Crux One

0yr🦖 / Engineer at Acompany / RISS / 元予備自（陸曹）

[中日新聞 @chunichi_denhen]

【速報】「風の谷のナウシカ」エリア、ジブリパークに整備へ　愛知県が第3期整備方針を決定

▼記事はこちら
https://t.co/mLs6MXpzvl

[Maki@Sunwood AI Labs. @hAru_mAki_ch]

Codex app の SSD 削り問題自分のヤツでも軽く診断してみたら発生してるポイ！
これは対応せねば！

[Matt Shumer @mattshumer_]

Claude Opus 5 one-shotted this game.

EVERYTHING you see in this demo is custom code... not a single external asset was used.

AI games are going to be amazing.

(sound on)

[深爪＠新刊「深爪極 だいたい困って、たまに助かる」4/10発売 @fukazume_taro]

夏休みに名古屋市科学館でサハラ砂漠を体験できる高温の部屋に入ったことがあるんだけど、外の公園の方がぜんぜん暑かったです。

[orangeitems @orangeitems_]

国がセキュリティーに金をかけるつもりなら、まずは情報処理安全確保支援士の研修費用、全部税金から出せばいいじゃない。有資格者に相当な金額払わせようとするから機能しないんでしょうに。独占業務すらないこの資格に。

[Crux One @crux_one]

熱田神宮の神鶏🐓⛩️

[Yuichi Uemura @u1]

macOS 26.4､ゴミ過ぎる･･･ karabiner愛用者は更新しないように注意してください

よりにもよって内蔵しか使わないMacbook側で更新してしまったので公式が対応策出してくれるまで不便な環境になってしまったよ😭

[やんく @yy_yank]

こちらです。スレッドに添付してたのはGoogle翻訳の日本語

GitHub Actionsは、あなたのエンジニアリングチームを徐々に蝕んでいる

https://t.co/LHS3IV060m

[yousukezan @yousukezan]

人気の脆弱性スキャナTrivyが再び侵害され、CI/CD環境から機密情報を盗むマルウェア配布に悪用された。GitHub Actions経由で開発者の認証情報やクラウド鍵が抜き取られる恐れがあり、サプライチェーン攻撃の深刻さが改めて浮き彫りとなった。

今回の攻撃では「aquasecurity/trivy-action」と「setup-trivy」が標的となり、攻撃者は75個以上のバージョンタグを強制的に書き換え、正規の参照をマルウェア配布経路に変えた。ペイロードはCI/CDランナー上で実行され、SSH鍵やクラウド資格情報、Kubernetesトークン、暗号資産ウォレットなどを収集し外部サーバへ送信する仕組みである。データ送信に失敗した場合はGitHubの公開リポジトリ「tpcp-docs」に保存する機能も備える。

この侵害は2月から3月にかけて発生した前回の事件の影響が残っていたことに起因し、漏洩した認証情報が再利用された可能性が高い。攻撃コードは「TeamPCP」を名乗り、クラウド環境を狙う既知の攻撃グループとの関連が指摘されている。対策として安全版への更新やシークレットの即時ローテーション、タグではなくコミットSHA固定の利用が求められている。
https://t.co/wBIvmjBSnL

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【要注意】Trivy 配布の GitHub Action への侵害がこの木曜〜金曜にかけてありました。自分にも影響がありえた＆少し影響範囲が広かった為、日本語で個人的にまとめています。ユーザーのみなさま、自組織の状況をご確認ください：https://t.co/MOJtq7uuw6

[yousukezan @yousukezan]

Rustのパッケージ配布サイトhttps://t.co/Rm3GcDVL1gで、.envファイルの機密情報を盗み出す悪意あるライブラリが発見された。時間同期ツールを装って公開され、開発環境やCI環境からAPIキーやトークンを密かに外部へ送信していた。

研究者はchrono_anchor、dnp3times、time_calibrator、time_calibrators、time-syncの5つのRustクレートを確認した。これらはhttps://t.co/wvXxqCpHaQを装う形で公開され、開発者環境の.envファイルを収集して攻撃者が管理するtimeapis[.]ioへ送信する機能を持つ。特にchrono_anchorは難読化されたコードを含み、https://t.co/PXxFswmvaE内に情報窃取処理を隠してoptional sync機能から呼び出す設計で検知を回避していた。コードは永続化を行わず、CIワークフロー実行時などに繰り返し.envの秘密情報を外部送信する。これらのファイルにはAPIキーやクラウド認証情報、GitHubトークンなどが保存されることが多く、漏えいすればクラウドやデータベース、リポジトリへの侵入につながる可能性がある。該当パッケージは現在削除されているが、利用した場合は鍵やトークンの更新が推奨される。また別の事例ではAIボットがGitHub Actionsを悪用し、Trivy拡張を改ざんする攻撃も確認されており、この問題はCVE-2026-28353として追跡されている。

https://t.co/0HYsK8JWyD

[O'Reilly Japan @oreilly_japan]

明日2/27(金)からの「Open Source Conference 2026 Tokyo/Spring」では、3/6(金)に発売となる、ベストセラー待望の改訂版『ソフトウェアアーキテクチャの基礎 第2版』の先行販売を行います！
OSCは入場無料、詳細は⬇️からどうぞ！ #osc26tk
https://t.co/ntbJdmllva

[Crux One @crux_one]

第2版を献本いただきました。

初版より増補され、より立体的な構成になっている印象です。アーキテクチャを改めて整理したい人には良い一冊です。3月6日発売予定。

ソフトウェアアーキテクチャの基礎 第2版
https://t.co/Ud7VnM6qoZ

[emadurandal_cgj @emadurandal_cgj]

Gitに代わる新しいバージョン管理jj使ってみた。かなり良さげ！gitリポジトリと共存できるし、移行しやすい。

Jujutsu（jj）完全ガイド：Gitを超える次世代バージョン管理システムの実践活用法｜きょん https://t.co/PxFAsgXZMN #zenn

[かしわ@名古屋 @manaca371]

賛否ある名古屋駅東側の再整備ですが、個人的には良いと思います。

イメージ図では狭く見えますが、現在の飛翔の先端まで延びる歩道は東京駅の丸の内中央広場の90mより長い100m。

桜通口の名の通り、桜並木を作るのも凄く良いアイディア。

#名古屋駅 #名古屋

[nwiizo @nwiizo]

はてなブログに投稿しました
おい、戦略を語れ - じゃあ、おうちで学べる https://t.co/8BBuwWaHkr
#はてなブログ

[yousukezan @yousukezan]

世界一わかりやすいSPF/DKIM/DMARCの仕組み【完全図解】 https://t.co/l9rqCYRYEs #Qiita

[GIGAZINE(ギガジン) @gigazine]

戦闘機「F-35」にはC++の特殊ルール適用版が使われており例外処理や再帰関数が禁止されている
https://t.co/g349hf9k4H

[コムテ @commte]

.env 共有は dotenvx が最強
.env を暗号化したまま Git にコミットできるツール
便利さそのまま＋漏洩リスクほぼゼロ

・平文 .env を配らなくていい
・GitHub に上げても解読されない
・チーム開発で共有がラク

https://t.co/HTofGPn46c

[piqcy @icoxfog417]

クソッ、IAM Policy が足りねぇ・・・どれだ!? というあるあるな状況をサポートしてくれる IAM Policy Autopilot が発表されました。アナウンスブログでは Kiro を使って CloudFormation に必要な権限つける例が紹介されているのでぜひチェック頂ければと。

https://t.co/GKgo3LhYkZ