2026/10/17 5:33

私が秘密鍵のスキャンを行うインテグレーションに許可を与えたことはありません。

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

2026年10月1日、Home Assistantコミュニティ内で争点となった事件は、セキュリティ研究者の Viss（Phobos Group 所属）が、Supervisor がユーザーの明示的な同意なしにローカルのシークレットを Have I Been Pwned (HIBP) API と自動で照合する機能を報告したことに起因しました。同機能は数年前からパスワードマネージャー様の挙動の一部として存在しており、SHA-1 前缀のローカルハッシュ化により技術的に安全である点がありますが、Viss はオプトイン機構がないことが悪用された際に「認証情報の略奪」を招くリスクになると主張しました。この議論はプロジェクトのフォークが脅されているといった発言もあり、コントリビューターの frenck が当初はこの問題を「解決しない」とマークしてしまいました。2026年10月に議論がロックされるまでに至るまでの熱い議論の後、コントリビューターたちはドキュメントの明確化への焦点を移し、ユーザーはコマンド

ha security options --pwned=false

を使用してチェックを明示的に無効化できることを認めました。この事件は、予防的なセキュリティ対策とユーザーのプライバシー好みの間の増大する緊張関係を示しており、開発者が機密データの取り扱いですなわちその扱いについて透明性を重視する方向に導いています。

Summary:

Home Assistantコミュニティ内で、Supervisor がユーザーの明示的な同意なしにローカルのシークレットを Have I Been Pwned (HIBP) API と自動で照合すべきかどうかという重大な争点が発生しました。この機能は元々認証情報の確認を通じてセキュリティを強化することを目的としていましたが、プライバシー擁護者は、無断でのスキャンがユーザーの信頼を侵害し、悪用されれば認証情報の略奪を可能にする可能性があると主張しています。送信前にデータをローカルでハッシュ化などの技術的 safeguards が存在するにもかかわらず、明確なオプトイン機構がないことが激しい議論を引き起こし、一部のユーザーはプロジェクトのフォークを脅す事態に至りました。しかし、最近の動向では機能を完全に無効化するのではなく、ドキュメントの明瞭化への解決へと焦点が移行したことを示しています。コントリビューターたちは、チェックを除去することはできないものの、

ha security options --pwned=false

のような特定のコマンドを使用してユーザーが明示的にそれを無効化できることを認めています。この事件は、予防的なセキュリティ対策とユーザープライバシー好みに厳格に従うことの間の家庭用自動化業界における増大する緊張関係を示しており、開発者が機密データの扱いについて透明性を優先する方向へ突き進んでいます。

本文

Home Assistant: パスワード漏洩チェック機能に関する議論と対応

問題の概要

カテゴリ: コンテンツの書式に関する問題、壊れたリンクまたは画像、機能しないウィジェット
バージョン: 2026.10.1
URL: https://www.home-assistant.io/more-info/pwned-passwords/
ユーザーの懸念:
- 認証やハッシュ化の有無に関わらず、機密情報をスキャンして転送する行為が行われていると認識。
- これを深刻なプライバシー侵害と考えている。
- 悪意のあるアクターが GitHub リポジトリへのアクセス権を利用し、このメカニズムを悪用される可能性が高いと懸念。
- この機能をオフにする方法を知りたい。

推奨される解決策（公式ドキュメント案）

オプトイン方式への移行: ユーザーの同意を得た上でのみ機能を有効化するべきです。
透明性の確保: 存在を知らされていないシステムによる機密情報のスキャンは避ける必要があります。

コミュニティでの議論と技術的詳細

1. 検証機能の仕組みとオプトアウト方法

既にオプトアウト可能である：

ha security options --pwned=false

機能の背景:
- この機能は新規導入ではなく、数年来スーパーバイザー（Supervisor）の一部として存在。
- アプリ設定内の「パスワード」項目をチェックするもの。
- 最近のリリースで警告メッセージが表示されるのを防ぐ修正が実施されたことが報告動機。
プライバシー設計:
- 当初から機密情報はローカル内で処理され、外部へ流出しないよう設計。
- スーパーバイザーではローカルでハッシュ化し、HIBP には SHA-1 ハッシュのうち最初 5 文字のみを送信。
- HIBP から該当接頭辞を持つハッシュのリストを受け取り、マッチングはユーザー側（インスタンス）で行う。
- 詳細コード: Supervisor パスワード検証実装

