2026年7月のIT業界：モデル続々投入、インフラに巨額投資、記録的なPatch Tuesday

2026年7月テクノロジーニュース総集編 — 7月29日更新

1. モデルラッシュ：4週間で7回の発表

7月は、AnthropicがClaude Fable 5を7月1日に再稼働させたことから幕を開けました。6月12日に発令された米国政府の輸出規制が解除されたためです。この規制により、同社のMythosクラスのモデルは約3週間オフラインとなっていました。

7月8日と9日には、4つのモデルが相次いで発表されました。

GPT-5.6は異例のプロセスを経ました。米国商務省が顧客ごとに審査を行い、プレビュー版は約20の組織に限定された後、拡大されました。ベンチマークでは、GPT-5.6 SolがLiveBench Mathematics（96.2）、LiveBench Reasoning（91.7）、ARC-AGI-2（93%）でトップを記録しています。

Kimi K3：オープンウェイトで初の3Tクラスに到達

7月16日、Moonshot AI（北京）はKimi K3をウェブアプリとAPIで公開。ウェイトは7月26日に無料公開され、約束の期日より1日早く、Together AIとModalが初日からホスティングを提供しました。

規模は2.8兆パラメータで、オープンウェイトモデルとしては初の3Tクラスです。アーキテクチャはKimi Delta AttentionとAttention Residuals、そしてStable LatentMoEフレームワークに基づき、トークンごとに896のエキスパートのうち16のみを活性化（プールの約1.8%）、Kimi K2と比較して約2.5倍のスケーリング効率を実現しています。コンテキストは100万トークン、ネイティブビジョン対応です。

最も注目すべき結果は、公開から数時間でK3がランキング18位からFrontend Code Arenaで1位（1679ポイント）に躍進し、Claude Fable 5を上回ったことです。Moonshotは、総合評価ではK3はFable 5やGPT-5.6 Solに劣るものの、BrowseComp 91.2、Terminal Bench 2.1 88.3、GPQA-Diamond 93.5を達成したと発表しています。

API価格は実用的な強みです。キャッシュヒット時は入力100万トークンあたり$0.30、キャッシュミス時は$3、出力は$15です。Moonshotはプレフィルとデコードを分離するMooncakeインフラを採用し、コーディングワークロードで90%のキャッシュヒット率を報告しており、この低価格を支えています。

ただし、二つの点には注意が必要です。公開時点では第三者による独立したベンチマーク結果がなく、同社が公表した数値（「史上最大のオープンウェイトモデル」という主張も含む）は未確認の主張です。また、2.8Tという規模がそのまま品質を意味するわけではありません。MoEでは、推論コストは総パラメータ数ではなく活性化パラメータ数に依存します。セルフホスティングについても、MXFP4量子化を行ったとしても、K3には非常に多くのGPUとコストが必要です。ここでのウェイト公開は、個人のマシンではなく、クラスターを持つチームにとって意味のあるものです。

7月は、Claude Opus 5が7月24日に発表され、幕を閉じました。Mythos 5、Fable 5、Sonnet 5に続き、Anthropicが2ヶ月足らずでリリースした4つ目のモデルです。Artificial Analysis v4.1のボードでは、Opus 5はIntelligence Index（61）とAgentic Index（55.3）の両方でトップとなり、Fable 5（60/52.8）やGPT-5.6 Sol（59/54.0）を上回りました。API価格は100万トークンあたり$5/$25で、Fable 5の半額です。

業界関係者の共通認識： 焦点は「最高のモデルが勝つ」から「最適なモデルが勝つ」へと移行しています。価格、レイテンシ、アクセスのしやすさ、タスクへの適合性が、今や純粋なベンチマークスコアと同等に重要になっています。

---

2. インフラ：真の資金の流れ先

今月一貫して見られたテーマは、競争の場がモデルから、グローバル規模でモデルを運用するために必要なチップ、データセンター、電力、メモリ、セキュリティシステムへと移っていることです。

