itomoeasy

[itomoeasy @itomoeasy]

RDS Proxyを導入して、数ヶ月で撤去した話｜ぽこひで https://t.co/zhi63EU84f #zenn

[Torishima / INTP @izutorishima]

japanese-tech-writing スキルを作った人による「認知リズムを生むための日本語ライティング規範」、顧客が本当に求めていたものなのでは・・・？
特に GPT 系は認知的にリズムがない文章を出しがちで疲れるのでこれを読ませたらかなりマシになるだろうか
https://t.co/sGULUxruIB

[Kazunori Sato @kazunori_279]

Anthropic社内のデータ分析基盤の話が面白かった。 "ビジネス分析クエリの95%が自動化" "ガバナンス層をバイパスする変更をCIでブロック" "データモデル、セマンティック層、ドキュメントを同一のリポジトリで管理、モデルの変更を即座にドキュメントに反映"
https://t.co/DfW3eRDhCs

[pospome@カミナシのVPoE @pospome]

これすごいな。Pub/Sub自体がメッセージに対してAIを適用して、メッセージにラベルを付けてくれる。普通ならそれ用のデータパイプラインとか用意する必要がありそうだけど、それが不要になるっていう。 https://t.co/Puxdnb8pnY

[ラク @rakutek]

Anthropicに買収されたBunのコミットを追うとマジで知らないClaude Codeの使い方(まだ未公開の機能とか含めて)を発掘できて勉強になる
https://t.co/G5hrVOyYEx

[Takuro SASAKI / 佐々木拓郎 @dkfj]

S3はファイルストレージではない

内部は巨大な分散 KVS に近く、オブジェクトキー設計やアクセス分散の考え方でスループットや挙動が変わる

今の S3 は昔より自動分散が強化されたが、内部構造を理解しているかどうかで設計品質はかなり変わる

S3 を正しく理解するための内部構造の読解
スライド
https://t.co/5mDvZhq2xp

動画
https://t.co/pDQoMygNl6

[Nyx Foundation @NyxFoundation]

【お知らせ】

コードではなく「仕様書」からバグを見つけるAIセキュリティ監査ツールを、本日OSS公開しました。

名前はSPECA。Specification-to-Checklist Agentic Auditing Framework の略です。

SPECAは、「仕様駆動（Specification-driven）」で高信頼性ソフトウェアを監査するための、AIエージェント型セキュリティ監査フレームワークです。

従来のコード駆動型ツールとは、根本的に異なるアプローチを取っています。

自然言語で書かれた仕様、たとえば EIP やコンセンサス仕様書などから、まず 明示的な型付きセキュリティプロパティ（Invariant / Precondition / Postcondition / Assumption） を抽出します。

次に、それらを STRIDE + CWE Top 25 に基づく脅威モデルで整理します。

そのうえで、各実装に対して proof-attempt reasoning、つまり「このプロパティが成立することを証明してみろ」と構造的に問いかけることで、仕様と実装のギャップを検出します。

これにより、次の3つの価値を提供します。

- 仕様レベルでしか表現できない脆弱性: コードパターンだけでは拾えない、仕様由来のバグを検出できる

- 複数実装間の横断比較: 同じプロパティ辞書で、複数の実装を一律に評価できる

- 偽陽性の原因分析: 根拠を完全にトレースし、偽陽性を根本原因ごとに分解できる

「これまでの実績」

SPECAは、これまで以下のような対象で実際に脆弱性を発見してきました。

・Intmax ZK実装
・SP1 zkVM実装
・Ethereumクライアント実装20件以上
・その他多数の DeFi プロトコル / OSSプロジェクト

直近の Sherlock Ethereum Fusaka 監査コンテストデータを用いた再実験では、既知の脆弱性15件すべてを検出し、さらに 追加バグ4件を独立に発見しました。

RepoAudit C/C++ ベンチマークでも、他のバグ発見AIと比較して最高水準の精度を維持しつつ、12件の新規候補バグを報告しています。

「なぜ今、全部OSS公開するのか？」

SPECAの核心である以下の要素を、すべて公開しています。

- プロンプト: AIエージェントのハルシネーションを徹底的に抑えるproof-attemptプロンプト設計

- 再帰的自己改善: 偽陽性を削減しながら H/M/L リコールを維持する 3-gate audit-reviewループ
（Dead Code / Trust Boundary / Scope）

- ハーネス: 並列化、リジューム、予算制御、circuit breakerまで完備した 再利用可能なPythonオーケストレータ

- 解釈可能性: 全ステップのログ・出力をJSONで構造化し、監査可能・解釈可能にした設計

バグバウンティのスコープやルールをそのまま BUG_BOUNTY_SCOPE.json として読み込み、実践的な脆弱性だけを抽出する設計です。

Claude Code CLI + MCPサーバーで動作し、Go / Rust / Nim / TypeScript / C などマルチ言語に対応しています。GitHub Actionsで全フェーズを自動実行できます。

