TimからAppleコミュニティのみなさんへ
Timから Appleコミュニティの みなさんへ 私はこれまでの15年間、毎朝同じように一日を始めてきました。メールを開いて、世界中のAppleユーザーのみなさんから届いたメッセージを読むのです。 みなさんは暮らしの中で起こった出来事を私に共有し、Appleがどんなふうに人生を変えたのかを教えてくれます。Apple Watchがお母さんの命を救った話。登頂は不可能だと思われていた山の頂上で、完璧なセルフィーを撮った話。Macのおかげで仕事の可能性が広がったという感謝の言葉。時には、大事なことがうまくいかないとお叱りを受けることもありました。 そのすべてのメールの中に、私たちが共有する人間らしさが息づいています。それは私に、もっと努力をし、前進しなければという使命感を持たせてくれました。そしてそれ以上に、言葉にできないほどの感謝の気持ちを感じさせてくれました。みなさんのメールを受け取る立
ヘッドレスなSalesforce登場、あらゆる機能がAPI/CLI/MCPでアクセスできる「Salesforce Headless 360」発表
ヘッドレスなSalesforce登場、あらゆる機能がAPI/CLI/MCPでアクセスできる「Salesforce Headless 360」発表 Salesforceはサンフランシスコで4月15日と16日の2日間にわたり開催した開発者向けイベント「Salesforce TDX 2026」で、Salesforceのあらゆる機能をAPI、CLI（コマンドライン）、そしてMCP（Model Context Protocol）でアクセスできる「Salesforce Headless 360」（以下、Headless 360）を発表しました。 SalesforceはSaaS（Software-as-a-Service）の代表的な企業として、CRMを中心としたサービスを提供する「Customer 360」や、データウェアハウスやデータレイクをはじめとする企業のデータソースを統合しデータ活用を促進する「
Bun、コマンドラインからヘッドレスブラウザの操作を行える新機能「Headless Browser Automation」搭載
Bun、コマンドラインからヘッドレスブラウザの操作を行える新機能「Headless Browser Automation」搭載 オープンソースで開発されているJavaScriptランタイムの「Bun」の最新版となる「Bun v1.3.12」で、コマンドラインからヘッドレスブラウザの操作を行える新機能が実装されました。BunのAPIを呼び出して利用することも可能です。 In the next version of Bun `Bun.WebView` programmatically controls a headless web browser in Bun pic.twitter.com/Yp8UiNoeoy — Jarred Sumner (@jarredsumner) March 18, 2026 下記は公開されたデモ動画の一部をキャプチャしたものです。画面の上にコマンドライン、下にヘ
【必須】GitHubとnpmで脆弱なパッケージを入れないための防御設定 8選 - Qiita
はじめに こんばんは、mirukyです。 2026年3月31日、npmの Axios パッケージ（週間1億ダウンロード）がサプライチェーン攻撃を受けました。攻撃者はメンテナーへの標的型ソーシャルエンジニアリングでセッションを乗っ取り、悪意ある依存 plain-crypto-js を注入した axios@1.14.1 と axios@0.30.4 をレジストリに公開しました。このパッケージは postinstall フックで多段階RATを展開し、macOS・Windows・Linuxすべてに対応する本格的なバックドアを設置するものです。影響はOpenAIのmacOS署名パイプラインにまで及び、証明書のローテーションが実施される事態となりました。 OWASP Top 10:2025でも Software Supply Chain Failures（サプライチェーンの障害）が第3位 に新設される
deleted_atにインデックスを雑に貼ったら本番DBが死んだ
RDSが朝のピーク時間帯にI/Oスパイクで応答不能になりました。前日夜にリリースしたdeleted_atへの単独インデックスが原因です。stagingのEXPLAINでは複合インデックスが正しく選択されていたので、レビューでは検出できていません。 根っこにあるのはMySQL 8.0 innodb_stats_methodのデフォルト値nulls_equalと、IS NULLに対するコスト計算の噛み合わせです。8.0系で現在も未修正のバグに類する挙動で、NULL多数カラムへの単独インデックスがトリガーになります。 テーブルとクエリ 問題が起きたのはチケット管理SaaSのticketsテーブルです。ソフトデリートでdeleted_atを持つよくある設計です。 CREATE TABLE tickets ( id BIGINT UNSIGNED NOT NULL AUTO_INCREMENT, w
翻訳記事「AIコーディングツールによって加速するコード生成に品質保証活動はどう立ち向かうか」 - ブロッコリーのブログ
はじめに 本記事は、Lilia Abdulina（JetBrains の QA責任者）による研究（Vitaly Sharovatovが協力）である「QA in the Age of AI-Accelerated Development」の翻訳記事です*1*2。 本記事は許諾を得た上で翻訳しています*3。 なお、本記事は現在もGitHub上でディスカッションが続けられています。記事を読んで気になった方や疑問を持った方はぜひディスカッションに参加してください！ 本記事の主な見どころ AIによって「理解の負債」だけでなく、「意図の負債」も増えている AI以前では副産物として獲得できていた「ビジネスドメインの知識」を蓄積できなくなっている 「評価」よりも「予防」に重きを置いている「積極的な品質保証活動を行う企業」と、そうではない「反応的な品質管理を行う企業」が存在する コストはO(n + εn2)
