【GitHub Actions】actions/checkout には persist-credentials: false を設定するべき
on: push jobs: example: runs-on: ubuntu-latest steps: # persist-credentials 未設定 - uses: actions/checkout@de0fac2e4500dabe0009e67214ff5f5447ce83dd # v6.0.2 # `${{ github.token }}`, `${{ secrets.GITHUB_TOKEN }}` を使用せずに # ファイル経由で GitHub トークンを抜き取る - run: | GH_TOKEN=$( cat "$RUNNER_TEMP"/git-credentials-*.config \ | awk 'NR==2 {print $5}' \ | base64 --decode \ | cut -d: -f2 ) # 最初の 10 文字だけ出力 echo "gith
GitHubに機密情報をpushしてしまった日のために — 無効化、履歴除去、多層防御の組み立て方
はじめに GitHubに機密情報が混入してしまったとき、最初に取るべき行動は履歴削除ではありません。漏れたものが何なのかで対応の順序が大きく変わります。本記事では、GitHub Enterprise CloudやGitHub Enterprise Serverを前提に、機密情報の混入を止める仕組みと、混入してしまったあとに残存物を取り除くための作業を、コマンドが手元で再現できる粒度で整理します。 GitHub Docsの該当ページは、漏えいしたものが認証情報であれば、まず無効化やローテーションを行うべきだとしています。無効化できれば履歴の書き換えまで踏み込まなくてよい場合もあります。一方で、個人情報や顧客情報、秘密鍵、設定ファイル、社内URL、証明書のように、ローテーションができないか、残っていること自体が問題になるデータは、Git履歴やGitHub上のPR参照、キャッシュ、fork、cl
VSCode 1.118 のアップデートがアツすぎ
2026年4月29日にリリースされた VSCode 1.118。 今回のリリースは Github Copilot の使い方の解像度がワンランク上がる内容だった。 正直、値上げのインパクトを相殺して余りあるほどの内容だと思う。 トークンベースへの課金への移行が発表されたタイミングで、トークン効率の改善が複数入ってきたのも印象的。 個人的に刺さったものから順に紹介していく。 1. スキルの実行を別コンテキストで独立させられるようになった これ、地味に見えて本質的なアップデートだと思っている。 カスタムスキルを使い込んでいると気づくのだが、スキルが複数のツールを呼び出したり大量の参照ドキュメントを取り込んだりすると、メインのチャットコンテキストがどんどん汚染される。その結果、スキルを呼んだ後の通常の質問への回答が明らかに鈍くなったり、前のスキル実行の残滓を引きずったりする。 今回、SKILL.m
GitHub上のsensitive dataを削除するための手順と道のり | メルカリエンジニアリング
Advent Calendar day 7 担当の vvakame です。 予告では Apollo Federation Gateway Node.js実装についてポイント解説 としていましたが、社内各所のご協力によりAdvent Calendarの私の担当日に間に合う形で公開できる運びとなりました。そのため告知とは異なりますが GitHub上のsensitive data削除の手順と道のり をお届けしていきたいと思います。 メルペイVPoE hidekによるday 1の記事で振り返りがあったように、今年、弊社ではCodecovのBash Uploaderに係る情報流出という事案が発生しました。当該インシデント対応において、プレスリリースにも記載のある通り、ソースコード上に混入してしまった認証情報や一部個人情報などの機密性の高い情報（sensitive data）について調査を実施し、対応
自己評価をGitHub Copilotで半自動化したら、忘れていた貢献まで掘り起こされた
はじめに：「自己評価、来月末までに提出してください」 毎年この時期になると、エンジニアのTeamsに静かな絶望が漂います。 「自己評価、来月末までに提出してください」 本業のコードは書けます。設計もレビューもできます。でも「この半年間の自分の貢献を、評価者（上司）が判断しやすい形で言語化してください」というタスクには、異常なほど手が止まります。 理由は明快です。人間の記憶は、アーカイブではなくキャッシュだからです。 半年前にこっそり直した型定義の整理、リリース直前に発見して修正したバグ、レビューで何度も指摘した設計の一貫性——これらは、記憶の彼方に消えています。残るのは「なんとなく頑張った」という感覚だけ。 そして人は、感覚で評価票を書きます。 今期、自分はそれをやめました。そして、AIを使うこと自体が「評価される行動」になりつつある時代に、その判断は結果的に正しかったと思っています。 「
GitHub Copilot CLI の /fleet が面白い
はじめに GitHub Copilot CLI の /fleetがおもしろいです． 名前だけ見ると「並列で動くモードなんだな」ぐらいですが， 実際に触ってみると，効くかどうかは prompt の切り方 で大きく変わってきます． 雑に投げるとあまり速くならないですし， うまく分解できるように書くと「これは気持ちいいな」という挙動をしてくれますと思います． 今回は，公式ドキュメントと GitHub Blog の /fleet 記事を見直しながら， /fleet が何をしているのか，どういう prompt だと並列化しやすいのか， そして どんな使い方があるのか について書いてみようと思います． /fleet って何がうれしいの？ /fleet は，Copilot CLI に対して「この大きめの仕事を，分解できるなら分解して，並列で進めてね」と渡すためのコマンドです． たとえば，こんな感じです．
OSSにおけるAI Slop問題の何が問題なのか？
Honoは2021年の12月に開発が始まって4年と少し経つ。たぶん、あなたが想像する以上に大きくなっている。GitHubのスターは現時点で29.2K。これは日本人発OSSで観測する限り第3位の数字だ。最近ではMCP公式SDKの依存に入り、ダウンロード数はうなぎのぼり。月間1億ダウンロードが近い。Cloudflareは多くのプロダクトでHonoを使っている。 これだけ大きな規模のOSSに、クリエーター、もしくはメンテナとして関わることは非常に貴重な経験である。そこにはみなさんが見ていない景色が広がっている。 Honoの開発において「憂鬱な」こともたくさんある。ただ、それを上回る楽しいことがある。そうやって相殺してきた。ところが最近、4年間で一番憂鬱なタイミングきている。俗に言うAI Slop問題である。 今回は、OSSにおけるAI Slop問題について、実体験を元に何が問題なのかを語ってみた
GitHub - mitchellh/vouch: A community trust management system based on explicit vouches to participate.
