Weekly Research
Weekly Module Research - 2026-10-10
2026-10-10
Claude Code v2.1.296
Weekly Module Research - 2026-10-10
調査期間: 2026-10-04 〜 2026-10-10（上限は過去 1 か月） 実行環境: クラウド（トピック 11・12 は対象外） 前回レポート: 2026-10-03-weekly-research.md
要約・今週の重大事項
| 影響度 | 事項 | 対応トピック | 期限 |
|---|---|---|---|
| 高 | @modelcontextprotocol/sdk に high のアドバイザリ（GHSA-6qxp-vccf-f47h: OAuth クライアントが MCP サーバー指定の認可サーバーへ資格情報を送り得る）。影響範囲 >=1.12.0 <1.31.0、修正 1.31.0 以降（最新 1.32.1）。当プロジェクトは 8 パッケージが 1.27.1 固定 |
6 | 早期（パッチ相当・要人の承認） |
| 高 | prosemirror-view に high の XSS（GHSA-c8x8-7fp4-3x9w: paste 処理、<1.42.3）。markdown-core が 1.41.6 固定で該当。最新 1.42.6 |
6 | 早期（エディタの貼り付け経路） |
| 高 | Claude Haiku 5.5（claude-haiku-5-5）登場（$0.10/$0.50 per Mtok）と、Sonnet 5.5 のキャッシュ読取が $0.20 → $0.10 に変更。pricing.ts は未反映（下記） |
1 | Trail のコスト表示が過大になる前に反映 |
| 高 | Claude Code 2.1.292: ローカル stdio MCP サーバーが既定で新プロトコル 2026-07-28 を交渉（MCP_PROTOCOL_NEGOTIATION=legacy で旧動作）。当プロジェクトは mcp-* 6 サーバーを SDK 1.27.1 で提供 |
1 / 6 | 動作確認 |
トピック 1: Claude Code / Anthropic
Claude Code 2.1.289 → 2.1.296（現行 2.1.296）
- 2.1.292（10/6）: Agent ツールに
effortパラメータ、claude plugin install --marketplace、cache: true（$.model.complete）。⚠️ ローカル stdio MCP が protocol 2026-07-28 を既定交渉。⚠️ スケジュール実行（routine）はプライベート artifact を確認なしで公開する - 2.1.293（10/7）: Claude Haiku 5.5 が既定 Haiku（1M context、$0.10/$0.50 per Mtok、100K 超は $0.50/$2.50）
- 2.1.295（10/8）: hook の
onFailure: "block"（起動不能・タイムアウト時に通過でなくブロック）、MCP ツール説明の切り詰めが 2,048 → 16,384 文字、サブエージェントの skill プリロード上限 32、WebSocket MCP 16 MiB 超で切断 - 2.1.296（10/9）: Sonnet 5.5 のキャッシュ読取を
/cost等で $0.10/M に変更、autoCompactWindow（subagent frontmatter）、CLAUDE_CODE_WORKFLOW_SUBAGENT_MODEL、Read ツールのallow_large - 2.1.289〜290:
agent.spawn、claude attach/claude logs、project 設定から Claude in Chrome を有効化できなくなった、pyrightが権限必須に、gh apiは github.com 以外のホストを拒否
Anthropic 動向
- 10/7 Claude Haiku 5.5 発表、10/8 Usage Policy 更新・Genesis Mission・Cyber Mission（OSS Scanner / CIDP は daily 経由）、10/6 Cyber Verification Program 拡張。料金改定・廃止の告知は news ページ上では確認できなかった（価格は Claude Code changelog による値で、公式料金ページでは未確認）
pricing.ts との突合（packages/trail-activity/src/domain/engine/pricing.ts）
- Haiku 5.5: 未反映。
haikuキー（$1/$5・Haiku 4.5）に解決され、$0.10/$0.50 の実単価より約 10 倍過大に集計される - Sonnet 5.5: 入出力 $2/$10 は
sonnet-5キーを共有し反映済み。キャッシュ読取は 0.1 倍（$0.20）のままで、$0.10（0.05 倍）への変更が未反映
影響度: 高（pricing.ts 未反映・MCP プロトコル交渉の既定変更） ソース: Claude Code Changelog, Anthropic News
トピック 2: Codex / OpenAI
- Codex CLI 0.160.1（10/5）、0.161.0（10/7: 既定モデルが GPT-6.1 Sol、音声の入出力設定）。一次ソース（developers.openai.com）はネットワーク制限で取得不可（名前解決失敗）。第三者トラッカーの検索スニペットのみに基づく二次情報
- 当プロジェクトは Codex を委譲先に使うが、変更はいずれもモデル既定値・音声関連で直接の設定変更は不要
