Datasetteは9月11日(現地時間)、セキュリティパッチの新バージョン1.0a39および0.65.4を公開した。今回のリリースは、パブリックウェブ上でDatasetteを運用し、公開・非公開テーブルを混在させるインスタンスに適用が強く推奨される。Sevban Dönmez氏の報告を受け、Alex Garcia氏とSimon Willison氏がClaude Fable 5.1、GPT-5.6、GPT-6 Astraを用いた広範なセキュリティ監査を実施。両氏は約一週間にわたり修正作業とレビューを共同で手掛けた。
今回のリリースには、Datasetteのユーザーベースにとって特に重要なセキュリティ修正が含まれている。パブリックウェブ上でDatasetteを運用し、公開テーブルと非公開テーブルを混在させているインスタンスのユーザーは、直ちにアップグレードする必要がある。
Datasette開発チームは、Sevban Dönmez氏からの初期報告を受け、Alex Garcia氏とSimon Willison氏が協力して広範な監査を実施した。この監査では、Claude Fable 5.1、GPT-5.6、そしてGPT-6 AstraといったフロンティアAIモデルが活用された。その結果、これまでは検出を回避してきた非常に巧妙な種類のバグが複数発見されたという。これらのバグは、特定の状況下でプライベートデータを漏洩させる可能性を秘めていた。
Garcia氏とWillison氏は、修正作業とレビューに約一週間を費やした。Garcia氏が提案した生産的な作業分担に従い、両氏は共有のプライベートリポジトリで監査の実行と対応に共同で取り組んだ。ほとんどの問題について作業を分担し、一方が問題を示す自動テストを作成し、もう一方が修正を実装するというアプローチを採用した。この手法により、異なるモデルを実行するコーディングエージェントに加えて、二人の人間がそれぞれの問題を確実に確認することができたという。
Simon Willison氏は、フロンティアモデルによるセキュリティ監査を今後のすべての開発作業に組み込んでいく方針を表明している。今回のセキュリティリリースは、1.0a39が1.0シリーズの新しいアルファリリースであり、0.65.4は既存の0.65シリーズ向けの新しいパッチリリースである。
参考: Simon Willison’s Weblog (アーカイブ) — 2026年9月11日 12:27 (JST)