A community trust management system. FAQ · Cookbook · Contributing People must be vouched for before interacting with certain parts of a project (the exact parts are configurable to the project to enforce). People can also be explicitly denounced to block them from interacting with the project. The implementation is generic and can be used by any project on any code forge, but we provide GitHub in
息子さんのOSSの為に死亡証明書を下さい
この記事はLivetoon Tech Advent Calendar 2025の7日目の記事です。 はじめに こんにちは！ AIキャラクターアプリkaiwaを開発している株式会社Livetoonの開発マネージャーの土川です。 kaiwaの公式サイト 今回のアドベントカレンダーでは、LivetoonのAIキャラクターアプリのkaiwaに関わるエンジニアが、アプリの話からLLM・合成音声・インフラ監視・GPU・OSSまで、幅広くアドベントカレンダーとして書いて行く予定です。 是非、publicationをフォローして、記事を追っていって見てください！ 明日は弊社CTOの「【Livetoon TTS】最強の日本語TTSを支える技術」です！ なんの話？ RustOwlという、Rust向けのOSSがあり、その「Successor」になったよという話です。 簡単に言うと「Successor」は、Git
分断されたAIコーディング界隈を統合する「Agent HQ」 GitHubが新構想を発表
分断されたAIコーディング界隈を統合する「Agent HQ」 GitHubが新構想を発表：利用状況の可視化やAIアクセスを管理する新たな機能もリリース GitHubは、OpenAIやAnthropicなどの主要なAIコーディングエージェントを統合する「Agent HQ」構想を発表した。AIの利用状況の可視化やAIアクセスを管理する機能も提供するという。 GitHubは2025年10月28日（米国時間）、主要なAI（人工知能）コーディングエージェントをGitHubに統合する「Agent HQ」構想を発表した。 Anthropic、OpenAI、Google、Cognition、xAIなど、各社がコーディングエージェントをリリースしている。GitHubは「現在のAIを取り巻く環境は、Git登場以前の混沌とした世界をほうふつとさせる。開発者は強力なAI機能にアクセスできるが、それぞれが連携せず、
OSS開発の刺し身タンポポ作業を解消するためにsashimi_tanpopoを作った - くりにっき
sashimi_tanpopoについて なぜ作ったか 作る時に考えたこと 採用言語について Itamaeを使うかどうか 1. オーバースペック 2. Itamaeは動的にパラメータを設定できない Itamaeとの差分 glob対応 実行時引数で渡せるようにした その他の工夫ポイント レシピファイル内で普通にRubyが書ける CIで使いやすくした 余談 名前について リポジトリをたくさん作った sashimi_tanpopoについて ファイルを特定のルールで編集して差分があった時にPull RequestやMerge Requestを作るためのgemです。 github.com この例を見てもらうのが手っ取り早いと思います。 # recipe.rb update_file ".ruby-version" do |content| content.gsub!(/^[\d.]+$/, param
【binaryまで読んで理解する】Javaでゼロから作るgit add - Qiita
この記事について 新卒で入社したBrainpadのプロダクト開発エンジニアグループには、自由発表会（後述）というものがあり、そこで自分が約2年前に発表した内容を載せてみようと思ってできた記事になります。 自由発表会とは、新卒1年目の研修やOJTが終わった頃に毎年行われているもので、新卒がそれぞれ気になっていることを発表する会になります。 発表した内容というのは、「Javaでgit add を実装してみた」というものでこのページの流れは以下で進めていきます。 Gitの内部構造の説明 実装・テスト デモ Gitとは Gitは、プログラムのソースコードなどの変更履歴を記録・追跡するための分散型バージョン管理システムである 引用：https://ja.wikipedia.org/wiki/Git 要は、エンジニアの必須のツール （ 小話 ） Gitの名前の由来 Gitは、「ばか」「間抜け」という意
ghtkn でローカル開発用に GitHub Access Token をセキュアに生成して PAT から卒業する
ローカル開発のために GitHub App からセキュアに User Access Token を生成する CLI である ghtkn を紹介します。 まとめ ghtkn は Device Flow を用いて GitHub App から User Access Token を生成する CLI セキュアなローカル開発を実現 No More Personal Access Token Personal Access Token と違い短命 (8時間) な access token GitHub App とユーザー両方が持ってる権限しか持たず、両方がアクセスできるリポジトリにしかアクセスできない Secret manager を用いて access token を管理 プレインテキストや shell の環境変数に access token を露出しないため、流出リスクが低い 複数の GitHub
