Cloud Infrastructure & Platform Engineering / Generative AI / Three Dogs Labs代表 / 韓ドラ好き "We believe in rough consensus and running code." — David Clark
Tokyo, Japan
Joined March 2007
- Tweets11.8K
- Following2.5K
- Followers818
- Likes27.6K
信じられないくらい、不祥事続いてる
KDDIのauペイ地図サイトに、個人事業主の住所や電話番号を同意なく掲載か #ldnews news.livedoor.com/article/de…
MetaのAIアシスタント「Muse」が日本で使えるようになった。Museのアカウントが「こんにちは日本！」と投稿し、毎日の作業を手伝うとのこと。
あわせて、1PasswordがMuseに組み込まれる。Museがサイトにサインインするときは、ログインごとに本人が承認し、パスワードは保管庫に置いたまま使える。今後数日で全プラットフォームに広がるとのこと。
一方で今週、共有したアーティファクトのURLの一部がパッシブDNSから見つけられる設計上の問題が報告され、共有がいったん止められた。問題は直り、共有も再開している。
修正前に共有したアーティファクトは新しいURLに変わり、古いリンクを開くと新しいリンクを共有者から受け取るよう案内が表示される。チャットの共有は対象外とのこと。
以前に共有したリンクがあるなら、新しいURLを送り直しておくと安心できる。
#Muse #Meta #AIアシスタント #1Password
xitter.cf/Muse/status/2113404740…
こんにちは日本！
I came to eat sashimi and assist you in your everyday tasks...
and I’m all out of sashimi.
download here: muse.ai 🇯🇵
技術評論社から『実践TypeScriptバックエンド開発：データと関数によるドメインモデリングで堅牢性を高める』が10月26日に発売される。著者は木村彰宏さん。
型で意図を表し、関数でロジックを組み立てて、複雑な業務ドメインをコードに落とし込む方法を解説している。
データと振る舞いを分ける設計、Resultを使った戻り値でのエラー処理、Zodでのスキーマバリデーション、集約とリポジトリ、ドメインイベントやAlways-Valid Domain Modelまで扱う。
後半では、依存注入やヘキサゴナル・アーキテクチャ、Railway Oriented Programmingでのユースケース実装、Drizzle ORMとHonoでの入出力も取り上げるとのこと。
B5変形判376ページで、3,520円（税込）。
DDDをオブジェクト指向だけで進めることに限界を感じている人が、TypeScriptで堅牢なバックエンドを組む手がかりになる。
#TypeScript #DDD #関数型プログラミング #技術書
amazon.co.jp/dp/429715725X?t…
技術評論社から『ハーネス＆ループで自走するAI駆動開発── 要件定義からテストまでをClaude Codeで実践』が11月13日に発売される。著者はサイオステクノロジーの武井宜行さん。
揺れやすいLLMを、コマンド、スキル、サブエージェント、フック、権限といったしくみで縛り、ワークフローを毎回同じように回す「ハーネス」の考え方を解説している。
ターンベース、ゴールベース、時間ベース、プロアクティブの4つの型で、ハーネスをどう繰り返し回すかのループ設計も扱う。
最後はそれらを1つに束ねたプロジェクトテンプレートとして示し、ToDoアプリで要件定義からテストまでを一周するとのこと。
サンプルはPythonだが、扱うのは言語に依らない設計の型。A5判176ページで、2,750円（税込）。
AIにどこまで、どうやって安全に任せるかを、感覚ではなくしくみで決められる。
#AI駆動開発 #ClaudeCode #生成AI #技術書
amazon.co.jp/dp/4297160439?t…
インプレス NextPublishingから『実践AI駆動開発 壊れにくいコードを生むための設計者思考』が10月23日に発売された。著者はいのうえたかひろさん。
コード生成AIで実装は速くなったが、設計や要件定義がおろそかになると、プロジェクトが崩れやすくなる。本書は、AIを使いながら壊れないシステムを作るための、人間側の設計と判断を解説している。
