Supercutの2026年11月セキュリティ通知を受け取った方へ：内容の意味と、ローカルな代替手段

Supercutの創業者であるDavid OkunievとNeil Kinnishは、すでに解決したとするセキュリティ上の問題について、顧客にメールを送りました。通知は、何が露出したか、そのキーにできたこととできなかったこと、そして会社がすでに変えたことを具体的に書いています。こうした率直な連絡は評価に値します。

2026年11月11日時点で、同じ本文はSupercutのブログ、変更履歴、公開ヘルプセンターには見当たらないため、以下のSupercutのキーに関する詳細は、2026年11月のSupercut顧客向けメール通知から取っています。その通知で名前が挙がったCIビルドツールのBlacksmithは、2026年11月6日に公開のステータス更新を出しています。

次の録画を自分のコンピュータに残し、自分のGoogle Drive経由で共有したいなら、私たちが勧めるのは ScreenKite です。

何が起きたか

Blacksmithによると、2026年11月5日、権限のない者が、同社のrunner上で動くCIジョブのコンソール出力（ジョブログ）を保存するシステムにアクセスしました。ステータス通知でBlacksmithは、当日中にそのアクセスを取り消したこと、同じ者による再侵入の試みは後で遮断されたこと、CIの実行自体は影響を受けなかったこと、当時の時点で顧客の露出がジョブログの保存領域を超えた証拠はなかったことを書いています。影響を受けたのはBlacksmithの顧客アカウントのおよそ2.6%に属するジョブログデータで、Blacksmithは該当する顧客それぞれに連絡したとしています。通知の公開時点でも調査は続いていました。

FloatLabs / Supercutの創業者David OkunievとNeil Kinnishが署名した、2026年11月のSupercut顧客向けメール通知は、この事象がSupercutにとって何を意味したかを補っています。通知によると、ソフトウェアのビルドに使っているツールBlacksmith.shでの侵害により、録画にアクセスするための非公開キーの一つが露出しました。11月8日、Blacksmithは、その署名キーが10月29日から11月4日の間の5回のデプロイ実行に出力されており、そのログ行のうち少なくとも3行が返されたと知らせました。Supercutは、把握した当日の朝、世界協定時11月8日08:22にキーを置き換え、キーが使われた証拠は見つかっていないとしています。

あなたにとっての意味

次の制限は推測ではなく、Supercutの通知そのものです。

• そのキーは、録画ファイルを読むリンクを作るために使えた可能性がありました。
• それらのファイルを変更したり削除したりはできませんでした。
• 録画を開くには、その録画の識別子も必要でした。
• そのキーには、ファイルを一覧する手段がありません。

Supercutは、キーが使われた兆候は見つかっていないとしています。録画を配信するサービス上のトラフィックと失敗リクエストの水準は、「直近4週間の通常範囲内にとどまり、クロール、列挙、一括ダウンロードのパターンはなかった」とあります。11月8日以降、同社はすべてのリクエストを記録しているとしています。古いキーを付けたリクエストはすべて拒否され、それらはすべて、自社アプリが以前に作ったリンクから来ていました。

通知は、その結論にも限度を付けています。11月8日より前は、録画を配信するサービスでリクエスト単位のアクセスログが有効になっていなかったため、「それ以前の少数の狙い撃ちリクエストを完全には排除できない」とあります。これはログ履歴の欠けであり、それらのリクエストが実際に起きたという証拠ではありません。

Supercutが行ったこと

同じ通知によると、Supercutは次を実施しています。

• 署名キーを置き換え、古いキーを削除した
• キーを出力しないよう、デプロイ手順を修正した
• デプロイパイプラインで使う他の認証情報を、予防的にローテーションした
• 録画を配信するサービスで、リクエスト単位のログを有効にした（11月8日以降）
• 署名キーとキー設定の変更に対するアラートを追加した
• CIログ内の秘密らしい出力を自動検出して警告する仕組みを有効にした
• CIをBlacksmithから移した

質問がある場合、通知はSupercutワークスペース内のチャットで連絡するよう求めています。OkunievとKinnishは、自分たちとチームが直接答える用意があるとしています。Supercutのチームページでは、両者がFloatLabsの創業者として掲載されています。

Supercutを使っている場合にできること

通知は、顧客に必須の対応を求めていません。以下は一般的な提案であり、Supercutからの指示ではありません。

• 11月8日以前のログに関する部分も含め、メール通知を最後まで読む。
• 残る疑問は、創業者の案内どおり、Supercutワークスペース内のチャットで尋ねる。
• すでに送った共有リンクを見直す。社内情報や顧客情報が入った録画はとくに注意する。
• ワークスペースで録画の差し替えや再共有ができるなら、いちばん機微な動画ではそれを検討し、古いリンクは使わなくする。
• ホストされたプレーヤーとは別に手元に置きたいものは、ローカルに書き出しておく。

