Anthropicはなぜ異次元の速度で開発できるのか｜すてぃお
「Anthropic（Claudeを作っている会社）、開発が速すぎる」 最近、周りのエンジニアと話していると、この話題がよく出ます。僕も同じことを思っていて、いろいろ調べているうちに、単に「AIを使っているから速い」という一言では説明できない構造があることが見えてきました。 例えば、下記になります。 2026年Q1の3ヶ月で120以上の機能をリリース（18時間に1機能） エンジニア1人あたり1日約5PR（Pull Request、コードの変更を提出する単位） 社内では毎日60〜100回のリリース Claude Coworkは約10日で構築 Claude DesignはOpus 4.7のリリース翌日に公開 普通のソフトウェア開発企業の感覚からすると、明らかに異次元です。この記事では、公開されているインタビューや内部研究、関係者の発言をもとに、「なぜこんなことが可能なのか」というのを調べた限り
AIエージェントにユーザーを演じさせて業務をテストする
はじめに こんにちは、uchiです。株式会社ビズリーチのAI Product Studio（以下、APS）でエンジニアをしています。APSは2026年2月に新設された組織で、「AIでプロダクト創出を常態化する」をミッションに、現在はAIを前提とした開発プロセスの構築と新規プロダクト開発に取り組んでいます。 この記事では、APSでAI前提の開発フローを構築するなかで生まれた「Agentic UATスキル」を紹介します。AIエージェントに仕様を一切教えずエンドユーザーを演じさせ、業務を遂行できるかを自律的にテストする手法です。ソースコードを読ませず、UIだけを頼りに業務を進めさせることで、「テストは通るのにエンドユーザー視点では動かない」バグを人手を介さずに検出できるようになりました。 AIエージェントに実装全体を任せたある時、こんな事象が発生しました。 「ユーザーのステータス変更機能を実装し
WSL2からWindowsのブラウザやネイティブアプリをシームレスに起動する(BROWSER / xdg-open の活用) - Qiita
はじめに Windows 11上のWSL2にUbuntuなどのLinuxをインストールして開発環境を構築している方は多いと思います(便利ですよね)。 その際、ブラウザの運用方針は人によって分かれるかと思います。 WSL2上のLinux側にブラウザをインストールして完結させる(ただ、日本語という観点だと、Linux側にIMEをインストールするなど、ブラウザインストール以外の手間がかかります) WSL2上のLinux側にはブラウザをインストールせず、Windows側のブラウザをそのまま使う(今回はこちら) 特に後者の場合、CLIツールを使った認証などで少しつまずくポイントがあります。本記事ではその解決策と、さらに便利なWindows連携ツールへの応用を紹介します。 【2026/04/28】追記・大幅修正: いただいたフィードバックを反映しました 本記事の公開後、はてなブックマークにてフィードバ
200万行のテーブルにDDLを打つ前に知りたかったこと
クエリが遅くなった。直そう。ここから問題が始まる プロジェクト管理SaaSを1年ほど運用すると、Issueテーブルが200万行、変更ログテーブルが2000万行を超えてくる。ソフトデリートを採用していれば物理削除されないので、行数は増える一方だ。 最初の兆候はユーザーからの報告だった。「Issue一覧の読み込みが遅くて、フィルターを切り替えるたびに5秒くらい待たされるんですが」。スロークエリログを見ると、フィルター付きのIssue一覧クエリがp95で3秒を超えている。インデックスを追加すれば改善する。スキーマ変更も1つ控えていた。どちらもやること自体は明確だった。 問題は「200万行のテーブルにDDLを打つ」という行為そのものにあった。膨れ上がったテーブルに対するスキーマ変更は、パフォーマンスを改善するための作業が、新たな障害を引き起こす可能性を持っている。治療のための手術が患者を殺しかねな
ガバメントAI「源内」をオープンソースとして公開します｜デジタル庁
デジタル庁ガバメントAIリードエンジニアの大杉直也です。デジタル庁や中央省庁で展開中の生成AI利用環境の源内の一部を、商用利用可能なライセンスで公開を開始しました。 源内は大きく分けて2種類のシステムで構成されます。それぞれGitHub上で公開中です。 利用者が直接さわるWebアプリケーション（源内Web、genai-web）（※外部リンク） 生成AIを活用したマイクロサービス（行政実務用AIアプリ、genai-ai-api）（※外部リンク） 源内とは2025年5月に成立した「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）（内閣府）（※外部リンク）に基づき、同年12月に「人工知能（AI）基本計画」（内閣府）（※外部リンク）が閣議決定されました。この計画では、「隗（かい）より始めよ」の観点から、政府自らが先導的にAIを利活用する方針が示されました。政府職員によるAIの普段使
はてな、11億円の資金流出 振り込め詐欺か