GitHub Desktop を模したマルウェアダウンロードの誘導に関する注意喚起 | セキュリティブログ | 脆弱性診断（セキュリティ診断）のGMOサイバーセキュリティ byイエラエ
GMO イエラエSOC くまさか, 小林 です。 9月上旬より、弊社SOCにて、開発エンジニアを狙ったと思われる攻撃を観測しました。 本攻撃では、GitHub Desktop をダウンロードするユーザをターゲットとして、正規リポジトリのREADME.mdに書いてあるダウンロードリンクを装って悪意のあるURLに誘導するテクニックが使われています。 近年では、ClickFix, FileFixという攻撃手法も話題になり、システムの脆弱性を突くのではなく、人間を騙し、操作を誘導する形で目的を達成しようとする攻撃が発生しています。今回ご紹介する手法もユーザの操作を誘導する形であり、注意が必要です。 ”” 本テクニックを「Repo Squatting」とし、2026年1月23日のJSAC2026にて、本マルウェア配信手法とその有効性について、詳細な調査内容を発表しました。スライドはこちらからご覧いた
GitHub製Spec駆動開発支援ツールSpec Kitをいろいろ試してみる
びーぐるです🐶 2025年9月2日、GitHubからSpec Kitがリリースされました。 このツールはSpec駆動開発(Spec-Driven Development: SDD)を支援するツールですが、これがGitHubからリリースされたことに大きな意味があります。 今回はこのSpec Kitについて調査し、実際にSpecファイルを作成してKiroとの比較を行いたいと思います。 更新履歴 2025/09/06 公開しました 2025/09/18 Cursorに対応をした件を追記しました Spec Kitとは？ 冒頭で述べた通り、GitHubがリリースしたSpec駆動開発を支援するツールです。 これ自体で動作するわけではなく、他のコーディングエージェントにSDDを組み込むためのアドオンのような位置づけになります。 組み込めるコーディングエージェントは GitHub Copilot Cla
GitHub の Immutable Releases を有効にしてセキュリティインシデントを防ごう
先日 (2025-08-26) public preview になった GitHub の Immutable Releases を紹介します。 このセキュリティ的に極めて重要な機能が普及してほしいという気持ちで書くことにしました。 まだ public preview なので早いかもですが、 GitHub でソフトウェアをバージョニングして公開している方は是非全リポジトリで有効にしましょう。 Immutable Releases は GitHub Tag や Release, Release assets を後から変更できないようにする機能です。 tag や assets が改竄されることによるセキュリティインシデントを防ぐことができます。 最初に注意点を挙げておきます: draft release は mutable draft でない release には後から asset を uplo
Nx の攻撃から学べること #s1ngularity | blog.jxck.io
Intro Nx リポジトリが攻撃を受け、広範囲にわたるインシデントが発生した。 今回の事例は、GitHub Actions を中心に複数のステップが組み合わさった攻撃であり、過去に何度も発生してきた攻撃と本質的には変わらない。 しかし、途中で AI が何度か登場するため「AI が書いたコードをマージしたから」などといった表面的な反応もあるが、実態はそこまで単純な話でもない。 また、「自分のプロジェクトは Nx を使っていないから関係ない」とも言えない攻撃であるため、特にフロントエンドエンジニアは全員注意と確認が必要となる。 この攻撃が何だったのか、そこから学べることは何なのか、解説する。 Nx Incident 今回のインシデントについては、既に公式の Advisory が出ている。ニュース系の記事も多々あるが、一次情報は以下となる。 Malicious versions of Nx a
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - gemini-cli-extensions/conductor: Conductor is a Gemini CLI extension that allows you to specify, plan, and implement software features.
GitHub - github/copilot-cli: GitHub Copilot CLI brings the power of Copilot coding agent directly to your terminal.
GitHub - dkamm/pr-quiz: A GitHub Action that uses AI to generate a quiz from your pull request
