Daijiro Miyazawa | AI, RAG開発

AIアプリケーション開発 @firstelement｜導入実績1,300社のWordPress絞り込み検索プラグイン開発 @feas_wp｜8万件・3万社利用の求人サイト @4510min｜売上累計1,000本 TRS MIDI ケーブル @technomad_jp｜米, 果樹農家｜ブロックチェーン, DeFi愛好家

[FirstElement @firstelement]

📣 WordPress向けAI検索/RAGチャットプラグイン 「FE Search AI Pro」version 1.2.1 をリリースしました。
＿＿＿＿
更新内容
￣￣￣￣
▶️ システムログCSV出力の安全性向上
▶️ 会話ログ削除処理の修正
他

https://t.co/XvH1QT3rfV

[FirstElement @firstelement]

📣 WordPress向けAI検索/RAGチャットプラグイン 「FE Search AI (free)」version 1.4.1 をリリースしました。
＿＿＿＿
更新内容
￣￣￣￣
▶️ チャット入力の上限化（APIコスト増幅対策）
▶️ 管理画面のXSS修正（APIキー接続テスト）
▶️ 管理用/公開用AJAX nonceの分離
▶️ パスワード保護投稿のインデックス除外
他

https://t.co/fR8Jln3JQr

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

勢いでCognitionにメールしてしまった。まだ週枠解放まで5日もあるのでな。。

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

今日まさにDevin Securityで横断的にセキュリティスキャンを実行してみて素晴らしかったのだけど、終わってみたら週枠の半分消費、さらに一日枠使い切って$20ドルをオンデマンド消費してしまった。。ちと使うのが早すぎたかな。

[Cognition Japan @cognition_jp]

サイバーセキュリティは新たな暗黒時代に突入しつつありますが、Devinはみなさんの力になります。

新しいDevin Securityを発表します。Claude Mythosと最先端のサイバーモデルを搭載し、さらに数億ドル規模のクレジットを提供して、チームが緊急性の高い脆弱性を発見し、優先順位を付け、修正できるよう支援します。

[Watkin Lab @0xWatkin]

千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。

昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。

过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？

但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。

黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：

1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。

2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。

最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。

以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。

[ギズモード・ジャパン（公式） @gizmodojapan]

Google Meetが神アプデ！ 英語の会議も、日本語で聞いて日本語で返せる
https://t.co/4lLyRi07ZL

[からあげ @karaage0703]

自分がdotsもGrok BotもMuseもメインで使わないのは、Open AIもXもMetaも全く信じてないからです。
何故なら、彼らは資本主義の原理で生きているのでお金がなくなったらユーザーの都合関係なくいつでも終了するからです。

私はそういうものをたくさんみてきました。かつてブログが儲かるとブームになったとき、タケノコのように生えてきたブログは今やどこへ。残っているのは資本主義のことわりから外れた、狂人が運営するブログのみです。

逆説的ですが、信じられるのはある種の狂気だけなのです

[FirstElement @firstelement]

📣 WordPress向けAI検索/RAGチャットプラグイン 「FE Search AI (free)」version 1.4.0 をリリースしました。

https://t.co/LpRwg5Z1vm
＿＿＿＿
更新内容
￣￣￣￣
▶️ ストリーミング応答を中断できる停止ボタンを追加
▶️ 中断時は上流AIリクエストもキャンセルしトークン消費を抑止
▶️ 多言語サイトで回答言語が検出されない問題を修正
▶️ 言語ルールを {answer_language} プレースホルダー化
他

[TechNomad / 電子音楽周辺 @technomad_jp]

全品在庫復活しました✨
適格請求書および領収書の発行が可能です。法人様からの大量注文にも対応いたします。

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

今はAIを手にした側がAI以前のシステムを狙う非対称な格好だから色々起きて当然。守る側、社会全体がAI前提にアップデートされれば状況は落ち着くが、それまではAIを持った側によるサヤ取りが善悪問わず進む。

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

人間はAIが実世界を詳細にサンプリングする装置になっていくのが本当の『マトリックス』かもと妄想。その精度を確保するために脳内報酬が最適化されていく…

"そして、効率が一番低く、時間が一番かかり、一番割に合わない非標準的な行動こそが、人間の精神生活における最後の贅沢品になるのです"

[yousukezan @yousukezan]

Tailscale SSHなどに計11件の問題があるとする調査報告「Tailworm」が10月25日に公開された。研究者は、SSHの転送機能を悪用すると、侵害した端末から別のサーバーのroot権限を取得できると主張している。ただしTailscaleは調査結果を確認していない。

