【今日の見出し】 ■ 業務直結 7本

  1. 【11/3・一般提供】GitHub CopilotがJetBrains Airに対応。既存Copilot契約で複数のAI開発作業を並列管理
  2. 【11/3・一般提供】Dependabot、AIエージェントのスキル・指示ファイルも自動更新。APMに対応
  3. 【11/2・重要な日程変更】GitHub Actionsの危険なpull_request_target、標準ブロックは12/2へ延期。11/9に予行停止
  4. 【11/3】CodeQL 2.27.3、AI生成データを危険な入力として追跡する設定を追加
  5. 【11/2・順次提供】GitHub Desktop、漏えい時の被害を抑える短期認証トークンへ移行
  6. 【11/3】DependabotがPython 3.15に対応。依存パッケージ更新の自動化を継続
  7. 【10/30更新】デジタル庁「源内」、行政実務用AIと安全な社内AI基盤の構成を公開

■ 実生活直結 1本

  1. 【日本・無料枠あり／10/22開始】povo AI、ChatGPT 5.5系を追加。Nano Banana 2の画像生成は1日3回

【掲載数について】 11/3〜11/4朝の一次情報を優先した結果、業務7本・生活1本の計8本。生活向けは新しい日本提供開始を追加で2本確認できなかったため、古いAlexa+やSiriの話を「本日解禁」として再掲しない。業務7番と生活8番は直近数日より古いが、未掲載の実用情報として日付を明示した。

業務直結

1．CopilotがJetBrains Airに対応

確度：確認済み。GitHub公式11/3発表。

何ができる？

JetBrains系IDEでAI開発タスクを複数並行させ、差分を確認できる。ローカル作業のほか、対象企業では隔離されたクラウド環境へ処理を任せられる。

対象・例

IntelliJなどの利用者。バグ修正とテスト追加を別セッションへ依頼し、変更を比較する。

難易度・試し方

少し設定。

  • ①JetBrains IDEへAirを導入
  • ②Copilotを選択
  • ③既存GitHubアカウントで接続
  • ④小さな修正を依頼。

    料金・罠

既存Copilot契約を使用。クラウド作業にはAir Teams対応組織と管理者許可が必要。Air側ではCopilot支出上限を設定できない。 検証・情報源：GitHub公式 https://github.blog/changelog/2026-11-03-github-copilot-is-now-available-in-jetbrains-air/

結月硝子一言：AIの数より、並行作業のレビュー方法が重要になってきた。

2．DependabotがAIエージェントの指示・スキルも更新

確度：確認済み。GitHub公式11/3。

何ができる？

Agent Package Manager（APM）で管理するAI用スキル・プロンプト・指示の依存先について、更新PRを自動作成する。

対象・例

複数のAIエージェント設定をGitHubで管理する開発者。古い共有スキルを見つけて更新候補を出す。

難易度・試し方

技術者向け。

  • ①apm.ymlを用意
  • ②.github/dependabot.ymlにapmを指定
  • ③更新周期を設定
  • ④生成PRをレビュー。

    料金・罠

github.comの全プランで一般提供。ただし「バージョン更新」であり脆弱性検知ではない。自動マージは慎重に。 検証・情報源：https://github.blog/changelog/2026-11-03-dependabot-version-updates-support-agent-package-manager/

結月硝子一言：AIの「性格設定」まで依存関係管理の対象になる時代。放置すると古い呪文が増える。

3．GitHub Actionsのpull_request_target規制が12/2へ延期

確度：確認済み。GitHub公式11/2。

何が変わった？

公開リポジトリで危険になり得るpull_request_targetを標準ブロックする開始日が11/2から12/2へ変更。11/9と11/16に一時的な強制適用テストがある。

対象・例

外部からPRを受け付けるOSS。AI生成のworkflowがこのイベントを使っていないか確認する。

難易度・試し方

少し設定。

  • ①.github/workflows内でpull_request_targetを検索
  • ②外部コードを実行していないか確認
  • ③GitHubのInsightsでブロック予測を確認
  • ④必要なら対象workflowだけ明示許可。

    料金・罠

公開リポジトリが対象。非公開・内部リポジトリは対象外。安易な全面許可は秘密情報漏えいにつながる。 検証・情報源：https://github.blog/changelog/2026-11-02-pull_request_target-blocked-by-default-december-2/

結月硝子一言：日程延期は猶予であって、危険性の撤回ではない。

4．CodeQLがAI生成データ向けの脅威モデルを追加

確度：確認済み。GitHub公式11/3。

何ができる？

CodeQL 2.27.3で、LLM生成データを危険な入力として扱うai脅威モデルを任意設定できる。Python 3.15構文やC#のデータ追跡も改善。

対象・例

AI出力をSQL・ファイル操作・外部通信へ渡すアプリの開発者。

難易度・試し方

技術者向け。

  • ①CodeQL設定を確認
  • ②自前のデータ拡張でAI出力を入力源として定義
  • ③解析結果をレビュー。

    料金・罠

aiモデルは標準の入力源定義を内蔵していない。スイッチを入れるだけでAI固有の脆弱性が全部見つかるわけではない。 検証・情報源：https://github.blog/changelog/2026-11-03-codeql-2-27-3-adds-python-3-15-features-and-json-data-extensions/

