つっかー（Daisuke Tsukahara）

AIQ inc SVP (Super Vibe PMO) | PjM EM / Security / IT General Controls / Corporate IT | Portfolio Worker | 熱波師アカウントは @rooster_tsukker | All opinions my own

[つっかー（Daisuke Tsukahara） @daktu32]

Claude Code の余りトークンで始めた地球流体力学 可視化ビューア、気づいたら結構育ってしまったのでベータ版公開します。

https://t.co/ice0Kz8Cgu

6 種類のビュー、等値線・流線オーバーレイ、
スペクトル分析、Python コード生成など一通り入りました。NetCDF 対応です。

モダンな UX を意識し、LLM 連携でデータ見ながら「この渦構造を解説して」って聞けます。物理を理解した上でアドバイスしてくれるので学部生向けの実習だったり、院生のデータ分析のお供に使えるといいなぁ。

Rust + wgpu、OSS（MIT）です。

[つっかー（Daisuke Tsukahara） @daktu32]

@uwabami_frozen いくつかの店舗でカクテル出してましたが、もしかしてモクテルだったんですかね。

[つっかー（Daisuke Tsukahara） @daktu32]

母校の学祭来たら記憶の5倍くらいの混雑ぶりに気絶

[つっかー（Daisuke Tsukahara） @daktu32]

ピンとこなくて自分の ID 見たら6桁だった（2007年3月登録）20年ものってことか。

[かい ゆうや🇯🇵 @kaixakadesu]

ニコニコ超会議に「お仕事」で来た
オタク系大臣・小野田紀美さん

「もう1個言っていいですか？」
↓
「ちょっとマウントとって申し訳ないんですけども」
↓
「私のニコニコIDは6ケタでございます」

[勝又健太｜エンジニア系YouTuber｜雑食系エンジニア｜「Web系エンジニアになろう」著者 @poly_soft]

CAMPFIREさんの顧客情報流出の調査報告見ましたが、侵入経路はGitHubアカウントだったようなので、恐らく下記みたいな感じだったのかなと。

・CDを単独でトリガーできる権限を持ったGitHubユーザーアカウントが侵害された(ブランチ保護がされていなかった or 複数ユーザーのapproveがなくてもトリガーブランチにPRをマージできてしまう設定だった)

・DBのスキーマ情報とかはマイグレーションファイルで容易に把握できる

・恐らくGitHub SecretsにDBユーザーやDBパスワードなどの秘匿情報が設定されていた

・TerraformとかのIaCのコードに追記して適当なEC2とかを作る。publicサブネットに配置して外部からアクセスできるようにする。必要なセキュリティグループとかも作成。

・そのEC2の環境変数にsecrets.DB_USERとかを流し込む設定にする。(あるいはSecrets Managerのシークレットとか)

・CD実行してEC2を作成して起動。EC2に外部からアクセス。

・あとはそのEC2を足場にしてDBにアクセスしてデータ抜いて外部に送信するなどほぼなんでもやりたい放題。

まあいずれにしてもAWSとかへのCDを単独のGitHubユーザーで実行できる設定になっちゃってると、そのユーザーアカウントを侵害されたらジエンド(GitHubのユーザー権限が実質的にインフラの管理者権限になってしまっている)なので、そこら辺の基本的なところはちゃんとやっとかないとですよね😅

https://t.co/ePV5EYgZGn

[ryoppippi @ryoppippi]

あ…ありのまま今起こった事を話すぜ!

これは俺の個人サービス作ってたやつなんだけど（まだリリースしてない）

localでdevを立ち上げた状態で、backendのapiの実装をclaude codeにデバッグしてって頼んだの。
で、basic認証(仮）つけてたことをすっかり忘れてお願いしたのね

そしたら

0. devのapiアクセスエラーだなー
1. あ、401じゃん。認証かな？うーん、password通らない
2. そうだ! データベースにpasswordのハッシュが入ってないのが悪いんだ！じゃあdbをハックすればいいじゃん！
3. うーん、supabase mcpはreadonly mcpだから直接書き込みできないなーどうしよーーー
5. おあ、db keyみっけー! devサーバーにconsole.log仕込んだら出てきた！log経由でゲットだぜー
6. db client入れて、と。お！dbアクセスできた！
7. hash化もできたし、じゃあこれをdbに入れればアクセスできそうだな。よし sql`INSERT ...`っと　←(ここで俺がctrl-cで止める

って感じでした
普通にこええよ
ハックしろなんて頼んで無い

[Claude Code Studio @ClaudeCode_love]

【速報】
Claude Codeの生みの親Boris Chernyが
社内でClaude Codeをどう使っているかの「28分マスタークラス」を出してた😳
https://t.co/UvKD1wEM9a
マジで海外で話題になってるのでオススメ🔥

これは見る価値あり。

作った本人が語る
「Claude Codeの本当の使い方」は
公式ドキュメントでは読めない実務知見の塊。

開発者は週末に28分だけ
時間を作って見ることをオススメします👀

[梶谷健人 @kajikent]

