AI × FA ダイジェスト MONDAY

2026年9月21日

制御設計・フィールド業務・AIニュースの動きを、ひとつに。

THIS ISSUE12TOPICS / 全文無料
制御設計05フィールド業務04AIニュース03
A

制御設計

5 TOPICS
TOPIC 01制御設計

油圧・冷却回路のOリング設計、テーパ部の穴掛かりと組付時の「天地」

X上で、Oリング設計の見落としやすい2つの観点が続けて示された。1つ目は、冷却・油圧回路を設計するときにテーパ部に穴が「掛かっていないか」をチェックするという指摘で、テーパ部に穴が掛かると「鎌」のように鋭いエッジができ、組付時にOリングを「刈り取る形」になりやすいとされる。複雑な回路ほど見落としがちだと述べられている。2つ目は、Oリング溝を検討するときに組み付ける際の「天地の関係」を意識するという観点で、組み立てのときにどの方向が「天」かを踏まえ、可能な限り地側に溝をつけることで組付時のOリング脱落防止ができるとしている。あわせて、Oリングの噛み込みは実機での不具合発生まで気が付かない場合が多く、組立時の「天地」は設計時に見落としがちな視点の一つだと指摘している。

情報源
X @sibucho_labo (2026/09/20) / 出典を読む , X @sibucho_labo (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

制御設計側でも、装置立ち上げで「エア漏れ・油漏れ」が出たときの切り分けリストにこの2項目を足しておくと、原因を電磁弁や配線の側だけで探し続ける時間を減らせる。最初の一歩は、手持ちの油圧・空圧ユニットの組図を1枚開いて、Oリング溝のある面にテーパ穴や交差穴が掛かっていないか、溝が組付方向の「地」側にあるかを目視でチェックすること。今日できて費用はゼロ。次の段階として、そのチェック項目を GX Works3 の設計レビューとは別の「機械側チェックシート」としてスプレッドシートに1枚作り、客先向け装置の出図前レビューに組み込む。さらに進めるなら、Oリング脱落・噛み込みが疑われた過去トラブルの写真と、そのときの組付方向をセットで蓄積し、次に同じ形状が来たときの照合材料にする。コストは、チェックシート運用なら無料。3D CADでの干渉チェックまで広げると既存ライセンスの範囲で済むことが多いが、解析ツールの追加購入は数十万円規模になるので、まずは紙のチェックで空振りを確認してから判断したい。注意点は、これは設計時の着眼点の共有であって、Oリングのサイズ・つぶし率といった寸法規格の代わりにはならないこと。メーカーの設計資料と併読すること。

TOPIC 02制御設計

前進端タイムアウトの切り分けは、設備映像とPLCイベントの時間軸を合わせてから

設備の異常解析について、映像とPLCのイベントの突き合わせ方を整理した投稿が出ている。映像を見るとシリンダは止まっていて、PLCには前進端タイムアウトが出ている。しかしこれだけでは原因が分からない、とする。最初から動かなかったのか、一度動いてワークに当たって戻されたのか、異常が出た後の映像はどちらも同じ「停止」に見えるためである。投稿では、9月18日に製造監視や異常検出に向けたNEXCOMの産業用NVRが紹介されたことに触れ、映像をデバッグへ使うなら容量より先にPLCと時間を合わせたいと述べている。前進端タイムアウトの例として、異常確定時刻と工程番号、前進指令・電磁弁出力、前進端入力の変化、異常前からの映像、という四つを同じ時間軸で見るとしている。

概要の続きを読む+

出力がONしたのに映像で一度も動いていないなら弁・配線・エア供給へ進め、一度前進してワークに当たり押し戻されているなら、タイマを延ばすより先にワーク位置や干渉を見る、という分岐が示されている。カメラとPLCの時計がずれていたり、異常後から録画を始めたりすると、映像はあっても判断には使いにくいとも指摘している。

