Linuxを揺るがす脆弱性「Copy Fail」が発見。わずか732バイトでroot権限が奪取される衝撃 | ソフトアンテナ
Linuxエコシステムの根幹を揺るがす新たな脆弱性が報告されました。Xint Codeが公開した新しい脆弱性、通称「Copy Fail(CVE-2026-31431)」は、わずか732バイトの短いPythonスクリプトを実行するだけで、一般ユーザーが最高権限(root)を奪取できるという衝撃の内容となっています。 Ubuntu、RHEL、Amazon Linux、SUSEといった主要なディストリビューションのすべてが影響を受け、2017年以降にリリースされたほぼすべてのシステムで悪用が可能という、極めて広範囲かつ危険なバグとして注目を集めています。 脆弱性の核心：ページキャッシュへの侵入 この問題の根本的な原因は、Linuxカーネルの暗号化サブシステム(AF_ALG)と、データを効率的に転送する仕組みであるsplice()システムコールの組み合わせにあります。 通常、Linuxではファイル
黙れ小僧！仕様駆動開発が俺たちの開発を救えるか！ - 理系学生日記
近頃もてはやされる仕様駆動開発とやら。お前に俺たちの開発が救えるか。 見よ、仕様駆動開発の名を騙るものを その仕様、まことに人の言う仕様か 仕様だけにすがって、生きられるか 曇りなき眼で考える、仕様駆動開発のあり方 まとめ 見よ、仕様駆動開発の名を騙るものを ここ一年ほどで、「仕様駆動開発をやるべきだ」という声をよく聞くようになりました。けれど、聞くたびに少し引っかかるものがありました。たぶん理由は単純で、「仕様駆動開発」と言いながら、その「仕様」が人によって全然違うからです。要件を指している人もいれば、設計を指している人もいる。ひどいときには、願望とTODOと擬似コードまで全部まとめて「仕様」と呼ばれている。 仕様、便利すぎる。便利すぎる言葉は、たいてい危ないです。名をひとつ与えれば、何かを分かった気になれる。しかし実際には、その中でまだ整理されていない意図も、対立した前提も、言葉になっ
米Anthropic調査「プログラマーはAIに職を奪われる、バーテンダーへ転職がおススメ」
米Anthropicは、8万1000人のAIユーザーを対象とした労働市場への影響調査結果を公表した。デジタル環境での作業が多い職業ほど雇用の伸びが鈍化し、仕事が代替されるリスクが高い。一方で物理作業を伴う約3割の職業はAIの影響を受けにくい。またAIにより個人のタスク処理速度は向上するものの、その分業務量や残業が増える矛盾や、企業がAIにより置換された人的リソースの振り分け行わず、コスト削減のツールとして使用している現状も明らかになった。 米Anthropicが発表「AIに奪われる職業と奪われない職業」 米Anthropicは、大規模言語モデルが労働市場に与える影響を測定する新指標と、自社AIモデル「Claude」のユーザー8万1000人を対象とした調査結果を公表した。調査報告書ではAIによる影響の受けやすさを数値化した「曝露度」という独自の指標を設定し、AIの普及が仕事の生産性に与える影
【こわい】Google APIキーの脆弱性により13時間で約900万円請求される事案が発生！ Firebase×Geminiで今すぐやるべきセキュリティ対策 - Qiita
同様の被害は他にも報告されており、13,428USD、82,000USDといった請求がそれぞれ別のユーザーから寄せられています（調べると結構出てきます）。 下の方のredditでは、このままでは倒産してしまう、というかなり悲痛な声があります。82000USDは約1200万円なので、当然でしょう、、。普通にサイバー犯罪の被害者なので、FBIにも相談したみたいです。 本題に戻ると、予算アラートが間に合わなかったのは、Google Cloudの請求システムに構造的な遅延があるためです。公式ドキュメントには最大10分程度と記載されていますが、実際には 数時間遅れ で発火するケースも報告されています。アラートだけでは、この種の攻撃に対して本質的に無力です（これはGCPに限った話ではありません）。 実はこの問題は、2025年11月にセキュリティ企業Truffle Securityが Googleの脆弱
Claude Codeで実際に起きたセキュリティ事故7選と防止策 - Qiita
