KazumaR5

フロントエンドエンジニア｜プログラミングやゲーム、日常のツイやRTします

[Yuichi Uemura @u1]

https://t.co/Nl7qf3hna9

[Cyber Security News @The_Cyber_News]

⚠️ Critical Chrome Vulnerabilities Enable Remote Code Execution Attacks – Patch Now!

Source: https://t.co/cOIDcbsYyj

Google has released an urgent security update for Chrome, addressing 16 vulnerabilities, including two rated Critical, that could allow attackers to execute arbitrary code on affected systems.

The Stable channel has been updated to 148.0.7778.178/179 for Windows and Mac, and 148.0.7778.178 for Linux, with the rollout expected to complete over the coming days.

Use-after-free bugs are particularly dangerous because they allow threat actors to manipulate freed memory regions, often leading to full system compromise when successfully chained with other exploits.

#cybersecuritynews #Chrome

[yousukezan @yousukezan]

GitHub内部侵害は、悪意あるVS Code拡張機能が原因だったことが判明した。従業員が公式Marketplace上の拡張をインストールしただけで端末が侵害され、約3800件の内部リポジトリが窃取されたという。

GitHubによれば、従業員端末は「トロイの木馬化されたVS Code拡張機能」により侵害された。攻撃検知後、同社は問題の拡張機能をMarketplaceから削除し、端末隔離とインシデント対応を実施したが、その時点で既に内部データ流出が発生していた。

攻撃を主張したTeamPCPは、Breachedフォーラム上で約4000件の非公開リポジトリやGitHubソースコードを保有していると投稿し、最低5万ドルで販売を開始した。GitHubも「約3800リポジトリ」という主張は現時点の調査結果と概ね一致すると認めている。

TeamPCPは以前からPyPI、npm、Dockerなど開発者向け供給網攻撃を繰り返しており、「Mini Shai-Hulud」ではOpenAI従業員端末にも影響を与えていた。今回も「開発者が信頼するツール」を侵入口にする典型的サプライチェーン攻撃だった。

GitHubは顧客データ侵害証拠は確認されていないとしているが、VS Code Marketplaceでは過去にも悪性拡張機能問題が繰り返されており、開発基盤そのものへの信頼性が改めて問われている。

https://t.co/5qXRmfKUCG

[Miguel Ángel Durán @midudev]

Si estás usando npm install, estás en peligro.

¡Así de crudo te lo cuento para que reacciones!

Ayer se comprometieron paquetes de TanStack en npm.
De las bibliotecas más usadas en el mundo JavaScript.

Y de ahí saltó a Mistral, OpenSearch, UiPath, PyPI...

Porque muchos ataques no necesitan que importes nada. Basta con una instalación para infectarte.

¿Cómo?
Colando scripts como preinstall o postinstall que se ejecutan durante la instalación.

Lo importante es que tiene solución:
① Usa pnpm 11
Viene con defensas por defecto contra este tipo de ataques.

② Si sigues usando pnpm 10, npm, yarn o bun
Activa minimumReleaseAge y ponle 1440.
Evita instalar versiones publicadas el mismo día.

③ Bloquea scripts de instalación por defecto
pnpm evita que cualquier dependencia ejecute código en tu máquina solo por instalarla.

Por favor, comparte esto para que le llegue al máximo número de personas y paremos la cadena de ataques.

[KazumaR5 @KazumaR5]

ポンコツになるというのは「生活面・家事面・気配り面で頼りなくなった／期待より動けなかった」ということですかね？

「恋人としては良かったけど、一緒に暮らす相手としては手がかかる」と。

主体的に動いてくれなかったり、責任感がなさそうだったりしてるのかなと推察しました。
そういう場合、本当に能力が低いというよりか、生活基準のズレが大きいのかなと思います。

まずは基準の擦り合わせ（例えば掃除頻度や品質をどこまで求めるかとか）をするのはどうですか？
あとは余裕ある時は「何か出来ることはないか」を聞いて欲しいと伝えるとか。

せっかく同棲まで進んでいるので、上手くいくことを願ってます🙏

[Wes Bos @wesbos]

‼️Do not npm install or deploy anything right now

Supply chain attack on axios 1.14.1 - even if you don’t use axios it may be a nested dep.

