こんにちは！株式会社エーアイセキュリティラボのはるぷと申します。 一般ユーザーがコマンド一発でrootを取れてしまうLinuxカーネルの脆弱性、CopyFail (CVE-2026-31431) が話題になっています。AIによって発見された論理バグで、汚しても問題ないEC2環境を作って実際に検証してみました。 この脆弱性は、 一般ユーザーがroot権限に昇格できる というものです。実行条件がとても簡単なので話題になりました。ざっくり仕組みを言うと、algif_aead・authencesn・splice() システムコールの組み合わせによって、メモリ上のページキャッシュを直接書き換えられてしまう、というものです。 脆弱性の発生原理は元記事の解説に任せ、ここではPoCで何が起きているのか中心に解説します。 TL;DR PoC を動かすと、一般ユーザーから1コマンドで root が取れる ディ

はじめに こんにちは、サイオステクノロジーの小野です。 Kubernetesを利用する中で、yamlファイルの差分を確認することがよくあります。 差分確認コマンドと言えばdiffコマンドが一般的ですが、yamlファイルは行単位ではなく設定単位で比較を行いたいケースが多いので、diffコマンドを使うのが難しいです。 そんな時に役立つdyffというツールをご紹介します。 dyffとは dyffはテキストの「行」ではなく「データ構造（意味）」に基づいてYAMLやJSONファイルを比較するコマンドラインツールです。 dyffは以下の特徴があります。 キーの順序を無視して比較 人間が読みやすい出力形式 ツール連携 dyffインストール方法 dyffのインストール方法について詳しくは公式のリポジトリを参照してください。 バイナリファイルを用いてインストールする場合、以下のように実行します。 $ cur

perfプロファイリングの結果、CPU時間の55%がPostgreSQLのユーザースペーススピンロック（s_lock）で消費されていることが判明した。PREEMPT_LAZY環境下で、ロック競合が劇的に悪化している。原因はプリエンプションモデルの制限問題の根源は、Linux 7.0のrc1で導入されたカーネルスケジューラの変更にある。Intelのカーネルエンジニア、ペーター・ジルストラが作成したコミットが、利用可能なプリエンプションモードを制限した。 従来、Linuxカーネルはサーバー向けに「PREEMPT_NONE」（プリエンプションなし）というモードを提供していた。スループット最大化を優先し、カーネルがタスクを途中で中断しない設計だ。データベースサーバーのように、CPUを長時間占有する処理には理想的なモードだった。 Linux 7.0では、x86やARM64などの主要アーキテクチャでP

ネットワーク管理者の悩みとして、ネットワーク構成図を更新するのが面倒だということがあります。「Scanopy」は、ネットワークをスキャンしてホストやサービスを検出し接続関係をインタラクティブに可視化するツールです。一度設定すればメンテナンスは不要で、ネットワーク構成図を自動的に更新することができます。 Scanopy - Automatic Network Documentation https://scanopy.net/ ◆デモ https://demo.scanopy.net/ ◆設定方法 今回は自宅のネットワークを対象に設定します。Scanopyの公式ページのメニューから「Get Started」をクリック。 登録フォームが表示されるので、「What should we call your organization?」に組織名を入力、「Network name」にネットワーク名を入

「ブラウザ自動化」の限界を解消？　Googleが新標準「WebMCP」早期プレビュー公開：AIエージェントがWebサイトを直接操作するための2つのAPIを提案 Googleは、AIエージェントがWebサイトと構造化された方法でやりとりするための新しいWeb標準「WebMCP」の早期プレビュー版を公開した。Web開発者がAIエージェント向けにツールを公開することで、AIエージェントがより高速かつ正確に処理を実行できるようになるという。

はじめに 最近、他チームのエンジニアが「Playwright で書いた E2E テストを OWASP ZAP に通して脆弱性診断をやってみた」という話を聞きました。 「E2E のシナリオってそのまま脆弱性診断にも使えるの？」 気になったので自分でも試してみました。その記録です。 やったこと（全体像） シンプルな Todo アプリを題材に、以下の流れで試しました。 1. Next.js で Todo アプリを構築 2. Playwright で E2E テスト（12シナリオ）を作成 3. バックエンドを FastAPI + MySQL に変更（Docker） 4. E2E シナリオを ZAP プロキシ経由で実行 → 脆弱性診断

概要 ChatGPTやGeminiが登場してから、世界中で生成AIブームが続いています。代表的な使い方として、文章の要約やアイデア出しなどが有名です。一方、その理由（Why）を正しく説明できる人は、実はそれほど多くありません。 本書は、生成AIの基本に立ち返り、類書で取り上げられない理屈（Why）に注力して解説します。生成AIの入門からシステム導入までに必要なエッセンスを厳選し、図解も交えながら1冊で体系的にまとめています。 はじめに、生成AIの仕組みや基本的なプロンプト手法をわかりやすく説明します。続いて、生成AIの応用技術であるRAGとAIエージェントを取り上げ、その本質的な仕組みや主要なサービスについて解説します。最後に、生成AIを仕事で使いこなす・システム導入するための具体的なアクションプランを紹介します。 目次 第1章　まずは生成AIの基本を知ろう！ 1.1　生成AIと大規模言語

トップエスイー実践講座 第6巻 並行システムの検証と実装 形式手法CSPに基づく高信頼並行システム開発入門 https://www.kindaikagaku.co.jp/book_list/detail/9784764904354/ スライド内の Communicating Sequential Process (CSP) の読みやすい参考文献です。