「発送完了通知の改修」という事例を軸に、要件定義から実装、リリース後の運用まで、各工程で決めるべき判断基準を示すとのこと。
AIに嘘をつかせない技術、AIのコードのレビュー、AIとチーム開発などの章があり、プロンプト例やチェックリストも載っている。
印刷版は132ページで2,200円（税別）、電子版は2,000円（税別）。
AIに丸投げせずに、技術的負債をためない開発の進め方を身につけられる。
#AI駆動開発 #生成AI #ソフトウェア設計 #技術書
amazon.co.jp/dp/429560545X?t…
OpenJS Foundationが、ドイツのSovereign Tech Agencyから11万5,000ユーロの支援を受けて、脆弱性を非公開で直すべきかどうかをNode.jsで検証する研究を始めると発表した。
AIで脆弱性が見つかる速さと件数が増え、同じ問題が複数の研究者やAIからほぼ同時に報告されて、メンテナーの負担になっているとのこと。
まず脆弱性をリスクで分類するしくみを作り、公開の場で直してよいものと非公開で扱うべきものを分ける。AIのツールが重複の検出や分類を手伝い、最終判断はメンテナーが行う。
分類器を実運用の前に影で評価してから、Node.jsで公開修正と従来の非公開手順を比べる試験運用を行い、問題があれば非公開に戻せるようにする。
報告から修正リリースまでの時間や重複報告、メンテナーの手間などを測り、手法と結果は他のオープンソースでも使えるガイドとして公開するとのこと。
どの脆弱性を公開で直せるかの判断材料が増え、修正が早く届くようになる可能性がある。
#Nodejs #OpenJS #セキュリティ
openjsf.org/blog/sovereign-t…
Auth0が、B2B SaaS向けの認証の土台をTerraformでまとめて作れる「Terraform Auth0 Modules」を公開した。
最初のモジュール「b2b-saas-starter」はTerraform Registryで使え、moduleブロック1つでアプリ、API、ロールと権限、MFA、攻撃対策、カスタムドメイン、顧客ごとのエンタープライズSSOまで用意できるとのこと。
APIのRBAC強制、PKCEとリフレッシュトークンのローテーション、ブルートフォース対策や漏洩パスワード検知、TOTPのMFAが最初から有効で、どれも入力で上書きできる。
顧客ごとにOrganizationを分けてSAMLやOIDCのSSOをつなげ、新しい顧客はリストに1件足して適用するだけで追加できる。
同じテナントで複数のアプリを動かす場合は、manage_*の入力でテナント全体の設定を1つのインスタンスに任せられる。
アプリごとに同じ認証設定を一から書き直さずに、安全な初期設定から始められる。
#Auth0 #Terraform #認証
auth0.com/blog/terraform-aut…
Vercelが、期限のない固定のAPIキーやパスワードをやめて、OIDCの短命トークンを標準にする方針を発表した。
1,000社以上のSaaSを調べたところ、安全な認証方式に対応していたのは8.4%だけだったとのこと。
Marketplaceの提供元は、米国時間2026年11月30日までにVercelからのOIDC認証に対応しないと、掲載ページに「Not secure」の表示がつく。2027年1月までに安全な認証を用意しない提供元は掲載から外される。
あわせて、提供元向けに信頼ポリシーの設定フォームとトークン検証コードをまとめたshadcn/uiのレジストリ「OIDC UI」を用意し、Vercel APIやCLIでもOIDC対応を広げるとのこと。
Vercel Connectを使えば、アプリやエージェントが実行時に必要な権限だけのトークンを取得でき、環境変数に長期のシークレットを置かなくて済む。
キーが漏れたときの被害を小さくでき、面倒なキーのローテーションからも解放される。
#Vercel #OIDC #セキュリティ
vercel.com/blog/death-to-lon…
Bun v1.4.4で、コードフォーマッター「bun fmt」が組み込まれた。
Prettier互換で、今あるPrettierやoxfmtの設定をそのまま読み込み、JavaScript、TypeScript、CSS、HTML、Vue、Svelte、Markdown、YAMLなど多くの言語を整形できるとのこと。
--stagedでコミットするファイルだけを整形して、lint-stagedなしでも使える。--checkは何も書き換えずに、整形が必要なファイルの一覧を返す。