2. 公式からの釈明 (frenck)

他のアプリケーションとの比較:
- 1Password など、類似の処理を行うアプリは多数存在。
- ユーザーのパスワードは外部に送信されず、公開されない。
- 参照元: Cloudflare: K-匿名性を用いた漏洩パスワードの検証
設計思想:
- データプライバシーを最優先にK-匿名性アプローチを採用。
- 参照元: Wikipedia: K-anonymity
教訓として:
- 自分の機密情報がデータベースにリストされていることに気づくことで、脆弱性の有無を認識できる機会とする。

3. コミュニティメンバーの反論 (Viss)

HIBP の専門家としての指摘:
- Phobos Group 運営、セキュリティプレゼンテーション実施経験あり。
- Troy氏との交流や、2011 年 Twitter レッドチームメンバー時代の経験も持つ。
- 1Password の導入支援も手がけた過去がある。
核心となる不満:
- 同意（オプトイン）を得ずに HA インストールをスキャンし情報を転送したことへの納得感不足。
- 「勝手に実行される」ものではなく、オプトイン機能であるべき。
- レッドチーム視点からの悪用方法：地球上すべての HA インストールから資格情報を抜き出す具体策を無数に提示可能。

4. 議論の決着と再エスカレーション

Viss の追加コメント:
- 「許可なくシステムから情報を持ち出し、第三者に送信している」という事実に対し、納得するまで開くことはない。
frenck の対応:
- 脅迫的な言動や威圧は受け付けず、協議の場ではないと断じる。
- ドキュメントの改善だけでは懸念を解決できず、「修正不可能」としてissue を閉じる。
- アンインストールやフォークもオープンソースとしての自由として許容する姿勢を示す。
他のユーザーの反応:
- 0x00string: 長年利用しているユーザーとして、合理的な対応を求める。一方的な説明に不満を持ち、アンインストール・フォークを検討すると表明。
- troed: 「プライバシー侵害ではない」という公式主張への同意を示す（文脈上、批判的な意図で「そうです、そうなのです」と反発を示唆）。

結論

Home Assistant のパスワード漏洩チェック機能はK-匿名性に基づく設計であり、完全にローカルで処理されている。
ただし、ユーザーからはオプトインのない自動実行がプライバシー侵害として認識されており、コミュニティ内でも議論が続いている状況である。
開発側はドキュメントの改善を検討しつつも、既存の機能変更は困難として issue を閉じる方向に収束している。

同じ日のほかのニュース

一覧に戻る →

2026/10/17 4:47

FLUX 3 イメージ・クライン

## Japanese Translation: Black Forest Labs は、テキストから画像への変換、ピクセルレベルの編集、および複数参照（最大 10 件）を用いた生成を実現するために設計された、56 億パラメータを有する画期的なオープンウェイトモデル「FLUX 3 Image Klein」を公開しました。内部評価においてオープンモデルで首位にランク付けされ、Ideogram V4.5 や FLUX.2 よりも少ない 38% パラメータ数ながら、消費ハードウェア上で優れた効率性を発揮し、より大規模なモデルを上回る性能を発揮しています。本モデルは、微調整用のベースモデル（〜11.2 GB VRAM[BF16]または 5.6 GB[FP8]を必要とします）と、低遅延生成に最適化されたステップ蒸留版の 2 つのパッケージを提供します。NVIDIA との提携を活用し、ComfyUI または Diffusers を通じて RTX シリーズの GeForce GPU（VRAM 8GB 以上でも動作可能）上で FP8、INT8、NVFP4 のビルドを実行できるように対応しています。生成速度は印象的で、RTX 5090 では約 4 秒で 1MP の画像を、RTX 4070 では 9 秒未満で生成でき、将来のハードウェアではサブ秒単位の生成が可能になる可能性があります。FLUX Kommunity License の元、年間の収益が 500 万ドル未満の企業には商用利用が無料で許可され、ただし出典表示は必要です。今後の計画として、プロンプトアップサンプリングなど高度なタスク向けの有料 API を提供する予定です。主要ライブラリからの Day-One サポートと、Cinder によるセーフティレッドチームingiの実施により、このリリースは個人クリエイターおよび中小企業にとって高品位の視覚制作ツールの民主化を推進します。