情報源
X @shin_debug_ai (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

これは新しい機器を買う前に、いまのPLCプログラム側でやれることが多い話。最初の一歩は、担当している装置1台のタイムアウト系アラームについて、「異常確定時刻」「工程番号」「そのときの前進指令(出力)」「前進端(入力)」の4点をデバイスメモリに1セット保持するラダーを追加すること。GX Works3 なら、アラーム検出の立ち上がりで工程番号とY/X状態をデータレジスタへ転送する数行で済み、追加費用はゼロ。次の段階は時計合わせで、客先のカメラやNVRを増設する話になったときに、まず「PLCの時計と録画側の時計をどう合わせるか」を仕様に書き込む。ここを決めずに導入すると、映像があっても突き合わせに使えない。さらに進めるなら、アラーム発生時のスナップショットをCSVでSDカードやGOTへ吐き、事後にスプレッドシートで並べて「指令ONから入力変化までの実測時間」の分布を見る。タイマ値を勘で伸ばす運用から抜けられる。コスト感は、ラダー追加とCSV出力なら既存資産で無料、NVRやカメラの増設は装置規模により数十万円規模。注意点として、ここで扱うのは設備異常の切り分け用途であり、作業者が映る映像を保存するなら客先の労務・個人情報の取り扱いルールを先に確認すること。

TOPIC 03制御設計

Workspace の Gemini が MCP でサードパーティ連携、Workspace Studio に Apps Script のカスタムステップと Webhook

Google は現地時間2026年9月15日、Google Workspace 向けの Gemini が Model Context Protocol(MCP)を通じたサードパーティ製アプリとの連携機能を提供開始したと発表した。対応するサードパーティアプリは Asana、Atlassian Rovo、HubSpot、Intuit Mailchimp、Intuit Quickbooks、Monday、Salesforce で、スプレッドシート、Gmail、ドライブ、ドキュメント、チャットなどの Workspace アプリ内から、タブを切り替えたりファイルをダウンロードしたりすることなく直接やり取りできるとされる。

概要の続きを読む+

利用できるのはドキュメント、スプレッドシート、スライド、Google チャットの Gemini サイドパネルで、対象は Business Standard/Plus、Enterprise Standard/Plus、Consumer の Google AI Pro/Ultra ほか。機能はデフォルトで有効で、管理者は管理コンソールの「アプリ>Google Workspace>Gemini for Workspace>サードパーティコネクタ」からドメイン・組織部門・グループ単位で制御できる。2026年9月18日付の Workspace Updates 週次まとめでは、Workspace Studio のフロー向けに custom starters、custom steps、third-party integrations、webhooks の4つの機能が追加され、独自の Google Apps Script 関数の接続、サードパーティサービスの統合、外部 Webhook の起動が Workspace Studio 内から直接できるようになったと告知されている。あわせて、Google Apps Script のデータリージョン対応が一般提供になったことも記載されている。なお X 上では、Workspace Studio が手動でトリガーできるようになったことに触れ、GAS も使えたら何でもやれそうだ、という反応が出ている。

情報源
HelenTech (2026/09/16) / 出典を読む , Google Workspace Updates (2026/09/18) / 出典を読む , X @Majin_AppSheet (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

効くのは「GASで書いた処理を、フローの部品として呼べるようになった」という一点。これまで帳票自動化はGASのトリガー(時刻・編集)に全部ぶら下げる作りになりがちで、条件分岐や通知を足すたびにスクリプトが太っていた。最初の一歩は、既存のGASスクリプトのうち1関数だけを取り出して Workspace Studio のカスタムステップとして登録し、フロー側から呼んでみること。題材は、日報や点検記録のスプレッドシートから「未記入行を抽出してChatへ通知する」あたりが手頃。管理者権限がいらない範囲なら今日試せて、Workspace の契約内なので追加費用はゼロ。次の段階は Webhook で、客先常駐先の社内ツールや自作のダッシュボードへ、フローの結果を投げる。ここまで来ると「スプレッドシートを開いた人がいないと動かない」制約から抜けられる。注意点は2つ。MCPのサードパーティコネクタはデフォルトで有効と告知されているので、会社のWorkspaceを使っているなら、自分が有効にするかどうかとは別に、現在の組織の設定がどうなっているかを情シスに確認してから業務データを通すこと。もうひとつは、対応しているサードパーティは上記の7サービスで、FA系のツールは含まれていない。FA側と繋ぎたいならWebhookかGAS側で自作する前提で設計する。

