Günther | グンタ

AI made speed common. Craft is the edge.
Founder & CEO / Design Engineer, @GProductionsJP
Built OpenSTF (13k+ stars)
元サイバーエージェント（15年間）
署名できる仕事だけを。日本の創造力を、世界へ。

[Günther | グンタ @gunta85]

日本のエンジニアが世界で一番損してる理由、知ってますか。

まず @catnose99 さん、Zennという素晴らしいプラットフォームを作ってくれて本当にありがとうございます。
コード表示の美しさは世界一。

でも、衝撃的なデータから始めさせてください。

私の友人のアメリカ人エンジニア。 Substackで技術講座を販売。 年間収益：$156,960（約2,350万円）

彼は別にインフルエンサーじゃない。 普通のシニアエンジニアです。

一方、日本のZennの販売上限： 5,000円（$33）

この差、700倍です。

なぜこんなことが起きるのか。
各プラットフォームの上限を見てみましょう：

• Zenn: 5,000円（$33）
• Note: 100,000円（$667）
• Substack: 無制限
• Gumroad: 無制限
• Udemy: 普通に$200（30,000円）

エンジニア向けだけ異常に安い。
これ、偶然じゃないんです。

日本には「技術知識を安売りする文化」がある。
でも面白いことに、同じ日本企業が：
• Udemy Business → 年間数千万円契約
• 技術研修 → 一人100万円とか普通
• コンサル → 月額300万円で契約

会社の金では高額な知識に投資する。
でも個人では投資しない。

なぜか？

「組織の学習」は投資 「個人の学習」は趣味

この認識の差が、日本を貧しくしている。

歴史を見ると、皮肉なんです。
明治時代、日本が世界の技術大国になれた理由：
📚 世界一の技術書数
当時の日本人の行動：
• 西洋の技術書を猛烈に翻訳
• 高額でも技術書を買い漁る
• 知識への投資を惜しまない
福沢諭吉「学問のすゝめ」も340万部売れた。
当時の人口の10人に1人が買った計算。

知識に金を払う文化が、日本を強くした。
詳細→ https://t.co/srRZIq6J8o

2025年、AI革命の真っ只中。

技術の進化スピード：
• GPT-4 → GPT-5：1年
• ChatGPT → Claude Code：数ヶ月
• 新しいフレームワーク：毎週

紙の本？
出版に6ヶ月かかる間に、技術は3世代進む。
だからこそデジタル。 だからこそ更新可能な技術書。 だからこそZenn。
でも5,000円上限じゃ、誰も本気で書かない。

「日本人エンジニアは実力がない」は嘘。

世界的企業で活躍する日本人：
• Deno - コアチーム
• Bun - 主要開発者
• voidzero - 創業メンバー
• Cloudflare - 重要ポジション
技術力は世界トップクラス。
でも収入は？

OpenAI、Metaのトップエンジニア年収： 2-4億円（$1.3-2.6M）

なぜ役員より高いのか？
理由は簡単： 一人で1000人分の価値を生み出すから。

AIエージェント開発したら、
その分の人間の労力を置き換える。
スケールするから価値が高い。

日本企業はこれを理解してない。

でも、変化は起きてます。

今日のLayerX（@fukkyy）の発表見ました？

「社員の年収最大1.5倍」

生産性向上の成果を還元。
アウトカムで評価。
これが正しい経営。

こういう企業が増えれば、日本は変わる。

じゃあ、どうすればいいのか。
【個人でできること】
• 自分の知識に適正価格をつける
• 安売りしない勇気を持つ
• 価値を言語化する

【企業ができること】
• エンジニアの市場価値を認識
• 知識への投資を惜しまない
• LayerXのように成果を還元

【プラットフォームができること】
• 価格上限の撤廃
• 企業向け読み放題プラン
• クリエイターへの還元率向上

@zenn_dev @classmethod @sato_shi さん

具体的な提案：

1. 価格上限を撤廃 市場が適正価格を決める

2. Zenn Business導入 読み放題を企業が契約→エンジニアに還元

3. 顧客と向き合う 1年放置のissue、解決しましょうhttps://t.co/v2YTkmAt8S PR送りますよ、無料で。

これ、Zennだけの話じゃない。
日本はクリエイティブ産業では勝ってる：
• アニメ → 世界を席巻
• マンガ → グローバル文化
• ゲーム → 任天堂、ソニー

でも、なぜテック産業では負けてる？

知識を正当に評価しないから。

明治時代のように技術大国に戻るには：

コンテンツだけじゃ足りない。 技術力 × 適正な評価 = 国力
私も微力ながら貢献してます。 2014年に日本初のWebpack解説記事を書いた。 誰もやってなかったから、自分でやった。
一人一人ができることから始める。 それが積み重なれば、必ず変わる。

