H.Terashima

ITな事業開発屋。投資少々。深掘りワード：生成AI、サイバーセキュリティ、AI、データ、cloud、SNS、Social、地域活性化、キャンプ、アウトドア、生物多様性、里山、魚類、トラウト、フライフィッシング

[Emin Yurumazu (エミンユルマズ) @yurumazu]

このポストに1日経ってから一斉に批判が来ているのは面白い。日本にちょっとも世論が利上げ賛成方向に動いてほしくない輩がいます。主に不動産利権絡みでしょうね。外国人による不動産購入規制案を止めたのはおそらく同じ勢力。

[*Walter Bloomberg @DeItaone]

RETAIL TRADERS SELL TECH TO FUND SPACEX IPO

Retail investors are reducing exposure to semiconductor and AI-linked stocks as enthusiasm builds for SpaceX’s upcoming IPO. Data from Vanda Research shows three consecutive days of net selling, with flows concentrated in recent tech winners, suggesting traders are raising cash or “dry powder” for the listing. Analysts say the shift could increase volatility in equities as investors rebalance portfolios ahead of multiple large IPOs.

[Javier Blas @JavierBlas]

The drop in nitrogen fertilizer prices has now extended into Asia. India has received offers for its latest urea tender at an average price of $530 per tonne, down ~44% from $947 per tonne in April.

[H.Terashima @htera0202]

https://t.co/5zYhlX4JqE

[SOU⚡️投資ニュース / 仮想通貨・米国株・AI @SOU_BTC]

ソフトバンクG、14兆円投じフランスにAIデータセンター　欧州最大規模 - 日本経済新聞

ソフトバンクグループ（SBG）がフランスで最大14兆円を投じデータセンターを建設する。容量は合計5ギガ（ギガは10億）ワットで欧州で最大規模の計画になる見通し。

https://t.co/35in6c1eGI

[ichihara @nao_ichihara]

昨日(5/25) 基調講演の資料を公開しました。

『Agentic AI時代における メルカリのAIガバナンスとガードレール実装』

ITメディア Security Week 2026春
https://t.co/c5jcQnZndC

[佐藤航陽（さとうかつあき） @ka2aki86]

大量のAIエージェント同士を交流させて人工生態系を作るプログラムを無料で配布します。AI同士が仮想空間で好き勝手に暮らします👾

Discordにコード・使い方・事例を載せたので、自由にカスタマイズして使ってください。
https://t.co/Wh3yu0yNZM

並行世界・AI文明・群知能などアイディアも募集！

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

ブラウザを全画面ロックして偽のMicrosoftサポート番号に電話させるテクサポ詐欺は以前からありますが、新たに報告されたスケアウェアキット「CypherLoc」は従来の「画面が固まるだけ」の手口から大きく進化しているとのこと。

攻撃コードをAESで暗号化してページ内に埋め込み、URLフラグメント（# 以降の値）から導出したキーが揃わなければ復号しない仕組みのため、スキャナやサンドボックスが直接ページを開いても発動しません。復号が成功するとページを丸ごと書き換え、開発者ツールで張っていた監視もリセットされます。ファイルのダウンロードは不要で、フィッシングメールから誘導されたWebページ上だけで攻撃が完結し、2026年に入ってから約280万件の攻撃が観測されたとのことです。

【要点の整理】

・フィッシングメールで誘導されたページが復号条件を満たすとページ構造（DOM）を丸ごと書き換え、まったく別のスケアウェアページに変貌する。それまで張っていたスクリプト監視もリセットされる。

・フルスクリーン化、右クリック無効、カーソル非表示、オーバーレイで画面を覆い、操作を試みるたびに即座にロックし直す。警告音も自動再生され、ブラウザの動作が不安定になることもある。

・被害者のグローバルIPアドレスをページ上に表示し、偽のログインフォームも提示される。入力は一切処理されず、認証情報を入れても解消しないことでパニックを煽る設計とされる。