Claude Codeで実際に起きたセキュリティ事故7選と防止策 「Claude Code は便利だけど、なんとなく怖い」——この感覚は正しいです。強力なツールは強力な事故を起こします。実際に開発現場で起きがちなケースを7つ取り上げ、原因と防止策を解説します。 事例1: .env ファイルをGitHubにプッシュ 「CI に環境変数を渡したいので .env もコミットして」という指示で、Claude Code が素直に git add .env && git commit を実行。数分でクローラーが APIキーを検出。 防止策: .gitignore に追加 + Hookでコミット前チェック // .claude/settings.json { "hooks": { "PreToolUse": [ { "matcher": "Bash(git add*)", "hooks": [{ "ty
AIによるセキュリティリスクがあるとしてオープンソースソフトウェア「Cal.com」がクローズドへ移行決断
スケジュール管理ツール「Cal.com」の創業者であるベイリー・パンフリート氏が、これまでオープンソースだったCal.comをクローズドソースに移行するに至った理由を語っています。 Cal.com Goes Closed Source: Why AI Security Is Forcing Our Decision | Cal.com - Scheduling Software for Online Bookings https://cal.com/blog/cal-com-goes-closed-source-why AI is killing Open Source – Bailey Pumfleet is explaining how Cal.com is close-sourcing their app - YouTube パンフリート氏はCal.comを創業した当初から会社の中核
PATも秘密鍵も管理せずにGoogle CloudからGitHub APIにアクセスする - 10X Product Blog
Google Cloud上のアプリケーションからGitHub APIにアクセスするとき、PATあるいはGitHub AppのInstallation Access Tokenが必要となります。しかしPATはユーザに紐付くため管理が厄介ですし、Appを作れば秘密鍵の管理について考えなければなりません。 この記事では、すでに運用しているOcto STSとGoogle CloudのOIDC ID Tokenを組み合わせることで、新たなGitHub Appを作らずにGitHub APIへのアクセスを実現した事例を紹介します。10XではOcto STSを使ったToken運用の改善で紹介したように、GitHub Actions上での社内の様々なユースケースでGitHub AppのInstallation Access Token（以下GitHub App Token）の発行にOcto STSを活用して
超一流クライアントから解約通知を受けました……。 - Everything you've ever Dreamed
先日、超一流クライアントから給食委託契約（社員食堂）の契約解除を通知された。メールか封書で通知してくれればいいのだが、対面で直接伝えたいと一流の心遣いをしてくださったので一級建築士設計の一流の作りのビルで会うことになった。なお当社上層部は同行を拒否した。嫌な話は聞きたくないそうです。二流だ。 一流ブランドのスーツを着た担当者からあらためて説明を受けた。説明をされても解約は解約である。話を聞いて「そうですか」と肩を落とした。同行した部下は沈痛な表情を浮かべていた。当該部下は一流沈痛マン。沈痛な表情に定評があるので連れてきたのである。重苦しいムードを作り上げてくれる当社の切り札だ。「何とかなりませんか」とあがいてみた。担当者は「解約条項に則った解約です。決定事項です」と冷たく言い放った。隙のない一流の回答。次の業者は決まっていて、すでに裏では動いているという話だった。一流は裏工作も一流だ。「わ
Linuxに移行してもう1年、戻れなくなった話
WindowsやMacからLinuxに完全に移行して1年が経ちました。 最初は「本当に大丈夫かな」と不安もありましたが、今では「もう他のOSには戻れない」と思うほど気に入っています。 そんな私がWindowsやMacを使っている人にLinuxに来ないかという布教活動です！ なぜLinuxに変えたのか 日常の開発でアプリをキーボードだけで切り替えたいというのがきっかけです。MacやWindowsでもできたのですが動作が遅かったからです。 開発効率が大きく向上 Webアプリやクラウドサービス、Dockerは基本的にLinuxネイティブです。 そのため、Windowsで開発していると頻発する 「自分のマシンでは動くけど本番で動かない」という問題がほぼなくなりました。 （出典: Docker公式ドキュメント） さらに、パフォーマンス面でもメリットがあります。 大規模コードのコンパイルでは、Linu