公開の決め手はシンプルです。

エンタープライズのセキュリティ部門でも、ClaudeやOpenAIを活用したセキュリティツールを導入する選択肢が現実的になってきました。

その今なら、SPECAをオープンに公開しても、ただ攻撃に悪用されるのを指をくわえて見ているだけではない。防御側・ホワイトハッカー側が先に活用できる環境を作れると判断しました。

攻撃者より先に、ホワイトハッカーが現実システムのバグを見つけ、報告し、修正につなげられる世界を作りたい。

「Call for white-hat hackers」

ホワイトハッカーの皆さん、どうかこのSPECAを使ってください。

悪意あるハッカーより先に、バグバウンティ対象の現実システムの脆弱性を発見しきって、報告し、修正に導いてください。

あるいは、これをベースに、より高度なバグ発見システムを構築する研究・開発の土台にしてください。

プロンプトも、ループも、ハーネスも、JSONログも、全部MITライセンスで公開しています。好きなだけ改造・拡張・フォークしてください。

「使い方」

repoをcloneして、次のコマンドを実行するだけです。

uv run python3 scripts/run_phase.py --target 04 --workers 4 --max-concurrent 64

コマンド一つで即座に動かせます。

BUG_BOUNTY_SCOPE.json と TARGET_INFO.json を用意するだけで、新しいターゲットの監査を開始できます。

GitHub: https://t.co/raP8RZDP57

READMEと全ソースコードを読めば、すぐに動かせます。

セキュリティ界隈の皆さんと一緒に、仕様から始まる本物の監査文化を次のステージに押し上げたいと思っています。

ご意見・改善案・バグ報告・コラボレーションも大歓迎です。RT・コメント・試用報告、どれでも構いません。ぜひ反応いただけると嬉しいです。

[matsumoto.s @mtx2s]

はてなブログに新しい記事を投稿しました
「人間によるコードレビューに依存しすぎない“速さと品質の両立”を開発ライフサイクル全体で支える」
https://t.co/fb2jMyI4TD
ボトルネックになりがちなコードレビュー。その役割をSDLC全体に分散することで問題を解消できないか、という話です

[itomoeasy @itomoeasy]

https://t.co/D54ep0vgH0

[Iaiso @laiso]

exe .dev、Sprites、Docker Sandboxを一気に紹介して比較しました。Mac mini投入もいいですがこちらもおすすめです。

コーディングエージェント向けのリモートサンドボックス
https://t.co/QTnI4lCUJb

[福島良典 | LayerX @fukkyy]

Claude Codeで作るべきは、マネージドサービスとして購入可能なものではなく、自社の競争優位に直結するもの。Claude Codeを本当の意味で使いこなし、成果に変換できる人は希少。その希少な人を車輪の再発明にあてない。当社の重要なポリシーです。

[Nat Sakimura/崎村夏彦 @_nat]

どうも、OIDCの著者です。そもそもID TokenとAccess Token は意味合い・用途が違います。前者は認証結果を含む当該ユーザーの属性証明（受取り手はこれを使ってアクセス権を決定したりする）、後者は許可されたリソースへのアクセス用のコインのようなもの。

また、OAuth 2.0 [RFC 6749]ではAccess Token は opaque とされています。発行者＝検証者（単一のセキュリティドメインに属している）なので、そこに標準化された形式を定義する必要は無いのです。（後にこれをJWTで表現するRFC 9068が標準化されたましたが、未だにわたしは本質的には必要無いし、間違った使われ方をする元凶ともなると思っています。）

あと、OIDCはIETFのRFCではなく、OpenID Foundation の規格。

ついでに: JWTは元々は主にOIDCのID Token のために作られました。ちなみにJWSも同様。

以上、豆知識でした。

[いもいもくん @ma_anago]

https://t.co/r14rdI0gmw
おお！？LocalStack一択だったAWSエミュの新顔が！？

[badmintoncryer (くらいやー) @nixieminton]

OAuth/OIDCでトークンをBearerで送ればOKなケースしか出会ったことなくて、「漏洩したら誰でも使えるよな??短命だからいいんか??」とずっと思ってたところ、OAuth2.1ではBearerに代わり送信者制約付きアクセストークンが推奨されるようになるらしい。これから広まりそう。

https://t.co/F62Ib5EjQ1

[iwashi / Yoshimasa Iwase @iwashi86]

レビュー階層が1つ増えるたびに、10倍遅くなるぞ、っていう記事（Every layer of review makes you 10x slower）：

・組織の人数が増えると調整の手間がかさみ、チームの作業スピードは単純には倍増しない
・プロセスにおいて承認やレビューの層が1つ増えるごとに、処理にかかる時間は10倍遅くなる
・この遅れの大部分は実際の作業時間ではなく、単に誰かの確認を待っている時間である

・30分で終わる修正であっても、同僚や他チームのレビューを経ると数ヶ月かかることがある
・経営陣が関わるような意思決定になると、その待機時間は年単位にまで膨れ上がる

・AIがコーディングを数分で終わらせたとしても、このレビューによる遅延問題は解決しない
・AIが大量に書いたコードを人間がレビューするには結局長い時間がかかり、不満を生むだけ

