multilayer

Cloud Infrastructure & Platform Engineering / Generative AI / Three Dogs Labs代表 / 韓ドラ好き
"We believe in rough consensus and running code." — David Clark

[multilayer @multilayer]

https://t.co/8YWGevIx5P

[multilayer @multilayer]

GMOの「お名前.com デスクトップクラウド」で不正アクセスがあった。10月20日に一部のサーバーで不正なプログラムが見つかり、サーバーに保存されていた取引口座のログイン情報などが取られて悪用された可能性があるとのこと。
全プランのサーバーは10月21日から止まっていて、再開時期は未定。影響の可能性があるサーバーは26,739件だが、これは対象になりうる数で、侵入が確認された件数ではない。侵入経路はセキュリティ専門会社と調査中で、警察にも相談しているとのこと。
MT4/MT5などの取引ツールを使っていた人は、FX取引に使っていない別の端末から取引口座のパスワードを変え、ログイン中のセッションを全部切る必要がある。会社によってはパスワード変更後もしばらく接続が残り、第三者が取引を続けられる場合があるとのこと。
取引履歴と残高の確認、二段階認証の設定、使い回しているパスワードの変更もあわせて呼びかけている。補償や返金を装う連絡にも注意。
使っていた人は今すぐ手順どおりに動けば、二次被害を防ぎやすくなる。

#セキュリティ #不正アクセス #FX #VPS

https://t.co/OhtSHbU9K4

[multilayer @multilayer]

リバースエンジニアリングもAIエージェントによって一気に身近になってきた。
GhidraやJADXなどの解析ツールをREA経由でAIに操作させ、バイナリの解析からコードの理解まで自然言語で進められる。
これまで専門家の領域だった技術が、どんどん民主化されていく。

#AIエージェント #ReverseEngineering #REA

[vartekx @vartekxx]

REA can turn anything in your house into a smart device...

It lets Opus 5.5 analyze the apps and firmware running inside your TV, router, glasses etc.

Use it correctly and you can turn your house into a smart house

In this article, I show you how: https://t.co/3wtWUiqEG6

[multilayer @multilayer]

Node2Shell（CVE-2026-111497）、厄介なのは攻撃経路がHTTPリクエストだけではないこと。
Node.jsのfetch()が外部から受信したBrotli圧縮レスポンスを自動解凍するため、外部APIとの通信も攻撃経路になり得る。
入口のWAFだけでは防ぎきれず、ランタイム自体の更新が必要。

#NodeJS #Node2Shell #RCE #セキュリティ

https://t.co/jIhL4GXpzG

[multilayer @multilayer]

再チャレンジしたんだ！

[Kstyle @Kstyle_news]

パク・ボゴム、美容師の国家資格を取得！バラエティ番組「ボゴムマジカル2」韓国で11月より放送
https://t.co/zBTXaRqtN8

[multilayer @multilayer]

ISCがBIND 9の脆弱性CVE-2026-94300を公開した。深刻度はHigh、CVSSは8.1で、リモートから攻撃できるとのこと。
GSS-TSIGで署名されたUDPメッセージを、TSIGの鍵が有効なうちに再送されると、namedのメモリが壊れる。攻撃者が制御するゾーンへの細工した問い合わせと組み合わせると、リモートでコードを実行される恐れがある。
対象は9.11.0以降のBIND 9で、9.18.50までの9.18系、9.20.29までの9.20系、9.21.26までの開発版も含まれる。
回避策はなく、9.20.30か開発版の9.21.27に更新する必要がある。ISCは悪用を把握していないとのこと。
JPRSも10月22日に「緊急」として注意喚起を出し、9.20.30への更新か、各ディストリビューションの更新の適用を強く推奨している。
DNSサーバーでBINDを動かしているなら、今のバージョンを確かめて早めに更新すれば、サービス停止や乗っ取りの危険を減らせる。

