サプライチェーン

《ウォール・ストリート・ジャーナル》によると、Appleは中国のDRAMメーカー**長鑫存储（CXMT）**のメモリーチップをテストしており、iPhoneやMacBookなどの製品ラインに適用する計画です。この動きの背景には、AIの需要が世界的なメモリ価格を押し上げていることがあり、Appleは韓国系および米国系のサプライヤーからの価格が「持続不可能」であるとアメリカ側に訴えたとされています。報道によれば、Appleはホワイトハウスに対して中国のチップサプライヤーとのビジネスを行うための承認を求めており、現在アメリカは商用の現物チップの調達を許可していますが、カスタマイズ製品には制限を設けています。長鑫存储は最近、市場シェアを急速に拡大しており、第2四半期の収益は前年同期比で8倍以上の成長を遂げ、世界のDRAM市場シェアは**7%**に上昇し、先月には科創板でのIPOを完了しました。一方、HPやAcerなどのPCメーカーは、非米市場で販売される一部のデバイスに長鑫存储のメモリーチップを使用し、供給圧力を緩和し始めています。Appleが最終的に調達契約を結ぶ場合、ワシントンからの政治的な抵抗に直面する可能性があります。

アメリカ合衆国大統領トランプは現地時間8月7日にアメリカ国務省で世界の一部の大手鉱業会社の幹部を招集し、アメリカ及び同盟国の重要鉱物供給を確保するための行動を取ることを目指しています。出席が予想される業界の巨頭には、リオティント、BHP、フリーポート-マクモラン銅金会社などが含まれます。トランプ政権は複数の取引と覚書を発表する計画です。

Counterpoint Researchの分析によると、アメリカ合衆国連邦通信委員会（FCC）が提案している中国製光モジュールの輸入禁止が実施されれば、主にアメリカのクラウド企業に影響を与え、中国のサプライヤーには影響を与えないとされています。中际旭创は約27%のシェアで世界のデータセンター光モジュール収入をリードしており、Coherentは約17%で2位に位置しています。中国の製造業者は合計で世界の約三分の二のユニット供給量と約**60%**の光通信モジュール収入を占めています。分析によれば、CoherentやLumentumなどの西洋のサプライヤーは短期的に十分なクリーンルームの生産能力、自動化パッケージングインフラ、及び良品率の規模が不足しており、12-24ヶ月以内に中国の製造業者の生産能力のギャップを埋めることができないため、AIクラスターの展開が数四半期遅れる可能性があり、クラウド企業の材料コストが上昇する可能性があります。同時に、中国のモジュール製造業者は北米の超大規模顧客の高級800G/1.6Tモジュール収入に対する依存度が**90%**を超えていますが、タイに工場を設立することで一部の生産能力を移転しています。Counterpointは、光モジュールのサプライチェーンが高度に相互依存したシステムであることを強調しており、中国の製造業者はBroadcom、MarvellのDSPチップやLumentum、Coherent、三菱電機のレーザーおよび光チップを大量に調達しており、強制的な切断は全体のエコシステムを混乱させることになります。

慢雾の監視によると、MistEyeは大規模なnpmサプライチェーン攻撃を検出し、Keyv/Cacheableエコシステムに影響を与えました。攻撃者は2,000以上の悪意のあるパッケージバージョンを公開し、[email protected]を含んでいます。Keyvは広く使用されているキー・バリュー・ストレージの抽象ライブラリで、Redis、SQLite、PostgreSQL、MongoDBなどのバックエンドをサポートし、毎週約1.27億回ダウンロードされており、明らかな下流サプライチェーンの露出を引き起こしています。攻撃手法は以前のShai-Hulud npmワーム活動と非常に似ており、高度に自動化され、スケーラブルなサプライチェーン攻撃を指しています。潜在的な攻撃行為には、資格情報の窃取、環境変数の漏洩、CI/CDキーの漏洩、リモートペイロードの配信、侵害された開発環境を通じた横の拡散が含まれます。セキュリティチームは、影響を受けたパッケージバージョンを直ちに特定して削除し、検証された安全なバージョンにアップグレードし、依存関係のロックファイルとビルドログをレビューし、疑わしい外部接続を監視し、漏洩した資格情報をローテーションし、影響を受けたことを確認した後に環境を再構築する必要があります。

AI サプライチェーン管理スタートアップ Freehand は、7500 万ドルの資金調達を完了したと発表しました。これは、Battery Ventures と NewRoad Capital Partners が共同でリードし、Nexus Venture Partners と前アメリカ商務長官ペニー・プリツカーのファンド PSP Growth が参加しました。Freehand の AI エージェントは、契約の解釈、サプライヤー料金の交渉、過剰請求の特定、支払い処理、ERP システムとの照合などの作業を自律的に行うことができます。顧客には、Meta、ユニリーバ、ジョンソン・エンド・ジョンソン、ファイザー、ダンキン、カーディナルヘルスなどの大手企業が含まれています。

