にゃあ

白猫としましま猫を世界で一番有名にするためにセキュリティ活動をしています。セキュリティ検定5級。

[にゃあ @inayuta]

そしてOpenAIのSymphonyの記事のどこをとっても本当のことしか書いてなかったし、bunのrust rewriteの記事でも同じようなことが少しだけ書かれてたのに、SymphonyのリポジトリがPoCっぽかったのはほんとになんでなんだ？

[にゃあ @inayuta]

Adversarial reviewもいいんだけどめっちゃお金はかかる気がする。ワークフロー全体（敵対的レビューとそうじゃないのを効率として）でどうか？��ていうと測定できるほどtoken溶かしてタスク積み上げられてない。

[にゃあ @inayuta]

しかしAnthropicの中の人じゃないので圧倒的にloopでtokenを溶かす覚悟がなさすぎる

[にゃあ @inayuta]

bunのrust rewriteのdynamic workflowが50って言ってるし、手元のOrchestrator（nyaphony - Symphony clone）のワークフローステップが15くらいあっても全然大したことないな。むしろまだいける。
https://t.co/WjljQg8wNM

[r.kagaya | オライリーAIエンジニアリングが発売中です @ry0_kaga]

AI Engineer World’s Fair 2026（@aiDotEngineer）の参加レポートを書きました

6,000人超の参加者、300人の登壇者が集まる世界最大級のAIエンジニアリングカンファレンスです

今年はハーネスやループ、Software Factoryのような「AIが継続的に働くための仕組み」の話もかなり目立っていました

現地で聞いたこと、考えたことをまとめています
読ん��頂けたら嬉しいです！
https://t.co/DKkADYoXkg

[にゃあ @inayuta]

RAGとかもあるけどその時々でスコアリング変えるとかがめんどい気がする。
現実世界の情報システムが人間に最適化されすぎてるんだよな。

[にゃあ @inayuta]

LLMには斜め読み、目grep、必要だったら全部読むみたいな機能がないのか。訓練によって得られる環境適応ショートカット機能が標準搭載されてないんだ��。
その代わりに情報を構造化して対応しようとするけど（プログラミング）言語がそういう読み手を想定してできてないんだ。

[にゃあ @inayuta]

人間が存在の危機を感じたらそれがAGIってことですね。

[にゃあ @inayuta]

Gemini 3.5 FlashでGemini CLIでyoloモードにすると自走力が高すぎて「planして！」って言うと「よし、planしたぞ！yoloだな！実装するぜ！」って勝手に実装が始まるのでやばい。Antigravityでは待ってくれるのに。。。

[にゃあ @inayuta]

Gemini 3.5 Flash 前の Gemini に比べるとかなり良さそうにみえるな？

[にゃあ @inayuta]

なんでOpenAIはSymphonyをElixirで書いて公開したんだ��？
ほんとに内部でElixirで書いたharnessを使ってる？公開用に部分的な実装をCodexにElixirで書かせた？CodexでElixirが効率よく書ける？CodexでWeb言語以外を書けることのデモ？
どれだろ？

[にゃあ @inayuta]

助けてくれ。

[mizutani @m_mizutani]

Mythosとか全く関係無く、すでに過去一セキュリティがやばい。助けてくれ

[mizutani @m_mizutani]

Mythosとか全く関係無く、すでに過去一セキュリティがやばい。助けてくれ

[mizutani @m_mizutani]

1年間ほどかけてじっくりと熟成させたハーネスエンジニアリング(*)の実装例の紹介です。セキュリティ分析に特化した話もありますが、一般的なエージェントに通じる部分も多いと思うので、エージェントの実装をする・している方のご参考になれば幸いです。

https://t.co/9ix7OXRFU3

[にゃあ @inayuta]

これが社内にあるのでもうアラートを手動で…というのに耐えられなくなってしまったのでみなさ��もぜひご体験ください。
アドベントカレンダーでも読めるので作れるはず。

[mizutani @m_mizutani]

気づいたら社内で生成AIを利用したセキュリティアラート分析・対応を始めて一年が経っていたので、現在地としてどのような事ができているのかや、分析に利用する際のポイントについてまとめました
https://t.co/FKwOxg95LN

[にゃあ @inayuta]

うーん、 Claude Code でハーネスとワーク��ローやろうとすると、人間がチケット管理で使ってるステータス粗すぎない？みんなラベルとか使ってんの？

[にゃあ @inayuta]

Claude Code で初めてパーミッションリクエストを出す時に sudo 風に��あなたはあなたの責任においてこの許可をする必要があります。」って出してほしい

[Yosuke HASEGAWA @hasegawayosuke]

精緻に整理して価値をつけることはできないので、ある程度の粒度で例えば「アプリ保有の個人情報」「クラウドの認識情報」みたいにモデル化するしかない。そ��上でコントロール可能なのはやっぱり脆弱性だけなので、どうコントロールするかを決めるために脅威と資産を把握する、と自分は理解してる

[Yosuke HASEGAWA @hasegawayosuke]

リスク＝脅威×脆弱性×資産というやつ、脅威はよくあるメタファーの「泥棒」みたいなのを適用すると「攻撃者」みたいな雑な粒度になるし、かといってアクターごとに分類するのも違うから、「金融機関を装うフィッシング」���ような頻発してる状況を脅威とせざるを得ない。資産も教科書みたいに精緻に

[ニキヌス @nikinusu]

銀の弾丸的なセキュリティ対策製品は一応（範囲限定的には）存在する。
存在するけど、殺菌効果が高すぎるものを摂取すると腸内細菌が死滅するように、業務の柔軟性を失ったりクリーンすぎる環境でセキュリティ部門が実戦能力を失ったりしてしまい、デメリットのほうが多い。