GitHub上のsensitive dataを削除するための手順と道のり | メルカリエンジニアリング
Advent Calendar day 7 担当の vvakame です。 予告では Apollo Federation Gateway Node.js実装についてポイント解説 としていましたが、社内各所のご協力によりAdvent Calendarの私の担当日に間に合う形で公開できる運びとなりました。そのため告知とは異なりますが GitHub上のsensitive data削除の手順と道のり をお届けしていきたいと思います。 メルペイVPoE hidekによるday 1の記事で振り返りがあったように、今年、弊社ではCodecovのBash Uploaderに係る情報流出という事案が発生しました。当該インシデント対応において、プレスリリースにも記載のある通り、ソースコード上に混入してしまった認証情報や一部個人情報などの機密性の高い情報（sensitive data）について調査を実施し、対応
GitHub Copilot制限へ、2026年1月以降の週次運用コストがほぼ倍増したことを受けて課金方式をトークンベースへと段階的に移行か
GitHubがGitHub Copilotの個人向けプランについて、新規申し込みの停止、利用制限の厳格化、利用可能モデルの見直しを2026年4月20日に発表しました。GitHubは「今回の措置は既存ユーザー向けの安定した提供体制を守るため」としていますが、別の報道では「GitHub Copilotの週次運用コストが2026年1月以降ほぼ倍増しており、Microsoftが将来的にトークンベース課金への移行を検討しているため」と伝えられています。 Changes to GitHub Copilot plans for individuals - GitHub Changelog https://github.blog/changelog/2026-04-20-changes-to-github-copilot-plans-for-individuals/ Changes to GitHub C
gh コマンドでエージェントスキルをインストール・管理できるようになった
スキルをインストールする スキルを検索する それでは gh skill コマンドを使ってスキルをインストールしてみましょう。GitHub 上で公開されているスキルを探すには gh skill search コマンドが使用できます。もしくは skills.sh のようなスキルカタログサイトを参照しても良いでしょう。ここでは例として React に関するスキルを検索してみます。 gh skill search react 上記のコマンドを実行すると、GitHub Code Search API を通じて公開リポジトリ全体から、スキル名や説明に "react" というキーワードを含む SKILL.md が検索されます。検索結果からそのままチェックを入れてインストールできます。 スキルの内容を確認する ここでは https://github.com/vercel-labs/next-skills
GitHub Copilot CLI で個人タスク管理をやってみる
はじめに 普段、私は仕事の作業メモやドキュメントを git リポジトリで管理していて、タスクは GitHub Issues + GitHub Projects で管理しています。フォルダーの命名規約に issue 番号を含めることでタスクと作業ファイルの紐づけを行い、YAML で工数データを記録し、GitHub Copilot の skill でその使い方を教えているので、Copilot にタスクの状況を聞いたり新しいタスクを作ったりといったことが自然言語で出来るようになっています。 今回は、その仕組みからタスク管理の部分だけを抜き出したものを再実装してリポジトリとして公開したので、その中身を紹介していこうと思います。 タスク管理の仕組み このリポジトリでは、GitHub Issues と GitHub Projects を使ってタスクを管理します。 まず、goal ラベルを付けた iss
GitHub - redwoodjs/agent-ci: Agent-CI is local GitHub Actions for your agents.
Run GitHub Actions on your machine. Caching in ~0 ms. Pause on failure. Fix and retry — before you commit, before you push. Agent CI is a ground-up rewrite of the GitHub Actions orchestration layer that runs entirely on your own machine. It doesn't wrap or shim the runner: it replaces the cloud API that the official GitHub Actions Runner talks to, so the same runner binary that executes your jobs
GitHub - microsoft/apm: Agent Package Manager
An open-source, community-driven dependency manager for AI agents. Think package.json, requirements.txt, or Cargo.toml — but for AI agent configuration. GitHub Copilot · Claude Code · Cursor · OpenCode · Codex Documentation · Quick Start · CLI Reference Portable by manifest. Secure by default. Governed by policy. One file describes every agent's context; one command reproduces it everywhere; one p
個人的GitHub Copilotの使い方メモ：VS Code・CLI・Cloud・Review・Spaces（2026/4時点）
はじめに こんにちは！サロンスタッフ予約サービス「minimo」でエンジニアをしている Nozomuts です。 個人的に GitHub Copilot（以降: Copilot）にとてもお世話になっているので、自分なりの設定や良いなと思っている点をメモとしてまとめてみました！（2026/4 時点） 長めの記事なので、気になるところから拾い読みしてもらえればと思います。 基本的なことも多いですが、どなたかの参考になれば嬉しいです！ 要約 いまの GitHub Copilot は、補完やチャットだけでなく、VS Code、CLI、Copilot cloud agent、Code Review、Spaces まで含む広い構成になっています。 この記事では、Copilot の全体像を整理したうえで、自分が実際に効いていると感じている VS Code 設定、CLI の使い分け、Copilot clo
GitHub Stacked PRs
Arrange pull requests in an ordered stack and merge them all in one click. Each PR represents one focused layer of your change, reviewed independently and landed together. Navigate between PRs in your stack from the GitHub UI, check the status of every layer at a glance, and trigger a cascading rebase across the entire stack with one click.