金十の報道によると、マイクロンテクノロジー (MU.O) は、アメリカ国内の半導体サプライチェーンを強化するために300億ドルを投資する計画を発表しました。

物流サプライチェーン RWA プラットフォーム CARFI は、BVI 会社 Apex Logistics Technology Co., Ltd. が正式に発行した債券トークン化製品 CFUSD を発表し、CARFI が発行サービスを提供します。このプロジェクトはバイナンスチェーン（BNB Chain）に展開されています。CFUSD の基礎資産には、物流売掛金、貿易金融資産、サプライチェーン金融ローン、その他の売掛金および審査済みの短期固定収益資産が含まれ、安定したキャッシュフローが支えています。

7月1日、WEEX TradFiのデータによると、最近の米国株のテクノロジーセクターはパフォーマンスが分化しており、資金は実際の実現期待があるPhysical AI、ロボットおよび関連サプライチェーンの方向に引き続き注目しています。その中で、AMDは24時間で約7.7%上昇し、Symbotic（SYM）は6.6%以上上昇、Texas Instruments（TXN）は約4.4%上昇、NVIDIA（NVDA）は約2.6%上昇、Tesla（TSLA）は約2.1%上昇、Analog Devices（ADI）は約1.4%上昇しました。WEEX Labsは、市場の資金が単一の計算能力の物語から、実現期待のあるPhysical AIサプライチェーンの核心部分に拡散していると考えています。これには、テスラのOptimus生産ラインの改造や、NVIDIAのPhysical AI Dayなどのイベントがソフトウェアとハードウェアの協調期待を強化し、関連セクターへの関心が高まっています。

ブルーウェーブテクノロジーの報道によると、中興通訊とバイトダンスが共同で推進している新世代豆包AIスマートフォンは、登録認証プロセスの問題により、当初予定されていた第2四半期の発売が遅れる可能性があります。関係者によると、このスマートフォンはネット情報局の大規模モデルの登録と工業情報部のネット接続認証の両方を通過する必要があり、現在製品は2回目の登録申請の状態にあります。承認が順調に進めば、新機種は早ければ今年の7月から8月に登場する予定です。サプライチェーンに関しては、新世代豆包スマートフォンのスクリーン供給業者が深天馬から京東方に変更され、バッテリーはデサイバッテリーとATLセルを採用し、福日電子傘下の中诺通信が製造を担当しています。さらに、報道によれば、この製品は主に大規模モデルを深く埋め込んだオペレーティングシステムの基盤技術ルートを採用していますが、システムレベルのエージェントによるアプリケーション間の呼び出しを実現する際には、現在、テンセントやアリババなどの主要プラットフォームが関連データ権限を開放していないエコシステムの壁に直面しています。

慢雾は発表し、140以上のMastra関連のnpmソフトウェアパッケージがサプライチェーン攻撃を受け、影響を受けたバージョンは悪意のある依存関係[email protected]を導入し、インストール段階で攻撃者が制御するコードの実行を引き起こすことを示しています。

白毛株神が発表したところによると、NVIDIAとGoogleは800V直流（DC）電源アーキテクチャの早期適用を進めており、関連する小規模出荷が2026年第三四半期に開始される見込みです。この技術は、NVIDIAのVera RubinプラットフォームおよびGoogleの次世代AIデータセンターに最初に適用されるとのことです。このプロセスの加速により、パワー半導体およびデータセンターインフラストラクチャ部門は大きな牽引を受けることが期待されています。現在、核心的な受益者と見なされているサプライチェーン企業には、デルタ電子（2308）、Vertiv（VRT）、松川精密（7788）、およびシュナイダーエレクトリック、イートン、シーメンスなどが含まれます。

慢雾の監視によると、IronWormという名前の新型Rustサプライチェーンマルウェア活動が、悪意のあるnpmパッケージを通じて開発者環境とWeb3エコシステムを攻撃しています。潜在的な攻撃行為には、認証情報の窃取、ウォレットのニーモニックとパスワードの盗取、GitHubリポジトリの改ざん、悪意のあるパッケージの公開、CI/CDの機密漏洩、Torベースのコマンドコントロール、eBPFルートキットの隠蔽が含まれます。セキュリティチームは、リポジトリ内のリバートコミット、疑わしいブランチ、予期しないビルドフック、およびclaude、dependabot、renovate、またはgithub-actionsなどの自動化されたアイデンティティによるコミットを監査するべきです。影響を受けたパッケージのバージョンを削除または廃止し、クリーンなバージョンを公開し、漏洩したすべてのキーとトークンをローテーションし、GitHub Actionsのコンポーネントをレビューし、クリーンなイメージから損傷を受けた可能性のある開発またはCIシステムを再構築することをお勧めします。