インターネット関連事業を手掛けるはてな（京都市中京区）は4月24日、不正な送金指示によって約11億円の資金が銀行口座から流出したと公表した。第三者から虚偽の送金指示があったという。 4月21日に取引先銀行から不審な送金が行われていると連絡があり、確認すると4月20日と21日にある従業員のアカウントから銀行預金を外部の口座へ送金していた。その従業員に確認したところ、悪意ある第三者から虚偽の送金指示があったことが分かった。 はてなは、捜査機関へ全面的に協力するとともに、関係金融機関と被害回復に向けた措置を講じている。社内にも来栖義臣社長を中心とする対策本部を設け、外部の弁護士なども交えて事実関係の調査を進めるという。 なお、この事案に関連して個人情報や顧客情報の流出は24日時点で確認されていない。はてなの運転資金についても十分な流動性を確保しており、事業運営や資金繰りに支障はないとしている。
内閣官房から指名停止のIPA、再委託先デロイト傘下の不正な行為見つける
内閣官房が2026年4月に公表した指名停止措置の対象に、情報処理推進機構（IPA）の名があることがSNS（交流サイト）などで話題になっている。IPAが再委託先の契約違反行為を把握し、国家サイバー統括室へ報告したことが発端だった。委託先選定の難しさが浮き彫りになった。 「契約相手方として不適当である」――。内閣官房が2026年4月10日に公表した指名停止措置で、こう指摘されたのがIPAだ。指名停止期間は2026年4月10日から同年9月9日までの5カ月間。この間、内閣官房が実施する競争入札などに参加できなくなる。 IPAは経済産業省のIT政策実施機関として、セキュリティー関連の情報発信や評価制度の運営、デジタル人材の育成などを担う。企業に対し、委託先の情報セキュリティー対策などの啓発もしている。そうした立場のIPAが、なぜ指名停止措置を受けたのか。内閣官房国家サイバー統括室を2026年4月23
【2026年上半期】エンジニアが知っておくべき重大セキュリティインシデント8選 - Qiita
2026年に入ってからのセキュリティ状況は昨年にも増して深刻です。エンジニア2年目の自分が実際に追いかけていた案件・報道・公開レポートをもとに、2026年1〜4月の重大インシデント8件をまとめました。他山の石として参考にしてください。 1. 北米大手物流会社へのランサムウェア攻撃（1月） 概要: LockBit 4.0系の亜種が北米物流会社のVPNゲートウェイ（Fortinet製、CVE-2024-21762未適用）を突破。約3,200台のサーバが暗号化され、業務が72時間停止。 被害規模: 身代金要求額 $14M（約21億円）。実際の支払いは未確認だが、復旧コスト・機会損失で推定$40M超。 対策ポイント: VPN・ファイアウォールのパッチ適用を最優先タスクとして管理する バックアップはネットワーク隔離済みのオフラインストレージにも保持する EDRによるラテラルムーブメント検知ルールを整
OpenAIが文書中の個人名・メアド・電話番号などの個人情報をマスキングして流出を防ぐ「OpenAI Privacy Filter」をオープンソースでリリース
OpenAIがテキスト中の個人情報を検出してマスキングするモデル「OpenAI Privacy Filter」を公開しました。OpenAI Privacy Filterは個人を特定できる情報の検出と伏せ字化に特化した小型モデルで、未加工の文書を外部サーバーに送らずローカル環境で処理できる点を特徴としており、Apache 2.0ライセンスの下でGitHubとHugging Faceを通じて提供されています。 Introducing OpenAI Privacy Filter | OpenAI https://openai.com/index/introducing-openai-privacy-filter/ OpenAI-Privacy-Filter-Model-Card.pdf (PDFファイル)https://cdn.openai.com/pdf/c66281ed-b638-456a-
2026年、知っておくべき最新 サーバレスTips10選/serverless-10-tips
2026年、サーバーレスの現在地 -「制約と戦う技術」から「当たり前の実行基盤」へ- /serverless2026
Perry — TypeScript → Native
v0.5.306 — generational GC + lazy JSON tape default, faster than Node and Bun on most benchmarks One Codebase. Every Platform. Native Performance.Perry compiles TypeScript to native GUI and CLI apps on macOS, iPadOS, iOS, Android, Linux, Windows, watchOS, tvOS, WebAssembly, and the Web. No runtime. No Electron. Just native binaries.