・開発者ツールを開くとアセットの再読み込みやレイアウト再計算が連発し、解析ツールを圧倒してブラウザが不安定になったりエラーダイアログが出たりする。

・最終的に画面上に常時表示される偽のMicrosoftサポート電話番号に電話させ、応対するオペレーターが詐欺を継続する。

マルウェアのインストールに頼らずブラウザ上の暗号化処理と心理的操作だけで成立する攻撃が高度化していることを示す事例です。
正規のセキュリティ警告がブラウザをロックしたり電話番号を表示したりすることはない点にあらためて注意が必要です。

詳細は以下を参照：
https://t.co/xwTJ5lfHtY

[Codex Studio @Codestudiopjbk]

意外と９割の人は知らないけど、実はそのCodex、かなり中身が公開されてます。 なんなら、誰でも今すぐ覗けます。意外と知られてないけど ーーーCodex CLIってオープンソースなんです😳

コードがGitHubに出ていて👇
https://t.co/9k2BEmnCOW

・どう動いてるかを自分の目で読める
・自分用に改造して動かせる
・気になる挙動はIssueやPRで直接追える

しかも 中身が見えるぶん、出力を信じるか疑うかの判断もしやすいし 詰まったときに「公式の実装」を一次情報で確認できる。

で、「オープンソースだから安心」で止めるのは正直もったいなくて、結局Codexがどんな順で考え、どこまで手を動かすかの基本ループを掴んでないと、ソースを読んでも頭に入らない。

なので、その動作の土台を初心者向けに通した教科書記事も貼っておきます。 この下の記事を読むと理解が一気に深まる。マジでおすすめ👇

[かずなり | 生成AI活用術 @MacopeninSUTABA]

メルカリが公開している「データエージェントのためのナレッジカタログ」が有益。

AIエージェントにデータを正しく扱わせる鍵は、ナレッジカタログの整備にある。BigQueryを軸にデータ利活用の勘所を徹底解説。データ基盤に携わるなら必見。

こちら👉
https://t.co/N8lrSKLdTk

[Ai With Piyas @piyascode9]

🚨 BREAKING: Google Gemini can now analyze any stock like a Wall Street analyst (for free).

Here are 10 insane Gemini prompts that replace $4,000/month Bloomberg terminals:

(Save this 🔖 you’ll need it later)

[ITmedia NEWS @itmedia_news]

ランサムウェア攻撃が「持続可能なビジネス」に　侵入コスト6万6000円、復旧に2億3000万円
https://t.co/k0o4WHvukG

[Claude Code Studio @ClaudeCode_love]

【保存版】
「6週間でClaude Codeを使いこなす側に回りたい」
そんな人向けに、公式の無料講座をベースにした学習ロードマップを作りました😳
マジで0円で1ヶ月半後にはあなたは『ClaudeCodeマスター』です！！！
まず入口はここ。Anthropic公式の無料講座👇
https://t.co/uXGCr3pzhq