Claude Code を Level 5 まで育てたら、開発が「指示と確認だけ」になった — 実ファイル構成で解説 - Qiita
この記事は約5分で読めます。 筆者プロフィール: ソフトウェアエンジニア。「知った気にならない。いつまでも学び続ける」を信条に、業務と個人開発の両輪で技術を磨いています。AI 駆動開発で複数の個人開発アプリを構築・運用中。 👉 ポートフォリオ: 筆者ホームページ Claude Code を使い始めたけど、毎回同じ指示を書いていませんか？ CLAUDE.md・Skills・Hooks・Agents の 5 段階で「育てる」ことで、人間の作業は「指示と確認だけ」になります。この記事では、実際のファイル構成とコードを添えて、その全過程をお見せします。 「AI にコードを書かせている」と「AI と開発している」は違う Claude Code を導入した当初、私は毎回こんなプロンプトを書いていました。
AVFを利用し、Mac上に開発やAIエージェントなどを動作させるのに最適なセキュアなmacOS仮想マシンを作成できるアプリ「GhostVM」がリリース。
AppleのVirtualizationフレームワークを利用し、Mac上にAIエージェントなどを動作させるのに最適なmacOS仮想マシンを作成できるアプリ「GhostVM」がリリースされています。詳細は以下から。 AIを利用して開発したコードやNode.js/Pythonのバージョン依存、Claude CodeやOpenClawなどのAIツールやエージェントを利用する際、現在使用しているMacではなく、Macから切り離されたサンドボックスの仮想環境でテストしたい時がありますが、そのような際に簡単にmacOS仮想マシンを作成できる「GhostVM」が新たにリリースされています。 GhostVM is a native macOS app for creating and managing macOS virtual machines on Apple Silicon using Apple’
Google、「バックボタン ハイジャッキング」をスパムポリシー違反に追加。2026年6月15日からペナルティの対象に
[レベル: 中級] Google は、スパムに関するポリシーに「Back button hijacking（戻るボタンのハイジャック）」を追加しました。 バックボタン ハイジャッキングとは バックボタン ハイジャッキングとは、ブラウザの「戻る」ボタンの機能を乗っ取り、ユーザーを意図しないページへ誘導する手法です。 ユーザーが「戻る」ボタンをクリック／タップした際に、直前のページではなく、攻撃者が指定した別のページ（広告やレコメンデーション、その他の予期しないページなど）へ強制的に遷移させます。 悪意のある行為として手動対策の対象に追加 バックボタン ハイジャッキングはユーザーエクスペリエンスを損ない、通常のブラウザ動作を破壊し、欺瞞的かつ操作的とみなされています。 こうした行為の増加を受けて、悪意のある行為スパムポリシーの明示的な違反として正式にスパムポリシー違反の項目に Google は
AIのための特別なアーキテクチャはいらない ― 0→1開発で実践した設計原則とガードレール - カミナシ エンジニアブログ
はじめに カミナシでエンジニアをしている Shimmy です。今は新規プロダクト開発をしています。 0→1の開発設計では「コードベースの持続可能性」と「短期的なデリバリー速度」の両方が重要です。そのバランスを取りながら、AIの力を最大限活かせるアーキテクチャを考えてきました。 その過程で分かった設計原則というのは、AIを活用する前から変わらないものでした。 この記事では、AIの力を引き出す設計と、その設計を決定論的に守らせる仕組みついて話します。 補足: TanStack Start（フルスタックReactフレームワーク）を利用しており、フロントエンドとバックエンドが同一コードベースにあります。 AIの力を引き出す設計の3つの条件 自分のプロダクトの設計原則は次の3つです。 関心の分離: 関心事ごとにファイルをまとめる。AIのコンテキストに載せやすく、並列開発でもコンフリクトしにくい 価値
「もう開発者はシークレットを使うな」 GitHubが「今日できる」4つのセキュリティ対策を紹介
