えんつか / WEBエンジニア⚙️

地方製造業⚙️ → 都内ITベンチャー → 地方フルリモートWEBエンジニア | 30代からベンチャーへ転職 | TypeScriptがメイン | 使い勝手の良いエンジニア🧑‍💻 | 複数の企業さんとお仕事してる | 毎日の自転車で痩せるのが目標🚲

[えんつか / WEBエンジニア⚙️ @entsuka]

本来だったら数日かかっていたであろうものが、ものの1, 2時間で完了。本当AIありがとう。

[えんつか / WEBエンジニア⚙️ @entsuka]

公開アプリにレビューがついてとても嬉しい。初めて達成できるものは嬉しいな。増え方がまだほんの少しづつだけどより増えると嬉しいな！

[えんつか / WEBエンジニア⚙️ @entsuka]

一時期20人近いエンジニアと同時に関わっていたことになるのか

[えんつか / WEBエンジニア⚙️ @entsuka]

Shopify Functionsのquery complexityの限界もっと上げて欲しいなぁ...

[えんつか / WEBエンジニア⚙️ @entsuka]

スケジュール引いても差し込みや予定外が多すぎて計画が即破綻するので早急にやり方変えないといけない。脳筋でやってきたけど、そのままのスケジュール希望でさすがに辛くなってきた。

[Günther | グンタ @gunta85]

【拡散希望】

npm週間1億DLの axios が乗っ取られました。

リードメンテナーのアカウントが乗っ取られ、RATが仕込まれた偽バージョンがnpmに公開されています。

現在進行系。
[email protected] と [email protected] にRATが仕込まれています。npm install した瞬間にマルウェアが実行されます。

✅ 安全なバージョン: 1.14.0 / 0.30.3
❌ 危険: 1.14.1 / 0.30.4

macOS、Windows、Linux全対応。ペイロード実行後に自己消去。プロの仕事です。

npm install を今すぐ止めてください。

全容をまとめました↓

[えんつか / WEBエンジニア⚙️ @entsuka]

参考になるな

https://t.co/DChRsCAofu

[えんつか / WEBエンジニア⚙️ @entsuka]

AI導入によりエンジニアの生産上がるのは良いけど、レビュアーの負担がどんどん増している気がするのだけど、みんなどうしているの？？？PRのAIレビュー入れているけどもっとオートメーションしたいなぁ。PR減らないーーー

[えんつか / WEBエンジニア⚙️ @entsuka]

e-tax改善されてて嬉しい...！ブラウザ指定無くなってるし、納税もとても楽になってる！

[えんつか / WEBエンジニア⚙️ @entsuka]

docs駆動開発をしてみている

[Cursor @cursor_ai]

Cursor can now automatically fix issues it finds in PRs with Bugbot Autofix.

[えんつか / WEBエンジニア⚙️ @entsuka]

AIでゴレイヌのオレが3人分になる...くらいの生産性は出ちゃうよね

[えんつか / WEBエンジニア⚙️ @entsuka]

VoiceOS試そうと思ったらアカウント作成できず、しっかりとバグってた。直ったら試そうかな。

[えんつか / WEBエンジニア⚙️ @entsuka]

便利だったけど、こりゃ危なそうだ

[げれげれ @medmuspg]

【注意喚起】音声入力アプリ「Typeless」をリバースエンジニアリングした結果、かなり深刻なプライバシーリスクが見つかったので共有します。

■ 結論から

Typelessは「On-device history」「Zero data retention」を謳っていますが、実際にはすべての音声データがAWS（米国オハイオ）のサーバーに送信されて処理されています。ローカルの音声認識モデルは一切入っていません。

それだけなら「クラウドSTTサービス」として普通ですが、問題は音声以外に収集しているデータの範囲です。

■ 何を調べたか

macOS上でTypeless v0.9.3のバイナリ解析、ネットワーク通信調査、ローカルDB解析、ネイティブライブラリの文字列解析を実施しました。

■ 確認された事実

1. 音声処理は100%クラウド

アプリ内にWhisper等のSTTモデルは存在せず、音声はOpusで圧縮後、WebSocket（wss://api.typeless.com/ws/rt_voice_flow）経由でAWS us-east-2のサーバーにリアルタイム送信されます。

https://t.co/8SDDBPTiDS → https://t.co/EsKcMHXl8p

公式プライバシーポリシーにも「processed in real time on our cloud servers」と書いてあるので嘘ではないのですが、マーケティングの「On-device」という表現は履歴保存に限定されており、かなりミスリーディングです。