コーディングエージェントのサンドボックス技術を理解する
株式会社松尾研究所の渡辺です。 CodexやClaude Codeなどのコーディングエージェントは開発者のシェルとほぼ同じことができるようになっています。 エージェントの中でnpm install を許可した際に、そのpostinstallスクリプトが ~/.ssh/id_rsa を読んで機密情報を外部に送信するといったことも理論上は起こりえます。このような事故を防止できるのが、サンドボックスです。本来のシステムから隔離された環境のことをサンドボックスと呼びます。 本記事では、コーディングエージェントを走らせる際に、知っておくと役立つサンドボックス技術についてご紹介します。自分自身がClaude CodeやCodexを日常的に使う中で調べたことのまとめでもあります。 なぜサンドボックスが必要か コーディングエージェントは、タスクを遂行するためにプロジェクト内のファイルを広範に読み取ります。
fence - AI AgentをOSサンドボックスの中で動かす | おそらくはそれさえも平凡な日々
AI Agentも賢くなってきたとはいえ、ローカルで何をしでかすかわからない怖さは拭いきれない。かと言って、細かく認可を与えるのもめんどいし、ザルな見過ごしも起こりやすくなって危ないので、できればファイル・ネットワークアクセス、コマンド実行等に適切に制限をかけたサンドボックス環境で放し飼いにしたい。 CLIとして動かすAI Agentの場合、引数に指定したコマンドをサンドボックス内で動かすコマンドラッパーがあると嬉しい。自作しようかと思っていたが fence というツールがまさしくそれだったので、これを使うことにした。Goで書かれていて、macOSとLinuxをサポートしている。早速、GitHub Copilot CLIでも利用しやすいようにpull requestを送って、取り込んでもらった。 https://github.com/Use-Tusk/fence https://fence
メルカリのClaude Codeセキュリティ設定の組織配布戦略 - Claude Code Meetup Japan #4
https://aid.connpass.com/event/386203/
GitHub App の秘密鍵を AWS KMS に閉じ込める
はじめに こんにちは konippi です。 2026 年 3 月、脆弱性スキャナーのTrivy が侵害されたことは大きなニュースとなりました。攻撃者は GitHub Actions ワークフローの設定 pull_request_target を悪用して PAT を窃取し、Trivy の公式リリースにクレデンシャルスティーラーを注入。数千の CI/CD パイプラインに影響を与えました。同時期に axios の npm パッケージ侵害や、 prt-scan キャンペーンも発生しています。 これらに共通するのは、信頼されたソフトウェアサプライチェーンの一部が侵害され、ソフトウェアの配布チャネルを通じて被害が大規模に伝搬するという構造です。中でも Trivy と prt-scan は、GitHub Actions の pull_request_target トリガーの設定不備を起点とした攻撃でし
(新機能)S3 Filesリリース - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? はじめに S3 Filesがリリースされました。 これは、S3 バケットをファイルシステムとしてアクセス可能にするというものです。 どのような構成か 構成図の一例は以下のとおりです。 © 2026, Amazon Web Services, Inc. or its affiliates. All rights reserved. 仕組みについて(簡単に) 仕組みについて簡単に言うと、 ・S3 filesystemを起動させる ・VPC内にS3 Filesマウントターゲットを作成する ・VPC内のS3 FilesマウントターゲットとS3
gh-security-scan: サプライチェーン攻撃を組織横断で調査する AI コーディングアシスタント用スキルを作った
gh-security-scan: サプライチェーン攻撃を組織横断で調査する AI コーディングアシスタント用スキルを作った npm パッケージを狙ったサプライチェーン攻撃が増えています。2026 年 3 月だけでも、npm トップ 10 パッケージである axios のアカウント乗っ取りや、Trivy のリリースインフラ侵害が立て続けに発生しました。 こうしたインシデントが発生するたびに、自社の GitHub Organization 配下の全リポジトリに影響がないかを調査する必要があります。対象のパッケージがロックファイルに含まれていないか、GitHub Code Search API で検索し、結果を Issue にまとめる。これを組織横断で行うのは、手作業ではかなりの工数です。 この作業を AI コーディングアシスタントに委任するために、gh-security-scan スキルを作
【セキュリティ】JWTの署名を信頼していたら `alg: none` で管理者権限を奪取された話 - Qiita
