GitHub - microsoft/ghqr: GitHub Quick Review. Evaluate your enterprise and organizations with GitHub best practices
GitHub Quick Review (ghqr) is a powerful command-line interface (CLI) tool that analyzes GitHub enterprises, organizations, and repositories to ensure compliance with GitHub best practices and security recommendations. Its main objective is to offer users a comprehensive assessment of their GitHub resources, allowing them to easily identify security gaps, misconfigured settings, and areas for impr
CAMPFIRE 22.5万人情報漏えい — GitHub不正アクセスから何を学ぶか
本記事は2026年4月25日時点で公開されている情報に基づきます。事件の最終的な影響範囲・攻撃手法の詳細は今後の公式発表で更新される可能性があります。 はじめに 2026年4月24日、クラウドファンディング国内最大手の 株式会社CAMPFIRE が、最大 22万5846人分 の個人情報が漏えいした可能性があると発表しました。プロジェクト実行者の口座情報や支援者の住所など、極めてセンシティブな情報が対象です。 事件の起点は GitHubアカウントへの不正アクセス。「GitHubが侵害されただけでなぜ顧客情報が？」と思った方は多いのではないでしょうか。本記事では、公開情報から事件の経緯と攻撃の流れを整理しつつ、エンジニアとして組織を守るために今すぐ見直すべきポイントをまとめます。 何が起きたか — タイムライン CAMPFIREが段階的に公表してきたプレスリリースをもとに、時系列を整理します。
AIオタクのセキュリティエンジニアが伝えたい、バイブコーディングのセキュリティリスク7選 - GMO Flatt Security Blog
はじめに こんにちは。GMO Flatt Security株式会社 セキュリティエンジニア(兼Claude Codeオタク)の石川（@ryusei_ishika）です。 Claude CodeやCursorなどのAIエージェントを活用したバイブコーディングが急速に広まっています。私自身、社内ではClaude Codeのリリース（ほぼ毎日）のたびにそのリリースノートの重要なポイントを解説しているほか、Biz職向けに「バイブコーディング講座」を実施するなど、社内でのAI活用の普及にも取り組んでいます*1。 リリースノートが公開されていると、出勤後すぐに便利な機能を解説する石川 昨今、AIエージェントを日常的に使い込むなかで、従来の開発では起きにくかったセキュリティリスクが顕在化しつつあると感じています。例えば、先日AIエージェント経由で.envの認証情報が漏洩し、外部サービスのアカウントが乗っ
コードを1行も読ませずに、AIに脆弱性を100%特定させる方法（理論編） - Qiita
🚀 TL;DR AI（LLM）に生のソースコードを読ませるのは、実は効率の悪い「情報の暴力」である。 AST（抽象構文木）から「構造」だけを抽出したマップこそが、AIのIQを極限まで引き出す。 データの流入から破綻までをグラフ理論で定義すれば、理論上、脆弱性は100%特定可能となる。 1. はじめに：AIレビューの「限界」と「嘘」 最近、GitHub CopilotやChatGPTにコードを貼り付けて「脆弱性ある？」と聞く手法が定着しました。しかし、大規模なプロジェクトになればなるほど、AIは以下のような致命的な欠陥を露呈します。 コンテキストの霧：数千行のコードを前に、AIは「どの変数がどこから来たか」を見失い、平気でハルシネーション（嘘）をつく。 トークンの浪費：コードの「書き方」というノイズに注目してしまい、肝心の「ロジックの破綻」に辿り着く前にリソースを使い果たす。 そこで私は、
メルカリのClaude Codeセキュリティ設定の組織配布戦略 - Claude Code Meetup Japan #4
https://aid.connpass.com/event/386203/
「プログラマー不要論」にThe Linux Foundationが示した答え
関連キーワード 人工知能 | ITガバナンス | オープンソース 企業におけるAI（人工知能）技術活用は、対話型のインタフェースから、複雑な業務プロセスを自律的に実行するエージェント型へと移行しつつある。この変革期において、企業のIT担当者は、業務効率化の推進と同時に、システムに対する信頼や強固なセキュリティ体制の構築という難題に直面している。 The Linux Foundation（以下、LF）は2026年4月、自律型AIがもたらす影響を分析したレポート「オープンソースとAIの未来」を公開した。本レポートは、AIエージェントがシステムやソフトウェア開発における、人間の役割にもたらす変革の必要性を提起している。 中でも大きな焦点となっているのが、プログラマーの役割の変化だ。AIコーディングアシスタントが実装作業を担当するようになる中、プログラマーはシステム全体の問題を定義し、設計するアー
セキュリティ監査は死んだ｜gohan
追記: セキュリティ監査の仕事がAIに代替されるということを言いたいわけではありません。監査でのチェックに含める項目など、セキュリティがやっていることの全般的な枠組みに変革を余儀なくされるということを書いています。ぜひ最後までお読みいただき、奇譚なき意見をください。 2026年4月、AnthropicはClaude Mythos Previewを公開した。このモデルは数千件のゼロデイを自律的に発見したと報告され、Mozilla Firefox 150はこのモデルで発見された271件の脆弱性を一括パッチした。一方でAI自動ペンテスト企業XBOWはHackerOneのリーダーボードを席巻している。セキュリティ業界は数年以内に、「コードの脆弱性を見つける」という課題をほぼ自動化可能な問題に変えるだろう。しかし、この事実はセキュリティ業界にとって勝利ではない。むしろ、いま売られているセキュリティ商
GitHub - justrach/kuri: Browser automation and web crawling for AI agents. Zig-native, token-efficient CDP snapshots, HAR recording, and a standalone fetcher.