影響度: 低〜中 ソース: Havoptic Codex 2026/10（二次）
トピック 3: Gemini / Google
- Gemini CLI は Antigravity CLI へ移行済み（一般向けは 6/18 停止、Enterprise は継続）。10 月分のリリースノートは検索で見つからず（最新確認は Gemini CLI v0.54.0 = 8/6、Antigravity CLI v1.1.13 = 8 月中旬）
- 当プロジェクトでは Gemini CLI は
Dockerfile/docker-compose.ymlに導入のみ。Antigravity は利用なし（grep 確認）
影響度: 低 ソース: Google Developers Blog, Gemini CLI changelogs
トピック 4: RAG
今週は一次情報で確認できた新リリースなし（検索結果は一般解説と 8 月以前の情報のみ）。参考: microsoft/graphrag 3.1.1（7/18）、BM25 + 密ベクトルの RRF 融合 + cross-encoder reranker が定番構成との解説。
影響度: 低 ソース: Graphs RAG at Scale (arXiv)（二次）
トピック 5: Ollama / ローカル LLM
今週分の新規リリース情報は検索で取得できず。前週確認分は Ollama v0.35.0/0.35.1（9/29）。
影響度: 低（新規情報なし）
トピック 6: プロジェクト利用モジュール
deps-inventory.cjs の出力: package.json: 58（ルート + workspaces）/ モジュール: 149 / 版の混在: 16。
- 取得方法の注記:
npm outdated -ws --include-workspace-root --jsonはnode_modules未インストールのため空（{}）を返した。代替として全 149 モジュール（内部パッケージ除く）をnpm view <name> versionで個別照会し、宣言版と比較した。Changelog 精査は下記「即時対応」に絞り、残りは 未確認（メジャー差 約 20 件） と明記する - npm audit（moderate 以上）: 33 件（critical 2 / high 6 / moderate 21 / low 4）。直接依存で high 以上:
@modelcontextprotocol/sdk、prosemirror-view、wrangler（miniflare → sharp 経由。修正 4.149.0）。間接のみ: handlebars（critical・修正あり）、proxy-addr（critical・修正あり）、source-map-js（high）、sharp（high）
即時対応推奨（パッチ更新）
| モジュール | 現在のバージョン | 最新バージョン | 影響度 | 変更内容 | 対応 |
|---|---|---|---|---|---|
@modelcontextprotocol/sdk |
1.27.1（8 パッケージ） | 1.32.1 | 高 | GHSA-6qxp-vccf-f47h（OAuth 資格情報の送付先、high）。修正 1.31.0 以降。minor 差だが 2.1.292 の新プロトコル交渉との整合も要確認 | 更新して mcp-* の接続試験（パッケージ更新は人の承認） |
prosemirror-view |
1.41.6（markdown-core、ロック上も 1.41.6） |
1.42.6 | 高 | GHSA-c8x8-7fp4-3x9w paste 処理 XSS（<1.42.3）。当プロジェクトのエディタは貼り付けを扱う | 1.42.6 へ更新、貼り付けの回帰確認 |
dompurify |
3.4.13 / ^3.0.0 | 3.4.16 | 中 | low: IN_PLACE 使用時の afterSanitize hook 関連 XSS（GHSA-p98j-92pf-mc4p ほか）。IN_PLACE の利用有無は未確認 | 3.4.16 へ更新 |
wrangler |
4.120.0 | 4.149.0 | 中 | miniflare・sharp 経由の high（sharp の librsvg 脆弱性）。開発ツール側 | 更新 |
hono |
4.13.8 | 4.13.13 | 低 | パッチ | 更新 |
next |
16.3.8 | 16.4.0 | 中 | マイナー。リリースノートは未確認 | 内容確認後に更新 |
react / react-dom |
19.2.4 | 19.3.0 | 中 | マイナー。@types/react* も 19.3.0 |
内容確認後に更新 |
prosemirror-*（model 1.25.12、transform 1.12.2、markdown 1.13.8 ほか） |
各 1.x | 同左 | 低 | パッチ〜マイナー | prosemirror-view と合わせて更新 |
計画的対応推奨（メジャー更新・要調査）
| モジュール | 現在のバージョン | 最新バージョン | 影響度 | 変更内容 | 対応 |
|---|---|---|---|---|---|
typescript |
6.0.3 | 7.0.2 | 中 | 1 メジャー差（変更内容は未確認） | 移行検証 |
eslint |
9.39.2 | 10.12.0 | 中 | 1 メジャー差（未確認）。typescript-eslint 8.71.1 も更新あり |
移行検証 |
@mui/material / icons-material / material-nextjs |
7.3.7 | 9.5.0 | 中 | 2 メジャー差（未確認） | 移行計画 |