で次に、全体の流れはこれ👇

① 基礎
② 実践
③ 理解チェック
④ 応用
⑤ 運用改善
⑥ 実戦

順番にいきます。

・1週目：基礎を固める

まずは、
「Claude Codeって何ができるの？」
を理解する週。

AIにコードを書かせるだけじゃなく、
・ファイルを読む
・コードを修正する
・コマンドを実行する
・Gitと組み合わせる
・開発作業を一緒に進める

この全体像を掴むのが最優先。

見る場所👇
https://t.co/nNSimkYEbr

・2週目：とにかく手を動かす

チュートリアルを眺めて終わり、が一番もったいない。

小さくてもいいので、
アプリや自動化を1本、最後まで作って動かす。

最初はこれくらいで十分👇
・ToDoアプリ
・メモアプリ
・CSV整形ツール
・README自動生成
・簡単なバグ修正

大事なのは、
「完成までClaude Codeと一緒に進める感覚」
を掴むこと。

見る場所👇
https://t.co/SXZ8NjueYY

・3週目：つまずきやすい所を先に潰す

初心者が止まりやすいのはここ。

特にこの5つ👇
・プロンプト
・権限
・コンテキスト
・Git
・MCP

完璧に覚えなくてOK。

まずは、
「どうお願いするとClaude Codeが動きやすいか」
を理解するだけでかなり変わります。

ここでMCPもざっくり押さえると強いです。

MCPは超ざっくり言うと、
Claudeを外部ツールやデータにつなぐ仕組み。

MCP公式入門👇
https://t.co/alioFpr42W

・4週目：応用に踏み込む

ここからClaude Codeが一気に面白くなります。

この週のテーマは、
Claude Codeを「ただのAIチャット」から
「自分用の開発チーム」っぽく育てること。

まず試すべきはこの3つ👇
・MCP
・Subagents
・Skills

MCPで外部ツールとつなぐ。
Subagentsで作業を役割分担させる。
Skillsでよく使う作業手順を覚えさせる。

見る場所👇
https://t.co/BMBHOQ9hhn

https://t.co/alioFpr42W

https://t.co/OknOduAOju

このタイミングで読むと一気に理解が深まるのが、
このアカウントの記事。

まずMCPを触るならこれ👇
「Claudeを最強化するMCPサーバー30選」
https://t.co/TTiRdWAn2k

次に、Claudeを“開発チーム化”する感覚を掴むならこれ👇
「Claude Skills 67選」
https://t.co/tuyGiU04sT

さらに拡張の選び方まで見たい人はこれ👇
「Claude Codeプラグイン完全ガイド」
https://t.co/5k4wi4xCXW

そして、Claude Codeを単なるコード生成ではなく、
思考・設計・実装まで含めて使いたい人はこれ👇
「HTMLファースト思考術」
https://t.co/SUn6H8uQF2

ここまでくると、
Claude Codeが「便利ツール」から
「作業環境そのもの」に変わってきます。

・5週目：運用レベルに引き上げる

5週目は、ただ使うだけじゃなく、
「どう使えば失敗しにくいか」
「どう使えばコストを抑えられるか」
「どう使えば継続的に成果が出るか」
を詰める週。

ここで見るべきは、
派手なテクニックより“運用の型”です。

まずは公式講座の内容を見直して、
このあたりをチェック👇

・インストールできるか
・プロジェクトを開けるか
・コード修正を依頼できるか
・Gitと一緒に使えるか
・MCPの役割を説明できるか
・小さな機能追加を任せられるか
・失敗した時に戻せるか
・コンテキストを整理できるか

その上で、実践者の運用ノウハウを入れる。

Claude Codeの使い方を一段上げるならこれ👇
「Anthropicが内部でやっている Claude Code運用ベストプラクティス大全」
https://t.co/izU2Uv87Jp

トークン消費やコスト感が気になり始めたらこれ👇
「ClaudeCode『エスカレート式』運用術」
https://t.co/KE2Xe9Nq9t

“作業の外部脳化”までやりたい人はこれ👇
「Claude Code×ObsidianでAI外部脳をゼロから作る完全ガイド」
https://t.co/aDcsvkeYX7

Claude Codeの作法や考え方を深掘りしたい人はこれ👇
「Claude Code生みの親Borisが実践する30個の最強Tips完全版」
https://t.co/iHN4nHMBpG