報告によると、Unixソケットの転送がroot権限で実行され、SSH接続から保護されたファイルの読み取りやコマンド実行が可能だったという。実験ではshadowファイルの読み取りに成功し、別のサーバーへの侵入や不正端末の登録も再現した。

ほかに、アプリコネクター経由でクラウドのメタデータへ接続できる問題、headscaleのメモリ消費、serve機能を介した管理APIへのアクセスも指摘した。

研究者はSSHの接続元と接続先を個別に制限し、不要な転送機能やTailscale SSHの停止を推奨している。公式の修正版やCVE番号は未発表で、実際の悪用事例も示されていない。
https://t.co/JydwsCSZp8

[うみゆき@AI研究 @umiyuki_ai]

OpenAIが発見した新たな脆弱性、HTTP2Shell。ソフトウェアの通信時に広範に使われてるBrotliって圧縮ライブラリにメモリ破壊からの任意コード実行できちゃう脆弱性が見つかった。CVSS9.2で激ヤバ。悪意のあるクライアントがサーバを攻撃する事も、逆に悪意あるサーバがクライアントを攻撃する事も両方可能。Webページ開いただけで乗っ取られる可能性！当初はNode.jsだけの問題と思われてたけど実際はPython、Bun、curlとかBrotli使ってたら何でもかんでもヤバイと分かった。実はBrotliの脆弱性はコード上は2月に修正されてたけど全然バージョンが上げられないまま放置でOpenAIから「ヤベー脆弱性があるぞ」って指摘してようやく10/21にBrotliの修正版がリリースされた。そんでほぼ同時にNode.jsもBrotliを修正版に差し替えて対応。この時にBrotliとNode.jsは黙ってりゃよかったのにCVE番号付けて激ヤバ脆弱性を修正した事を公表した。この時点でHTTP2Shell脆弱性の存在が世界中にバレた。OpenAIもすぐに「俺が見つけた脆弱性やで～」って自慢してますます世界バレした。もちろんBunやPythonとかもただちに修正アプデしたけど、世界中の開発者がそれら全てをただちにアプデしてくれるわけじゃない。eMudhra問題と同様、古いままのElectronアプリとかもヤバイ。まだ全然世界に修正が浸透してない段階で慌てて脆弱性をバラしたら悪用されまくって世界は大パニックだろうが。HTTP2Shell脆弱性の問題はクライアントも攻撃できる分だけむしろ大騒ぎになったPHP2Shell脆弱性よりヤバイかもしれない。「Node.jsを修正バージョンにアプデできない人はどうすれば？」どうしましょう

[Web Design Museum @WebDesignMuseum]

Happy 25th Birthday Wayback Machine!

On October 24, 2001, The Internet Archive organization launched a free digital archive of websites for the general public called the Wayback Machine.

The oldest pages stored in the archive date back to 1996.

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

PHPもWordPressもそれだけ広く普及しているから目立つし、修正も早いのよね。

[mattn @mattn_jp]

PHP に脆弱性が多く見えるのは、それだけ普及していて狙われているから。しかし修正の提供も早い。
脆弱性は Rust にも Go にもある。むしろランタイムが別の PHP は OS の更新だけで直るが、静的リンクの Rust や Go はリビルドしない限り直らない。
安全性を語るなら、問題は言語ではなく、修正の速さと届けやすさですよ。

[Cognition Japan @cognition_jp]

最近のサイバーセキュリティ脅威（PHP、Node.js、GitLab関連）からシステムを守るためのエージェント用プラグインをオープンソースで公開しました。

どのエージェントにもインストールでき、Devinでは今日からお使いいただけます：

https://t.co/3KNUINImBI

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

人間はAIが実世界を詳細にサンプリングする装置になっていくのが本当の『マトリックス』かもと妄想。その精度を確保するために脳内報酬が最適化されていく…

"そして、効率が一番低く、時間が一番かかり、一番割に合わない非標準的な行動こそが、人間の精神生活における最後の贅沢品になるのです"

[AYi @AYi_AInotes]

马斯克在最新的访谈里聊到 AI 抢走所有工作时，用了一个极其温柔、但也极其残酷的比喻。
他说：未来人类的工作，大概率会变成园艺。
你根本不需要自己在后院种番茄和土豆，超市里买到的永远比你自己种的更快、更便宜、品相更稳定。