これらは、見るべきでない人が録画を開いたと主張するものではありません。Supercutは、キーが使われた証拠は見つかっていないとしています。

ローカルな代替手段：ScreenKite

次の録画を自分のコンピュータに残したいなら、ScreenKite は自分のマシンで録画し、本物の複数クリップのタイムラインで編集し、自分で管理できるMP4を書き出します。共有は自分のGoogle Drive経由です。誰かに見てもらうために、ファイルをベンダーの録画配信サービスに置いておく必要はありません。

ScreenKiteはmacOS（macOS 15以降、Apple SiliconとIntel）とWindows向けのネイティブな画面録画ツールで、無料で使え、書き出しには透かしが付き、Proを一回購入すると外れます。ScreenKite Proはデバイス3台分で$99.99の一回払い、更新はありません。アカウントが必要です。AI料金は$0です。

Apple、Reddit、HubSpot、GitHubの人たちがScreenKiteを使っています。詳しくは screenkite.com を参照してください。

どのように作られているか

当時、画面録画ツールでは必要なカットができず、クリップをFinal Cutに渡し、カットを直し、アニメーションが壊れ、また書き出していました。ツールは二つ、支払いは二回、午後が一つ消える。ScreenKiteは、あの日に欲しかったツールです。

• 一つのアプリで録画と編集。 本物の複数クリップのタイムラインが組み込まれているので、動画全体を一つの場所で仕上げられます。macOSでは、ScreenKiteは録画をデフォルトでMP4として保存します。
• 編集機能はすべて無料。 無料の書き出しには透かしとアウトロが付きます。Proがそれらを外します。
• 一回払い。 $99.99の一回払いでデバイス3台まで、更新はありません。サブスクリプションはありません。
• 使っているAIエージェントを持ち込む。 Claude Code、ChatGPT Codex、Antigravity、Grok Build、Kimiが、MCPまたはCLI経由でエディターを操作します。ScreenKiteのAI料金は$0です。エージェントの提供元が、独自のプラン料金を請求する場合があります。
• 専用の編集ツール83個。 数万時間の映像編集の実践から作られています。
• 自分のGoogle Driveから共有。
• ネイティブmacOSとネイティブWindows。

欠点は？ 欠点は、ほとんど欠点がないことです。私たち自身が動画クリエイターなので、ユーザーに必要なものを誰よりも分かっています。

ScreenKite は macOS と Windows の両方でネイティブに動作します。テストでもユーザーの声でも電光石火の速さです。普段使っている AI エージェント（Claude Code、ChatGPT Codex、Antigravity、Grok Build、Kimi）でタイムライン編集もできます。カットを言葉で伝えれば、エージェントがトリムします。

SupercutとScreenKite

事実

• 製品： ScreenKite
• プラットフォーム： ネイティブmacOS（macOS 15以降、Apple SiliconとIntel）とネイティブWindows
• 価格： 無料で使え、書き出しには透かしとアウトロが付きます。$99.99の一回払いでそれらを外し、デバイス3台まで、更新はありません。アカウントが必要です。
• AI： 自分のエージェントを持ち込む：Claude Code、ChatGPT Codex、Antigravity、Grok Build、Kimi。AI料金は$0。
• 確認日： 2026-11-11

よくある質問

古いキーでSupercutの録画が開かれた、と示されていますか。

いいえ。2026年11月のSupercut顧客向けメール通知は、キーが使われた証拠は見つかっておらず、トラフィックと失敗リクエストの水準は直近4週間の通常範囲内だったとしています。あわせて、11月8日より前はリクエスト単位のアクセスログが有効でなかったため、それ以前の少数の狙い撃ちリクエストを完全には排除できないとも書いています。

露出したキーには何ができましたか。

通知によると、録画ファイルを読むリンクを作るために使えた可能性がありました。それらのファイルを変更・削除することはできず、ファイルを一覧することもできず、録画を開くにはその録画の識別子も必要でした。

Supercutの顧客なら、何をすべきですか。

まずは通知にある公式の経路から始めてください。Supercutワークスペース内のチャットを使います。一般的な提案として、既存の共有リンクを見直し、ワークスペースが許すなら機微な録画の再共有を検討し、自分で持っておきたい動画はローカルに書き出しておく、という進め方があります。

Blacksmithはこの件について公開していますか。

しています。Blacksmithは2026年11月6日に公開ステータス通知を出し、公式アカウントも同じ冒頭の事実をXで共有しています。その通知が扱うのはジョブログの保存領域で、Supercutの名前は出ていません。

この通知を読んだうえで、なぜScreenKiteを使うのですか。

録画を自分のコンピュータに残し、自分のGoogle Driveからリンクを共有したいなら、ScreenKiteはその形で作られています。編集機能はすべて無料で、$99.99の一回払いでデバイス3台分の書き出し透かしが外れ、更新はありません。

まとめ

Supercutの創業者は、何が露出したか、キーにできなかったこと、すでに直したこと、ログ履歴のどこが不完全かを顧客に伝えました。明確な通知です。ローカルで録画・編集し、自分のGoogle Drive経由で共有したいなら、ScreenKiteを試してください。