Browser automation & web crawling for AI agents. Written in Zig. Zero Node.js. CDP automation · A11y snapshots · HAR recording · Standalone fetcher · Interactive terminal browser · Agentic CLI · Security testing Quick Start · Benchmarks · kuri-agent · Security Testing · API · Skills · Changelog Why teams switch to Kuri: current Apple Silicon ReleaseFast builds stay sub-2 MB per binary, and a fresh
Cloudflare(クラウドフレア)でWebページを公開する方法
Cloudflare(クラウドフレア)でWebページを公開する方法 こんにちは。よっしーです。 両学長の朝ライブでたまに出てくる「Webページを公開できる"クラウドフレア"」について調べて、実際に公開するところまで実施してみました。 １．実際に公開したWebページ実際に公開したWebページは以下になります。 https://yosshi.pages.dev/ 今回は公開するまでの手順を画像付きでお伝えします。 ２．公開までの手順①事前準備公開するhtml形式のファイルを事前に準備します。 今回はNaoさんの持ち物リストを使わせていただきたいと思います。 ②Claudflareにアクセス以下のURLをクリックします。 https://www.cloudflare.com/ja-jp/ ③Claudflareのログイン開始ログインをクリックします。 ④Claudflareへのログイン今回はGo
Claude Codeで実際に起きたセキュリティ事故7選と防止策 - Qiita
Claude Codeで実際に起きたセキュリティ事故7選と防止策 「Claude Code は便利だけど、なんとなく怖い」——この感覚は正しいです。強力なツールは強力な事故を起こします。実際に開発現場で起きがちなケースを7つ取り上げ、原因と防止策を解説します。 事例1: .env ファイルをGitHubにプッシュ 「CI に環境変数を渡したいので .env もコミットして」という指示で、Claude Code が素直に git add .env && git commit を実行。数分でクローラーが APIキーを検出。 防止策: .gitignore に追加 + Hookでコミット前チェック // .claude/settings.json { "hooks": { "PreToolUse": [ { "matcher": "Bash(git add*)", "hooks": [{ "ty
エンジニア歴20年の私が、素人バイブコーディング勢に物申す - Qiita
Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? お前がコードを書き始める前に 言っておきたい事がある かなりきびしい話もするが 俺の本音を聞いておけ はじめに これから少しの間、不器用で、偉そうで、厳しいことを言う。けれど最後まで聞いてくれれば、その裏側にあるものもわかってもらえると思う。だから先に謝っておく。生意気な口を、許してほしい。 まず、お前に話す前に、業界を取り巻く空気の話をさせてくれ。ソフトウェア業界には、昔から消えない風潮がある。 「売れたプロダクトはすべて正しい」 「品質? 障害が起きなければそれでいい」 「細かいことはベンダーに丸投げで構わない」 ビジネスの現場で生
地下鉄に乗るなりノートPCを開いてガンガン仕事しだしたお姉さんが、取引先の人で、かつ超秘密事項と思われる情報を見ていてビビり倒した→「公共交通機関でPC作業してる人本当に怖い」
ねくたい @nekutai_start 新人へ ・私物のUSBは仕事で使うな ・社外メールの宛先はちゃんと確認しろ ・エッチなサイトを会社のPCでは絶対見るな ・カフェに社用携帯やパソコンを置き忘れるな ・新幹線でパソコン開くな顧客情報が見えてるぞ ・席を離れるときはWindows +Lで画面ロックしろ 情報セキュリティを甘く見るな 2026-04-17 18:04:49 しお @sodium 地下鉄に乗ってくるなり、ノートPC開いてガンガン仕事しだしたお姉さんは知る由もなかったでしょう。隣に座る地味な買い物帰りの女性が、あなたと同業界の人間かつ取引相手の会社の人間で、あなたのPCの中身が超秘密事項であるはずだと理解し、ビビり倒していることに……。ということはありました……。 2026-04-18 15:47:25