#BIND #DNS #脆弱性 #セキュリティ

https://t.co/NkRwqpFRmc

[multilayer @multilayer]

AIの活用で脆弱性の発見が加速する一方、報告を受ける側の対応も大変そう。
今回はCVSS 9.0の脆弱性情報まで、修正前に公開LKMLへ投稿された可能性があるとのこと。
発見から修正、情報公開までのプロセスも見直す必要がありそう。

#Linux #AI #Security

[Phoronix @phoronix]

Several Linux Kernel Vulnerabilities Accidentally Posted To Public Kernel Mailing List

As high as CVSS 9.0. Whoops.

https://t.co/opCRSE80Vq

[multilayer @multilayer]

信じられないくらい、不祥事続いてる
KDDIのauペイ地図サイトに、個人事業主の住所や電話番号を同意なく掲載か #ldnews https://t.co/fpLOGeZL2v

[multilayer @multilayer]

提供されてた。なんかAWSコンソールで紛らわしい表示があったので混乱した😵‍💫

[multilayer @multilayer]

AWS Security Agentって東京リージョンで使えない？

[multilayer @multilayer]

AWS Security Agentって東京リージョンで使えない？

[multilayer @multilayer]

ついに。あの独特の世界観と鋭い感性が好きでした。残念。

[ライブドアニュース @livedoornews]

【訃報】村上龍さん死去
https://t.co/YF0QhDUhB2

[multilayer @multilayer]

MetaのAIアシスタント「Muse」が日本で使えるようになった。Museのアカウントが「こんにちは日本！」と投稿し、毎日の作業を手伝うとのこと。
あわせて、1PasswordがMuseに組み込まれる。Museがサイトにサインインするときは、ログインごとに本人が承認し、パスワードは保管庫に置いたまま使える。今後数日で全プラットフォームに広がるとのこと。
一方で今週、共有したアーティファクトのURLの一部がパッシブDNSから見つけられる設計上の問題が報告され、共有がいったん止められた。問題は直り、共有も再開している。
修正前に共有したアーティファクトは新しいURLに変わり、古いリンクを開くと新しいリンクを共有者から受け取るよう案内が表示される。チャットの共有は対象外とのこと。
以前に共有したリンクがあるなら、新しいURLを送り直しておくと安心できる。

#Muse #Meta #AIアシスタント #1Password

https://t.co/7nuchXvZ0E

[Muse @Muse]

こんにちは日本！

I came to eat sashimi and assist you in your everyday tasks...

and I’m all out of sashimi.

download here: https://t.co/T2OeSwX3GG 🇯🇵

[multilayer @multilayer]

技術評論社から『実践TypeScriptバックエンド開発：データと関数によるドメインモデリングで堅牢性を高める』が10月26日に発売される。著者は木村彰宏さん。
型で意図を表し、関数でロジックを組み立てて、複雑な業務ドメインをコードに落とし込む方法を解説している。
データと振る舞いを分ける設計、Resultを使った戻り値でのエラー処理、Zodでのスキーマバリデーション、集約とリポジトリ、ドメインイベントやAlways-Valid Domain Modelまで扱う。
後半では、依存注入やヘキサゴナル・アーキテクチャ、Railway Oriented Programmingでのユースケース実装、Drizzle ORMとHonoでの入出力も取り上げるとのこと。
B5変形判376ページで、3,520円（税込）。
DDDをオブジェクト指向だけで進めることに限界を感じている人が、TypeScriptで堅牢なバックエンドを組む手がかりになる。

#TypeScript #DDD #関数型プログラミング #技術書

https://t.co/rNS41EcKjy

[multilayer @multilayer]