GitHubは2026年4月1日（米国時間）、オープンソースソフトウェア（OSS）のサプライチェーンを狙った攻撃が増加している件を受け（参考記事）、攻撃の最新動向と開発者に推奨する防御策、GitHubが進めているセキュリティ対策などをブログ記事で紹介した。 GitHubは、攻撃者がAPIキーなどのシークレット（認証情報や秘密鍵）を窃取し、攻撃者が制御するマシンから悪意のあるパッケージを公開するとともに、窃取した認証情報を使って他のプロジェクトにもアクセスし、攻撃を拡散させていることをあらためて報告した。こうした攻撃の多くはCI/CD（継続的インテグレーション／継続的デリバリー）ツール「GitHub Actions」のワークフローを侵害することから始まるという。 GitHubが「今日できる」としている4つの防御策 GitHubは、開発者自身がワークフローの穴をふさぐために即座に実施できる防御
分析エージェントの問題点と、セマンティックレイヤーという打ち手──AIにSQLを書かせない設計
はじめに 「自然言語でデータを分析できる」──デモでは魅力的に見えても、 本番導入に足る品質をどう担保するか、そもそも担保しきれるのか と疑問に感じたことはないでしょうか。 この記事では、 自然言語でデータを分析するAIエージェントが実務で安定しにくい理由 を考察しつつ、近年話題の セマンティックレイヤーとの組み合わせにより、そうした課題を緩和しうる可能性 について紹介します。 題材にはBigQueryの公開データセット bigquery-public-data.thelook_ecommerce を使います。手元で再現できるよう実テーブルをそのまま使っています。 なぜ分析エージェント単体では実務で安定しないのか AIエージェントに自然言語で質問してデータを分析する、いわゆる分析エージェントはデモ映えする一方、実務投入においてはいくつかの課題があるように思います。 問題1：ビジネス定義がB
マイクロソフト、ローカルAI環境をインストーラで配布できる「Foundry Local」正式リリース。MacやLinuxにも対応
マイクロソフト、ローカルAI環境をインストーラで配布できる「Foundry Local」正式リリース。MacやLinuxにも対応 マイクロソフトは、アプリケーションにバンドルしてインストーラで配布できるコンパクトなローカルAI環境「Foundry Local」の正式リリースを発表しました。 開発者はアプリケーションにFoundry LocalのAI環境をバンドルしてインストーラで配布できるため、クラウドなどに依存せず、ユーザーによる設定や追加導入なども不要な、ローカルで完結するAIソリューションをユーザーに提供できるようになります。 ハードウェアに最適化、多数のAIモデルから選択 Foundry Localは、その内部にあるAIモデルのランタイムとしてONNX RuntimeとWindows MLが利用され、その上にFoundry Catalogから選択可能なさまざまなAIモデルを載せるこ
Playwright CLI + Claude Code で自律UI修正開発の提案
はじめに — コーディングエージェント に「目」を与える Claude Code や Codex CLI は非常に強力なコーディングエージェントであるが、UI の問題に関しては必ずしも万能ではない。 特に以下のようなケースは苦手である。 Markdown のレンダリング崩れ CSS の微妙なズレ レスポンシブのレイアウト崩れ スクロール後に発生する UI 問題 これらはコードを読んだだけでは判断しづらく、実際の画面を確認しないと分からないケースが多い。つまりAI開発エージェントは「コードは読めるが、画面は見えない」という制約がある。 ここではLaravel Boost + Playwright CLI + エージェントSKILLを組み合わせて開発していく事でAIエージェントに以下のような操作を行わせることができる。 指定した URL を開く スクリーンショットを取得する DOM を確認する
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
コンサルのコンサルをAIにやらせたら、爆速見積もりツールが出来上がっていた話【生成AIストリーム】
「40代のビタミンD不足が、16年後の認知症リスクに影響」40歳頃の血中ビタミンD濃度が高い人ほど、脳内のタウ蛋白の蓄積（認知症の前段階で増える異常なタンパク質）が少ないことが明らかになった話
【徳丸本まとめ】Webアプリの脆弱性と対策を一気に整理する - Qiita
