倉 -🇯🇵/🇻🇳

captured in Tokyo

[Nico @nicos_ai]

Google lanzó la herramienta que todo desarrollador pedía desde hace años.

Se llama CodeWiki.

Pegas cualquier repositorio y la IA lo convierte automáticamente en una documentación interactiva.

No solo resume el código:

• Genera diagramas automáticamente
• Explica cómo funciona cada parte
• Crea tutoriales paso a paso
• Detecta arquitectura y dependencias
• Y hasta monta un chatbot que entiende tu código completo

Básicamente:
convierte proyectos imposibles de entender en algo que cualquier desarrollador puede navegar en minutos.

Enlace abajo👇

[connect24h @connect24h]

やられた！１０年ほど前に、毎年、セキュリティ、特にWeb診断向けの初学者向けのリンク集をまとめていて、毎年５００ブックマークくらいいっていたんだから、自分もまとめればよかったと思ったが、もうあるんだったらそれに相乗ってしまおう。当時から結構様変わりしてる。特に
・PortSwigger Web Security Academy（Burp Suite開発元による無料ラボ）
・PentesterLab（Webに全振りした700以上のラボ）
・CTFtime(世界中のCTFの開催カレンダー)
・バグバウンティの始め方
当たりが良いな。
個人的には「ネットワークとTLS」がツボだった。フォレンジックもマルウェア解析もあるし全方位。自分のリハビリも兼ねて順繰り見ていこうかな。

セキュリティの勉強になるサイト138選(2026年版)
https://t.co/xtUTWQ8Cts

[Guillermo Casaus @_guillecasaus]

🚨 Acaban de liberar una de las mayores bases de datos de malware en GitHub.

Se llama Malware Research Hub y contiene miles de muestras recopiladas durante más de 50 años para que investigadores y profesionales de ciberseguridad puedan analizarlas en entornos controlados.

Esto es lo que incluye:

→ 2.699 muestras de malware de diferentes épocas
→ Especímenes de familias como Stuxnet y LockBit
→ Un catálogo forense con 80 familias documentadas
→ Herramientas para investigadores y analistas de seguridad
→ Muestras aisladas y cifradas para reducir el riesgo de ejecución accidental

Lo más importante:

No estamos hablando de simulaciones ni ejemplos creados para un curso.

El repositorio contiene malware real y debe tratarse únicamente en laboratorios aislados y siguiendo estrictamente sus reglas de contención.

Es un recurso orientado al análisis, investigación y formación práctica en ciberseguridad.

Repo 👇

[ClaudeDevs @ClaudeDevs]

New in Claude Code: your sessions can now message each other.

Instead of having to re-explain yourself in another session, you can now tell Claude to do it. It sends a summary (not your history or files), and the other session picks it up mid-task.

[Kenton Varda @KentonVarda]

Today we are releasing Cloudflare OS, a chatbot with connectors, just like every other tech company is doing.

Except actually, it's different. This is a remake of Sandstorm[.]io, my startup from 10 years ago, except this time built on Cloudflare Workers (the platform I've spent the last 9 years building) and deeply leveraging AI. This is more or less the culmination of my secret 10-year master plan.

This is a full-on personal app vibe coding platform, in which the sandbox is so secure that you can pretty much go wild -- the AI cannot introduce a significant security bug. We believe a company's security team can feel comfortable giving non-technical users permission to vibe code and then sleep soundly at night.

How is that possible? It's the Sandstorm security model, revisited. A "Gadget" is the same thing as a Sandstorm "Grain": a fine-grained app instance. For example, if you have a document editor app, each document runs as a separate instance of the app, in a separate sandbox (one "Gadget").

This means two things, both of which I think are Big Deals:
1. The platform can manage all access control, by controlling who can access the Gadget at all. There is no way the Gadget can accidentally leak itself to an attacker -- even an attacker who has access to other Gadgets based on the same app.
2. Since everyone is running their own copy of the code, everyone can freely *modify* their copy of the code.

Think about #2 a bit more.

What if, when you wanted a new feature in the software you are using, you could just prompt your agent to add it?

This doesn't work in the cloud Software-as-a-Service model, because you are not running your own copy of the app.

Sandstorm tried to change that 10 years ago, but the world wasn't ready, because not enough people had the skills or patience to actually modify their software. AI has changed that. Now you just ask the agent -- the same agent that you are using to help you interact with the Gadget can also modify the code of the Gadget.