技術評論社から『ハーネス＆ループで自走するAI駆動開発── 要件定義からテストまでをClaude Codeで実践』が11月13日に発売される。著者はサイオステクノロジーの武井宜行さん。
揺れやすいLLMを、コマンド、スキル、サブエージェント、フック、権限といったしくみで縛り、ワークフローを毎回同じように回す「ハーネス」の考え方を解説している。
ターンベース、ゴールベース、時間ベース、プロアクティブの4つの型で、ハーネスをどう繰り返し回すかのループ設計も扱う。
最後はそれらを1つに束ねたプロジェクトテンプレートとして示し、ToDoアプリで要件定義からテストまでを一周するとのこと。
サンプルはPythonだが、扱うのは言語に依らない設計の型。A5判176ページで、2,750円（税込）。
AIにどこまで、どうやって安全に任せるかを、感覚ではなくしくみで決められる。

#AI駆動開発 #ClaudeCode #生成AI #技術書

https://t.co/yHE8Xietzb

[multilayer @multilayer]

インプレス NextPublishingから『実践AI駆動開発 壊れにくいコードを生むための設計者思考』が10月23日に発売された。著者はいのうえたかひろさん。
コード生成AIで実装は速くなったが、設計や要件定義がおろそかになると、プロジェクトが崩れやすくなる。本書は、AIを使いながら壊れないシステムを作るための、人間側の設計と判断を解説している。
「発送完了通知の改修」という事例を軸に、要件定義から実装、リリース後の運用まで、各工程で決めるべき判断基準を示すとのこと。
AIに嘘をつかせない技術、AIのコードのレビュー、AIとチーム開発などの章があり、プロンプト例やチェックリストも載っている。
印刷版は132ページで2,200円（税別）、電子版は2,000円（税別）。
AIに丸投げせずに、技術的負債をためない開発の進め方を身につけられる。

#AI駆動開発 #生成AI #ソフトウェア設計 #技術書

https://t.co/RYWeJ81eXl

[multilayer @multilayer]

OpenJS Foundationが、ドイツのSovereign Tech Agencyから11万5,000ユーロの支援を受けて、脆弱性を非公開で直すべきかどうかをNode.jsで検証する研究を始めると発表した。
AIで脆弱性が見つかる速さと件数が増え、同じ問題が複数の研究者やAIからほぼ同時に報告されて、メンテナーの負担になっているとのこと。
まず脆弱性をリスクで分類するしくみを作り、公開の場で直してよいものと非公開で扱うべきものを分ける。AIのツールが重複の検出や分類を手伝い、最終判断はメンテナーが行う。
分類器を実運用の前に影で評価してから、Node.jsで公開修正と従来の非公開手順を比べる試験運用を行い、問題があれば非公開に戻せるようにする。
報告から修正リリースまでの時間や重複報告、メンテナーの手間などを測り、手法と結果は他のオープンソースでも使えるガイドとして公開するとのこと。
どの脆弱性を公開で直せるかの判断材料が増え、修正が早く届くようになる可能性がある。

#Nodejs #OpenJS #セキュリティ

https://t.co/PCzKrlzviq

[multilayer @multilayer]

Auth0が、B2B SaaS向けの認証の土台をTerraformでまとめて作れる「Terraform Auth0 Modules」を公開した。
最初のモジュール「b2b-saas-starter」はTerraform Registryで使え、moduleブロック1つでアプリ、API、ロールと権限、MFA、攻撃対策、カスタムドメイン、顧客ごとのエンタープライズSSOまで用意できるとのこと。
APIのRBAC強制、PKCEとリフレッシュトークンのローテーション、ブルートフォース対策や漏洩パスワード検知、TOTPのMFAが最初から有効で、どれも入力で上書きできる。
顧客ごとにOrganizationを分けてSAMLやOIDCのSSOをつなげ、新しい顧客はリストに1件足して適用するだけで追加できる。
同じテナントで複数のアプリを動かす場合は、manage_*の入力でテナント全体の設定を1つのインスタンスに任せられる。
アプリごとに同じ認証設定を一から書き直さずに、安全な初期設定から始められる。

#Auth0 #Terraform #認証

https://t.co/VKiNVVlOsf

[multilayer @multilayer]

