Global Hack Mapとは？
Global Hack Map は、公表された情報漏えい、ランサムウェアのリークサイト上の主張、悪用された脆弱性、悪意あるパッケージ、通信障害を 14 のソース（CISA の Known Exploited Vulnerabilities カタログ、NVD、CVE.org、CIRCL、FIRST EPSS、GitHub Advisory Database、OSV、RansomLook、SEC EDGAR、IODA など）から集め、Mapbox の地球儀に配置します。各インシデントには Confirmed、Reported、Claimed、Precautionary、Disputed のいずれかの状態が付きます。
「Am I affected?」ページは貼り付けたマニフェストやロックファイルを OSV と照合し、`/cve` の一覧は過去 72 時間の重大な CVE を示し、`/fix/<CVE>` は Claude Code、Codex、Cursor 向けのプロンプトをあらかじめ埋めたプレーンテキストの手順書を返します。読み取り専用の MCP サーバーと `llms.txt` が同じデータをエージェントに公開します。ニュース抽出、回答、DeepResearch の要約は Valyu が担い、Valyu のキーがなくても地図は公開フィードだけで動きます。
Global Hack Mapは使う価値があるか？
Global Hack Map は Valyu のデモアプリの中で最も丁寧に作られており、最も新しくもあります。リポジトリの作成は 2026年11月2日で、私たちが確認した時点でスターは 9、コミットは 12 でした。CISA KEV、NVD、GitHub Advisory Database、OSV など、セキュリティチームがすでに信頼しているフィードを集約するもので、主な貢献は新しいデータではなく、見せ方と優先順位付けにあります。
設計は不確かさを真剣に扱っています。各インシデントには Confirmed、Reported、Claimed（リークサイト上の主張で未検証）、Precautionary、Disputed のラベルが付き、README は結果がないことは安全の証明にはならないと明言しています。インシデントは報道で名前が挙がった都市、組織の本社、または国に置かれ、ソースが許す以上に正確な位置には置かれません。これは被害者がどこにいるかを示すもので、誰が攻撃したかを示すものではありません。ピンは攻撃者の特定ではありません。
技術面は経歴の浅さから想像するより成熟しています。本番環境のリクエストは Upstash Redis でレート制限され、保護された API はリミッターに到達できない場合、保護なしで動くのではなく 503 を返します。MCP サーバーのスタック照合は IP ごとに毎分 10 回、毎時 60 回までです。定期実行の巡回は `CRON_SECRET` で認証されます。テストファイルは 11 個あります。NVD の API キーがないと、新規 CVE のフィードは 30 秒あたり 5 リクエストに制限され、CVE.org と CIRCL に切り替わります。
注意点：要約の質は、最も遅い上流のソースで決まります。スナップショットは 10 分、公開フィードは 15 分で再検証されますが、README は上流の遅延や代替データによって表示が古くなったり不完全になったりしうると警告しています。影響を受けるバージョン範囲や「悪用済み」の表示は、パッチ適用や報告の前に CISA の項目かベンダーの勧告で確かめるべきです。また、ワンクリック修正のリンクはコーディングエージェント向けのプロンプトを埋めるだけで、エージェントによる変更にはやはりレビューが必要です。
結論：今週何が悪用されているかを手早く把握するために CISA カタログの隣のタブに置く価値はあります。その際、元の勧告はワンクリック先にあり、それが正式な情報源だと考えてください。
真価を発揮する場面
セキュリティチームのない 50 人規模の会社の IT 責任者
自社で使っているものが積極的に悪用されていないか、毎週月曜に知りたい
Am I affected? ページで使っている製品を選び、Patch now のカードを読みます。作業を予定する前に、リンク先の CISA やベンダーの勧告で各項目を確認してください。公開インスタンスの閲覧は無料です。
Node と Python のサービスを複数保守するプラットフォームエンジニア
ロックファイルを既知の脆弱性や悪意あるパッケージと照合したい
package-lock.json や requirements.txt をスタック照合に貼り付けるか、コーディングエージェントから MCP サーバーの check_stack ツールを毎分 10 回の上限内で呼び出します。結果は OSV のデータベースに基づきます。
経営陣向けに週次ブリーフィングを書くセキュリティアナリスト
取締役会に届く前に、確認済みの漏えいと噂を切り分けたい