gh skillが登場。GitHub公式のスキル管理ツールにnpx skillsから乗り換えた
AIエージェント向けのスキル（Agent Skills）、みなさんはどう管理していますか？ 2026/04/16、GitHub公式CLIのghに、スキルをパッケージ管理する新しいサブコマンドgh skillが追加されました。GitHubのリポジトリに公開されているスキルをgh経由でインストール・アップデート・公開できます。私はこれまでnpx skillsでスキルをインストール・管理してきましたが、gh skillの方が安全面でよさそうなので乗り換えることにしました。 本記事では、メリットや実際の動作を紹介します。 3行まとめ gh skill install スキルでスキルをインストールできる gh skill publish スキルで自作スキルを仕様に沿って公開できる 改ざん検知・バージョン固定・由来情報の埋め込みなど、サプライチェーン対策が組み込み済み 環境準備 GitHub CLI
すべてのMacに49.7日バグ—長期稼働でTCP接続不能になる脆弱性が発覚
4月9日、Photon社が「The 49.7-Day Time Bomb Hidden in Every Mac's Network Stack」と題した記事を公開した。 すべてのMacには、49日17時間2分47秒の連続稼働後に新しいネットワーク接続を一切受け付けなくなるという深刻な脆弱性が存在する。この問題は、AppleのXNUカーネルの32ビット整数オーバーフローに起因し、再起動以外に解決方法がない。 特に深刻なのは、この障害の隠密性である。システムは正常に動作し続け、pingへの応答も正常で、既存の接続も維持される。しかし新しいTCP接続は一切確立できなくなる。エラーログすら出力されないため、トラブルシューティングが極めて困難だ。 Mac長期稼働の増加で浮上した問題 この問題が今注目されている背景には、サーバー用途でMacを長期稼働させる企業の急増がある。特にCI/CDパイプライン
Claude Codeのサブスクリプションで動くSlack常駐AIエージェントを作った
Max 20xのAPI換算価値は月$2,000超とする分析もあります（ksred.comの8ヶ月追跡データより）。月$100〜200でこれだけの使用量が得られるなら、サブスクリプションを活用しない手はないですよね。 ちなみに執筆時点（2026年3月27日）では、Claude March 2026 Usage Promotionという期間限定キャンペーン（3/13〜3/28）が実施されており、オフピーク時間帯の使用量が2倍になっていました。日本時間だと午前3時〜午後9時がオフピーク扱いなので、日中の業務時間がまるごと2倍。Max 20xならさらに余裕があり、Opus 4.6を1日中使ってもなかなか上限に達しない状況でした。 ここまで来ると、コーディング以外のこともClaude Codeにお願いしようかなという気になってくるわけです。 #OpenClawという先行事例と教訓 サブスクリプション
お前らの正義の話をしよう - megamouthの葬列
大手ECサイトをスクレイピングするプログラムをClaudeCodeに書いてもらいました。とても便利なので公開したいのですが、友人のプログラマに相談すると「叩かれるからやめておけ」と忠告されました。AIも同意見のようです。正直、基準も理由もよくわかりません。なぜ私はこのプログラムを公開してはいけないんでしょうか？ 「叩かれるからやめておけ」というのは、正しい忠告だし、君の為を思って言ってくれた言葉だと感じる。君が公開したスクレイパー付きシステムが何をするものかは知らないが、そのプログラムのインパクトが強ければ強いほど、「『技術者倫理』のない奴は…」というポストは間違いなく現れるだろう。ただし、そういったポストが、本当に正しい理由から発せられているかは、少し怪しいと僕は思っている。 最初に一つだけはっきりさせておきたい。これから僕がする話は、法律の話でも、利用規約の話でもない。技術者倫理の話だ
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
GitHub - gitleaks/gitleaks: Find secrets with Gitleaks 🔑
お薦めの「Linux」デスクトップ5選--2026年版
Post Mortem: axios npm supply chain compromise · Issue #10636 · axios/axios
Reddit - Please wait for verification