Toshi

New Zealand大好き 日本で私大職員やってます

[広木 大地/ エンジニアリング組織論への招待 @hiroki_daichi]

技術力が高い人ほど稼げる、という前提を少し疑っています。手を動かす力そのものより、インプット・アウトプット・収益化をどう組み合わせるかの設計のほうで差がつく。何をやるかではなく、どう組み合わせるか。ここが働き方の分かれ目になる気がしています。

https://t.co/6upzGbCFGw

[Shigeru Urushibara / 漆原 茂 @urucrunch]

AI駆動開発カンファレンス2026夏、超満員御礼！
【人月モデルの崩壊とこれからの人材育成】
AIで激変するSIモデルの未来とは？
AI時代だからこそ人材育成できる企業が競争力を持つと確信してます。

#aiddcon2026 #aiddcon #AI駆動開発

[北海道大学DX業務推進室 @HokkaidoUniv_DX]

＜記事公開＞
Copilot活用に向けた「Microsoft Teamsでの情報共有の考え方」を作成しました

Teamsを「連絡の場」から「業務の経緯を共有する場」へ変える3つのコツをまとめました。

詳しくはこちら：
https://t.co/UFVrkjKzKo

[Kazuki YAMAMOTO @yamkazu]

プロフェッショナルAI駆動開発
目次も出てた。これは読もう。
https://t.co/O0Vs6JMrQ1

[Kazuki YAMAMOTO @yamkazu]

私のチームも強くなりたい
https://t.co/bhJ3MnSRRP

[Supabase @supabase]

Introducing Supabase Evals.

Our benchmark for how well AI coding agents build with Supabase. We run agents like Claude Code, Codex, and Open Code against real tasks and score what they do.

[IPA（情報処理推進機構） @IPAjp]

✨新試験のシラバス案を公表！
2027年度から開始予定の新試験制度について、新設するプロフェッショナルデジタルスキル試験（仮称）のシラバス案を更新しました。科目A-2の内容を追加しています。
#情報処理技術者試験
シラバス案はこちら👇
https://t.co/zCzxvZlGNM

[広木 大地/ エンジニアリング組織論への招待 @hiroki_daichi]

外部パートナーが変化に遅れるのを、意識の低さのせいにしがちです。でも人の稼働を売り続けるモデルだと、優秀な人材を自社の変革に回せないのはむしろ合理的な行動なんですよね。怠慢ではなく構造。そう読めると、自分たちの変革能力をどこに内側で持つか、という問いに変わる。

[GitHub AI Projects Community 🇯🇵 @trendtech33566]

AIで雑に作ると、だいたい途中で破綻する人へ👀

vibe-coding-prompt-template、⭐️約2.8千。

何がいいかというと👇
・PRD、技術設計、AGENTS.mdまで順番に固められる
・「思いつきで作る」を構造化されたワークフローに変える
・Claude / Gemini / ChatGPT / Cursor など複数ツール前提で使える
・MVPを出すまでの流れがテンプレ化されている

「AIで作るけど、毎回進め方がブレる」人に刺さるやつ。
個人開発やMVP立ち上げ勢にかなり良いです。

https://t.co/kQGCvF2j8A

[かずなり | 生成AI活用術 @MacopeninSUTABA]

「3年間、AI要件定義に取り組んできた全記録」が有益。

流行りのAI要件定義を3年間実践し続けた知見を余すことなく公開。何がうまくいき何が失敗だったかをリアルに語る、AI駆動開発の決定版。

こちら👉
https://t.co/gkoWNLTTAs

[connect24h @connect24h]

AIに実装を任せるほど、人間の設計力が露骨に差になる。正直、ここを学ばずAI駆動開発は怖い。

『ソフトウェアアーキテクチャの基礎 第2版』は全27章・500ページ超。8つ以上のarchitecture styleを、正解集ではなくtrade-offの判断材料として叩き込める。読みながら、自分の設計レビューが経験則に寄りすぎていたと刺された。

Claude CodeやCursorに書かせる前に、守るarchitecture characteristicsを3つまで絞り、採用理由と捨てた選択肢をADRへ残す。これでレビューが好みの応酬から、制約とriskの検証に変わる。

保存して、次のプロジェクトの設計前にこの型を試してほしい。AI時代は「どう書くか」より「なぜそう決めたか」を鍛えるほうが急務だ。
#AI駆動開発
ソース: https://t.co/K0JSHvI3Ta

[広木 大地/ エンジニアリング組織論への招待 @hiroki_daichi]

「AIを入れればデータが活きる」という発想があります。でも多くの現場で本当に詰まるのはAIの手前でした。在庫の数は手入力でずれ、センサーの値は工程をまたいだ途端に整合が取れなくなる。データが一度アナログに戻る境界に、ボトルネックは残っている。この話、先日 #EMFM で大國さんと話した回があって、難しさはハードより現場の権限構造にあるという指摘が今も効いています。「1から作り直した方が早い」の答えは、まだ変わっていない気がします。
#EMFM
https://t.co/6pSkgHBr4A

[SUNABACO 公式 @sunabaco]

明日開催❗️

AIで作ったそのアプリ。
そのまま運用して本当に大丈夫...?