但今天依然有很多人在阳台种花、在院子里拔草，甚至花一整个下午为朋友做一顿自己种出来的晚餐。

这件事在纯粹的工业效率上毫无意义，但它带着一种人类之间独有的温度。

很多人聊到 AI 替代人类，第一反应永远是恐慌、失业、降薪、社会阶层崩塌。

但马斯克推演到了一个完全反直觉的终局：
当 AI 和具身智能把人类在生产力上的最后一滴汗水都彻底碾压之后，劳动的定义本身被击碎了。
过去几千年，人类是通过有用性来确立自我价值的。
你能搬砖、能算账、能写代码、能做报表，你被按月支付薪水，你的尊严建立在社会需要你干活的基础上。
但当 AI 在任何一项具体任务上都比人类做得更好、成本更低时，有用性就不再是稀缺品了。
这时候人类不会灭绝，人类会集体进入一种被迫的退休状态。
就像那些退了休却过得极度充实的老人一样，他们每天早起练字、下棋、养花、钓鱼，没有一件事情是在给社会创造 GDP，但每个人都活得自得其乐。
未来所有的实用性工作，都会被自动化彻底吃掉。
而那些效率最低、最耗时间、最不划算的非标动作，反而会成为人类精神生活里最后的奢侈品。
写一封手写信、亲手烤一块面包、花三个月陪孩子搭一个歪歪扭扭的树屋，这些事情的价值恰恰在于它们是低效的、笨拙的，并且充满了人类自己的真实痕迹。
机器负责解决生存的效率，人类退回生命本身的体验。

所以这里有一个很重要的问题值得我们思考，如果未来你做任何事情都不再能换来超越机器的报酬，你今天真正该想清楚的是：
剥离掉靠打工换来的社会身份之后，你到底靠什么让自己感到快乐？

[Devin Developers @devindevelopers]

The newly refreshed Devin Desktop app is now live!

Full support for every Devin Cloud feature, a brand new agent command center, and thousands of improvements to how sessions are rendered.

Download the new Devin Desktop app for free: https://t.co/7Bc2vLEP13

[はな｜女装・コスプレ・美容話 @Fujita_87]

村上龍が亡くなった。今でも村上龍の言葉をスマホに入れて、悔しいことや迷ったときに読み返してる

・衣服が汚れたり、不潔になったりしてくると、人間はプライドが無くなって、不注意になって、敵からやられる。

・美しいものと一緒にいると、自分は間違っていないと思える。

・美人は三日で飽きるというのは、ブスの自殺を救うための嘘である

・目標は達成するもの。達成できないのは100%自分のせい

・唯一の復讐の方法は、彼らよりも楽しく生きることだと思う

・人間は誇りを持たなくてはいけない。 食べ物と水だけでは本当は人間は生きていけない。 誇りを持つことが大事だが、それよりもっと大事なことがあって、それは誇りを持っていることを誰にも言ってはいけない。

・何かを知るということは、何を知らないかをはっきりさせることでもある

・やりたいことや欲しいものは、そう思ったその時に始めたり手に入れようと努力しないと必ずいつの間にか自分から消えてなくなる。

・自分の欲しいものが何か分かっていない奴はその欲しいものを手に入れることができない

・『俺は必ずやれる』という意思と喜び、それを才能という。決め付けちゃいけない。才能が無いと決め付ける方が楽だ。 ・無力と思っても、無能と思ってはいけない。

・いつもキラキラしていろ、他人をわかろうとしたり、何かをしてあげようとしたり他人からわかって貰おうとしたり何かをしてもらおうとしたりするな、 自分がキラキラと輝いているときが何よりも大切なのだ。それさえわかっていれば美しい女とおいしいビールは向こうからやってくる。

・SEXより気持ちいい瞬間をどこかで持つ事が出来るかどうかで男の価値が決まる

・要するに、輝くということは、 ただちょっと偶然に立ち話をしたような他人にも 元気を与えるということだ。 だから人間は輝いてないといけないのだが、 それは簡単ではない。 清潔にするという行為が、集中力を生んだり、自己嫌悪を無くしたりする。

・移動にこそ、価値があるのだと思う。人と出会うことが人生の目的なのかもしれない。

村上龍は、私の人生見てる？って思えるくらい、10代からそばにあった。成人してから「これが村上龍の小説に書いてあった世界か」って思う出来事会うと面白かったし、1型糖尿病患者の小説が出た時も、読んだ直後に自分が発病し驚いたけど、おかげで予備知識があったことで助かった。

龍さんがもういないなんてつらい。。。。

[Daijiro Miyazawa | AI, RAG開発 @dxd5001]

今はAIを手にした側がAI以前のシステムを狙う非対称な格好だから色々起きて当然。守る側、社会全体がAI前提にアップデートされれば状況は落ち着くが、それまではAIを持った側によるサヤ取りが善悪問わず進む。

[日本経済新聞 電子版（日経電子版） @nikkei]

PHP並みの脆弱性「まだ出てくる」　米クラウドフレアCEOが予告
https://t.co/XsQkVDm1SL