DenoチームがCloudflareへ合流し、ランタイム開発は1年で終わる
DenoチームがCloudflareに合流 Deno Deployは6か月後に終了、ランタイム開発も1年で終了
事実
Ryan Dahl氏は10月9日、Denoチーム全員がCloudflareに合流すると発表した。Denoランタイムは今後1年間、月次のバグ修正とセキュリティ更新を続け、その後は開発を終える。コードはオープンソースのまま残り、他の開発者による継続を歓迎するとしている。JSRは継続し、基盤はCloudflareへ移す。rusty_v8も継続し、workerdへの統合を進める。Deno Deployは6か月運用したあと終了し、有料顧客にはCloudflare Workersへの移行支援がある。無料利用者への支援範囲は示されていない。celldとworkerdを統合し、Workersの書き方をCloudflare上でも自前インフラでも使えるようにする方針である。Hacker Newsでは1367ポイント、713件のコメントが付き、はてなブックマークは102件である。
示唆
Deno Deploy上のアプリには、終了までの6か月で移行先を決める期限が付いた。有料顧客にはCloudflare Workersへの移行支援がある。無料利用者の支援範囲は発表に含まれておらず、無料枠のサービスは移行手順を自前で用意する前提になる。ランタイムは1年間、バグ修正とセキュリティ更新を受けたあと開発が止まる。JSRとrusty_v8は残るので、パッケージ配布とV8バインディングの依存は、ランタイム本体と分けて存続期間を見る必要がある。自前サーバでWorkers互換の実行を求める場合は、celldとworkerdの統合が候補になる。
Telegram Desktop 7.2.8以前に、1クリックのセッション窃取が公開された
Telegram Desktop 7.2.8以前に1クリックでセッション窃取の脆弱性 CVE-2026-107181、7.2.9で修正
事実
Telegram Desktopの7.2.8までを対象に、外部で開いた細工したtg://リンクを1回クリックすると、セッションファイルを含むローカルファイルを攻撃者のチャットへ送らせられる脆弱性が公開された。識別子はCVE-2026-107181、深刻度はCVSS 3.1で8.1である。セッション鍵を含むtdataが送られると、パスワードや2段階認証なしでアカウントを乗っ取られる恐れがある。修正を含む7.2.9は9月17日に公開されていたが、更新履歴には描画の修正しか書かれておらず、セキュリティ修正であることは記載がなかった。CVEの付番は10月7日である。Hacker Newsでは460ポイント、313件のコメントが付いた。
示唆
修正そのものは9月17日の7.2.9に入っているが、更新履歴はセキュリティ修正に触れていない。配布元の更新表示だけを見ていると、7.2.8以前が残っていることに気付きにくい。各端末のバージョンが7.2.9以上かを確認する対象になる。7.2.8以前を業務連絡に使っている場合、外部で開いたリンク1回でセッションファイルが流出し、パスワードや2段階認証を経由せずにアカウントが使われ得る。デスクトップ版を複数台へ入れている組織では、一台の更新だけでは残りの端末が対象のまま残る。この問題を閉じる手段として示されているのは、7.2.9以降への更新である。
Chrome 155がJPEG XLのデコードに対応した
Chrome 155がJPEG XLのデコードに対応 高画質はAVIFと試し分け
事実
Chromeは10月6日、バージョン155から画像形式JPEG XL（.jxl）をデコードできると発表した。JPEGより30〜50%高い圧縮、可逆圧縮、HDR、JPEGからの可逆な変換を挙げ、高精細な写真や細かい段階表示で特に有用だとしている。配信形式はAVIFとJPEG XLの両方を試し、画質と容量の差を見てから選ぶよう勧めている。デコーダは攻撃面を減らすため、Rustのjxl-rsで書き直している。Hacker Newsでは574ポイント、407件のコメントが付き、はてなブックマークは22件である。
示唆
Chrome 155以降では.jxlを追加の実装なしで表示できる。ChromeはAVIFとJPEG XLの両方を試してから選ぶよう示している。高画質、可逆圧縮、細かい段階表示が容量や見た目の差になりやすい画像から、画質とバイト数を比べる対象になる。JPEGからの可逆変換は、既存資産を再圧縮の劣化なしに載せ替える経路として使える。デコーダをRustで書き直したことはブラウザ側のメモリ安全性の話であり、配信形式の選択とは別である。この発表が復号を保証しているのはChrome 155以降なので、他のブラウザへの配信は利用者の割合と合わせて確認する対象になる。
EmbeddingGemma 2がApache 2.0で公開された
Google、740MのEmbeddingGemma 2をApache 2.0で公開
事実
Googleは10月6日、テキストに加えてコード、画像、音声、動画を同じベクトル空間へ置くEmbeddingGemma 2を、Apache 2.0で公開した。パラメータ数は740Mで、テキストだけなら約270Mまで絞れ、出力の次元は768から128まで切って保存容量を抑えられる。文脈長は8Kトークンで、前版の4倍だとしている。MTEB Codeは68.76から78.68へ上がったと公表している。量子化時のメモリはPixel 11 Proでテキスト約191MB、全体約567MBである。配布はHugging FaceとKaggleで、llama.cppやOllamaでも案内がある。Hacker Newsでは435ポイント、46件のコメントが付き、はてなブックマークは6件である。
示唆
埋め込みを外部APIへ送っていた検索、RAG、コード索引は、740M級を端末内や自前マシンで回す候補が増えた。ライセンスはApache 2.0である。テキストのみなら約270Mまで落とせるため、画像や音声が不要な索引はエンコーダを外してメモリを分けられる。次元を128まで切ると保存容量は減るが、検索の精度との兼ね合いは利用側のデータで見る対象になる。公表のMTEB Codeの上昇はコード検索向けの目安であり、自前のリポジトリで同じ差が出るかは別問題である。量子化時のメモリ例はPixel 11 Proの数値なので、サーバや別の端末では同じ容量にはならない。
Microsoft-Decision-1が、文章を生成しない判定モデルとして公開された
Microsoft、文章を生成せず選択肢ごとの確率を返すMicrosoft-Decision-1を公開 入力100万トークン0.042ドル
事実
Microsoftは10月9日、文章を生成せず、決められた選択肢ごとの確率を返すMicrosoft-Decision-1を、Microsoft FoundryとOpenRouterで公開した。基にしたモデルはQwen3.5-9Bで、想定する用途はルーティング、分類、エージェントの行動の採点である。料金は入力100万トークンあたり0.042ドルで、出力トークンは発生しない。重みは非公開である。OpenAIのDecisions APIやLiquid AIのd1に続く判定特化モデルである。Hacker Newsでは198ポイント、66件のコメントが付き、はてなブックマークは3件である。
示唆
分類やルーティングを文章生成モデルに任せている経路では、出力トークンが発生しない単価へ置き換える候補になる。入力100万トークン0.042ドルで、長い文脈を繰り返し判定する処理では出力側の費用が積み上がらない。返るのは選択肢ごとの確率なので、自由文が必要な処理は生成モデル側に残る。重みが非公開のため、利用はFoundryかOpenRouterの提供条件に依存する。本番のラベル定義や言い換えに対する安定性は、移行前に自前の入力で確かめる対象になる。確率を自動化の閾値に使う場合は、その較正が自前の分布でも成り立つかを分けて見る。