And it is so fun.

https://t.co/qzwdrAQhtK

[倉 -🇯🇵/🇻🇳 @kura]

$ du -h -d 1 ./ | sort -hr
931G ./
841G .//.Trashes
...

ゴミ箱がとんでもないことに。外部ディスクのゴミ箱ってどうやって消すのかね？そもそも外部ディスクにゴミ箱が必要な理由もよく分からないけど。
Mac の Trash に薄く SSD のゴミ箱の中身が出てるし、Empty したら消えるのかな？

[倉 -🇯🇵/🇻🇳 @kura]

1TB の SSD な Mac のディスクの空き容量が心もとなくなってきたので、1TB のポータブル SSD にデータを退避。100GB くらい入れたら Full になって、？？？ となっている。

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

既に大きな話題になり始めていますが、あらためて全体状況を整理。WordPress本体に、認証不要の匿名リクエストから任意コード実行に至る脆弱性の連鎖「wp2shell」が新たに見つかりました。発端は7月17日、CVE-2026-63030とCVE-2026-60137を修正した版の公開と、深刻さを踏まえた強制自動更新の発動。
発見者は防御側の適用時間を確保するため技術詳細を伏せましたが、パッチ差分から修正箇所は逆算できるため、同じ日のうちに複数の実証コード（PoC）がGitHubへ登場しました。
翌18日にはそのうち一つへ認証なしで管理者アカウントを作成する処理が加わったとされ、19日にも更新が続いています。

AI支援を使い約6分でPoCを再構成できたとする報告もあり、一部の独自検証では脆弱な版なら標準構成でもほぼ無条件に再現するとの評価。一方で実悪用の有無は、確認したとする報告と確認していないとする報告が割れたままです。

日本では7月18日から20日が三連休にあたり、更新が進まないまま被害が広がりうるとの懸念も示されています。詳細を伏せる判断があっても、パッチが公開された時点で解析の材料は出揃う。今回はそこにAIが加わり、再構成までの時間が分単位で語られる状況になっています。

【要点の整理】

・発見はバッチ処理側がSearchlight Cyberの研究者で、脆弱性報奨金制度を経由した報告。SQLインジェクション側は3名の別チーム。対象は6.9.0から6.9.4と7.0.0から7.0.1、修正版は7.0.2と6.9.5。SQLインジェクションのみ影響する6.8系は6.8.6、開発版は7.1ベータ2

・深刻度の評価は機関で不一致。バッチ処理側が9.8のCriticalから7.5のHigh、SQLインジェクション側が5.9のMediumから9.1のCriticalまで幅があり、単体での必要権限の解釈も不一致。各値の前提と標準構成での実際の到達可能性は分けて解釈すべきとの指摘

・実行経路への到達性は、永続オブジェクトキャッシュを使っていないサイトで到達しうるとの分析。使用時の到達性は不明

・PoCの到達点は日ごとに変化。当初はデータベースの読み取りと管理者パスワードハッシュの取得までで、コード実行にはハッシュ解読などで別途認証情報を得る必要があったが、18日に未認証での管理者アカウント作成が加わり、19日にも修正

・海外のペンテスト企業は、隔離環境で公開情報とチェッカーのみを手がかりに、AIコーディング支援を使い約6分でPoCを再構成できたと報告。コードと手順は非公開

・実悪用の評価は分裂。悪用試行を確認したとする報告がある一方、確認していないと明記するベンダーもあり、観測内容が不明瞭との留保も付く。ただし未確認を低リスクの根拠と解釈しないよう注意も併記。米CISAの悪用確認済みカタログには19日時点で未登録

・直ちに更新できない場合の緩和策として、発見者は所定のディレクトリに配置して有効化する緩和プラグインと、影響有無を判定する公開チェッカーを提供。第三者からはパッチ差分に基づく非破壊の判定手法も公表。ただし遮断や緩和は脆弱なコードを直すものではなく、更新の代替にはならないと明記

・強制自動更新は有効化されているが、自動更新を明示的に無効化したサイトへの適用有無は不明。自動更新に対応するサイトでも、修正版が実際に適用されたかの確認が推奨

・公的機関や開発元からの侵害確認指標は19日時点で未公表。一部のベンダーからはバッチ処理用ルート/batch/v1へのアクセスを起点とする確認観点の提示。ただし痕跡の一部は悪用手順の指南につながるとして非公開

・プロジェクトリードによれば、責任ある開示を受けてホスティングやCDNの事業者と事前調整し、公開前からネットワーク層で緩和できる状態。ただし保護範囲は事業者ごとに差があり、無料枠向けルールの提供時期にも差