TOPIC 04制御設計

会社の制限下で「エージェント体験」を作る — Gemini × GAS × Chrome拡張の Majin Agent v2

X上で「Majin Agent v2」という擬似的なエージェントパネルが紹介された。投稿によれば、これは投稿者の相棒である「やまじん」が作ったもので、「Gemini × GAS × Chrome拡張」で動くという。開発の動機として、会社でAIエージェントツールは使えない、GWSには Gemini Spark もない、という制限が挙げられており、そうした制限下でもどうにかエージェンティックな体験ができないか試行錯誤して開発したとされる。動画でデモした以外のことも、思いつく大概のことはできる一方、失敗もするし課題はたくさんある、と投稿者自身が書いている。それでも、Gemini サイドパネルでも、Gemini in Chrome でも、Gemini Spark でも届かないところに手が届く、と評価している。

概要の続きを読む+

設計の前提として、会社で使える道具しか使わない、APIは使わない、外部と通信しない、という制約が明示されている。投稿者はこうした執念が一番ゾクゾクすると述べている。

情報源
X @Majin_AppSheet (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

製造業の客先常駐や情シス管理が厳しい環境ほど、この「使える道具しか使わない」制約は現実的。最初の一歩は、自分の環境で何が許可されているかの棚卸しを30分でやること。Workspace の Gemini サイドパネルは使えるか、Chrome拡張のインストールは許可されているか、Apps Script は実行できるか、外部APIへの通信はプロキシで止まるか。この4つが分かれば、作れるものの輪郭が決まる。次の段階は、いきなりエージェントを目指さず「毎日やっている定型の3ステップ」を1本のGASにまとめること。例えば、現場から届いた点検記録のシートを開く→未記入と異常値を抽出する→報告書のドキュメントに貼る、という流れ。ここまでは外部通信なしで完結する。さらに進めるなら、Chrome拡張側からそのGASをWeb Appとして叩き、いま開いている社内システムの画面から1クリックで起動できるようにする。コストは、Workspace契約の範囲内で追加費用ゼロ。時間は最初の1本で半日程度を見る。注意点は、この種の自作ツールは作った本人しか直せなくなりがちなこと。投稿でも失敗もするし課題はたくさんあると明言されているので、業務の本番経路に据える前に、動かなかったときの手作業の手順を必ず残しておく。あわせて、会社のルール上Chrome拡張の自作配布が許可されているかは事前に確認する。

TOPIC 05制御設計

外部の出欠表をGoogleカレンダーへ差分同期するGAS、実装の作りが参考になる

伝助(densuke.biz)の出欠表を Google カレンダーへ自動同期する Google Apps Script(GAS)の実装記事が公開された。動作は「取得 → 解析 → 変換 → 同期 → 通知 → 次回の予約」の6段階で、伝助のページから正規表現でHTMLを解析し、日付とタイトルからハッシュを作って予定を特定する。実行頻度は普段は1時間に1回で、予定の開始1時間前から開始後20分までは5分間隔に切り替わる自動調整を備える。設定は4つで、`ENABLED`、`DENSUKE_URL`、`CALENDAR_ID`(自分のカレンダーなら`primary`、共有カレンダーなら固有ID)、`TARGET_MEMBER`(自分の名前、チームモード時は空)。

概要の続きを読む+

伝助側で予定が増えたり、時間が変わったり、消えたりするとカレンダー側も追加・更新・削除され、変更があったときはメールで知らせる。削除対象は今日から1年先までに限定し、過去の予定は履歴として保持する。コードはGASのエディタに貼り付けて、設定を4つ入れて関数を2つ実行すれば動き、サーバーもクレジットカードも要らないとされる。記事は制限として、表の構造が変わったらこのツールは動かなくなると明記している。コードは GitHub の mappy55/Densuke2GoogleCalender リポジトリで公開されている。

