𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎

ペコ（名）ラハ（姓）です。シーシャを嗜み始めて10年になりました。

[ポスコンちゃん @posconchan]

新興系ファームがなぜ儲かっているのか？最近よくそんな話題を見かけるので、彼らの「シャブ漬けスキーム」を1つ暴露しちゃいます（再掲）

まずは安い金額で雑用係を1人だけ客先の現場に送り込みます。文字通りなんでもやって、社員から信頼を獲得します。いつの間にか同僚のように扱われるようになり、他のニーズも発掘します。「あれもやりましょうか」⇒「ぜひお願いします」これで、また1人増員されます。

これが繰り返されると、5人…10人…30人と、気づいた頃にはとんでもない数の雑用係が事業会社に埋め込まれます。「雑用に付加価値はないから意味ない」と思いがちですが、ここが恐ろしいポイントです。

何十人もの雑用係が急にいなくなると、流石に会社も回らなくなります。また、彼らは正社員同様の動きをしているので、内部情報にも精通しています。彼らは、「彼らしか知らないこと」をどんどん増やして、内と外の境界線を曖昧にするのです。

一旦ここまで入り込まれてしまうと、安易に切り離せないんですよね。切るとどんな問題が出てくるかも分からなくなるので。ここまで来れば単価も上げられます。

ちなみにコンペにならないのはこれが理由です。客先の社員に擬態して単為生殖しているので、そもそも会わないんですよね。

信じるか信じないかはあなた次第。

需要があればより詳しく、他のパターンも書いてみようかなと思います。

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

ついった、やっぱり外部ビューアの復活が望まれるな

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

ツイッターでは出来るだけ批判的なツイートを見たくなくて基本的にリアル身内とテックニュースしかフォローしてないんだが、おすすめタブとか出来てしまって嫌でも見えてしまうのが最近の辛いとこではあるな

[connect24h @connect24h]

これ、新卒研修の資料ではない。企業の「セキュア開発標準」を、312枚に落とし込んだ教材である。MIXIが2026年度の新卒向けセキュリティ研修資料を公開。本当にありがたい。

率直に言って、内容がかなり濃い。

「パスワードを使い回さない」「怪しいメールを開かない」といった一般的な啓発資料ではない。

新人エンジニアが、サービスを作る側として何を守り、どこで事故を起こし、どう防御するのかを、実際の開発工程に沿って学ぶ構成である。(Speaker Deck)

研修の射程は非常に広い。

・機密性、完全性、可用性
・CSIRTへの報告と相談
・自社サービス、社内システム、人間という3つのアタックサーフェス
・EDR、IaaS監視、脆弱性診断
・Code-to-Cloud
・クラウドの責任共有モデル
・IAM、ネットワーク分離、クレデンシャル管理
・OWASP Top 10 for Web／API
・外部ライブラリとCVE
・モバイルアプリの保護
・アプリ内課金、レシート検証
・ゲームのチート対策
・管理画面と開発環境のアクセス制御
・ゼロトラスト
・生成AI、AIエージェント、MCPのリスク

ここまでを「新卒研修」で扱っている。(Speaker Deck)
特に良いのは、セキュリティを知識の暗記で終わらせていないことである。
OWASP Juice ShopとBurp Suiteを使い、HTTPリクエストを自分で変更する。
SQLインジェクションやアクセス制御の不備を、攻撃者側の視点で実際に確認する。
さらに、自分たちが攻撃した環境へIAPを設定し、ゼロトラストに基づくアクセス制御で守るところまで体験する。(Speaker Deck)
この流れが重要である。
攻撃手法を知る
↓
なぜ成立するかを理解する
↓
設計と設定で防ぐ
↓
実際の挙動を確認する
「脆弱性名を覚える研修」ではなく、攻撃と防御を一つの因果関係として理解させる研修になっている。
もう一つ注目したいのは、MIXIの事業特性が教材に反映されている点である。
モバイルアプリでは、
・重要情報をクライアントへ持たせない
・カスタムURLスキームで機密情報を渡さない
・レシート偽造とリプレイ攻撃を防ぐ
・未公開情報をアプリへ埋め込まない
といった実装上の注意を扱う。
さらにゲーム会社として、通信改変、アプリ解析、マクロ、チート、BANのタイミングまで説明している。
セキュリティ研修を外部の汎用教材へ丸投げせず、自社で本当に起き得る損失へ接続しているのである。(Speaker Deck)
そして2026年度版らしく、生成AIの扱いも本格的である。