インポートの並べ替えや、Tailwindのクラス、package.jsonの並べ替えも組み込みで、プラグインを入れなくてよい。
ほかに、型チェックのbun checkの高速化、Yarn Berryのロックファイルの移行、bun installの再試行の改善、TLSやWebSocketなどのセキュリティ修正も入っている。
フォーマッターを別に入れなくても、Bunだけでコードの見た目をそろえられる。
#Bun #JavaScript #TypeScript #Prettier
bun.com/blog/bun-v1.4.4
JetBrainsが、CTOやテックリード向けの「Air Governance」をリリースした。
会社全体でAIの利用状況を追い、アクセス、ポリシー、支出をまとめて管理できる仕組みで、LLMの提供元も開発ツールも選ばないとのこと。
JetBrains自身が、AIの予算がどこに消えたかを突き止めるのに4日かかった経験から作ったという話も添えられている。
ドキュメントによると、ユーザーやサービスアカウントごとにAIクレジットの月の上限を決められ、使える MCPサーバー、エージェント、LLMをチームごとのポリシーで絞り込める。
誰がどのエージェントやセッションでクレジットを使ったかも分析画面で確かめられる。
AIの請求が膨らんでも、どこで使われたかをすぐに突き止めて手を打てる。
#JetBrains #AIガバナンス #開発ツール
xitter.cf/jetbrains/status/21132…
CircleCI CLIのv1.11.0に、circleci notification slackコマンドが追加された。
これまでプロジェクトごとに画面で設定していたSlack通知を、スクリプトでまとめて設定できるとのこと。
set --channelでプロジェクトをチャンネルにつなぎ（プライベートチャンネルはID指定）、--disableと--enableで設定を残したまま通知を止めたり再開したりできる。
getで今の設定を確認でき、--jsonを付ければスクリプトで扱いやすい。deleteでチャンネルの設定を外せる。
使うには、CircleCIのSlackアプリを入れておく必要がある。
プロジェクトが多くても、Slack通知の設定を一度のスクリプトでそろえて管理できる。
#CircleCI #CI #Slack #DevOps
circleci.com/changelog/
BuildkiteのCI用キャッシュ「Buildkite Cache」が、ホスト型とセルフホスト型のエージェントで正式提供になった。
Buildkiteエージェントのbuildkite-agent cacheコマンドとして組み込まれていて、依存関係のダウンロードからビルドのコマンドまるごとまで、前のジョブがした作業を使い回せるとのこと。
ロックファイルのチェックサムやOSなどからキーを作り、作業の前にrestore、後にsaveを呼ぶ。キーが完全に一致しなくても、近い新しいキャッシュから始められる。
cache execを使うと、入力ファイルが前回成功したときと同じならコマンド自体を動かさず、成果物とログを復元する。
キャッシュポリシーで、フォークからのプルリクエストなど信頼できないコードがmainやリリース用のキャッシュに書き込めないようにもできる。
ホスト型のエージェントならそのまま使え、セルフホスト型はS3かS3互換のバケットを使う。エージェントはv4.0.3以降、cache execはv4.2.1以降が必要。
毎回くり返していた依存関係のインストールやビルドを飛ばせるので、CIの待ち時間を短くできる。
#Buildkite #CI #DevOps
buildkite.com/changelog
GitHubのプルリクエストの「Files changed」ページで、レビューを楽にする改善が2つ入った。
1つ目は空白の差分の表示設定で、Settings → Whitespace changesから「常に表示」「常に非表示」「この差分だけ非表示」を選ぶと、自分の設定としてすべてのプルリクエストに適用されるとのこと。
空白を隠しているときはAll commitsの横に「Hide whitespace」のフィルターが表示され、そのXを押せば、保存した設定を変えずに一時的に空白を表示できる。ファイル数や差分の統計も、表示している差分に合わせて変わる。
2つ目は分割表示の改善で、新しく追加したファイルや削除したファイルが、統合表示と同じように2列分の幅いっぱいに表示される。
空白の設定を毎回切り替える手間がなくなり、新しいファイルも折り返しが少ない広い画面で読める。