better-sqlite3 |
12.4.1 / 12.9.0 | 13.0.3 | 中 | メジャー更新＋版混在 | 統一してから 13 検証 |
mermaid |
11.17.2 | 12.1.0 | 中 | ELK 既定化等（前週調査分）。旧見た目は layout: dagre 等で維持可 |
既存図の再レイアウト検証 |
zod |
3.25.76 / 4.3.6 | 4.6.5 | 中 | 3.x/4.x 混在 | 4.x へ統一 |
jsdom / markdown-it / marked / commander / dotenv / webpack-cli / sigma / @capacitor/* / @stryker-mutator/* / @vscode/test-electron / diff / minimatch / @babel/* / plotly.js-gl3d-dist-min / katex |
— | メジャー差あり | 低〜中 | Changelog 未確認（約 20 件） | 順次確認 |
要確認（版の混在 16 件・全件）
| モジュール | 現在のバージョン | 最新バージョン | 影響度 | 変更内容 | 対応 |
|---|---|---|---|---|---|
@testing-library/react |
16.3.2(4) / 16.3.0(1) | 16.3.3 | 低 | 混在 | 統一 |
@types/node |
22.15.21(16) / 22.x(9) / 22.15.17(1) | 26.6.5 | 低 | 混在（22 系に固定の方針なら現状維持） | 統一方針の確認 |
@types/react |
19.2.14(7) / 19.1.6 / 19.1.2 | 19.3.0 | 低 | 混在 | 統一 |
@types/react-dom |
19.2.3(6) / 19.1.6 / 19.1.2 | 19.3.0 | 低 | 混在 | 統一 |
@xmldom/xmldom |
0.9.12(3) / ^0.9.10(2) | — | 低 | 範囲指定と固定の混在 | 統一 |
better-sqlite3 |
12.9.0(2) / 12.4.1(4) | 13.0.3 | 中 | 上表参照 | 統一 |
diff |
^8.0.3(2) / 8.0.3(3) | 9.0.0 | 低 | 範囲指定と固定の混在 | 統一 |
dompurify |
^3.0.0(2) / 3.4.13(4) | 3.4.16 | 中 | 下限 ^3.0.0 は脆弱版を許容 | 下限引き上げ |
esbuild |
0.27.3(10) / 0.25.4(1) | 0.28.2 | 低 | 混在（low アドバイザリは Windows dev server） | 統一 |
jsxgraph |
^1.0.0(1) / 1.12.2(3) | 1.14.0 | 低 | 混在 | 統一 |
katex |
^0.16.0(1) / 0.16.38(2) | 0.19.0 | 低 | low アドバイザリ（prototype pollution） | 確認 |
mermaid |
^11.0.0(1) / 11.17.2(3) | 12.1.0 | 中 | 混在 | 統一 |
next-intl |
^3 || ^4(1) / 4.12.0(3) | 4.14.9 | 低 | 混在 | 統一 |
plantuml-encoder |
^1.0.0(1) / 1.4.0(3) | — | 低 | 混在 | 統一 |
plotly.js-gl3d-dist-min |
^3.0.0(1) / 3.4.0(3) | 4.1.2 | 低 | 混在 | 統一 |
zod |
3.25.76(7) / 4.3.6(3) | 4.6.5 | 中 | 上表参照 | 統一 |
変更なし（最新）
@tiptap/* は vendoring のため対象外（npm の最新に依存しない）。そのほか宣言版が最新と一致するモジュールは省略。
ソース: npm registry（npm view、npm audit）, GHSA-6qxp-vccf-f47h, GHSA-c8x8-7fp4-3x9w
トピック 7: GitHub 急上昇
取得経路: gh api の search はこのセッションでは「リポジトリ限定」により拒否されたため（迂回せず）、https://github.com/trending?since=weekly を WebFetch で取得（since=daily は未取得）。本日の表は取得なし。
本日のトレンド（GitHub Trending daily）: 未取得
今週のトレンド（GitHub Trending weekly、AI・開発ツール系のみ抜粋）
| # | 今週+⭐ | リポジトリ | 言語 | 概要 |
|---|---|---|---|---|
| 1 | 8,156 | mattpocock/skills | Shell | エージェント向けエンジニアリング skills 集 |
| 2 | 6,566 | tester-army/e2e | TypeScript | Web・モバイル向け E2E テストフレームワーク |
| 3 | 4,003 | heygen-com/hyperframes | TypeScript | HTML を書いて動画を描画（AI エージェント向け） |
| 4 | 3,850 | thedotmack/claude-mem | TypeScript | エージェントセッションを記録し文脈を注入する永続メモリ |
| 5 | 2,379 | pingdotgg/t3code | TypeScript | 説明なし（コーディング系） |