導入：改ざん不可能なはずのトークン 「JWTって署名が付いてるから改ざんされませんよね？」 認証基盤の設計レビューで、私はそう発言しました。チームの誰もが同意し、JWTベースの認証システムは予定通りリリースされました。 数週間後、脆弱性診断レポートの一番上に赤字の【Critical】が輝いていました。 「JWTヘッダーの alg を none に書き換えることで、署名検証がスキップされ、任意のユーザーとして認証が通ります。管理者権限の奪取が可能です」 署名で守られている「はず」のトークンが、ヘッダーのたった1フィールドの書き換えで無力化される。JWTを「なんとなく安全」と信じていた私の認識は、根本から間違っていました。 技術解説：JWTの構造と alg: none 攻撃 JWTの3つの構成要素 JWTは . で区切られた3つのパート（Header・Payload・Signature）で構成
Linux 7.0でPostgreSQL性能半減、修正困難か
perfプロファイリングの結果、CPU時間の55%がPostgreSQLのユーザースペーススピンロック（s_lock）で消費されていることが判明した。PREEMPT_LAZY環境下で、ロック競合が劇的に悪化している。原因はプリエンプションモデルの制限問題の根源は、Linux 7.0のrc1で導入されたカーネルスケジューラの変更にある。Intelのカーネルエンジニア、ペーター・ジルストラが作成したコミットが、利用可能なプリエンプションモードを制限した。 従来、Linuxカーネルはサーバー向けに「PREEMPT_NONE」（プリエンプションなし）というモードを提供していた。スループット最大化を優先し、カーネルがタスクを途中で中断しない設計だ。データベースサーバーのように、CPUを長時間占有する処理には理想的なモードだった。 Linux 7.0では、x86やARM64などの主要アーキテクチャでP
npmパッケージ/GitHub Actionsを利用する側/公開する側でサプライチェーン攻撃を防ぐためにやることメモ
パッケージを利用する側、パッケージを公開する側でサプライチェーン攻撃を防ぐためにできることのメモ書きです。 パッケージを利用する側 npmやGitHub Actionsなどを利用する側として、サプライチェーン攻撃を防ぐためにできることをまとめます。 ロックファイルを使う npmやYarn、pnpmなどのパッケージマネージャーは、依存関係のバージョンを固定するためにロックファイル（例: package-lock.json, yarn.lock, pnpm-lock.yaml）を使用する GitHub ActionsではSHA Pinを行う pinactなどを使ったGitHub ActionsのSHA Pinを行う また、GitHubリポジトリの"Require actions to be pinned to a full-length commit SHA”を有効にする https://gi
distrolessコンテナイメージの中を覗いて「なんか軽くてセキュアらしい」より理解を深める - エムスリーテックブログ
この記事はセキュリティチームブログリレー3日目 兼 AIチームブログリレー3日目の記事です。 こんにちは、セキュリティチーム 兼 AIチームの横本(@yokomotod)です。 今回は distroless コンテナイメージについて自由研究してみました。 エムスリーでもよく使われている gcr.io/distroless/static などの distroless イメージ、「シェルもパッケージマネージャもない最小限のイメージ」「軽量！なにもないから安全！」といった説明がされますが、今回は実際にその中身を確かめてみようと思います。 ブログリレーの前回記事はこちら www.m3tech.blog www.m3tech.blog コンテナベースイメージのおおまかな選択肢 scratch だけだと何が足りないか scratch で動かしてみる CGO_ENABLED=0 にしてみる distro
GitHub Appの秘密鍵をGitHub Secretsから追い出す - 10X Product Blog
10Xでは、GitHub Actionsのセキュリティ改善を段階的に進めてきました。もともとPAT（Personal Access Token）を使っていたところをGitHub App Tokenに移行し、さらにOcto STSを使ったToken運用の改善にも取り組んでいます。 そうした中で、まだGitHub Secretsに残っていたものがありました。Terraform用のGitHub Appの秘密鍵です。このAppに付与される権限が徐々に膨らんでいく中で、秘密鍵の保管方法がセキュリティ上無視できない課題になってきていました。この記事では、その課題と、秘密鍵をGitHub Secretsから追い出してGoogle Cloud KMSに閉じ込めるというアプローチについて書きます。 秘密鍵をGitHub Secretsに保存するということ GitHub Appのトークンを発行するには、秘密鍵
npm をセキュアな挙動にするために .npmrc に記述する最小設定
はじめに グループIT推進本部 CyberAgent group Infrastructure Unit（以下、CIU）所属・Next Expertsの平井（@did0es）です。 CIUのサービスのWebフロントエンド開発に携わる傍ら、TypeScriptのNext Expertsとして情報発信や社内向けの技術支援を中心に活動しています。 本記事では、pnpm や bun への移行を検討する前に、まず npm のままで実現可能なセキュリティ対策を実施したい人を対象に、 .npmrc に入れるべき最小限の設定を紹介します。 ここで紹介する設定は、最小構成でありつつ、CIUのWebフロントエンドでも共通して採用している内容です。 背景として、npmまわりでは直近で大きなサプライチェーン攻撃が続いています。 Shai-Hulud（2025年9月〜11月） axiosパッケージ改ざん（2026年
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Macを49.7日連続稼働させるとネットワークに接続できなくなるバグ見つかる。ユーザーへの影響は？【やじうまWatch】
正距方位図法世界地図作成ツール