情報源
Zenn @mappy55 (2026/09/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

題材は少年団の出欠表だが、使えるのは中身の作り方のほう。「外部にある一覧表を、追加・更新・削除まで含めてGoogleカレンダーへ写す」骨格は、客先の定期点検予定や装置の立ち上げスケジュールをそのまま置き換えられる。最初の一歩は、この記事の「日付とタイトルからハッシュを作って予定を特定する」考え方だけを借りて、自分のスプレッドシートの工事予定表をカレンダーへ流すGASを1本書くこと。ハッシュ照合にしておくと、毎回全消し全作成をせずに差分だけ反映できるので、カレンダーの招待通知が暴発しない。無料枠で今日書ける。次の段階は実行頻度の可変化で、記事と同じく「普段は1時間に1回、直前は5分間隔」にすると、出発前の予定変更を取りこぼさない。さらに進めるなら、削除対象を今日から1年先までに限る扱いを真似て、過去の実績を消さないようにする。点検履歴を後から辿るときに効く。コストはGASの無料枠で足りる範囲。注意点として、記事自身が「表の構造が変わったら動かなくなる」と書いているとおり、HTMLやシートの列構成に依存する同期は壊れる前提で作ること。壊れたときに黙って止まるのが一番まずいので、取得件数が0件だった日は自分にメールを飛ばす、くらいの死活通知を最初から入れておく。

B

フィールド業務

4 TOPICS
TOPIC 06フィールド業務

三菱電機、自社X工場のOTセキュリティ社内導入事例を公開

三菱電機が、同社X工場におけるOTセキュリティ対策の社内導入事例を公開した。工場名はセキュリティのため非公開とされている。記事では、ゼロトラストの考えに基づいたOTセキュリティ対策に取り組んでいると述べられている。事例で解説されているのは3点で、環境に適したOTセキュリティ技術の導入による全方位の対策、OT知見を活用した生産現場の構築、セキュリティにとどまらないメリットの創出、とされる。資料は三菱電機のWEBサイトで公開されており、同社のour-storiesのページからアクセスできる。なお、この記事には具体的な対策技術名、適用規格、期間・台数・費用といった数値データの記載はない。

情報源
オートメーション新聞WEB (2026/08/26) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

客先工場でネットワーク構成の相談を受けたときに、「装置メーカー自身が自社工場でどうしたか」を示せる資料は説得力が違う。最初の一歩は、記事から辿れる三菱電機のour-storiesのページを読んで、自分の担当装置がその分類のどこに当たるかを整理すること。読むだけなら無料で今日できる。次の段階は、自分が納めた装置の単位で棚卸しを作ること。制御盤内のスイッチングハブに何が刺さっているか、保守用PCはどこからどう繋ぐか、USBメモリでプログラムを持ち込む運用が残っていないか、リモート保守回線は常時接続か都度接続か。この4点を1枚の表にするだけで、客先との会話の解像度が上がる。さらに進めるなら、次の案件の見積時点で「保守用ネットワークの分離」を仕様欄に1行入れておく。後付けで盤を開けるより、設計段階で入れたほうが圧倒的に安い。コスト感は、棚卸しと仕様追記なら追加費用ゼロ。産業用ファイアウォールや一方向ゲートウェイの導入まで行くと、盤1面あたり数十万円規模を見ておく。注意点は、この記事自体には具体的な製品名も適用規格も数値も書かれていないこと。提案資料に使うときは「三菱電機が自社事例を公開している」という事実までにとどめ、対策の中身は公開資料を読んだうえで自分の言葉に落とすこと。

TOPIC 07フィールド業務

手書きFAX・ハガキ注文を Gemini で構造化、「推測で埋めない」を仕様にした実装記録

食品・ホスピタリティ系の会社でEC・Webマーケティングと社内システム開発をひとりで兼任する筆者が、手書きのFAX注文書や返信ハガキを人が1件ずつ転記していた作業を、マルチモーダルLLM × OCR による構造化抽出(JSON)へ置き換えた過程を公開した。自作OCRはスキャン時のズレ(傾き・かすれ・レイアウトのばらつき)に歯が立たず、傾き補正や二値化などの前処理を施しても手書きの多様さには追いつかなかったという。Cloud Vision API はクラウドの学習済みモデルとして自作より格段に安定したものの、手書き混じりの帳票では実用に足りる精度には届かなかったとし、Gemini では実用に十分な精度が出たとしている。