2026/10/17 3:55

Claude が ECDSA 曲線の由来を明らかにする

## Japanese 翻訳： 2026 年 10 月、Anthropic の研究者 John Wood、Henry de Valence、Ava Howell および他が、NIST の素数曲線（FIPS 186-2）に対して長年にわたり専門家を困惑させてきた ECDSA 曲線のシードの起源について調査しました。これらのシードは、NSA が 2000 年に提供したパラメータです。ユーモアに満ちた理論では、Jerry Solinas が「Bob と Jerry に昇給を」といったパスフレーズからこれらを生み出したと提案されていましたが、Claude の高度な手法（LLL ベースの基底削減を含む）による分析により、シードはランダムなハッシュではなく、素数曲線については 1997 年 5 月と 1998 年 4 月の間の Unix タイムスタンプで種付けされた C ライブラリの `lrand48` 関数の出力であり、バイナリ曲線については 1984 年 2 月かその半分としたタイムスタンプ（1998 年 4 月 17 日に対応）からの出力であることが明らかになりました。この手法は各候補あたり 20 バイトをサンプリングし（例：P-256 の場合は 1,842 回反復が必要）、さらに、6 つの曲線の基点 G は FreeLIP の RNG を特定のある整数シード（例：P-192 では 20,000）で使いながら生成されていることが判明しました。ただし、P-224、P-256、P-384、P-521 および一部のバイナリ曲線候補の基点についてはまだ説明されておらず、特に第 5 のバイナリのシード（B-163）は未解決のままです。これらのシードを見出すため、インターネットセキュリティ研究グループへの寄付を含む賞金として 36,864 ドルが設定されており、Jerry Solinas に追悼の称賛を与えるとともに、基礎的な暗号規格への透明性を向上させることを目的としています。

2026/10/17 3:32

ブレイクされたPS5で動作する Llama.cpp：コンソール上で GGUF モデルを任意にネイティブ実行可能

## Japanese Translation: PlayStation 5 は、クラウドサービスや追加のハードウェアを必要とせず、コンソール上で高度なプライベート AI モデルをローカルに動作させるようになり、特にファームウェア 7.00–13.60 を搭載したジャイブされた PS5 コンソールを対象としています。llama.cpp の改変版（Vulkan バックエンドおよび共有メモリを採用）を利用することで、RDNA 2 GPU 上で直接多様な人工知能アプリケーションを動作させるためにメモリおよびキャッシュの使用方法が最適化されています。このセットアップは etaHEN という特定のインストールペイロードを必要とし、既存のジャイブツールである kstuff-lite および ShadowMountPlus（推奨ツールには elfldr と ftpsrv が含まれる）と統合されます。アプリケーションインターフェースはデュアルショックコントローラーによる操作でアクセス可能であり、Home、Models、Console、API、Settings のセクションを含んでいます。ユーザーはすぐに画像分析や Gemma 4 および MiniCPM-V などの中級モデルに対するチャットコンプリートなどの強力な機能をアクセスできます。リアルタイムのパフォーマンス監視は `ps5-exporter` が担当しており、温度、消費電力、GPU、CPU ロードなどのメトリクスを表示します。アプリはロードされた GGUF モデルに対して利用可能なメモリの中で最长的なコンテキストと最適なキャッシュ適合を自動的に選択し、Hugging Face から内部ストレージ（M.2）または USB ドライブへのダウンロードによって管理できます。特に注目すべきは、小さなモデルが PS5 Slim ハードウェア上で最大 207 トークン/秒の驚異的な速度を実現しており、モデルサイズと量化に基づいて ~20～207 トークン/秒のパフォーマンス範囲があることです。今後の更新では、USB ドライブまたは内部ストレージからロードされる新しいファイルに対する自動管理メモリ割り当てが含まれる可能性が高いです。この進歩により、愛好家は専用の API エンドポイント（`/v1/systemone`）および標準チャット API を通じて Ollaya 駆動の Jev 様（Clef、OpenJev など）といった高度な意思決定モデルと直接相互作用できるようになり、ゲームコンソールのローカル AI パフォーマンスにおける大きな飛躍を達成しながらも、完全なプライバシーを保ち外部データ依存性を排除します。インストールには `PPSA99575` フォルダを `/data/homebrew` にコピーし、`http://<console>:8081` でサーバーにアクセスする必要があります。