はじめに 「ControllerやUseCase層のテストは壊れやすい」「だからDomain層のテストを手厚く書くほうがいい」みたいな話を耳にし少し心がざわついたので本当にそうなのかを考えてみた。テストが壊れやすいのはモックを使いすぎているとか振る舞いをテストしていないとかそんな理由があったように記憶している。 今テストについて学ぶなら「単体テストの考え方/使い方」から学ぶのがいいでしょう。しかし、モックについて学ぶなら「単体テストの考え方/使い方」が推す古典学派とは異なるロンドン学派の考え方も学んだほうが良いかもしれません。そして、ロンドン学派のテストの考え方を学ぶなら「実践テスト駆動開発」を読むのがいいでしょう。 本記事ではこの2冊の技術書を改めて学び、単体テストについて考え直すとともに壊れやすいテストについて考えてみたいと思います。 この記事は主に以下のスクラップの内容をまとめたもの

HIRANO Ai | MVP 👉 ❤️ SharePoint @ai_yamasaki やったー！ Microsoft Teams の Enter キーによる誤送信防止機能がいよいよロールアウトされてきた🥰🥳 「設定」>「チャットとチャネル」から構成できる。 Enter キーを押したときに新しい行を開始するように指定しよう!! pic.x.com/ryxjXLswjD 2026-02-28 16:13:00

前橋赤十字病院、「ランサムウェアは防げない」前提の“医療を止めない”データ復旧を整備：CiscoとCohesityでバックアップと検知、復旧を構築 医療機関を標的としたランサムウェア攻撃が国内外で相次いでいることを踏まえ、前橋赤十字病院はバックアップと復旧、脅威検知などの対策を導入し、サイバーレジリエンスの体制を見直した。

この時代において cron は、軽量・シンプル・依存関係なしという 非常に優れた設計でした。 cron の「通知」はログではなくメール cron は「ログを溜める」より「異常を通知する」発想でした。典型的には stdout/stderr をメールで送るのが当時の設計です。 2. crontab の何が問題だったか？ cron は長年使われてきましたが、現代のサーバ運用では次の問題が顕在化しました。 問題① 実行されたか分からない（状態がない） cron には「実行履歴」という概念がありません。 成功したか？ 実行されたか？ 何秒かかったか？ これらを OS 側で追跡しません。 問題② ログが自動で残らない（可観測性が低い） cron は標準でログを「保存」しません。 そのため実務ではよく次のようになります。 出力先は人力 ローテーションも自前 失敗検知も自作 運用が属人化しやすいのが問題で

【AI駆動開発】100ページ超のPDFをMarkdownに変換してAIに読ませる方法 はじめに 最近、大規模システムの引き継ぎ案件を受けました。 その案件はAI駆動の進め方が許可されていたので早速AIを利用して、引き継ぎどんどん進めていくぞ！ と思ったのですが、いくつか困ったことがありました。 そう、資料のほとんどがエクセルで構成されているのと、外部API仕様書のほとんどが100P以上あるPDFデータになっていました。 AIを利用する上で、エクセルなどはもちろんのこと、重厚長大なPDF資料を読み取ることも苦手でございます。 なので、各種ファイルをAIが読みやすい資料にするべく、マークダウンの形式に書き換えていく必要があります。 今回はその中でもPDFをマークダウンに変換する処理についてを紹介できればと思います。 この記事の最後に「ワークフロー」と「Pythonスクリプト」を載せています。

Sponsored · SiteGround - Reliable hosting with speed, security, and support you can count on. →

[2025-12-16 追記] 手っ取り早く手元で使いたい方は「6.1. drawio のインストール」を済ませてこちらの記事をチェック！ 1. はじめに 株式会社GENDA データエンジニア / MLOps エンジニアの uma-chan です。 この記事は GENDA Advent Calendar 2025 シリーズ4 Day 12 の記事です。 1.1. この記事について Claude Code に draw.io 形式の図を描かせようとすると、意外とハマりポイントが多いです。 フォントが反映されない 矢印がラベルと被る テキストが意図しない改行をする 本記事では、私が実際にプレゼン資料の図を Claude Code に描かせる中で学んだコツをまとめます。 1.2. なぜ Claude Code に draw.io を描かせるのか draw.io の GUI で図を作成するのは時間

はじめにTechnology Innovation Groupの神崎です。 フューチャー社内の有志のメンバーでAWS設計ガイドラインを作成しました。 この記事では、ガイドライン策定の目的と、その内容を抜粋して紹介します。 ガイドライン策定の目的詳細はガイドライン冒頭に記載していますが、ベストプラクティスを形式知化していくというのが第一の目的です。第二に、設計のベースラインを提供することで、システム固有で考えるべきところ（すなわち設計作業で重要なところ）に時間が使えるようにして、結果として設計品質を底上げできることを目指しています。 そのため、システムを跨いで再利用可能な部分に特に着目しています。 ちなみに、Geminiにガイドラインの目的を問うたところ次の回答でした。上記の思いやエッセンスは取り込めているのではないかと思います。 クラウドファーストが標準となり、システム構築においてAWSを

１．証券口座を開く ２．NISA一般枠（NISA成長投資枠）で一括購入 ３．積み立てNISA（NISA積み立て投資枠）で投資 〇iDecoについて 〇手もと現金について 〇将来 １．証券口座を開く 三大ネット証券、楽天証券、SBI証券、マネックス証券のいずれかがいい。 基本は楽天かSBIから選ぶのだけど、この2社は結構システム変更があった。情報を追いかけるのが面倒なので、個人的にはマネックス証券をお勧めする。ネット証券の黎明期からずっと安定して営業してきて、これまで大きな変更が少なかった印象。 銀行でも投資できるけど、ネット証券は0.03～0.3％程度のポイントが付くのが馬鹿にならない。1000万×10年なら3～30万円の違い。 ２．NISA一般枠（NISA成長投資枠）で一括購入 年間最大の240万円分を　eMaxis slim世界株式インデックス（除く日本）　に投資する。 日本を除くのは