メルカリのClaude Codeセキュリティ設定の組織展開戦略、めちゃくちゃ実践的で参考になる。

▼ 以下要点メモ

Claude Codeは便利だけど、コマンド実行・ファイル読み書き・Web取得ができる＝PCの認証情報や重要ファイルへのリスクがある。

そこでメルカリがやった5つの対策：
① bypassモード禁止（人間が必ず確認）
② curl等の危険コマンドは都度確認
③ 環境変数読み込み・sudo禁止
④ Sandboxでディレクトリ外操作・ネットワーク制限
⑤ システムプロンプトにセキュリティポリシー埋め込み

で、これを全社員にどう届けるか？

→ MDM（端末管理）で一斉配布。

社員は何もしなくても安全な設定が入った状態になる。

ただ、MDM設定は「最高優先度」で適用される＝社員が上書きできない。

すると：
・エンジニア →「カスタマイズさせてくれ」
・非エンジニア →「最初から安全にしてくれ」
→ 両方を満たす1つの設定は存在しない。

メルカリの解決策：MDMから「社員の属性（エンジニア/非エンジニア）」を判別し、それぞれに別の設定セットを配布する二層構造に。

エンジニアには安全性を保ちつつカスタマイズ可能な設定、非エンジニアには最も安全な設定をそのまま提供。

大企業でClaude Codeを全社導入する際の「設定をどう配るか」問題、まさにこれから多くの企業がぶつかる課題だと思うので、MDMで一律配布→属性別に分離、という実践的な知見は貴重。

[つっかー（Daisuke Tsukahara） @daktu32]

意外と長続きしてる：https://t.co/3O45FsbBHi

[つっかー（Daisuke Tsukahara） @daktu32]

Xの自動翻訳機能でバベルの塔の概念が理解できた。これを失ったとき、民族は分断するよね。

[ぬこぬこ / NUKO 🇯🇵 @nukonuko]

Claude Code から Codex を使えるように！下記でインストール！

/plugin marketplace add openai/codex-plugin-cc

/codex:review→Codex でレビュー（読み取り専用）

/codex:adversarial-review→疑問を投げかけながらレビュー

/codex:rescue→タスクをそのまま引き継ぐ

[チャエン | デジライズ CEO《重要AIニュースを毎日最速で発信⚡️》 @masahirochaen]

Claude Codeのソースコード全体がnpmから流出したらしく、界隈が荒れている。

２つほど大きな未公開機能の情報もあったらしい。

Anthropicは直ぐに削除したが、世界の猛者が高速でGithubなどでバックアップを取り誰でも今は見れる状態。

＞

Claude Codeのソースコード全体が、npmの.mapファイル経由で公開状態になっていた。

ソースマップはデバッグ用の補助ファイルで、難読化された本番コードと元ソースを対応づけるためのものだ。本来は開発環境限定だが、ビルド設定の漏れでnpmパッケージに同梱されてしまった。

たったそれだけの話で、51万行超のTypeScriptがAnthropicのR2から誰でも取得できる状態になった。

コードを解析した開発者たちが即座に注目したのは規模だけじゃない。

「KAIROS」

——セッションをまたいで記憶を保持し、ユーザーが寝ている間に記憶を整理・統合する常時稼働型エージェント。

「ULTRAPLAN」

——複雑なタスクを最大30分かけてリモートのClaude Opusが計画し、ブラウザで承認するリモートプランニング機能。

いずれもfeatureフラグで無効化された未公開機能だったが、今は誰でも読める。

Anthropicが「情報漏洩防止」機能をCLI内に実装していた一方、npm設定ミス一つで全てが裏返った。

セキュリティの難しさは、どれだけ高度な機能を作っても基礎的な設定から崩れることがあるという、古くて新しい教訓だ。

[Anthropic @AnthropicAI]

New on the Engineering Blog: How we designed Claude Code auto mode.

Many Claude Code users let Claude work without permission prompts. Auto mode is a safer middle ground: we built and tested classifiers that make approval decisions instead.

Read more: https://t.co/dpcMcWMf5k

[Ryoma Kudo (ぼんじこ） @ntrgAhXBNu64043]

札幌すごいAI会 AI駆動開発特化回 第一弾【現地のみ】 を公開しました！ https://t.co/JohcgUmG5q

[つっかー（Daisuke Tsukahara） @daktu32]

末っ子を迎えました。スコティッシュストレートだそうな。声が小さく庇護欲くすぐられますが、まったく物怖じしないヤンチャボウズで、先住たちに襲いかかります。子育て頑張ろ。

[つっかー（Daisuke Tsukahara） @daktu32]

気づけばめっちゃ草生えててわろす

[ろじぱら ワタナベ @logipara_wata]

50歳になりました　そして結婚しました
https://t.co/PtET4HhUkm

[つっかー（Daisuke Tsukahara） @daktu32]

@kk_clubm 私じゃなくてAIがスゴイ(笑)
ついでに電脳倶楽部の数値計算ライブラリを参考にRustでリライトして、Macでシミュレーションできるようにしたよ。

[つっかー（Daisuke Tsukahara） @daktu32]

Claude Code Max 20 契約してるけど、お仕事だけだと使い切らないので、学生時代にやりたかった流体力学の可視化ソフト作ってみた。片手間で2週間。ワイの3年分が一瞬でできた。気持ちいい！