結月硝子一言：AIが吐いた文字列も、外部入力として疑うのが基本。

5．GitHub Desktopが短期認証トークンへ移行

確度：確認済み。GitHub公式11/2。

何ができる？

GitHub Desktop 3.6.10以降で、対象アカウントは自動更新される短期トークンを利用できる。漏れた認証情報の悪用可能期間を短縮。

対象・例

AI開発でGitHub Desktopを併用する人。

難易度・試し方

簡単。

  • ①Desktopを更新
  • ②対象アカウントなら再ログイン時の新方式を利用
  • ③通常のpush/pullが動くか確認。

    料金・罠

順次展開。既存ログインのトークンは更新だけでは自動移行されない。Enterprise Serverは対象外。 検証・情報源：https://github.blog/changelog/2026-11-02-github-desktop-adds-short-lived-authentication-tokens/

結月硝子一言：セキュリティは利用者の根性に依存しない改善が強い。

6．DependabotがPython 3.15に対応

確度：確認済み。GitHub公式11/3。

何ができる？

Python 3.15へ移行するリポジトリでも、Dependabotによる依存パッケージの更新提案を継続できる。

対象・例

Pythonの自動化ツールをGitHubで管理する人。

難易度・試し方

少し設定。

  • ①テスト環境でPython 3.15互換性を確認
  • ②Dependabot設定を確認
  • ③更新PRでテストを実行。

    料金・罠

github.com全ユーザーが対象。Dependabot対応と自分のライブラリのPython 3.15互換性は別問題。 検証・情報源：https://github.blog/changelog/2026-11-03-dependabot-now-supports-python-3-15/

結月硝子一言：新しいPythonを使えることと、今すぐ移行すべきことは違う。

7．デジタル庁「源内」の業務AI基盤を参考にする

確度：確認済み。公式ページ10/30更新。新サービス開始ではなく構成事例。

何ができる？

行政向けの共通AI基盤で、一般チャットと専門業務AIを分離し、認証・機密区分・資料検索を組み合わせる考え方を確認できる。

対象・例

情シスが社内AIを検討する際、汎用チャットだけでなく、社内マニュアル検索や申請支援を独立したアプリとして設計する。

難易度・試し方

資料閲覧は簡単。

  • ①公式構成図を読む
  • ②自社のデータ区分を整理
  • ③まず1業務だけ試作対象にする。

    料金・罠

政府職員向けの基盤であり一般利用できない。政府での採用が民間での費用対効果を保証するわけでもない。 検証・情報源：https://www.digital.go.jp/policies/genai

結月硝子一言：「社員全員にチャットを配ればDX完了」という幻想への、かなり実務的な反例。

実生活直結

8．povo AIでChatGPT 5.5系と画像生成を使える

確度：確認済み。povo公式10/22発表。今日開始ではない。

何ができる？

povo2.0アプリ内のpovo AIでChatGPT 5.5、5.5 Pro、5.5 Thinkingを追加料金なしで利用。Nano Banana 2の画像生成は1日3回まで。

対象・例

povo2.0利用者。買い物候補の比較、旅行計画、家族向けの画像作成をスマホで試せる。

難易度・試し方

簡単。

  • ①povoアプリを最新版へ
  • ②povo AIを開く
  • ③モデルを選ぶ
  • ④文章相談と画像生成を比較する。

    料金・罠

AI機能は無料だがpovo2.0契約とデータ容量が必要。利用回数・モデル提供条件は変更され得る。povo契約なしの一般無料公開ではない。 検証・情報源：https://povo.jp/news/newsrelease/20261022_01/

結月硝子一言：既存の通信契約に付くAI特典は、わざわざ別サブスクを増やす前に確認したい。

今日の観測

11/3のGitHub更新は、AIを派手に賢くする話より「複数AIの作業管理」「AI指示の更新管理」「AI出力を危険な入力として検査」という運用面が中心。AIを実務へ入れるほど、周辺の保守と安全管理が普通のソフト開発と同じくらい重要になる。

日本の生活AIは、今朝の新規解禁を十分確認できなかった。生活枠を埋めるためだけに既報のAlexa+を新ニュース扱いするのはやめた。

今日ひとつだけ試すなら

GitHub Actionsの設定点検。所要5〜10分。

  • ①自分のリポジトリで.github/workflowsを開く
  • ②pull_request_targetを検索する
  • ③見つかったら、外部PRのコードを秘密情報へアクセスできる権限で実行していないか確認
  • ④該当なしなら終了。該当ありなら11/9の一時停止前に設定を見直す

新機能を一つ増やすより、既存の自動化が安全に動くか確認する方が得な朝もある。