Pin versions or wait until this is resolved

[ClawCon @clawcon]

ClawCon Tokyo https://t.co/Z6eL9R4qa4

[逆瀬川 @gyakuse]

Notionを今後も使っていくためにCLI作りました🎉
Notion MCP Serverのwrapperなので、Coding Agentにとって優しい&全ページの便利操作ができます。MCP自体をClaude Code/Codexに入れる必要もないので簡単です。
ぜひ使ってみてください
https://t.co/oOOdOM3kK8

[NAKAMURA Atsushi @nuits_jp]

本日はご視聴いただきありがとうございました！

本日のスライドと
https://t.co/bts4bHIAhZ

本日の私のカンペです。良かったらご利用ください。
https://t.co/F2mSh0UKi4
#SDD_findy

[KazumaR5 @KazumaR5]

@nuits_jp 発表ありがとうございました！
ドキュメントについて発信されてる方は少ないので有り難いです🙏

[NAKAMURA Atsushi @nuits_jp]

このあと12時からで～す！お待ちしています！
私は12時20分くらいからかな？たぶん。

仕様駆動開発（Spec-Driven Development） Lunch Talk - connpass https://t.co/VDDeCaz9dh

[逆瀬川 @gyakuse]

@tegnike ｽｯ
https://t.co/mrOuOevLTU

[KazumaR5 @KazumaR5]

前に開発会社を乗り換えたくて、その後に自社で内製化したいという相談をしてきたクライアントがいた。

結果はお断り。開発資料もソースコードも無くて現状の状態と同等の物を作ってほしいだったから。

ドキュメント提出は開発する会社のためのものでは無くて、本来はクライアントのための物。

要件定義書や設計書も無く作って良くて、品質の担保も無し。その後も一切の変更や保守的な事をしなくて良い確約があればSIerももっと安くできると思う。

ただ、開発を知ってるクライアントなら、それを望まないと思う。なぜなら最終的に困るのは発注者側だから。

[佐藤将司｜アドネス株式会社 @marcy_sns]

https://t.co/y1cinCyjyR

[TakumaAbe | AI x Blockchain eng. @takupesoo]

NVIDIAが発表した「NemoClaw」を早速試しました。
果たしてOpenClawのセキュリティ問題を解消する救世主になりうるのか。

- NemoClawとは？
- NemoClawを触ってみての所感
を記事にまとめました！

https://t.co/fIMTii6ggs

[Yongi Lee｜Notion認定コンサルタント @yongi_leebizops]

📍Notion新機能：タブブロックが登場！

新しく「タブブロック」という機能が登場😳
コールアウトのような見た目で、タブを色々作れるっていう

なんか使い所は色々ありそうです👀

[Jeffry Alvarado @jalva_dev]

経験豊富なエンジニアへの需要はますます高まっており、基礎力の重要性はこれまで以上に大きくなっています。

LLMは特定のタスクでは非常に優れた力を発揮しますが、多くの場合、過去に存在する解決策をもとに答えを導く仕組みです。人間のように、ゼロから新しい解決策を考え出すわけではありません。

その結果、開発の中で最後に残る20％の難しい部分は、人間のエンジニアが担うことになります。そこでは、判断力や直感、そして基礎力が大きく問われます。

たとえば、読みやすいコードとは何か、関数が最適化されているかどうか、バグの根本原因をどう見つけるか、アーキテクチャのトレードオフをどう判断するかといった力です。また、日々扱うデータ型、設計パターン、一般的な開発プラクティス、開発フローへの理解も重要になります。

さらに、メモリ、並行処理、計算量、レイテンシ、可用性といった概念は、どの分野でも繰り返し登場します。こうした基礎的な知識は、特定のライブラリやフレームワークとは違い、どの領域でも応用できるスキルです。バックエンドでも、ドライバ開発でも、インフラでも、ゲーム開発でも、たとえば「どこでキャッシュを使うべきか」といった判断は常に求められます。