想像してください。

もし日本のエンジニアが：
• 知識で月30万円稼げたら
• 副業で年収が1.5倍になったら
• 世界に技術発信できたら

若者がエンジニアを目指す。
海外から優秀な人材が来る。
日本の技術力が再評価される。

第二の明治維新が起きる。

無料の情報共有は美しい。
でも、無料だと更新されない。
結果、古い情報だらけ。
誰も得しない。

適正価格の有料コンテンツ。
常に最新。常に価値がある。
みんなが得する。

これが健全なエコシステム。

経営者の皆さん。

エンジニアの知識は、
居酒屋の飲み代より安くない。

その認識を変えるだけで、
日本経済は激変します。

今がその転換点。

このまま何もしなければ、
日本のエンジニアはずっと$33の世界。
アメリカとの差は開く一方。

でも今動けば、間に合う。
AI革命はまだ始まったばかり。
日本には技術力がある。
あとは、それを正当に評価する仕組みだけ。

これは切実なお願いです。

Zennが変われば、日本のエンジニア文化が変わる。
エンジニア文化が変われば、日本の技術力が変わる。
技術力が変われば、日本の未来が変わる。

大袈裟じゃないんです。
本気で思ってます。

一緒に、日本を技術大国に戻しませんか？

[Asahi @asahiXXXXXXXXX]

@gunta85 @zenn_dev @note_PR ほなnoteですかね🥲

[Günther | グンタ @gunta85]

@NathanFlurry Amazing.
Reminds me of Durable Stream's Fork
https://t.co/jiFlveDkKE

[Günther | グンタ @gunta85]

@photonstorm Omg this should be called Pong (LSD Version)

[Günther | グンタ @gunta85]

@komorama “Design a system to auto-design systems to win Factorio”

[Günther | グンタ @gunta85]

G Productions は、限られた数のプロジェクトだけをお受けしています。

今回はNin-Ja Company様のコーポレートサイト。ゲームのアートを手がけるスタジオなので、サイトそのものをまるでゲームのような体験にしました。

・WGSLで書いたシェーダーで、竹林、山々、光のトンネルの3つの世界をWebGPUでリアルタイム描画
・WebGPU非対応の環境には、同じシェーダーをWebGL2に移植して用意
・端末の性能を読み取り、解像度と演出を自動で調整して60fpsを維持
・セクションごとに異なる「技」。写真は煙、ガラスの破砕、焼け、朱の飛沫で反応
・実録音とシンセを重ねたUIサウンド
・日英2言語。和文は禁則と改行位置まで、スマホからPCまで検証

それでいて、最初の表示は約0.2秒。転送量は旧サイトの半分以下です。

アートとテクノロジー、どちらかだけでは届かない品質を。

https://t.co/FFKB5gJgTl

[G Productions Japan @GProductionsJP]

株式会社Nin-Ja Company様のコーポレートサイトを全面リニューアルしました。

WebGPUで描くリアルタイムの世界を、スクロールで進む「ゲームのステージ」として設計。日英2言語。

開いた瞬間の感動を、60fpsで。

https://t.co/1ERUmQwg8E
#WebGPU

[Günther | グンタ @gunta85]

Based. We need a name for this kind of software.
Fire OSS? 🔥

[DHH @dhh]

Omarchy is forever free. There's no monetization scheme coming. I'm already rich and the Omacom Foundation is a well-founded nonprofit.

The only ulterior motive here is to make Linux win on the desktop and create the perfect, malleable computer for all to enjoy!

[Günther | グンタ @gunta85]

@theo Is this the new way to get drunk

[Günther | グンタ @gunta85]

I learned spearfishing in Japan, and did myself the Shinkeishime.
It's fine to do it yourself for a small quantity of fish, and actually fun as a hobby, but for commercial fishing I can see this is revolutionary.
Flavor is 1000% different.
I can assure one of the reasons of why sushi 🍣 in Japan is better its thanks to the Shinkeishime technique.

[Günther | グンタ @gunta85]

@XP_Ehsaan @robertpenner @VictorTaelin @DavidKPiano @mattpocockuk Coming soon

[Günther | グンタ @gunta85]

@joelhooks @alchemy_run i did it, but don't wanna maintain it
https://t.co/5Kbf1Ixazt
convex is a bit special so there are many ways to approach it

[Günther | グンタ @gunta85]

I approve this

[Robert Penner @robertpenner]

After 10 days of using Bend2, I am thoroughly hooked.

Migrating core TypeScript logic to Bend's functional style, with laws and proofs, feels very satisfying.

[Günther | グンタ @gunta85]

@MichaelArnaldi @0xblacklight I have to agree here. But of all I tried effect-machine is the closest one

[Günther | グンタ @gunta85]

@theo Amazing, but why aren't the labs using this process for RLHF taste?

[Günther | グンタ @gunta85]

@samgoodwin89 @alchemy_run The age of swappable clouds
Amazing work

[Günther | グンタ @gunta85]

@SkrOYC @grok Yeah right now Nix ranks on the top for package managers.
I just found amusing that the author of Brew was vouching for curl|sh despite his own creation is at least more secure

[Günther | グンタ @gunta85]

Max, Homebrew is the best argument against this post.

Last year I wrote a paper scoring 100 install methods. On macOS:

Homebrew Core: 89/100
Homebrew Cask: 84/100
A developer's own curl | sh: 43/100
A third-party curl | sh: 18/100

That's a 46 to 71 point gap on the same Mac. People who flinch at curl one-liners are reacting to that gap, even if they can't explain it.