概要の続きを読む+

Gemini の強みは、単に画像から文字を拾うのではなく「この帳票のどこに何が書いてあるか」を文脈で理解して構造化してくれる点だと述べる。抽出は `orderer_name`、`orderer_kana`、`zip`、`phone`、`items`(`product_code`、`quantity`)、`delivery_date` などのJSONで、読み取れない項目は推測で埋めない(キーごと省略する)という指示を与えている。Gemini を優先しつつ、失敗・低信頼時は Cloud Vision の生テキスト抽出へフォールバックする多段構成で、UIは左に原本画像、右に入力フォームの2分割。氏名・住所という個人情報を扱うため、OCR部分だけは入力データを学習に使わない有料枠を選び、システム全体はGAS+スプレッドシートで基本は無料枠運用としている。理想は全自動としつつ、氏名・住所の誤読は誤配送に直結するため、いまは人の最終確認だけを残す方向で作り続けているとする。失敗例として、英数字混在の商品番号(例:「MSS-120」)で数字とアルファベットの取り違えが発生したこと、最初は「1枚=1件」で作っていて150枚のイベントハガキで破綻したこと、Shift_JISの帳票や電話・郵便番号の先頭ゼロは文字列として扱わないと消えることが挙げられている。

情報源
Zenn @takutoshuto (2026/09/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

客先の点検記録や日報が手書き紙のまま、という現場は今も多い。この記事の価値は精度自慢ではなく「どこまで自動化して、どこに人を残すか」の線の引き方にある。最初の一歩は、手元にある手書きの点検表を数枚スマホで撮って、Gemini に「この帳票の項目をJSONで抽出して。読み取れない項目は推測で埋めず、キーごと省略して」と指示してみること。この「推測で埋めない」の一文があるかどうかで、後工程の信用度がまるで変わる。無料で今日試せる。次の段階は、誤読しても影響が小さい項目(測定値・チェック欄・日付)だけを自動ドラフトにし、設備番号や作業者名のように取り違えると追跡不能になる項目は人の確認に残す設計にすること。記事が氏名・住所を参考表示にとどめたのと同じ考え方。さらに進めるなら、GAS+スプレッドシートで左に原本画像・右に入力フォームの確認画面を作る。転記作業が「打ち込み」から「目視確認」に変わるだけで所要時間は大きく減る。コストは、GAS+スプレッドシート側は無料枠、OCR部分は記事と同じく入力データを学習に使わない有料枠を選ぶ前提で見積もる。注意点は2つ。客先の点検記録は先方の資産なので、外部サービスへ画像を送ってよいかを必ず事前に確認すること。もうひとつは、記事が挙げている「英数字混在の型番の取り違え」は制御機器の形名(例: 末尾の数字と記号)でそのまま起きるので、形名だけは候補リストからの選択式にするなど、自由入力を避ける作りにしておくこと。

TOPIC 08フィールド業務

188日分の学習ログを分析したら、指標そのものを自分の実装が作っていた

社内エンジニア研修の担当者が、集合研修が回らなくなったため教材をAIで作り、受講者が好きなときに一人で見られる仕組みをGoogle Apps Scriptで自作した経緯と、その後の分析結果を公開した。教材づくりは3〜6か月から3時間程度になり、講師稼働の時間も不要になったため、そこで100点だと思っていたという。しかし半年後、その仕組みが記録していた188日分の学習ログを初めてまとめて分析したところ、一度もログインしていない人は0人だった一方で、視聴ログが1件も無い人が6割弱いた。1人あたりの割当は中央値で14研修/964教材/約105時間、割当のうち進捗率0%のものが96%、完走したものが1%だった。

概要の続きを読む+

さらに原因を調べると、判断に使おうとした指標が2つとも受講者の行動ではなく自分が書いたコードによって作られていたことに気づいたという。1つは、集合研修に出席するとシステムが自動で「視聴ログ」を生成する仕様で、出席確定時にその研修の全教材について完了記録が参加者全員に自動作成されていた。結果として「視聴ログがある人」に、教材を1本も開かない出席者が含まれていた。もう1つは学習時間の計測で、`setInterval`で1秒ごとに加算するコード構造のため、ページを開いたまま放置していた時間も計測値に含まれ、最大6.8時間の異常値も発生していた。修正として、ページ非表示時(`document.hidden`)の計測除外、マウス操作やキー入力からの最終活動時刻の追跡、30分以上の無操作での計測自動停止、音声再生中は停止条件から除外、記録のきっかけを示す列の追加が挙げられている。筆者は「データは自動で溜まる。しかし、問いは自動では生まれない」とし、生成物を信用しないという検品の前提が指標側には適用されていなかった点を反省している。