Vercelが、期限のない固定のAPIキーやパスワードをやめて、OIDCの短命トークンを標準にする方針を発表した。
1,000社以上のSaaSを調べたところ、安全な認証方式に対応していたのは8.4%だけだったとのこと。
Marketplaceの提供元は、米国時間2026年11月30日までにVercelからのOIDC認証に対応しないと、掲載ページに「Not secure」の表示がつく。2027年1月までに安全な認証を用意しない提供元は掲載から外される。
あわせて、提供元向けに信頼ポリシーの設定フォームとトークン検証コードをまとめたshadcn/uiのレジストリ「OIDC UI」を用意し、Vercel APIやCLIでもOIDC対応を広げるとのこと。
Vercel Connectを使えば、アプリやエージェントが実行時に必要な権限だけのトークンを取得でき、環境変数に長期のシークレットを置かなくて済む。
キーが漏れたときの被害を小さくでき、面倒なキーのローテーションからも解放される。

#Vercel #OIDC #セキュリティ

https://t.co/bVQEdwNEAH

[multilayer @multilayer]

Bun v1.4.4で、コードフォーマッター「bun fmt」が組み込まれた。
Prettier互換で、今あるPrettierやoxfmtの設定をそのまま読み込み、JavaScript、TypeScript、CSS、HTML、Vue、Svelte、Markdown、YAMLなど多くの言語を整形できるとのこと。
--stagedでコミットするファイルだけを整形して、lint-stagedなしでも使える。--checkは何も書き換えずに、整形が必要なファイルの一覧を返す。
インポートの並べ替えや、Tailwindのクラス、package.jsonの並べ替えも組み込みで、プラグインを入れなくてよい。
ほかに、型チェックのbun checkの高速化、Yarn Berryのロックファイルの移行、bun installの再試行の改善、TLSやWebSocketなどのセキュリティ修正も入っている。
フォーマッターを別に入れなくても、Bunだけでコードの見た目をそろえられる。

#Bun #JavaScript #TypeScript #Prettier

https://t.co/hneEgAnSPS

[multilayer @multilayer]

JetBrainsが、CTOやテックリード向けの「Air Governance」をリリースした。
会社全体でAIの利用状況を追い、アクセス、ポリシー、支出をまとめて管理できる仕組みで、LLMの提供元も開発ツールも選ばないとのこと。
JetBrains自身が、AIの予算がどこに消えたかを突き止めるのに4日かかった経験から作ったという話も添えられている。
ドキュメントによると、ユーザーやサービスアカウントごとにAIクレジットの月の上限を決められ、使える MCPサーバー、エージェント、LLMをチームごとのポリシーで絞り込める。
誰がどのエージェントやセッションでクレジットを使ったかも分析画面で確かめられる。
AIの請求が膨らんでも、どこで使われたかをすぐに突き止めて手を打てる。

#JetBrains #AIガバナンス #開発ツール

https://t.co/E9XgtlsOwM

[JetBrains @jetbrains]

Four days to figure out where our AI budget went? No, thanks.

We built Air Governance to solve a problem we faced ourselves.

[multilayer @multilayer]

CircleCI CLIのv1.11.0に、circleci notification slackコマンドが追加された。
これまでプロジェクトごとに画面で設定していたSlack通知を、スクリプトでまとめて設定できるとのこと。
set --channelでプロジェクトをチャンネルにつなぎ（プライベートチャンネルはID指定）、--disableと--enableで設定を残したまま通知を止めたり再開したりできる。
getで今の設定を確認でき、--jsonを付ければスクリプトで扱いやすい。deleteでチャンネルの設定を外せる。
使うには、CircleCIのSlackアプリを入れておく必要がある。
プロジェクトが多くても、Slack通知の設定を一度のスクリプトでそろえて管理できる。

#CircleCI #CI #Slack #DevOps

https://t.co/XCmlpY6dno