開発者なら必ず知るべき「セキュリティ」を学ぶ技術イベントです。

講師はMicrosoft
Principal Technical Architect
畠山大有(@dahatake)さん

@sunabaco_neyaga
& オンライン配信

お申し込み👇
https://t.co/soUDQMHAg7

[OpenAI @OpenAI]

We quietly released the open-source Codex Security CLI, but Hacker News found it before we had a chance to share it here...

You can now use it to scan repositories, track findings across runs, verify fixes, and add security checks to CI/CD.

This is an early release, and we're listening to your feedback as we continue improving it.

[オープンソース研究所 @opensourcelab9]

【殿堂】
もう定番なのに、いまだに毎日スターが増え続けているOSSを8選。
数年前の流行りではなく、いま現役で使われている側です。

1. openclaw/openclaw
自分の端末で動く個人用アシスタント。非営利団体が公開で開発している

https://t.co/axs4yoFdsq

2. awesome-selfhosted/awesome-selfhosted
自前サーバーに置ける無料ソフトの総覧。外部サービスの置き換え先を探す地図

https://t.co/1Zuw1vyxSz

3. ollama/ollama
手元の機械でモデルを動かす定番。gpt-oss・Qwen・Gemmaなどに対応

https://t.co/GgOf4OdQjZ

4. langflow-ai/langflow
エージェントと処理の流れを画面で組み立てて、そのまま動かせる

https://t.co/LGO56s8Nev

5. langgenius/dify
検索付き回答や業務の流れを1つの画面で組む。自前サーバー運用にも対応

https://t.co/f1fCCgzKZS

6. open-webui/open-webui
手元のモデルにも外部のAIにも使える対話画面。ollamaと組む定番

https://t.co/DC0Ey6hqhG

7. langchain-ai/langchain
エージェントを組み立てるための土台。周辺の道具立てが揃っている

https://t.co/TX4Wsc1p63

8. msitarzewski/agency-agents
職種ごとに役割を持たせたエージェント一式。丸ごと1社ぶんの構成

https://t.co/jcfSezbijk

どれも導入手順が公開されていて、今日から手元で動かせます。
順番に試す前に、まず保存しておくのが早いです。

[connect24h @connect24h]

これ、新卒研修の資料ではない。企業の「セキュア開発標準」を、312枚に落とし込んだ教材である。MIXIが2026年度の新卒向けセキュリティ研修資料を公開。本当にありがたい。

率直に言って、内容がかなり濃い。

「パスワードを使い回さない」「怪しいメールを開かない」といった一般的な啓発資料ではない。

新人エンジニアが、サービスを作る側として何を守り、どこで事故を起こし、どう防御するのかを、実際の開発工程に沿って学ぶ構成である。(Speaker Deck)

研修の射程は非常に広い。

・機密性、完全性、可用性
・CSIRTへの報告と相談
・自社サービス、社内システム、人間という3つのアタックサーフェス
・EDR、IaaS監視、脆弱性診断
・Code-to-Cloud
・クラウドの責任共有モデル
・IAM、ネットワーク分離、クレデンシャル管理
・OWASP Top 10 for Web／API
・外部ライブラリとCVE
・モバイルアプリの保護
・アプリ内課金、レシート検証
・ゲームのチート対策
・管理画面と開発環境のアクセス制御
・ゼロトラスト
・生成AI、AIエージェント、MCPのリスク

ここまでを「新卒研修」で扱っている。(Speaker Deck)
特に良いのは、セキュリティを知識の暗記で終わらせていないことである。
OWASP Juice ShopとBurp Suiteを使い、HTTPリクエストを自分で変更する。
SQLインジェクションやアクセス制御の不備を、攻撃者側の視点で実際に確認する。
さらに、自分たちが攻撃した環境へIAPを設定し、ゼロトラストに基づくアクセス制御で守るところまで体験する。(Speaker Deck)
この流れが重要である。
攻撃手法を知る
↓
なぜ成立するかを理解する
↓
設計と設定で防ぐ
↓
実際の挙動を確認する
「脆弱性名を覚える研修」ではなく、攻撃と防御を一つの因果関係として理解させる研修になっている。
もう一つ注目したいのは、MIXIの事業特性が教材に反映されている点である。
モバイルアプリでは、
・重要情報をクライアントへ持たせない
・カスタムURLスキームで機密情報を渡さない
・レシート偽造とリプレイ攻撃を防ぐ
・未公開情報をアプリへ埋め込まない
といった実装上の注意を扱う。
さらにゲーム会社として、通信改変、アプリ解析、マクロ、チート、BANのタイミングまで説明している。
セキュリティ研修を外部の汎用教材へ丸投げせず、自社で本当に起き得る損失へ接続しているのである。(Speaker Deck)
そして2026年度版らしく、生成AIの扱いも本格的である。