60分で学ぶ最新Webフロントエンド
2026/04/16 に「技育CAMPアカデミア」で話したスライドです。2025 年のはてなインターンの講義資料 (https://speakerdeck.com/hatena/internship-2025-frontend) に手を加えたものになってます。 https://talent.sup…
deleted_atにインデックスを雑に貼ったら本番DBが死んだ
RDSが朝のピーク時間帯にI/Oスパイクで応答不能になりました。前日夜にリリースしたdeleted_atへの単独インデックスが原因です。stagingのEXPLAINでは複合インデックスが正しく選択されていたので、レビューでは検出できていません。 根っこにあるのはMySQL 8.0 innodb_stats_methodのデフォルト値nulls_equalと、IS NULLに対するコスト計算の噛み合わせです。8.0系で現在も未修正のバグに類する挙動で、NULL多数カラムへの単独インデックスがトリガーになります。 テーブルとクエリ 問題が起きたのはチケット管理SaaSのticketsテーブルです。ソフトデリートでdeleted_atを持つよくある設計です。 CREATE TABLE tickets ( id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT, w
「npm install」は任意コード実行のようなもの？ Trivyやaxiosへのサプライチェーン攻撃を踏まえた、開発環境への新たな向き合い方
「npm install」は任意コード実行のようなもの？ Trivyやaxiosへのサプライチェーン攻撃を踏まえた、開発環境への新たな向き合い方 （本記事はフリーランスライター 高橋睦美氏によるゲストポストです） 近年のソフトウェア開発では、ビルドやデプロイ、テストなどを手作業で行うのではなく、CI/CDパイプラインを構築し、パッケージマネージャを活用して依存するnpmパッケージなどを自動的に組み合わせて環境を構築し、リリースしていく手法が一般的だ。AIエージェントの進化によって、その傾向はさらに加速している。 しかし2025年以降、このプロセスを悪用したセキュリティインシデントが多発し、ソフトウェアサプライチェーン全体の信頼を揺るがしかねない状態となっている。 ソフトウェアサプライチェーンのセキュリティリスクが注目を集めるようになったのはこの10年あまりのことだ。Apache Log4j
Claude Codeの並列作業で「画面に張り付く」をやめるためにやったこと
Claude Codeを複数ペインで並列に動かしても、画面を見続けていたら1本しか進みません。 ターミナルを分割して3本のClaude Codeを起動する。すると承認ダイアログが出るたびに目が吸い寄せられ、エラーが出れば手が止まり、うまくいっているか気になって経過を眺めてしまう。結果、3本動いているのに実質1本分の生産性しか出ない。 並列数の上限はツール側にあるのではなく、「張り付き」という人間側のボトルネックにありました。この記事では、張り付きをやめるために自分がやったことを書きます。現在は5〜6本のワークストリームを同時に回しており、各ストリーム内でさらにサブエージェントが最大6本並列で動くこともあります。 「張り付き」が生まれる3つの原因 まず、なぜ画面から目が離せないのかを整理しました。 1. 承認ダイアログの待ち Claude Codeはデフォルトでファイル編集やコマンド実行のた
【必須】GitHubとnpmで脆弱なパッケージを入れないための防御設定 8選 - Qiita
はじめに こんばんは、mirukyです。 2026年3月31日、npmの Axios パッケージ（週間1億ダウンロード）がサプライチェーン攻撃を受けました。攻撃者はメンテナーへの標的型ソーシャルエンジニアリングでセッションを乗っ取り、悪意ある依存 plain-crypto-js を注入した axios@1.14.1 と axios@0.30.4 をレジストリに公開しました。このパッケージは postinstall フックで多段階RATを展開し、macOS・Windows・Linuxすべてに対応する本格的なバックドアを設置するものです。影響はOpenAIのmacOS署名パイプラインにまで及び、証明書のローテーションが実施される事態となりました。 OWASP Top 10:2025でも Software Supply Chain Failures（サプライチェーンの障害）が第3位 に新設される