Updates to GitHub Copilot interaction data usage policy
Today, we’re announcing an update on how GitHub will use data to deliver more intelligent, context-aware coding assistance. From April 24 onward, interaction data—specifically inputs, outputs, code snippets, and associated context—from Copilot Free, Pro, and Pro+ users will be used to train and improve our AI models unless they opt out. Copilot Business and Copilot Enterprise users are not affecte
GitHub Actions の cron にタイムゾーンが指定できるようになった、が。。。
tl;dr GitHub Actions: Late March 2026 updates - GitHub Changelog GitHub Actions のスケジュールワークフローに、タイムゾーンが指定できるようになった 今のところそんなに必要でもないかなって スケジュールワークフロー GitHub Actions の on.schedule に cron 式を書くと定期実行ができる ずいぶん長いこと UTC 固定だった 日本の場合 +9:00 なので、期待する日本時間の9時間前を書いておく必要があった これからはこう書ける on: schedule: - cron: "0 1 * * *" # UTC 1:00 → JST 10:00 # ↑ を ↓ こう書いていい - cron: "0 10 * * *" timezone: "Asia/Tokyo" 言うほど便利か timezo
GitHub Actions の式構文はスクリプトインジェクションの温床になる
はじめに GitHub Actions の actions/github-script や run: ブロックで ${{ }} を使うとき、多くの開発者がセキュリティリスクを見落としています。PR の自動タグ付けやリリースノート生成など、よくある CI ワークフローにもこのリスクは潜んでいます。 筆者が Go で書かれたコード生成ツールの CI ワークフローをセキュリティレビューした際、この問題を実際に発見しました。本記事では攻撃手法と対策を具体的なコード例とともに解説します。 ${{ }} の展開はテンプレートエンジンそのもの GitHub Actions の式展開 ${{ }} は、ワークフロー実行前にテキスト置換されます。 if: 条件で使う場合は式として評価されるため安全ですが、run: ブロックや script: の中で使うと、展開結果がそのままシェルコマンドや JavaScri
GitHub Actions 互換のローカルタスクランナーを作った
TL;DR - ローカル実行できる GitHub Actions Runner GitHub Actions のワークフローをローカルで実行するツール actrun を作りました。 MoonBit で書いてクロスコンパイルしてるので、 npx, native, docker いずれでも使えます。 # npx（インストール不要） npx @mizchi/actrun .github/workflows/ci.yml # curl curl -fsSL https://raw.githubusercontent.com/mizchi/actrun/main/install.sh | sh # npm npm install -g @mizchi/actrun # Docker docker run --rm -v "$PWD":/workspace -w /workspace ghcr.io/
OSSにおけるAI Slop問題の何が問題なのか？
Honoは2021年の12月に開発が始まって4年と少し経つ。たぶん、あなたが想像する以上に大きくなっている。GitHubのスターは現時点で29.2K。これは日本人発OSSで観測する限り第3位の数字だ。最近ではMCP公式SDKの依存に入り、ダウンロード数はうなぎのぼり。月間1億ダウンロードが近い。Cloudflareは多くのプロダクトでHonoを使っている。 これだけ大きな規模のOSSに、クリエーター、もしくはメンテナとして関わることは非常に貴重な経験である。そこにはみなさんが見ていない景色が広がっている。 Honoの開発において「憂鬱な」こともたくさんある。ただ、それを上回る楽しいことがある。そうやって相殺してきた。ところが最近、4年間で一番憂鬱なタイミングきている。俗に言うAI Slop問題である。 今回は、OSSにおけるAI Slop問題について、実体験を元に何が問題なのかを語ってみた
Claude Code Action のプロンプトを GitHub Issue で柔軟に管理する