OWASP Top 10 for LLM ApplicationsとAgentic Applicationsを、

入力

実行

認証・権限

サプライチェーン

データ・コンテキスト・RAG

運用・設計
人間
という7つの観点に整理している。
プロンプトインジェクションだけではない。
・エージェントの目標乗っ取り
・ツールの誤用
・過剰な権限
・Memory／Context Poisoning
・エージェント間通信
・連鎖障害
・キルスイッチ
・エージェント固有ID
・人間による過信
まで踏み込んでいる。(Speaker Deck)
MCPについても、

・トークン漏洩
・スコープクリープ
・Tool Poisoning
・コマンドインジェクション
・Shadow MCP Server
・コンテキストの過剰共有
・監査ログ不足
・サプライチェーン攻撃

を具体的なシナリオと対策に分けて解説している。

「MCPは便利」という紹介ではなく、MCPサーバーを新しい特権境界として扱っている点が実務的である。(Speaker Deck)

CodexやClaude Codeについても、
・機密情報を入力しない
・学習設定を確認する
・必要以上の権限を与えない
・危険な操作には人間の承認を挟む
・生成コードを必ずレビューする
・Skillsや外部プラグインの提供元を確認する
・SBOMやAI-BOMで依存関係を管理する
という、現場でそのまま使える注意点が整理されている。(Speaker Deck)
この資料から学べるのは、個々の脆弱性だけではない。

優れたセキュリティ教育は、

ルールを覚えさせることではなく、危険を想像できるエンジニアを育てること

だという点である。

最終盤のメッセージも良い。

まず、攻撃やリスクの存在を認識する
想像力を働かせる
危ないと思ったら周囲に相談する

完璧な新人を作ろうとしていない。
異常に気づき、一人で抱え込まず、止まって相談できる人を作ろうとしている。(Speaker Deck)
セキュリティ研修を「年1回のeラーニング」で済ませている組織は、この資料を一度見た方がよい。
MIXIが公開したのは、単なる新人向けスライドではない。
セキュリティを開発者の基礎教養にするための、かなり完成度の高い設計図である。

https://t.co/igRUrNKbAA

#MIXI #情報セキュリティ #セキュアコーディング #AppSec #新卒研修 #OWASP #AIセキュリティ #MCP #ClaudeCode #Codex #CSIRT #ゼロトラスト

[オープンソース研究所 @opensourcelab9]

自分のサービスの穴を、外部の診断待ちで放置している人へ👀
攻撃側と同じ手順を再現して、脆弱性を見つけて直すところまで走るOSSがあります。

・見つけた穴は、実際に動く再現手順つきで返ってくる
・通信の傍受、ブラウザ操作、コード解析まで一式が同梱
・GitHub Actionsに挿すと、変更のたびに検査が走る

★4.4万。動かすのは自分の管理下にあるコードとサービスだけ、が前提です。

https://t.co/L31O3jvMu1

[𓀐𓂰𓅱累(るい)𓅱𓇋𓎓 @shikabane_rui]

既に注意喚起が出てるかもですがGoogleの規約が7/30に変わります。検索で自分の個人情報メディア(給与明細や免許証など)を画像検索したりした事のある方は特に注意。AIの学習に使用される様になります。
Googleアカウントから「データとプライバシー」→「マイアクティビィ」→「メディアの検索」→「メディアの保存をチェック外してください」

[connect24h @connect24h]

勘弁してほしい。Claudeの公開ArtifactsがGoogle検索から辿れるとの報告だ。注意喚起は約1,800いいね。API key、給与表、臨床試験要約、社内dashboardまで露出例が挙がっている。

これは侵入ではない。Free、Pro、MaxのPublishは、もともとURLを知る全員が閲覧できる。問題は「リンクを渡した相手だけ」の認識で、検索と第三者scrapingまで許してしまったことだ。Team、Enterpriseの組織内Shareとは分けて考えてほしい。

CSIRTの初動はArtifacts一覧でPublish状態を棚卸しし、機密物をUnpublish、露出したAPI keyをrotate、検索結果とcacheを証跡保全。仮にnoindex化されても回収済みコピーは消えない。私は一度公開した情報は回収不能として扱う。Claudeを業務利用する組織は、この手順を社内へ流してほしい。#セキュリティ
ソース: https://t.co/C4QkSgqEZc

[医療統計start-upサロン @tokei389950]

総務省ガチです。統計苦手な人が多すぎるから、統計の基礎がサクサク身につく『高校からの統計・データサイエンス活用』全176Pを無料で公開中。国が作ったものでしょとバカにしちゃだめ。研究する人の統計の基礎的な考え方が分かる。統計をこれから勉強したい人に特におススメ。詳細は↓