そして、Claude Codeは変化がかなり速いので、
最後にアップデート情報も確認しておく。

最新の変化を追うならこれ👇
「Claude Codeアップデート総まとめ」
https://t.co/GxYgbMO4DY

5週目でここまでやると、
「とりあえず使ってみた人」から
「自分の作業に合わせて運用できる人」
に変わります。

・6週目：実戦

あとは自分の作業にClaude Codeを入れるだけ。

いきなり大規模開発に使わなくてOK。

まずはこのあたりから👇
・README作成
・テスト追加
・バグ修正
・既存コードの説明
・小さな機能追加
・リファクタリング相談
・エラー原因の切り分け

このへんを毎日少しずつ任せるだけで、
「Claude Codeに何を頼めるか」
の感覚が一気に掴めます。

独学で迷子になりがちな道のりを、
6週間の地図に圧縮するとこうです。

公式講座を見る
↓
小さく作る
↓
つまずく所を潰す
↓
MCP・Skills・プラグインを試す
↓
ベストプラクティスと運用術を入れる
↓
自分の作業に入れる

焦らずこの順番でやるのが、
結局いちばんの近道なんですよね。

Claude Codeをこれから触る人は、
まずこの3つを保存しておくと迷いにくいです👇

Claude Code 101
https://t.co/uXGCr3pzhq

Claude Code公式Quickstart
https://t.co/SXZ8NjueYY

MCP公式入門
https://t.co/alioFpr42W

最初は公式講座で土台を作る。
4週目で拡張の世界に入る。
5週目で運用の型を覚える。
6週目で自分の作業に入れる。

これで、
「Claude Codeを触ったことがある人」ではなく、
「Claude Codeを仕事や開発に組み込める人」
に近づけます。

「いつか勉強しよう」で止まってた人は、
まず1週目だけでも始めてみてください。

保存して、6週間後に見返す用です。

[おさぼりさん @osabori_code]

これガチで有益なんですけど、
「ChatGPT」「Claude」「Gemini」に相談するとき、最後に「第一原理思考で教えて」って足すだけで、回答の深さが3倍変わる。これ、

[深津 貴之 / THE GUILD, note @fladdict]

「日本の経済成長の足を引っ張ってる法律ランキング」をGPT、Gemini、Claudeにきいて比べてみる遊び。長いけど、わりとおもろかった。

writing... 3つのAIに聞く、日本の法律改革ランキング比較
https://t.co/qst0Tb7Foi

[Group-IB Global @GroupIB]

What if your network was already breached, packaged, and listed for sale on an underground forum, and you had no idea?

In 2025, Group-IB recorded 120 Initial Access Broker incidents targeting European manufacturers alone. The UK absorbed 29% of those listings. Germany followed at 16%. Every listing represented a network that had already been compromised – weeks before ransomware operators ever showed up.

The breach isn't the ransomware. The breach is the moment your credentials hit the forum.
Threat intelligence is the only warning signal that exists between that moment and the ransom note. Most manufacturers are operating without it.

👉 See which networks are currently listed: https://t.co/GZTPMlgLQD

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

7-Zipのv26.00以前に、細工ファイルを処理するだけで任意コード実行に至りうるヒープバッファオーバーフロー（CVE-2026-48095）が報告されています。脆弱性はNTFSアーカイブハンドラに存在。バッファサイズを決めるビットシフト演算で指数がちょうど32に達すると、C++の未定義動作によりバッファが本来のサイズではなくわずか1バイトしか確保されず、この1バイトのバッファに最大256MBのデータが書き込まれ、わずか304バイト先にあるオブジェクトのvtable（仮想関数テーブル）ポインタが上書きされ、任意コード実行につながりうる構成です。

しかも7-Zipは拡張子での形式判定に失敗するとファイル内部のシグネチャで形式を再判定するため、7zやzipなど任意の拡張子でも発火し、拡張子による判別が通用しない点が今回の特徴です。

報告から3日でv26.01がリリースされ、5月22日にPoCを含む技術詳細が開示されています。

【要点の整理】

・NTFSハンドラのGetCuSize()関数はBlockSizeLog + CompressionUnitの合計値でバッファサイズを算出する。攻撃者が細工したNTFSイメージでこの合計を32にすると、(UInt32)1 << 32が未定義動作となりバッファが1バイトに縮小。ReadStream_FALSEが最大256MBを書き込みヒープオーバーフローが発生する（CWE-787 / CWE-190）

・ヒープ上でバッファの304バイト先にストリームオブジェクト自体が配置されており、最初の64KB書込みでvtableポインタが攻撃者の制御データで上書きされる。次の読込みで破壊されたvtable経由の関数呼び出しが発生する古典的なvtableハイジャック

・7-Zipは拡張子一致に失敗するとシグネチャベースのフォールバック判定に移行し、NTFSハンドラがバイトオフセット3のシグネチャで照合する。NTFS系の拡張子に限らず[.]7z、[.]zip、[.]rarなどでも攻撃が成立する

