matsumoto

新米のEMです。Svelteが好きです。

[matsumoto @3Kendama]

NVC（非暴力コミュニケーション）の基本｜まさる 💖 NVC ユーザー https://t.co/PBb2ZmqstS

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[ことみん無職 @kotomin_m]

PHPは話題に上がってるけど、こっちみんな気づいてる？

[しまぶー @shimabu_it]

PHPなんて使ってないから高みの見物

と思っていたNode.js開発者の諸君、今夜は徹夜です

[こにふぁー @konifar]

自らの至らない点を指摘された時にな、他者や他事例を引き合いに出して相対評価に持ち込んだり組織や仕組みの問題にすげ替えたりせずに、自分の問題として向き合えるかどうかってのが素直さの基準なんですわ

[IPA （ICATalerts） @ICATalerts]

不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について https://t.co/HdlkAPbzbQ

[坂井風太 @fuuuuuta21]

「人が何かをしてくれるのは当たり前」という感覚を持つと、段々と人は傲慢になってしまう。

逆にいえば、「人が何かをしてくれるのは当たり前ではない」という認識を持った場合、裏にある他者の想い•準備などが見えてきて、自然と謙虚になる。

例えば、何かの会議をした後に、御礼のメールを返すことは大切な習慣だと個人的に思うが、それは相手の想い•準備•時間に対する想像から来る行為である。

組織において、仲間が何かを当たり前に受け取っている場合、水準をぶらさないために指摘することが大切だが、「その文化が当たり前」となっている場合、文化的無自覚性の問題で、そもそも誰も注意できなくなっている。

業界構造上、「取引先が何かをしてくれることが当たり前」となっている場合、「提案して貰えて当たり前」「時間を使って貰って当たり前」となる。

人材育成•マネジメントが技術化していく中で、本来的に大切なのは組織文化の土台部分となるが、道徳的感度が低い人事•経営者•組織ほど、上辺の施策を整備し続けている。

[SBI証券 @SBISEC]

【お知らせ】10/2掲載の「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺」に関するお知らせについて
本件は、日本証券業協会からの通知に基づき、他の証券会社で報告された事案について注意喚起したものです。
現時点で、SBI証券の証券口座での被害は確認されておりません。

Google/Apple等のアカウントを狙った乗っ取りは、他の金融サービスにも起こり得ます。念のため、2段階認証と復旧用メール・電話番号の確認などアカウントの防御をお願いします。

▼詳細はこちら
https://t.co/9KEihQB9PZ

[Polymarket Japan @polymarketjapan]

【話題】SBI証券、Google・Appleのアカウント乗っ取りで証券口座にも被害の恐れ

・クラウド保存のパスキーなどが悪用された疑い
・Google・Apple側の2段階認証と、復旧先メール・電話番号の確認を要請
・偽の「パスキー再登録」案内にも注意、10/2公表

[Kinopee @kinopee_ai]

全 bot が Opus 5.5 で動き、Cloud Agents は Cursor にあるモデルならどれでも起動できる。これはヤバいですね。

[すぅ| AI駆動PM @suh_sunaneko]

他人をマネジメントするための手段で目標作りがちですが、本来のプロフェッショナルであればそんな目標なんていらん。と思います。そういう美意識とか美学とか思想みたいなものをちゃんと自分でもっと認識したいなと感じます最近。

[川邊健太郎 @dennotai]

上司のみなさまへ。自分の機嫌は自分で取りましょう。

上司が不機嫌だと、部下はそれだけで気を遣い、のびのび働けなくなる。役職は役割。その役割には「いつも機嫌よくいる」も含まれていると思います。

部下に機嫌を取らせるより、上司が部下を気遣う。笑顔を忘れずにいたいですね。

[ワールドトリガー公式 @W_Trigger_off]

◤◢◤✨書影初公開✨◢◤◢

ワールドトリガー最新30巻は10月2日(金)発売‼

カバーを飾るのは「歌川1番隊」🔥

30巻は258~263話を収録。
総勢95名による長時間戦闘試験が
ついに始まります⚔

ぜひお楽しみください‼️(担当)

[matsumoto @3Kendama]

Grok botが僕らのチームを侵食してる｜Manabu https://t.co/XTVkeBH4kj #zenn

[matsumoto @3Kendama]

今日購入したキーキャップを早速使ってみた。
#TKX2026
#アップサイクルキーキャップ
#Bobtail

[matsumoto @3Kendama]

楽しみにしてのに、参加し忘れた…

[V @voluntas]

Cursor Teams Premium シート と ChatGPT Business Premium シートの話もします。お気軽にお申し込みください。キャンセル報告不要です。

[Yuku Kotani / Ubie @yukukotani]

記事を書いた。
会社としてPlatform Engineering頑張ることでプロダクトエンジニア依存をやめていく、プロダクトエンジニアは審美眼で勝負や！という話です

プロダクトエンジニアは溶けてなくなる。いや、なくさなければならない｜Yuku Kotani https://t.co/adYOKZ42bF

[しまぶー @shimabu_it]

ほら、これがOpenAI

どこがOpenなのか

Anthropicが、OpenClawでClaudeサブスクを使えないにしたことを批判してたのは何だったのか

LLM Providerは企業倫理が微妙なところ多いけどOpenAIはダントツで終わってる

もともとの非営利も無視してるし本当に目も当てられない

[ryoppippi @ryoppippi]

フロントエンド舐めてる人が上の現場に行くと大体酷いのでこれは嘘
めちゃくちゃ重かったり再レンダリングがひどかったり、ハンドルサイズがでかかったりとかいろいろあるけど、本人たちはそれに気づいてないパターンの大半

というか、これは日本だろうとイギリスだろうとアメリカだろうとバックエンド中心にやってる人は大体舐めてる傾向にある。てか俺も機械学習アルゴリズムばかり触ってたミドルくらいまではweb触ったことないし舐めてた

現在のフロントエンドは、複雑GUIなので大変だよ。もちろんサーバ側に状態管理を持っていけるのが理想だが、editorやaiとのinteractionの設計みたいなところに足を踏み入れるとそんなもので済むわけもなく…
逆に誰でもそこそこで動くようなフロントエンドで済んでるなら、それは恵まれてるのかもしれない（？）

まあこのツイートも「思います」とexcuseしてるのでまだマシかな

[しまぶー @shimabu_it]

私はこの3つに絞ってる

計画: Fable
実行: Grok 4.6 or Fable
レビュー: GPT 5.6 Sol

この3つ以外いらなくなったから、もはやCursorでも出さないようにしている