注目すべき数字：

• Nvidia は、オハイオ州にあるOpenAIのデータセンターに関連して、約2500億ドルの財務保証を検討しているとされ、同時にIlya Sutskever氏のSafe Superintelligenceにも投資を行っています。
• Alphabet は、インフラ支出により四半期のフリーキャッシュフローがマイナスになったと報告。Googleのデータセンターの電力消費量は過去最高の37%増を記録しました。
• Intel は、AIサーバー需要の回復を受け、2026年の設備投資計画を180億ドルから200億ドルに引き上げました。
• CXMT（中国最大のDRAMメーカー）は、上海証券取引所への上場に伴い、約86億ドルを調達。これは2026年のアジア最大のIPOです。同社は現在、Samsung、SK Hynix、Micronに次ぐ世界第4位のDRAMメーカーです。
• Tesla は、予想を下回る利益を報告。経営陣は、2026年は長期的なAIインフラへの「巨大な設備投資の年」であると強調しました。 エンドユーザーへの影響: AI向けメモリチップの需要がRAM価格を押し上げており、今年発売されるスマートフォンやPCの価格に直接的な影響を及ぼしています。PCのアップグレード、特にローカルLLM実行向けの大容量RAM構成を検討されている方は、この点を考慮する必要があります。

---

3. セキュリティ: 過去最大のPatch Tuesday

マイクロソフトが7月に公開したセキュリティ更新プログラムは、その件数で記録を更新しました。情報源によって集計範囲は異なりますが、Rapid7とCrowdStrikeは622件の脆弱性、BleepingComputerは（公開日以前に修正済みのものを除き）570件と報告しています。このうち、Windows関連は413～416件です。技術的な分類では、特権昇格が255件（41%）、リモートコード実行（RCE）が166件（27%）、情報漏洩が109件（18%）となっています。

注目すべきはプロセスの変更点です。マイクロソフトのセキュリティ更新プログラムガイド（Security Update Guide）では、個々のCVEの詳細なリストはもはや掲載されず、製品ラインごとの集計表と、より簡潔な「注目すべきCVE（Notable CVEs）」セクションに置き換えられました。

優先的に対処すべき3つの脆弱性

CVE-2026-56155 — AD FSの特権昇格（CVSS 7.8） 不十分な権限分割の脆弱性（CWE-1220）であり、低権限のローカル攻撃者がユーザーの操作なしに管理者権限へ昇格することを許します。実際に悪用が確認されており、CISAの悪用既知脆弱性カタログ（KEV）にも掲載されています。AD FSは攻撃者にとって中継点として好都合なアイデンティティ基盤であり、ランサムウェア攻撃ではRCE脆弱性と組み合わせて利用されることがよくあります。早期のテストと展開が推奨されます。

CVE-2026-57092 — Windows VMスイッチ（CVSS 9.9） 今月の最高CVSSスコアです。Use-after-freeの脆弱性により、低権限の攻撃者がホスト上の全権限へ昇格することを許します。

CVE-2026-55040 — SharePointの認証バイパス Rapid7によって発見され、マイクロソフトと協調して公開されました。これは、SharePoint Server上で認証なしでのRCEに至る2つの脆弱性からなる連鎖の最初のものです。サブスクリプションエディション、2019、2016向けの修正プログラムは提供済みです。連鎖における2つ目の脆弱性は現在も非公開（embargo）状態であり、2026年8月のPatch Tuesdayでの修正が予定されています。

さらに、CVE-2026-56164（SharePoint、CVSS 5.3）も実際に悪用されています。これは、ユーザーの操作なしにネットワーク経由での攻撃を可能にする認証欠落の脆弱性であり、Moderate（警告）レベルの脆弱性であっても攻撃者にとって価値があることを示しています。マイクロソフトは暫定対策として、AMSIの有効化とRequest Body ScanモードのFull設定を推奨しています。