・CVSSは8.8（High）。x86/x64ともに影響し、x64環境ではRAMが16GB以上あるシステムで攻撃条件が揃うとされる

・GitHub Security Labの研究者が発見し2026年4月24日に報告。修正版v26.01は同4月27日にリリース済み。Python製PoCジェネレータも公開された状態

詳細は以下を参照：
https://t.co/AQWsRCuoby

[Krutik @krutikvirani]

I once criticized CERT-In on LinkedIn and got calls from terrified employers (past & then present) asking me to remove it.

I said no and proceeded to change all my employment history to ‘Confidential’ to ease their worries.

The reason they panic is because they don’t want to lose their “CERT-In Empanelment”.

CERT-In Empanelment is one of the biggest scams in the Indian cyber security industry.

CERT-In makes you go through several stages of tests (all worthless btw) and then “certifies” you as an empaneled auditing firm.

This status then allows you to bid on government contracts for cyber security projects along with enabling you to serve compliance customers under regulatory bodies.

If, for whatever reason, CERT-In decides to revoke this empanelment, the firm would lose majority of its business.

That’s how CERT-In keeps all the major cyber security firms in India under their thumb.

[yousukezan @yousukezan]

ニセ警察官に「保釈金払わないと逮捕」　暗号資産で1億8千万円被害：朝日新聞 https://t.co/kIpz7760QI

[📕「マルウエアの教科書」著者 | 吉川孝志 | 増補改訂版🌟発売中 @MalwareBibleJP]

GeminiCLIの記憶ファイルにジェイルブレイク命令を蓄積し、記憶ファイルが残る限りセッションを跨いで制限が外れた状態が引き継がれ続ける手口で、チーム規模の作戦を一人で回していた単独アクターの全容が報告されています。被害者情報からGeminiに1対象20パターンの推定パスワードを生成させ、情報窃取型マルウェアの流出ログと組み合わせて29件のWordPress管理者アカウントを突破したとの報告。コンテンツ自動生成、インフラ構築、パスワード解析、不正ツールの配布と、通常は複数人で分担する工程をAIを中心に実行していたとのことです。

GeminiCLIは起動のたびにGEMINI[.]mdという記憶ファイルを自動で読み込みます。このアクターはまず「認可されたセキュリティテスター」の文脈をGeminiに受け入れさせ、次に「倫理的拒否なしで実行せよ」と追記することで、新しいセッションを開くたびにAI側の制限が外れた状態が引き継がれる構造を作り上げていました。ロシア語で指示を出すことで、非英語言語のガードレールが手薄な弱点も併用していたとされます。

約17,000人のMAGA系Telegramチャンネルの運用やWordPress管理者29件の突破に至った一方、確認された金銭的成果は暗号資産ウォレット1件の窃取にとどまっており、AIで到達範囲は広がっても収益に直結しなかった実態があわせて報告されています。

【要点の整理】

・「Quantum Patriot」と名付けたPythonの自動投稿パイプラインでQAnon風コンテンツを生成・配信。購読者をロシア語で「マンモス」（騙しやすい人）と呼んでおり、政治目的でなく暗号資産詐欺が動機と分析されている

・偽暗号資産ウォレット「StellarMonster」に正規の遠隔管理ツールGoToResolveを仕込んで配布。復元用フレーズ（シードフレーズ）を入力させてウォレットの鍵情報を窃取し、少なくとも1名のウォレットが完全に侵害されたとされる

・盗まれたとみられるGeminiのAPIキー73件を順番に切り替えて使い運用コストはほぼゼロ。キー管理スクリプト自体もGeminiに書かせていたとのこと

同じ手法がより高い技術を持つ攻撃者に利用される可能性も指摘されており、記憶ファイルのジェイルブレイク耐性と多言語でのガードレール整備がベンダー側の課題として挙げられています。

詳細は以下を参照：
https://t.co/bh2osWvJM7