#GitHub #プルリクエスト #コードレビュー
github.blog/changelog/2026-1…
GitHubが、Copilot BusinessとCopilot Enterpriseで、正式提供中のCopilot機能に全体のデフォルトポリシーを適用し始めた。
10月26日（米国時間）までに順次広げるので、会社ごとに適用されるタイミングは違うとのこと。
未設定のまま残っている対象の機能は、選んだデフォルト（有効、無効、各組織に任せる）に合わせて1回だけ設定される。その後デフォルトを変えても、すでに決まった設定は変わらない。
個別に有効や無効を選んでいる機能はそのまま残り、プレビュー機能は引き続き自分で選んで使う形になる。
対象は「Features & clients」と「MCP servers in Copilot」の設定で、AI Controls → Copilot → Default policy for new featuresから確認できる。
適用される前にデフォルトを確かめておけば、知らないうちに機能が有効や無効に切り替わって驚かずに済む。
#GitHub #GitHubCopilot #DevOps
github.blog/changelog/2026-1…
GitHubが、github.comのGitHub Actionsで使うblobストレージのエンドポイントを追加し、meta APIにも新しいホストを載せた。
容量と信頼性を高める取り組みの一環とのこと。
ネットワークの許可リストでActionsのblobストレージを通している会社は、productionresultssa30〜49と、productionresultssa100〜199（どちらも.blob.core.windows.net）を許可に加える必要がある。
productionresultssa*.blob.core.windows.netをワイルドカードで許可していれば、何もしなくてよい。
ホストを1つずつ許可している場合は、追加しないとジョブのサマリーやログが途切れるおそれがある。
許可リストを先に直しておけば、ある日突然Actionsのログが見られなくなって慌てずに済む。
#GitHub #GitHubActions #DevOps
github.blog/changelog/2026-1…
CISAとカナダのサイバーセキュリティセンターなどが、AIのトークン消費を管理するための共同ガイダンス「Managing AI Token Consumption for Operational Resilience」を公開した。
外部のAIサービスはトークン単位で課金されるので、消費を管理しないと、コストが膨らんで読めなくなったり、性能が落ちたり、トークンを使い切ったりするおそれがあるとのこと。
トークンを使い切らせるdenial-of-tokensや、料金をかさませるdenial-of-walletのような攻撃にもつながる。
対策として、大事な業務へのトークンの割り当てを優先し、効率のよいワークフローを組み、プロンプトの書き方を工夫し、キャッシュや使い回せるコンテキストを使い、送る前にデータを整え、消費量を継続して見張ることを挙げている。
重要インフラを運用する会社には、AIに頼っている重要な業務を洗い出し、障害や混雑でAIが使えないときの備えをするよう勧めている。
トークンの使い方を見直しておけば、AIの請求額が急に跳ね上がったり、肝心なときに止まったりするのを防げる。
#CISA #生成AI #セキュリティ #AIガバナンス
cisa.gov/resources-tools/res…
Unit 42が、AIのサイトビルダーで作られたフィッシングページの特徴をまとめた。
こうしたページは、ほぼすべてが他のサイトと重ならない独自のDOMハッシュを持つので、1ページから作ったハッシュのルールでは他のコピーを見つけられないとのこと。
Next.jsやVite/Reactの構成を使う割合は26.2%で、AIを使わないビルダーの3.2%より高い。
入力された認証情報をTelegramやDiscordに直接送るコードを含む割合も29.0%で、AIを使わないビルダーの15.9%より高い。
見分けるには、正規化したページのハッシュやスクリーンショットの似具合、ビルダー自身が残す目印を手がかりにするよう勧めている。
ハッシュに頼った検知だけでなく見た目やビルダーの目印も使えば、AIで量産された偽ログイン画面も拾いやすくなる。
#Unit42 #フィッシング #セキュリティ #生成AI
github.com/PaloAltoNetworks/…
