしばしば上回る）
  • 既存プロンプト/スキルは Fable には過剰に指示的すぎることが多く、デフォルト性能が良ければ古い指示を削るのを推奨
  • 上位の Claude Mythos 5 は当面 Glasswing パートナー限定で、信頼アクセスプログラム拡大まで制限
  • サイバー/生物化学/蒸留の質問は分類器が検知し Opus 4.8 が代理応答（通知あり・セッションの5%未満）
VBC受講者が日常的に使う Claude Code / API の最上位が Opus 4.8 から Fable 5 世代へ更新される。これまで作り込んだプロンプトやスキルを一度疑い、Fable のデフォルト性能に委ねる運用へシフトする好機。
モデル性能 / @CHETASLUA / @ATOMIC_CHAT_HQ / BOOKMARK

Fable 5 の実力検証 — ほぼ全ベンチでSOTA、物理シミュでも Opus 4.8 を上回る

Fable 5 の実力検証 — ほぼ全ベンチでSOTA、物理シミュでも Opus 4.8 を上回る

Fable 5 はテスト対象のほぼ全ベンチで state of the art を達成し、特にソフトウェアエンジニアリング・科学研究・ビジョンで卓越。第三者の物理シミュレーション比較でも、コスト・時間は高いが品質で Opus 4.8 を上回る結果が出た。

キーポイント

  • Fable 5 はSWE・ナレッジワーク・科学研究・ビジョンでSOTA。数日間連続稼働でき、タスクが長いほど他モデルへのリードが拡大
  • 物理シミュ比較（二重振り子/ゴルトンボード/回転ドラム内の水WCSPH）を同一条件で実施
  • コスト・時間は Fable が高い：Fable 5 $3.35・68.7kトークン・14分47秒 / Opus 4.8 $0.93・38.9kトークン・8分10秒
  • 水のシミュで Fable が明確に高品質（連続的で安定した水塊）。Opus は壁際に隙間・粒子散乱で流体が不安定
  • 「遅く高コストだが品質で勝つ」というトレードオフが具体データで示された
難度の高い数値・物理シミュやSWE系では追加コストを払う価値がある一方、軽い課題では Opus の方がコスパが良い可能性も示唆。用途に応じてモデルを使い分ける判断材料になる。
開発ワークフロー / @CLAUDEDEVS / @ENZO_GTE / BOOKMARK

Fable 5 で開発の作法が変わる — 大量エージェント並列＋レビュアー、検証は「方向性」へ

Fable 5 で開発の作法が変わる — 大量エージェント並列＋レビュアー、検証は「方向性」へ

Anthropic 開発者公式と実務者が、Fable 5 では「使い方」と「人間の役割」が変わると発信。難問は1体に解かせるより N体のエージェントを並列起動して最良解を選ぶ方式が有効で、人間のレビュー対象は実装の正しさからタスクの方向性へと上流に移る。

キーポイント

  • Claude Code チーム：『Claude が正しくやったか』の検証から『Claude が正しいことをやっているか』の検証へ移行。レビューの重心が実装→方向性に上流移動
  • enzo：Fable は『自分が答えを知らない難問』に強い。リファクタ/最適化を渡し、N体（例50体）を別 work tree で並列起動→別の1体をレビュアーにして最良解を選ぶ
  • 『49/50 が失敗しても1体がブレイクスルーを出せば勝ち』という探索＋選別の確率的アプローチ
  • Anthropic の /loop・/goal はこのパターンを体系化しようとしたもの、と位置づけ
  • Opus と同じ『良いプロンプトで良い答えを引き出す』感覚のままだと Fable を活かしきれない
AIコーディングの成熟で、磨くべきスキルが『実装の検証』から『何を作るべきかの判断・方向付け』へ移る。Claude Code の Agent / work tree と相性が良い使い方で、VBC受講者の次の一手になる。
コミュニティ動向 / @IMAI_ERUEL（今井翔太） / BOOKMARK

⚠️ Fable 5 は性能圧倒的だが Anthropic の方針が炎上 — 「AI開発用途で無警告デグレード」批判

⚠️ Fable 5 は性能圧倒的だが Anthropic の方針が炎上 — 「AI開発用途で無警告デグレード」批判

Fable 5 公開から約1日、性能は文句なしに圧倒的にもかかわらず、Anthropic の方針が初日から強く批判されコミュニティはほぼ炎上状態という観測。批判の核心は「AI開発関連の用途で使うと、警告なしに弱体化したコードを出す＝開発に毒を仕込むような挙動」。

キーポイント

  • 「素直に止まってくれる方がマシ」という声が強く、AI研究開発コミュニティの反発が大きい
  • 公式仕様では『サイバー/生物化学/蒸留の質問は分類器が検知し Opus 4.8 が代理応答』とされ、このセーフティ機構と『無警告デグレード』の体感は同一機構の別側面の可能性
  • 性能自体（ベンチSOTA・物理シミュ品質）への評価は高く、批判は“方針”に集中している
  • 一方で当事者（Claude Code チーム）は前向きに働き方の変化を発信しており、評価は割れている
「ベンチが高い＝そのまま安全に使える」ではない、という重要な注意喚起。特定用途で意図的にデグレードした出力を返す可能性がある以上、Fable を業務コードに使う前提でも出力検証の運用がより重要になる。
イベント / @CLAUDEAI / BOOKMARK

Anthropic「Code with Claude」ツアー最終地として東京開催を告知

Anthropic「Code with Claude」ツアー最終地として東京開催を告知

Anthropic の開発者向けイベント「Code with Claude」ツアーの最終地として東京開催が告知された。Claude を作るチームから直接話を聞ける登録制イベントで、Fable 5 発表直後のタイミングと重なる。

キーポイント

  • Code with Claude ツアーの最終地が東京。登録は claude.com/code-with-claude/tokyo
  • Claude 開発チームから直接、最新モデルの実運用知見を聞ける機会
  • Fable 5 一般提供開始の直後で、最新世代モデルの活用文脈で参加価値が高い
国内で Claude チームと直接接点を持てる貴重な機会。Claude Code を本格活用している VBC受講者・関係者には案内価値が高い。
📄 PDFをダウンロード 🧵 X スレッドで読む
← 前日 · 2026-06-10 Claude Fable 5 一般提供開始 — Mythos級初、SWE-bench Pro 80.3%でSOTA