慢雾 SlowMist は安全警報を発表し、@redhat-cloud-services に関連するソフトウェアパッケージをターゲットとした活発な npm サプライチェーン攻撃を検出しました。現在、31以上のパッケージが影響を受けていることが確認されており、週のダウンロード数は約 116,000 回、300 以上の GitHub リポジトリに盗まれた認証情報が存在します。この攻撃手法は以前の "Shai-Hulud" npm 攻撃と非常に類似しており、認証情報の窃取、悪意のあるリポジトリの作成、自動化された秘密の漏洩が含まれます。現在も新たな疑わしいリポジトリが継続的に出現しており、攻撃が続いていることを示しています。開発者は引き続き感染しています。潜在的な危害には、GitHub/npm トークンの盗難、AWS/GCP/Azure クラウド認証情報の漏洩、SSH キーと Kubernetes 秘密の収集、ローカル環境およびウォレットデータの漏洩、悪意のあるリポジトリの作成および持続的な操作、さらにはトークンが取り消された後に破壊的な行動を引き起こす可能性があります。影響を受けた @redhat-cloud-services パッケージのバージョンを直ちに削除またはダウングレードし、CI/CD ワークフローと依存関係のインストールを全面的に監査し、すべての GitHub、npm、クラウドサービス、SSH およびウォレット関連のキーをローテーションし、ログを保持し、クリーンなイメージから露出した開発者マシンまたは Runner を再構築し、常に高い警戒を維持することをお勧めします。

慢雾の発表によると、安全機関MistEyeは、npm、PyPI、crates.ioに悪意のあるパッケージを公開することで、暗号通貨、DeFi、Solana、Sui/MoveおよびAI分野の開発者を標的としたクロスレジストリサプライチェーン攻撃事件を検出しました。この攻撃活動には、34以上の悪意のあるパッケージと384以上の関連バージョンが含まれています。攻撃者は暗号通貨ウォレット、SSHキー、クラウド認証情報、GitHub/AWSトークン、ブラウザデータ、環境変数および開発者の機密情報を盗む可能性があります。一部の悪意のあるペイロードは、.cursorrules、CLAUDE.md、Gitフック、シェルフック、cron、systemdおよびSSHを通じて持続的な駐留を試みています。開発者には、影響を受けたパッケージを直ちに削除し、影響を受けたシステムを隔離し、ログを保持し、露出した認証情報をローテーションし、クリーンなイメージからCI実行環境と開発者マシンを再構築し、GitHub、クラウドサービス、SSHおよびウォレットの活動記録を確認することをお勧めします。

慢雾が発表した脅威情報によると、最近複数の高頻度npmパッケージ、AntVやEcharts-for-react、Python SDKのdurabletaskがMini Shai-Hulud「ミニ沙虫」サプライチェーン攻撃を受けました。npmアカウントatoolが侵害され、攻撃者は22分以内に637の悪意のあるバージョンを自動的に公開し、317のパッケージに関与しました。攻撃者は35分以内にdurabletaskの1.4.1、1.4.2、1.4.3バージョンを連続してアップロードし、正常なリリース管理を回避してMicrosoftの公式リリースを偽装しました。GitHubトークンの大規模漏洩事件とGrafana Labsのランサムウェア攻撃は、このサプライチェーン攻撃と関連している可能性が高いです。影響を受けたコンポーネントには、npmエコシステム内のAntV、Echarts-for-reactなどの高頻度コンポーネント、及びPythonパッケージのdurabletask 1.4.1、1.4.2、1.4.3が含まれます。攻撃者はクラウドおよびローカルの認証情報を盗み、内部リポジトリや敏感なクラウドインフラに無許可でアクセスし、開発者のマシンやCI/CDパイプラインに横移動し、漏洩したGitHubトークンを販売・利用し、ランサムウェアやデータ漏洩の脅威を実施することができます。慢雾は、すべての露出した認証情報を直ちにローテーションし、影響を受けたパッケージを置き換え、感染の可能性があるシステムを隔離し、厳格な依存関係のレビュー政策を実施することを推奨しています。以前の報道によれば、「ミニ沙虫」ワームは最近オープンソースコードリポジトリで大規模感染を完了しており、開発者は注意して調査する必要があります。