病院でマイナンバーカードを読み取るやつをLinuxから叩く - 点と接線。
詳細は伏せるが、Panasonic製のやつ（XC-STFR2J-MN）を自由にいじる機会を得たので色々試した。病院に置かれている端末では特に主要なタイプの一つではないだろうか。従来の健康保険証が廃止されマイナンバーカードに事実上一本化された今日では、すでに多くの人々に馴染みのある端末と思われる。 こんな立派な機械を全国津々浦々、遍く病院にことごとく購入させ、補助金まで総動員して半ば無理やり運用を開始したほどなのだから、目に見える有用さをそのうち発揮してくれると嬉しい。幸いにして端末の扱い自体はとても楽で、ユーザ側の操作といえばカードを置いてボタンを押して、顔写真を撮らせて後はいくつかの質問に答えるくらいしかない。 これらの裏側では端末と繋がっているWindowsマシン上の管理ソフトウェアが、受け取った各種情報をよしなに処理している。実は端末本体にはCPUもストレージも単独でインターネットに
セキュリティエンジニアはこう見る。開発時に認可制御不備を怪しむべき実装パターン10選 - GMO Flatt Security Blog
はじめに こんにちは。GMO Flatt Security株式会社セキュリティエンジニアの村上です。入社してから5年ほどWebアプリケーションを中心に脆弱性診断を担当しています。 近年、言語やフレームワークの進化により、SQL Injectionなどの古典的脆弱性は減少傾向にあります。しかし、今なお変わらず検出され続けているのが「認可制御不備」です。対策をしようにも、特定の技術要素により発生するものではないため、どこで発生するか一見予測不能に見えます。しかし、我々のように常日頃脆弱性診断を行なっているセキュリティエンジニアの目線では、認可の設計が怪しい、この機能が悪用できそうといったことに気づくことがあります。 AIコーディングの普及により開発スピードは劇的に向上しましたが、生成される膨大なコードすべてに対して、人間がセキュリティを精査し続けることは困難です。一方で認可制御不備は、システム
axios, LiteLLM...不使用だったのでOK、ではない。「次に備える」ソフトウェアサプライチェーン侵害への対策
弊社ウェビナー ( https://flatt.tech/takumi/event/github-actions-compromise-202603 ) におけるCTO米内の講演資料です。 動画はこちら ( https://www.youtube.com/watch?v=ms8MkNmiejA )
axios乗っ取り事件の全容 — 39分間で何が起きたか、そして今すぐやるべき防御策 - Qiita
はじめに 2026年3月31日、npmパッケージ「axios」が乗っ取られました。 axiosはJavaScriptで最も使われるHTTPクライアントです。 週間ダウンロード数は1億回を超えます。 私自身、ほぼすべてのNode.jsプロジェクトで使っています。 事件を知ったとき、まず自分のプロジェクトを確認しました。 package-lock.jsonを開き、axiosのバージョンを探しました。 幸い影響を受けるバージョンではありませんでした。 しかし「もし週末にデプロイしていたら」と思うとぞっとしました。 この記事では事件の全容と技術的な仕組みを解説します。 そして「自分のプロジェクトは大丈夫か」を確認する手順を示します。 事件の時系列 攻撃は周到に準備されていました。 以下がUTC（日本時間に変換するには+9時間）での時系列です。 時刻 (UTC) 出来事
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