| 6 | 2,338 | mvschwarz/openrig | TypeScript | Claude Code・Codex 等から永続エージェントチームを構成 |
| 7 | 1,125 | cursor/plugins | TypeScript | Cursor のプラグイン仕様と公式プラグイン |
| 8 | 246 | ranxianglei/billion-context | TypeScript | 長大セッション向けコンテキスト圧縮プラグイン |
トピック 8: 代替モジュール
| カテゴリ | 現在使用中 | 代替モジュール | 注目度 | 動向 |
|---|---|---|---|---|
| エディタ | vendored Tiptap 3.20.0 + prosemirror-* |
Lexical / BlockNote / Plate | 低 | 今週は個別の確認なし。prosemirror-view 自体に paste XSS 修正があり、ProseMirror 直接依存の更新が先 |
| バリデーション | zod | Valibot / ArkType | 低 | 確認なし。当プロジェクトは zod 3/4 混在の解消が先 |
| UI / FW | MUI / Next.js | shadcn/ui 等 | 低 | 確認なし |
（今週は代替モジュールの個別調査を行っていない。取得不能・未実施の項目は上記のとおり）
トピック 9: Obsidian
obsidian.md はネットワーク制限で取得不可（名前解決失敗）。今週分の情報なし。前週確認分は 1.14.3 early access（9/29）。
メタ統合（時系列シフト検知）
対象: report/daily-research/ の 2026-08〜10-09 分（grep 概算。出現回数は該当する daily の日数）。前回 weekly の表の値（Auto mode 44 等）は集計窓が異なり、そのまま加算できなかったため、今回の窓での再集計値を示す。
潮流候補表
| テーマ / 語彙 | 出現回数 | 初出 | 直近 | 先行指標の種別 | 当プロジェクトへの示唆 |
|---|---|---|---|---|---|
| Auto mode（権限自動判定） | 34 | 2026-08-01 | 2026-09-29 | 製品語彙の増殖 | 既定化済み。D2 承認代行設計と同方向 |
| Claude Mods（プロセス内プラグイン） | 7 | 2026-10-02 | 2026-10-08 | 製品語彙の増殖 | $.… API が毎日増える（isDeferred、prompt.autocomplete 等）。採用は様子見 |
/doctor prompt-audit |
7 | 2026-08-04 | 2026-09-29 | テーマの再出現頻度 | 今週は新規出現なし。陳腐化の可能性 |
agent.spawn / サブエージェント制御 |
3 | 2026-07-22 | 2026-10-06 | 製品語彙の増殖 | effort パラメータ・skill プリロード上限等、サブエージェント制御が拡張。出現 3 回で潮流の閾値に到達 |
（上表の先行指標は 3 値のいずれか。allowManagedModsOnly は 3 回・直近 2026-10-04 で Mods に含めて数えた）
新プリミティブ diff（前回 weekly 比、changelog 2.1.289〜296）
| 新語彙 | 初出バージョン | 一言定義 | パラダイム上の意味 |
|---|---|---|---|
agent.spawn（hook / Mods） |
2.1.289 | プラグインがチームメイトを起動する | サブエージェント起動が拡張点に |
claude attach / claude logs |
2.1.290 | 名前でバックグラウンドセッションに接続・ログ参照 | 常駐セッション運用が製品化 |
Agent ツールの effort |
2.1.292 | 起動側が effort を指定 | 委任単位ごとの推論量制御 |
hook onFailure: "block" |
2.1.295 | hook 失敗時に通過でなくブロック | fail-closed が標準語彙に |
autoCompactWindow（subagent） |
2.1.296 | サブエージェントごとの自動圧縮窓 | 文脈管理の委任単位化 |
パラダイムシフト所見
- 拡張機構の中心が hooks から Mods（関数フック）へ移り、同時に hook 側は
onFailure: "block"で fail-closed を選べるようになった。ゲートの失敗時挙動を明示させる方向（点 → 線）。当プロジェクトの fail-open / fail-closed 規約と整合する - サブエージェント制御語彙（
effort、skill 上限、autoCompactWindow、agent.spawn）が連続して増殖。明確な当事者の発言転換は未検知
Trail 機能改善提案
クラウド実行のため対象外（ローカルで実施）。
開発手法・スキルへの差分
クラウド実行のため対象外（ローカルで実施）。トピック 12 の材料として、影響度「高」は ## 要約・今週の重大事項 の 4 項目。
参考: アクセス状況
- 取得できた: code.claude.com changelog / anthropic.com/news / github.com/trending（weekly）
- 取得不可（名前解決失敗）: developers.openai.com、obsidian.md。迂回していない
gh apisearch は環境制限で拒否。迂回していない- Codex・Gemini・Ollama・RAG は WebSearch のスニペットに基づく（本文未取得）