You're right that it comes down to trust, and you're right that a proper package manager is what you want. Afaik, where we differ is that I don't think trust is a yes/no question about the vendor. When you run curl | sh, you trust the vendor, their domain, their DNS, their CDN, and whoever holds their GitHub token on the day you install. You can't verify what you got, you can't tell if everyone else got the same file, nobody can revoke it, and nothing records what ran.

The paper I wrote scores six things. Integrity and review/CI are worth 25 points each, provenance and least privilege 15 each, update hygiene and distribution hygiene 10 each. curl | sh gets 0 out of 25 on review and between 1 and 8 out of 25 on integrity.

You said you can at least inspect the script before running it.

The file your browser shows you and the file curl downloads can be different. The server sees the User-Agent and sends whichever it wants.

With | sh the server can do more. The shell runs the script while it's still downloading, so the server can tell from the timing that the output is going into a shell and send a different payload. https://t.co/nrPnlaKH9C published a working demo of this 10 years ago. It even beats the careful version where you curl the script to your terminal first, read it, and then pipe it into sh, because the server can tell those two requests apart.

If the connection drops halfway, sh runs the half it received.

To run the exact script you read, you have to save it to a file, read the file, and run that file. That isn't a one-liner anymore, and once you add a hash check you've built a package. Most people never read the script anyway, since skipping that step is the reason one-liners exist.

You said a .pkg can also run arbitrary scripts.

Of course it can. The difference is that a pkg is a fixed file. The developer signs it with a Developer ID, Apple notarizes it, and Gatekeeper checks both before it runs. Suspicious Package shows you the same bytes the installer will run, and Apple can revoke the signature if the pkg turns out to be malware.

curl | sh runs whatever the server sends at the moment you press enter. HTTPS tells you that you reached the right domain. It tells you nothing about whether someone broke into that domain. Many of these scripts also call sudo partway through, so a script nobody read gets root.

You said MitM is a risk with any download.

A signature check fails if anyone changes the file in transit or on a mirror. That is the reason signing exists.

You said that once anything is installed it can run arbitrary code anyway.

After install, yes. But the install step decides whether you got the same file as everyone else, and whether anyone would find out if you didn't.

A curl | sh server can send malware to one company's IP range on one night and the clean script to everyone else, including any researcher who checks. A notarized pkg is one build with a hash Apple has on file. Releases signed through a transparency log like Sigstore leave a public record of every version, so a one-off malicious build would show up there. Most of supply chain security is about whether someone can send you different code without anyone noticing.

The inspect argument also assumes a person reads the script. In 2026 a lot of install commands get run by coding agents that copied them from a README, and the person's only check is approving a prompt. Nobody reads the script in that setup, so the install method has to be safe on its own.

Homebrew also ships a signed, notarized Homebrew.pkg on its GitHub releases. The current maintainers already built what the people complaining about curl asked for.

If you ship a CLI and want a better score:

- Put it in a package manager like a Homebrew tap, apt, winget, or nix. You get checksums and pinned versions with no extra work.
- Sign your releases. On macOS that means Developer ID plus notarization, and on other platforms cosign or minisign.
- If you still offer a curl command, pin the version, check a hash or signature inside the script, wrap the script in a main() function so a cut-off download runs nothing, install into the user's home directory, and ask before using sudo.
- Document how to verify the download. Most users will skip it, but anyone auditing your tool will use it.

You don't need to apologize for the one-liner. It got a lot of people to open a terminal for the first time, and in 2009 Gatekeeper, notarization and Sigstore didn't exist yet. Now they do, and the default install command should use them.

The paper is in the reply. I'd like to hear what you think.

[Max Howell @mxcl]

curl one liners trigger people apparently.

They want a dedicated .pkg.

Which also can run arbitrary scripts.

And once anything is installed by any mechanism it can basically run arbitrary scripts too.

So then you're really just talking about race conditions on inspecting the

[Günther | グンタ @gunta85]

まさかの展開
Tiboさん愛されてますね

[Greg Brockman @gdb]

welcome @_catwu to the team!!

[Günther | グンタ @gunta85]

Ojo, no dije que me guste brew lol. Le estaba discutiendo al autor de brew, que defendía curl|sh. El paper lo hice porque todos los métodos tienen sus problemas y quería medir cuánto.

Y lo de Binance me da la razón al paper: el chabón buscó la herramienta online y se bajó un Homebrew trucho. Esas páginas de phishing te dan un comando para pegar en la terminal. Es justo la capa que le falta a curl | sh, saber que estás en el sitio posta. Hasta el bootstrap de brew tiene ese riesgo, por eso existe el .pkg firmado.

Lo del user agent: con | sh ni hace falta, el server detecta por timing si va a un shell o a un archivo. Está documentado desde 2016 que es un exploit facil de hacer.

Igual, bueno cruzarme con otro argentino que le interese en el tema 🇦🇷

[Günther | グンタ @gunta85]

@annimvs well considering I wrote a paper for measuring that 😂 its still shorter than this