基礎力は直感を育てます。

そしてその直感こそが、まだ誰も解いたことのない問題に対して、自分の力で解決策を見つける力につながります。これは、今のAIにはまだ再現できない部分です。

[電子計算機の沼 @Hishinuma_t]

勝 ち 申 し た
https://t.co/wbdysPTnHf

[たにぐち まこと／ちゃんとWeb withAI @seltzer]

バイブコーディングに対する深い考察。

> プログラミングの基礎があり、経験豊富なシニアレベルのエンジニアにとってのみ強力な武器になる

この結論には、すごく納得します。プログラミングの知識が不要になるのではなく、必要な要素が変わるだけで、知識がない人はいつまで経っても真のバイブコーディングはできないと思う。

だからこそ、これからの「プログラミング教育」はなにを授けていくべきなのか、考えていかないとなと思いました。

Vibe Codingは実プロジェクトで通用するのか？ 約6ヶ月試してわかったことと必要なスキル｜李 碩根 https://t.co/IyAnMHwwZH #zenn

[Takepepe @takepepe]

https://t.co/JIiW1POAif

教えていただいたFBIの警告をAIに要約してもらいました。2024〜2025でシリコンバレーがかなり騒がれた話のようです。

---

北朝鮮ITワーカーの脅威（FBI警告）要約

FBIは、北朝鮮政府がIT技術者を装って海外企業に就職し、資金獲得や情報窃取を行う活動について警告しています。特に米国企業のリモート雇用を悪用するケースが増えていると報告されています。

1. どんな手口か

北朝鮮のIT人材が以下の方法で企業に入り込みます。

■ 偽装就職
・偽名・盗んだ身分でリモートIT職に応募
・フリーランスや契約エンジニアとして採用される
・米国や他国にいる**協力者（facilitator）**が身元を偽装
結果
→ 企業の給与が北朝鮮政権の資金源になる

■ 実際の仕事内容
普通に働くこともあるが、同時に
・ソースコードへのアクセス
・社内ネットワーク侵入
・データ持ち出し
・後から脅迫（データ公開・ランサム）
などを行うケースがある。

2. 企業への被害

FBIによると以下のリスクがあります。

① データ窃取
・ソースコード
・顧客データ-知的財産
② データ恐喝
・内部データを盗み
・公開すると脅す
③ サプライチェーン侵入
・ソフトウェアにバックドアを入れる
④ 国家資金
・IT給与が北朝鮮の核・軍事資金になる

3. よくある特徴（レッドフラグ）

・企業が気づく兆候
・リモートワーカーがビデオ通話を嫌がる
・位置情報とIPが一致しない
・同じ人物が複数企業で働いている
・機材を第三者住所へ送らせる
・作業時間が北朝鮮の勤務時間帯

4. FBIの対策

企業向けに次の対策が推奨されています。

採用段階
・厳格な本人確認
・ビデオ面接
・IP / location確認
雇用後
・最小権限アクセス
・異常ログ監視
・機密リポジトリ制限
IT資産
・機材の配送先確認
・リモートデバイス管理

5. 実際の規模

FBIと司法省によると

・数千人規模の北朝鮮ITワーカー
・数百社に潜入
・数千万ドル規模の資金獲得

というケースが確認されています。

6. なぜ今問題になっているのか

背景

・リモートワーク普及
・フリーランス市場拡大
・AI生成履歴書・プロフィール

つまり「リモートIT採用モデルそのものが攻撃面」になっている。

[KazumaR5 @KazumaR5]

@codecast_cst 思考リソース使っちゃいますよね〜
お店を選ぶ時も空いてる所を選んじゃいます

[KazumaR5 @KazumaR5]

> 隣の島の笑い声、上司の機嫌の悪そうなため息、電話の音。これら全てがI型にとっては「処理すべき無駄なタスク」として脳のリソースがガリガリ削られていきます。

オフィス出るとホントよく思う。
リモートの方が生産性は上がる

特性に応じて仕事環境が選べたら理想

[ヤング分菅 @bizanalyze_mbti]

https://t.co/XhIrdmsvos