情報源
Zenn @sohei_t (2026/09/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

これは研修の話に見えて、稼働率・段取り時間・不具合件数といった現場KPIの落とし穴とまったく同じ構造の話。最初の一歩は、自分が客先へ出している数字を1つ選び、「この値は誰のどの操作で1増えるのか」を紙に書き出すこと。例えば設備稼働率なら、稼働信号がONになる条件はPLCのどの接点か、段取り中や待機中も稼働に含まれていないか。10分で書けて費用はゼロ。ここで「人の行動ではなくプログラムの仕様で値が決まっている」項目が見つかったら、それがこの記事と同じ罠。次の段階は、記録のきっかけを値と一緒に残すこと。記事が`individual_view`/`group_attendance`のような列を足したのと同じで、稼働ログなら「自動判定」か「作業者が手入力」かの区別を1列足すだけで、後から分析できる質が変わる。既存のデータロガーやスプレッドシートで対応できる。さらに進めるなら、`setInterval`型の時間計測と同じ問題を自分の設備データで探す。タイマで積算している稼働時間が、設備が止まっている間も回っていないか。GOTやPLCの積算タイマの条件式を1本ずつ確認する作業で、半日あれば1装置分は見られる。コストはいずれも既存環境内でゼロ。注意点は、指標の作り方を直すと過去の数字と繋がらなくなること。客先へ報告している数字なら、直す前に「いつから定義を変えたか」を先に共有しておかないと、改善したのに悪化したように見える事故が起きる。

TOPIC 09フィールド業務

設備トラブルは「4Mの変化点」から確認範囲を広げる

「新人の頃に知りたかった、設備とPLCの考え方」シリーズとして、設備に不具合が現れたときの確認範囲の広げ方を整理した記事が公開された。設備に不具合が現れると、その設備の中に原因があると考えたくなる、という出発点から、4M=Man(人)、Machine(設備)、Material(材料)、Method(方法)の四つの観点を挙げ、以前と比べて変わった条件を「変化点」と呼ぶとする。各項目は、人は作業体制や情報の伝わり方、設備は機械や道具の状態、材料は使用材料や部品の条件、方法は作業の進め方や手順、と定義されている。確認範囲を広げる手順は4つで、観察と推測を分離して不具合の状態と原因予測を区別すること、4Mごとに整理して確認できたことと未確認を明確化すること、関係者と分担して前後工程の担当者から情報を集めること、事実・仮説・未確認を分類して次の確認を根拠付きで決めること。

概要の続きを読む+

重要な考え方として、条件が変わったことと、その変化が不具合に関係したことは別である、と述べ、変化を見つけても結論にせず追加確認が必要か検討するとしている。

情報源
note @ladamichi (2026/09/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

客先に呼ばれて装置の前に立った最初の15分で使える型。最初の一歩は、現地でPCを開く前に「前回正常に動いていたのはいつか」「そこから何が変わったか」を4Mの4行でメモすること。紙とペンだけ、費用ゼロ。制御屋はどうしてもMachine(設備)とMethod(プログラム)に寄るので、Man(担当者が替わった、引き継ぎで手順が伝わっていない)とMaterial(ワークのロットが替わった、材質が変わった)を意識して聞くと、盤を開けずに当たりが付くことが増える。次の段階は、この4行をトラブル報告書のフォーマットに正式な欄として入れること。報告書を書く時点で聞き忘れに気づけるので、二度手間の再訪が減る。さらに進めるなら、記事が言う「観察と推測を分離する」を報告書上でも分け、「確認した事実」「まだ確認していないこと」「仮説」の3欄にする。客先と次の確認手順を合意するときに、この分離があると話が早い。コストは全て無料で、導入は今日から可能。注意点は、記事自身が強調しているとおり、変化点を見つけたことを原因の断定にしないこと。「担当者が替わった直後だから人的ミス」と決めつけて調査を止めるのが一番危ない使い方で、変化点はあくまで次に確認する場所を決める材料として扱う。

C

AIニュース

3 TOPICS
TOPIC 10AIニュース

AIコーディングエージェントのプラグイン機構にゼロクリックRCE「Plugin4Shell」

AIコーディングエージェントのプラグイン機構に、ゼロクリックのリモートコード実行(RCE)脆弱性「Plugin4Shell」が見つかったと報じられた。影響を受けるとされるのは Claude Code、Codex、GitHub Copilot、Gemini CLI の4つ。脆弱性の正体は「plugin SHA-pinning bypass」で、レビュー済みのバージョンにプラグインを固定するためのSHAピン留め機構を破るもの。研究者は「4つのエージェントのいずれも、ピン留めされたコミットをチェックアウトするが、チェックアウトがそこに着地したことを検証していない」と説明しており、ピンが保たれているように見えたまま攻撃者が悪意あるコードへ差し替えられるとされる。