2. 音声以外にも広範なデータを収集

ローカルのSQLiteデータベースとネイティブライブラリの解析で、以下のデータ収集を確認しました：

・ 閲覧中のWebサイトの完全URL（Gmail、Google Docs等も記録）
・ フォーカス中のアプリ名、ウィンドウタイトル
・ 画面上のテキスト（アクセシビリティAPIで再帰的に収集する「collectVisibleTexts」関数）
・ クリップボードの読み書き（パスワードマネージャのTransientTypeも処理可能）
・ CGEventTapによるシステムレベルのキーボード入力監視
・ ブラウザのDOM要素情報（Safari, Chrome, Edge, Firefox, Brave対応）
・ ユーザーがテキストを編集した内容（TrackEditTextService → sendTrackResultToServer）

3. ローカルDBに個人情報が平文保存

typeless.dbに音声認識結果のテキスト、閲覧URL、アプリ情報が平文で保存されています。「Zero data retention」を謳いながら、ローカルには全て残っています。音声ファイル（.ogg）も削除されずに残存。

4. 過剰な権限要求

音声入力ツールなのに、マイクに加えて画面録画、カメラ、Bluetooth、アクセシビリティの権限を要求します。スクリーンショット機能も内蔵されています。

5. 会社の透明性がほぼゼロ

・ 利用規約・プライバシーポリシーに法人名の記載なし
・ 所在地は「サンフランシスコ郡、CA」（利用規約の管轄地のみ）
・ WHOISは非公開（GoDaddy + Cloudflare）
・ SOC2、ISO27001等のセキュリティ監査の記載なし
・ 連絡先は [email protected] のみ

■ 技術的な根拠（再現可能）

以下のコマンドで誰でも確認できます：

# ネットワーク通信先
nslookup https://t.co/8SDDBPTiDS

# app.asar内のAPI URL
strings /Applications/Typeless.app/Contents/Resources/app.asar | grep "https://t.co/8SDDBPTiDS"

# WebSocket通信プロトコル
strings /Applications/Typeless.app/Contents/Resources/app.asar | grep "rt_voice_flow"

# キーボード監視のネイティブライブラリ
strings /Applications/Typeless.app/Contents/Resources/lib/keyboard-helper/build/libKeyboardHelper.dylib | grep -i "key pressed"

# 画面テキスト収集
strings /Applications/Typeless.app/Contents/Resources/lib/context-helper/build/libContextHelper.dylib | grep -i "collectVisibleTexts"

# ローカルDBの中身
sqlite3 ~/Library/Application\ Support/Typeless/typeless.db ".schema history"

■ 何がまずいのか

CGEventTap（キーボード監視） + アクセシビリティAPI（画面テキスト収集） + クリップボードアクセス。この3つの組み合わせは技術的にキーロガーと同等の能力を持ちます。

これを運営法人が不明なサービスに許可しているということです。

音声入力の精度向上のためにコンテキスト（使用中のアプリや入力フィールドの情報）を取得すること自体は合理的な設計です。しかし、それをクラウドに送信する場合、運営の信頼性とセキュリティ体制が問われます。法人名すら公開していない会社にその信頼を置けるかは、各自で判断してください。

■ 代替手段

完全ローカルで動作する音声入力ツールは存在します：

・ Whisper.cpp / MLX Whisper（OSS、完全ローカル、無料）
・ macOS標準の音声入力（Apple Silicon上でオンデバイス処理）
・ Superwhisper（Whisperベース、Mac向け、ただし要検証）

■ まとめ

・ Typelessの音声認識は100%クラウド処理（ローカルモデルなし）
・ 音声以外にも画面テキスト・URL・キーボード入力を収集可能な技術基盤
・ 運営法人が不透明（法人名・所在地の公開なし）
・ セキュリティ監査の証拠なし

利用中の方はリスクを認識した上で判断してください。少なくともLittle Snitch等でネットワーク通信を監視することを推奨します。

#typeless

[えんつか / WEBエンジニア⚙️ @entsuka]

@yamamoto_ec01 割といい感じです！
ビジネス面で言うと、特に選択したテキストの部分のフォーマットだったり、テキストの英訳や和訳などもお願いできるので、わざわざChatGPT に行って和訳や英訳をお願いする手間が省けてるので、総代理でのクライアントとのやり取りでも便利そうです👀

[えんつか / WEBエンジニア⚙️ @entsuka]

Typelessを試してみる。値段は高めだがいいかもしれない。

[azu @azu_re]

見てる: "Claude Code × MCPで実現するPRレビュー準備の自動化 ——週6時間のレビュー工数を削減した実践例——" https://t.co/lmjFdTUMAK

[えんつか / WEBエンジニア⚙️ @entsuka]

プログラミング学習始めた当時ぐらいに開設した個人ブログまったく更新しない状況なのでクローズします。これまで大変お世話になりました！

[えんつか / WEBエンジニア⚙️ @entsuka]

Mac OSをTahoeにしたら設定のトグルが、CSS完全に理解したみたいなデザインに見えるな😂すごく見慣れない

[えんつか / WEBエンジニア⚙️ @entsuka]

NotionのGithub PRはビジネスプラン以上なのか〜