データ漏洩と攻撃

• KDDI（日本）は、100万人以上の顧客に影響するデータ漏洩を確認しました。
• Lidlは、サプライチェーン侵害を公表し、ドイツ、ベルギー、オーストリアのオンラインストア顧客に影響が出ています。
• AssuranceAmericaは、約699万人に影響する情報漏洩を確認しました。
• 米国土安全保障省（DHS） は、7月1日に国土安全保障情報ネットワーク（Homeland Security Information Network）への侵入があったことを確認しました。これは、2回の個別警告を誤検知（false positive）として無視した後の出来事です。マーク・ワーナー上院議員は司法省に調査を要請し、このプラットフォームが米国で開催されるFIFAワールドカップのセキュリティ運用に使用されている点を指摘しました。
• RabbitMQは、最も普及しているオープンソースメッセージブローカーの一つですが、認証されていない攻撃者がOAuth情報を窃取できる深刻な脆弱性が明らかになりました。
• 米国財務省は、VPNプロバイダーを初めてOFAC（外国資産管理室）の制裁対象リストに追加しました。これは、ランサムウェアへの加担を理由とするもので、2026年5月の法執行活動「オペレーション・サフラン（Operation Saffron）」に続く措置であり、27カ国にわたる33台のサーバーを押収しました。

---

4. 管理と法規制

• EU、デジタル市場法（DMA）違反でグーグルに10億ドルの制裁金
• 超党派の「キルスイッチ法案」 が米国議会で検討されています。これは、危機的状況においてワシントンが高度なAIシステムを停止する権限を持つべきかどうかを問うものです。
• 規制の厳しい業界における中国製モデルの利用制限が提案されています。一方で、中国製のオープンウェイトモデルは多くの米国人開発者に利用されており、広範な禁止令は独立系開発者から低コストの選択肢を奪うだけでなく、米国企業にクローズドな開発戦略の見直しを迫る圧力にもなり得ます。7月26日にKimi K3がウェイトを公開したことで、この議論は一気に高まりました。翌日、AnthropicのCEOであるダリオ・アモデイ氏は、同社が「オープンウェイトモデルの禁止を主張したことは一度もない」と公言し、危険性のないオープンモデルを「公共の利益」と評価する一方で、チップ輸出管理、蒸留（distillation）行為への対処、安全性評価の義務化を支持する立場は変えていません。
• 中国は、米国が中国のAI企業に対し、自社モデルの訓練に米国製モデルを不正使用したとして制裁を科す場合、「必要なあらゆる措置」を取ると警告しています。
• 国際連合（UN）と国際電気通信連合（ITU） は、「AI for Goodグローバル委員会（AI for Good Global Commission）」を設立し、7月8日にジュネーブで初会合を開きました。これは、AI規制の枠組みが地域ごとに分断されすぎる前に、共通の議論の場を設けることを目的としています。
• 日本は、ロボティクスを中心とした sovereign AI（国産AI）プログラムを推進しており、併せてシリコン量子プロジェクトを実験室から生産段階へ移行させています。
• 米国政府は、AI企業と新モデル公開に関する自主的な基準について協議しているとされています。これには、ベンチマーク、公開のタイミング、高度なモデルへのアクセス権限に関するルールが含まれます。

5. コーディングエージェント：「狭い範囲」に特化するトレンド

7月16日、複数のベンダーが同時にコーディングエージェントをアップグレードしました。技術的には、リポジトリ全体を対象とするコンテキストウィンドウや、複数ステップにわたるツール呼び出しが標準となりつつあります。エージェントフレームワークは、システムプロンプト、環境ツール、メモリレイヤーといった共通の抽象化へと収束しており、コストとレイテンシーは2024～2025年と比較して顕著に低下しています。

しかし、実際の教訓は数字以上に価値があります。7月16日以降のケーススタディが示しているのは、エージェントは、テスト作成、マイグレーション、コードレビューといった特定のタスクごとに範囲を限定した場合に最も効果を発揮し、万能な「dev in a box」として使うべきではないということです。ジュニアエンジニアは反復作業に対してセーフティネットを得られますが、エージェントの出力に過度に依存しないよう指導が必要です。

このトレンドに伴い、興味深い詳細があります。Altiaが7月21日にAltia AIを発表した際、同社はAIが生成したコードは一切本番環境に投入されていないことを強調しました。このツールは開発とデバッグの支援のみを目的としています。

---

※7月のPatch Tuesdayにおける脆弱性の件数は、集計範囲の違いにより情報源によって異なります。Kimi K3の現時点でのベンチマークスコアは、大部分がMoonshot AIによる自己公表であり、独立した検証は行われていません。財務契約や法案に関する情報は審議中のものであり、本稿執筆時点から変更されている可能性があります。