概要の続きを読む+

この手法は、コミットハッシュの形式に一致するブランチ名を作成できる環境で成立する。Gitは既定でこれを許可しており、GitHubは40文字の16進数ブランチ名をブロックする一方、Bitbucketやセルフホストのサーバーでは許可されるとされる。修正状況は、Claude Code がバージョン 2.1.179 で修正、Codex がバージョン 0.146.0 で修正、GitHub Copilot はパッチなし、Gemini CLI は修正されず非推奨となり、利用者には Antigravity エージェントへの移行が案内されているとされる。発見はAIRの研究者により2026年5月、ベンダーへの通知は2026年6月、公表は2026年9月18日。攻撃手口は2通りで、良性のプラグインを公開して後から悪意あるものに変える方法と、既存リポジトリを乗っ取る方法(AIRが別途文書化したSkillJacking手法)が挙げられている。記事は、この欠陥がAIエージェントのエコシステムにおける最初のサプライチェーン脆弱性だとし、攻撃者にエージェントを実行している従業員と同等の範囲で企業のシステムとデータへ到達させうるとしている。

情報源
Help Net Security (2026/09/18) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

自分が使っているCLIの版を今日確認する、が最優先の一歩。ターミナルで `claude --version` を打って 2.1.179 以上か、Codex を使っているなら 0.146.0 以上かを確かめる。下回っていれば更新する。所要5分、費用ゼロ。次の段階はプラグインの棚卸しで、普段どのプラグイン/スキルを入れているか、その配布元リポジトリの持ち主は誰かを一覧にする。記事が挙げる攻撃手口は「最初は良性で後から悪意あるものに変わる」「リポジトリを乗っ取る」なので、入れた時点で安全だったことは何の保証にもならない。個人が公開しているプラグインほど、乗っ取られたときに気づく人がいない。さらに進めるなら、業務PCでエージェントを使う運用そのものを見直す。この脆弱性の怖さは「エージェントを実行している従業員と同等の範囲でシステムとデータへ到達しうる」点なので、客先の図面や仕様書が入ったフォルダと、エージェントを動かす作業ディレクトリを物理的に分ける。コストはゼロ、面倒なだけ。注意点として、記事が明示しているのはこの4エージェントの状況で、修正版数も Claude Code の 2.1.179、Codex の 0.146.0 という個別の値。他のツールや別バージョンに一律で当てはめず、自分が使っているものについて公式の告知を確認すること。また、社用PCのCLIを勝手に更新してよいかは会社のルール次第なので、管理部門の手順に従う。

TOPIC 11AIニュース

APIキーを貼らずに遠隔マシンへ渡す — llm-keys-ui 0.1

LLM CLI 向けのプラグイン「llm-keys-ui 0.1」がリリースされた。作者の説明によれば、これは非常に限定された問題を解くためのもので、Codex Remote を使ってさまざまなマシン上でコーディングエージェントを動かし、それを手元のスマートフォンから操作するようになった結果、ときどきそれらのマシンでLLMのプロジェクトをいじることがあり、その際にAPIキーを設定する必要が出てくる、という状況が背景にある。作者はエージェントのセッションにAPIキーを貼り付けたくないため、ChatGPTアプリへ直接貼り付けることなくキーをマシンへ届ける方法が欲しかったとしている。

概要の続きを読む+

このプラグインを使うと、Codex に `uvx --with llm-keys-ui llm keys-ui --all` を実行させ、そのURLを伝えさせることで、追加のAPIキーを保存するためのインターフェースにアクセスできる。URLにはローカルネットワークやTailscaleのデバイスIPを含むものが示される。以後は、キーを使う必要があるときにシェルコマンドの一部として `llm keys get anthropic` のようなコマンドを使える。プラグインの説明は「LLM web UI for setting keys」とされている。