・一部の調査会社は独自検証として、標準構成でも管理者の認証情報なしに任意コード実行が可能と判断。脆弱な版では攻撃の成立条件が著しく緩く、ほぼ無条件に再現するとの評価。同社単独の検証とされ、三連休中の更新を呼びかけ

詳細は以下を参照：
https://t.co/AcAcZgcnNQ
https://t.co/meTfBD39kD
https://t.co/GHejyicnju
https://t.co/s29h9iRauF
https://t.co/ddW72oYwvn
。

[Claude @claudeai]

Beginning July 20, Claude Fable 5 will be included in all Max and Team Premium plans, at 50% of limits.

Pro and Team Standard users will continue to have access to Fable via usage credits, and will receive a one-time $100 credit.

Demand for Fable has been challenging to predict, which is why we rolled it out to subscription plans in stages, extending access several times as we secured additional capacity.

[倉 -🇯🇵/🇻🇳 @kura]

一方で、個別の FW などに特化したスキルに言語知識を盛り込むと、スキルの保守が大変になる。どうしてもスキルにしたければ、そのあたりのバランスを取った設計が必要になる。

[倉 -🇯🇵/🇻🇳 @kura]

AI によるコードレビューはいまいちで、雑に頼むともれなくセキュリティ観点や異常系・境界値などなどが漏れる。かなり細かく観点を指示しないとまともなレビューにはならない。脆弱性はバンバン見つけるのに、なぜコードレビューできない？？と思ったので調べてみたところ、納得の理由が判明した。

[倉 -🇯🇵/🇻🇳 @kura]

保守性はConwayの法則を考えれば唯一の正解はなく、lint が通っているようなコードに対して、いくら「あなたはベテランのエンジニアです。」などと方向性付けしたAgentを立ち上げたところで、（保守性は）大丈夫そうとしか返って来ないのは、当然。汎用的なレビュースキルが使い物にならないのも当然。

[倉 -🇯🇵/🇻🇳 @kura]

トッププレイヤーのレビュースキルなどは、どうやってるんだろう？と思っていくつか調べてみたけど、どちらかと言えば、バグを埋め込まないような優れたプロセス規律を追求するアプローチが多く、使えそうなレビュースキルはほぼなかった。

[倉 -🇯🇵/🇻🇳 @kura]

Microsoft などの研究によれば、人間のコードレビュー自体が、保守性に偏り深い欠陥を見落としているということが実証されている。AI はその偏りを継承しているだけ。レビューは、保守性が大半で、期待ほどバグ発見には関与せず、どちらかと言えば知識移転・認識共有に寄っている。

[倉 -🇯🇵/🇻🇳 @kura]

AppStore への申請準備って、どうしてこんなにテンションが上がらないんだろう…

[International Cyber Digest @IntCyberDigest]

‼️ BREAKING: New research shows you can copy any signed GitHub commit into a second one that looks identical, without the author's secret key, creating a distinct commit with an identical tree, identical metadata, a valid signature, and a "Verified" badge from GitHub.

On GitHub, a green "Verified" badge is supposed to mean two things: a trusted author signed it, and its ID is a one-of-a-kind fingerprint for that exact code. A new Carnegie Mellon preprint from Jacob Ginesin says the second promise, the unique fingerprint, does not hold.

Why it matters: security teams and package systems (behind tools like Go, Nix, and GitHub Actions) trust that ID as a unique handle for code. Block or pin the "bad" version, and an attacker can re-issue the same signed code under a fresh, still-verified ID that slips past. The author says Git and GitHub have not fixed it.

PoC: https://t.co/b2CevCtpcd

[倉 -🇯🇵/🇻🇳 @kura]

ベネズエラの地震、映像みたら、想像してた地震のレベルじゃなかった。

[倉 -🇯🇵/🇻🇳 @kura]

怪我なく・怪我させず、不利な判定があったとしても・むしろある前提で、ブラジルを凌駕して勝ち進んで欲しい！頑張れニッポン。

[倉 -🇯🇵/🇻🇳 @kura]

今朝から発生源不明の若干ケミカルな匂いがする。窓を開けると暑いのと、アニマルな匂いがするので、天井に組み込まれた換気扇ぽいものを全部つけている。家の中で対流してるだけな気もするけど。

[倉 -🇯🇵/🇻🇳 @kura]

キーパーが凄すぎない？全体的に。