・大規模なプロジェクトをAIに任せても、設計の意図が欠落しているため結局は手戻りが発生する
・AIが瞬時に自己進化する「シンギュラリティ」という考えは、この現実世界の待機時間を無視している
・処理能力をどれだけ力技で上げても、組織の承認待ちという時間は短縮できない

・AIのコード生成が速いため、レビューを省略して低品質を許容しようとする極端な考え方もある
・しかしレビューを省くとバグが増え、それをまたAIに直させてさらにバグを生む悪循環に陥る

・規模が大きくなるほどミスによる損害が大きくなるため、企業はレビューの層を増やしてしまう
・しかし、QAやレビューの工程を増やすことは、品質を向上させる正しい方法ではない

・デミングが指摘したように、後工程に検査を置くと、前工程の人は検査に依存して手を抜くようになる
・トヨタ生産方式は検査工程をなくし、不良に気づいたら誰でも生産ラインを止められる仕組みを作った
・アメリカの企業がこれを真似ても、作業員は怒られることを恐れて誰もラインを止めなかった
・この仕組みが機能する根本的な条件は、品質を最優先するという経営陣と現場の間の「信頼」である

・AIも人間と同じようにミスをするため、品質を高めるにはシステム全体を根本から改善し続けるしかない
・真のエンジニアリングとは、レビューでミスを指摘することではなく、その種のミスが二度と起きない仕組みを作ること

・コードレビューでミスが発見された時点で、すでに根本的な原因は発生しており手遅れ
・ただ単にレビューの層を減らすだけでは、プロダクトの致命的な欠陥につながり危険である
・レビューをなくすと同時に、レビュー自体が不要になるような高品質な仕組みを作る必要がある
・そのためには、互いに信頼し合う小さなチームで、高品質で小さな部品を作ることが有効である

・スタートアップは最初からレビューの層が少ないため、この新しい世界において非常に有利
・大企業は複雑なレビュー制度が社内に根付いてしまっているため、この変化に適応するのは難しい

・これからのエンジニアリングチームはより小規模になり、チーム間の境界線を明確にすべき
・少人数のチームとAIを組み合わせて、同じ部品を複数のチームに競作させるような手法も可能になる
・システムを小さく保ち、不要なレビューを減らして開発を加速させるには、最終的にシステムと人への信頼が必要

https://t.co/UvUiUywBkE

[kawasima@99卒 @kawasima]

サバンナプラグインがリニューアルして、ただのジョークプラグインから、30個以上のテストスメルを検出する実用的なプラグインに生まれ変わりました！
https://t.co/Bnz8Zhs8f7

[なべとら @nabe6841]

4月から保育園デビューをして、復職するパパママへ。
脅すわけではありませんが、春から数ヶ月、お子さんは「高確率で」熱を出します。

親が完璧に体調管理しても、園が毎日消毒しても、です。
保育園には「解熱後24時間は登園できない」という絶対のルールがあるため、1回の発熱で数日間のお休みが確定します。
これは親のせいではなく「そういうもの」です。

……と、当事者の親御さんにいくら伝えても意味がありません。

だからこそ、この記事が流れてきた【全国の経営者・上司の皆様・同僚・後輩】に伝えます。
新入園児の親になる社員は、この春、必ず急に休みます。

その時、男性社員（父親）も快く休ませてあげてください。もし、奥さんがパートでも
「パートだから休めるだろ！」は逆です。
時給制のパートが休めば世帯収入への大打撃になります。
だからこそ有給のある父親の出番です。

子どもが10日間休む時。
「奥さんに任せろ」と出社させれば、母親側の会社が10日間の労働力を失います。
でも夫婦で半分に分ければ「お互い5日」で済みます。
このリソース分散の差は、社会全体で見てもとてつもなく大きいです。

「育児参加」という言葉だけでなく、企業の危機管理として。
この一番苦しい時期に、休みやすい職場環境づくりをどうかよろしくお願いします。

あと国！！！！！！
ぼーっと見てないでお前もやる事あるだろ！！！！
親と企業にばっかり苦労丸投げしないで、安心して休める補償とか制度とか色々あるだろ！！！！！
頼むぞ本当に！！！！現場からは以上です。

[kawasima@99卒 @kawasima]

Cohesion(凝集度)という概念が作られた47年前の論文読んでみたら、すでに完成された無茶苦茶分かりやすい判定ロジックが書いてあるのですよね。
https://t.co/vOCxwswUOt

[Yoshiaki Kawazu🐸ずん @kawaz]

そういえばやろうと思ってずっと忘れてた t_wada のTDDメソッド、たった10バイトのこのルールを追加しただけでめちゃくちゃコード品質上がったのマジで笑うｗ

$ cat ~/.claude/rules/tdd-twada.md
t_wada TDD

[熊井悠(くまいゆう) | ランスティア @qumaiu]

まさにLLM活用の真髄な気がする。Obsidian×Cursorが話題なのはこの方法論を体現しているからではないか。僕はConnecting The Dotsは紙のノートを使い、その仮説をLLMでブラッシュアップする。