こんにちは。ナレッジワークの torii です。 ちょっと変わった Claude Code Action の使い方をしてみたので紹介します！ Claude Code Action で Pull Request にチェックリストを投稿する Claude Code Action を使うと、GitHub Actions で Claude Code を動作させて Pull Request のレビューなどをさせることができます。 この記事では細かい使い方は紹介しません。なぜなら Claude Code に頼めばすぐにワークフロー定義を YAML で書いてくれるからです（笑） 依頼している内容自体は本題ではないのですが、簡単に何をしたのかということを説明します。 やったことは、Pull Request に対して「AI によるレビューがしにくい部分」を「人間が確認する」ためにチェックリストを投稿すること
自分のOSSリポジトリにGitHubのセキュリティ設定を入れ、自分用の手順書を作った - $shibayu36->blog;
昨今GitHub上で提供されている有名なOSSに対して攻撃がなされることが多い（例: Nxの2025/08の事例）。自分もそこから学び、最低限GitHub上でセキュリティ周りの設定を入れた方が良いと考えた。 設定を考えるにあたって、とくに次の3つの記事が参考になった。 リポジトリを保護するためのクイック スタート - GitHub ドキュメント Nx の攻撃から学べること #s1ngularity | blog.jxck.io GitHub の Immutable Releases を有効にしてセキュリティインシデントを防ごう これらを参考にAIと協力して最低限のセットアップドキュメントを作ったので共有する。もっとこういう設定を入れるべきなどあれば、教えてもらえると嬉しい。 GitHub OSS セキュリティ最低限セット チェックリスト [ ] Dependabot Alertsを有効化
GitHub Copilot CLIが、すべての有料プラン向けに一般提供（GA）を開始
ターミナルネイティブのコーディングエージェントであるGitHub Copilot CLIが、すべてのGitHub Copilot有料プラン向けに一般提供（GA）を開始しました。 GitHub Copilot CLIは、GitHub Copilotのパワーをコマンドラインに直接届けるターミナルネイティブのコーディングエージェントで、すべてのGitHub Copilot有料プラン向けに一般提供（GA）を開始しました。 2025年9月のパブリックプレビュー開始以来、皆さまのフィードバックをもとに数百の改善を行ってきました。GitHub Copilot CLIは、ターミナルアシスタントから本格的なエージェント開発環境へと進化しました。計画、ビルド、レビュー、セッション間の記憶保持まで、すべてターミナルから離れることなく実行できます。 主要なアップデートのハイライトをご紹介します。 ターミナルでのエ
DependabotのSecurity Alertで作られたPRをいい感じにする - くりにっき
tl;dr; モチベーション 技術的なこと 注意点 苦労したポイント One more thing 2026/2/20 23:50追記 tl;dr; 自分が管理してるOSSで Dependabot Security Alert で作られたPRに対して自動でタイトルにCVE IDをつけたりsecurityラベルをつけられるようにしました モチベーション PRのタイトルにCVE IDを書いておくとリリースノートでオートリンクされて便利です。 今まではDependabot Security Alertが作ったPRに対して手でタイトルを修正をしてたのですが、自動化の機運が高まったのでやりました。 技術的なこと dependabot/fetch-metadata で alert-lookup: true をつければGHSA ID（ https://github.com/advisories 上のID
GitHub Agentic Workflowsを発表 - リポジトリの自動化を実現
Author Don Syme Peli de Halleux GitHub Agentic Workflowsがテクニカルプレビューとして登場。GitHub Actionsでコーディングエージェントを使用し、意図駆動型の自動化を構築しましょう。トリアージ、ドキュメント作成、コード品質向上など、さまざまなタスクを自動化できます。 朝、リポジトリを訪れて、穏やかな気持ちになれることを想像してください。なぜなら： Issueがトリアージされている。 CIの失敗が説明され、修正が提案されている。 ドキュメントがコードの現状を反映している。新しい分析により、品質とツールの改善点が示されている。 テストを改善する2つの新しいプルリクエストがレビューを待っている。 すべてが可視化され、検査可能で、あなたが定義した境界内で動作している。 これがGitHub Agentic Workflowsのビジョンで
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub Copilot Chat Cookbook - GitHub Docs
GitHub - mizchi/actrun: GitHub Actions compatible local runner