情報源
Simon Willison (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

このツール自体を使うかどうかより、「APIキーをチャット欄に貼らない」という運用原則のほうが持ち帰る価値がある。制御屋がAIツールを触るとき、客先のVPN内PCやテスト用のノートPCへ後からキーを入れる場面は必ず出てくるし、そこでエージェントの会話欄にキーを貼るのが一番危ない。会話ログはどこへ保存されるか分からないうえ、後からの削除が効かない。最初の一歩は、自分の手元でキーがどこに置かれているかを確認すること。環境変数か、設定ファイルか、シェルの履歴に残っていないか。`history` を見て平文のキーが残っていたら消す。今日5分でできて費用ゼロ。次の段階は、キーの受け渡し経路を1つに決めること。社内なら情シスの認可されたシークレット管理、個人検証なら記事のようにブラウザ経由で入力して既存の値は表示しない仕組み、というふうに使い分ける。さらに進めるなら、キーを配る前に権限を絞る。読み取りだけで足りる用途に書き込み権限つきのキーを配らない、使う期間が決まっているなら期限つきで発行する。コストはゼロ、手間は初回の30分程度。注意点として、記事で示されているのは作者自身の使い方であり、`uvx --with llm-keys-ui llm keys-ui --all` を業務PCで動かすなら、ローカルにWebインターフェースを立てる行為が会社のポリシーに抵触しないかを先に確認すること。Tailscaleのような外部到達経路を挟む場合はなおさら、客先常駐環境では事前承認が要る。

TOPIC 12AIニュース

AIサブスクを Google AI Pro へ一本化、月額と付帯サービスの整理

個人開発や文章執筆で Claude Code、OpenAI Codex などさまざまなAIサービスを試し、自腹で月額200ドルのプランを契約していた時期もあった筆者が、AIサブスクを Google AI Pro(5TB)へ一本化した経緯を公開した。料金は、6か月間のプロモーション期間中は月額1,450円、以降は月額2,900円とされる。Google AI Pro に含まれるものとして、Gmail・フォト・ドライブで共有する5TBのクラウドストレージ、動画広告非表示の YouTube Premium Lite(通常月額780円)、パーソナライズコーチングや睡眠支援の Google Health Premium(通常月額1,580円)、最新モデルを利用できる Gemini Advanced および Spark、1年間有効で月額10ドル相当のAI/Cloudクレジットが付く Google Developer Program プレミアムが挙げられている。

概要の続きを読む+

削減効果として、YouTube Premium Lite 代の月額780円が浮くこと、月10ドルのGoogle Cloudクレジットにより個人開発のエコシステム全体が実質0円で回り続けると評価している。使い勝手については、Gemini 3.8 Flash の日本語表現を自然と評価し、個人開発・日常用途で申し分のない仕上がりだと判断している。

情報源
はてブ ClaudeCode(10+) / 太陽がまぶしかったから (2026/09/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

AIツールの費用が個人負担で積み上がっている人ほど、年1回の棚卸しに使える記事。最初の一歩は、自分が今払っているAI関連のサブスクを全部書き出して、月額合計を出すこと。5分で終わり、たいてい想像より多い。そのうえで「仕事で必須のもの」「検証用に触っているだけのもの」を分ける。次の段階は、業務内容との対応づけ。制御設計でラダーやSTのレビュー、仕様書の下書き、帳票のGAS生成に使うなら、コード生成の質が直接効くのでそこには金を払う価値がある。一方、文章の下書きや翻訳、調べものだけなら、記事が言うように Workspace 側に寄せて統合してしまうほうが安い。特に、この記事の筆者が挙げている構成は、すでに Google Workspace を業務で使っているなら Gemini 側の機能と重なる部分が多い。さらに進めるなら、会社の経費で落とせるものと個人負担を分けて、会社に申請する分の根拠資料を作る。「この作業に月X時間使っていたのがY時間になった」という自分の実測を1か月とっておくと通りやすい。コスト感は記事のとおりプロモーション中で月額1,450円、以降は月額2,900円。注意点は、これは筆者個人の用途での判断であり、業務データを扱うかどうかで前提が変わること。客先の図面や仕様書を入れるなら、個人向けプランではなく会社契約のプランで、データの取り扱い条件を確認したうえで使うこと。付帯サービスの価格や内容も記事執筆時点のものなので、契約前に公式の表示を確認する。

← 過去の記事一覧に戻る