状態で絞り込み、Claimed と Disputed の項目はそのように明示し、引用は地図がリンクする元の提出書類と勧告だけにします。Valyu DeepResearch の要約は叩き台であり、費用はデプロイのキーに請求されます。
導入前に確認すること
- 導入
- Node 20 以上と pnpm を用意し、`pnpm install`、`.env.example` を `.env.local` にコピー、`pnpm dev` の順に実行します。Mapbox のトークンだけで地図は公開フィードを使って動きます。本番の初回ビルドではデータパイプラインが一度実行され、約 1 分かかります。
- 連携
- /api/mcp の読み取り専用 MCP サーバー、llms.txt、/fix/<CVE> の手順書、Claude Code、Codex、Cursor、Claude、ChatGPT へのディープリンクがあります。ニュース、回答、DeepResearch には valyu-js ^2.11.1 を使います。
- データとプライバシー
- 貼り付けたマニフェストは OSV と照合され、製品の選択にはアップロードが不要です。既定はセルフホストで、任意の Valyu アカウントモードではログインした訪問者自身のクレジットが使われます。コードは MIT、フォントは SIL Open Font License です。
- 大規模利用時のコスト
- Vercel でのホスティング（6 時間ごとの cron ジョブと 05:30 UTC の日次要約）に加え、Upstash Redis、Mapbox のトークン、ニュースと要約のレイヤー用の Valyu クレジットがかかります。ホスト型のプランはありません。
- 制限
- スナップショットは 10 分、フィードは 15 分で再検証され、リアルタイムではありません。NVD はキーなしで 30 秒あたり 5 リクエスト、CIRCL は匿名で毎分 20、キーありで 40 までです。
良い点
- 5 段階の状態ラベルで、確認済みの漏えいとリークサイト上の主張を区別
- CISA KEV、NVD、OSV、EPSS など 14 の公開ソースを利用
- 本番環境ではレート制限が安全側に倒れる（フェイルクローズ）
- 読み取り専用の MCP サーバーとエージェント向けのプレーンテキスト手順書
気になる点
- 2026年11月2日に作成されたばかりで、実績もリリースもない
- 集約した表示は遅れたり上流のデータを取りこぼしたりしうる
- 修正リンクはコーディングエージェントにプロンプトを渡すだけで、結果にはレビューが必要
- 本番デプロイには Upstash Redis とスケジューラーが必要
おすすめの人
今週悪用されている脆弱性や漏えいを、ソースにすぐ当たれる形で手早く視覚的に把握したいセキュリティエンジニアや IT 責任者。
Global Hack Mapの代替
Global Hack Map：よくある質問
- Global Hack Mapは使う価値があるか？
- 自分が何を知っているかについて珍しいほど正直で、公開からまだ 1 日ほどです。朝に眺めるダッシュボードとしては良いものの、引用元にするものではありません。 評価は5点満点中3.6点です。
- Global Hack Mapの料金は？
- MIT ライセンスで無料です。セルフホストには Mapbox のトークンが必要で、ニュースのレイヤーと調査要約は Valyu のクレジットを消費し、本番環境には Upstash Redis が必要です。
- Global Hack Mapの欠点は？
- 2026年11月2日に作成されたばかりで、実績もリリースもない; 集約した表示は遅れたり上流のデータを取りこぼしたりしうる; 修正リンクはコーディングエージェントにプロンプトを渡すだけで、結果にはレビューが必要; 本番デプロイには Upstash Redis とスケジューラーが必要.
- Global Hack Mapは誰に向いているか？
- 今週悪用されている脆弱性や漏えいを、ソースにすぐ当たれる形で手早く視覚的に把握したいセキュリティエンジニアや IT 責任者。
- チームや本番環境でGlobal Hack Mapを使うと費用はいくらか？
- Vercel でのホスティング（6 時間ごとの cron ジョブと 05:30 UTC の日次要約）に加え、Upstash Redis、Mapbox のトークン、ニュースと要約のレイヤー用の Valyu クレジットがかかります。ホスト型のプランはありません。
- Global Hack Mapは企業データを扱っても安全か？
- 貼り付けたマニフェストは OSV と照合され、製品の選択にはアップロードが不要です。既定はセルフホストで、任意の Valyu アカウントモードではログインした訪問者自身のクレジットが使われます。コードは MIT、フォントは SIL Open Font License です。
- Global Hack Mapの代わりになるものは？
- 当サイトでレビューした中で最も近い代替はcvENGINE 、 Global Threat Mapです。
回答確認日：2026年11月3日