OWASP Top 10 for LLM ApplicationsとAgentic Applicationsを、

入力

実行

認証・権限

サプライチェーン

データ・コンテキスト・RAG

運用・設計
人間
という7つの観点に整理している。
プロンプトインジェクションだけではない。
・エージェントの目標乗っ取り
・ツールの誤用
・過剰な権限
・Memory／Context Poisoning
・エージェント間通信
・連鎖障害
・キルスイッチ
・エージェント固有ID
・人間による過信
まで踏み込んでいる。(Speaker Deck)
MCPについても、

・トークン漏洩
・スコープクリープ
・Tool Poisoning
・コマンドインジェクション
・Shadow MCP Server
・コンテキストの過剰共有
・監査ログ不足
・サプライチェーン攻撃

を具体的なシナリオと対策に分けて解説している。

「MCPは便利」という紹介ではなく、MCPサーバーを新しい特権境界として扱っている点が実務的である。(Speaker Deck)

CodexやClaude Codeについても、
・機密情報を入力しない
・学習設定を確認する
・必要以上の権限を与えない
・危険な操作には人間の承認を挟む
・生成コードを必ずレビューする
・Skillsや外部プラグインの提供元を確認する
・SBOMやAI-BOMで依存関係を管理する
という、現場でそのまま使える注意点が整理されている。(Speaker Deck)
この資料から学べるのは、個々の脆弱性だけではない。

優れたセキュリティ教育は、

ルールを覚えさせることではなく、危険を想像できるエンジニアを育てること

だという点である。

最終盤のメッセージも良い。

まず、攻撃やリスクの存在を認識する
想像力を働かせる
危ないと思ったら周囲に相談する

完璧な新人を作ろうとしていない。
異常に気づき、一人で抱え込まず、止まって相談できる人を作ろうとしている。(Speaker Deck)
セキュリティ研修を「年1回のeラーニング」で済ませている組織は、この資料を一度見た方がよい。
MIXIが公開したのは、単なる新人向けスライドではない。
セキュリティを開発者の基礎教養にするための、かなり完成度の高い設計図である。

https://t.co/igRUrNKbAA

#MIXI #情報セキュリティ #セキュアコーディング #AppSec #新卒研修 #OWASP #AIセキュリティ #MCP #ClaudeCode #Codex #CSIRT #ゼロトラスト

[Jokker @0xJokker]

El ingeniero que construyo Claude Code acaba de soltar un video de 28 minutos donde te enseña a escribir prompts que realmente funcionan

He visto cursos de 300 dolares que no llegan ni a la mitad de lo que explica en los primeros 10 minutos

Archivos CLAUDE.md, atajos de memoria, sesiones paralelas y patrones de prompting que cambian el juego

Todo en un solo video y completamente gratis

Da igual si eres principiante, desarrollador o ya llevas meses usandolo

Esto te va a hacer usar Claude como nunca antes

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

aws普通にサービス多すぎて選定がしんどいとこある。適当に使う分にはマッチするサービス適当に拾ってエイヤでいいんだが…

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

スプロケは俺みたいな長距離ライダーは耐久性重視で純正でいいんだが、問題はチェーンよなぁ

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

まぁ正直前後ブレーキパッド、フルード、前後スプロケ、チェーンあたりは今年あたり交換必須なので、お金余ってたらって感じ・・・

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

これもええな
https://t.co/7o9bPwcxyC

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

いつか買う
https://t.co/FhQX54Rbvc

[Kyome𓅹 @Kyomesuke]

満を持して次世代版のRunCat Neoがリリースされました！オープンソースになり、カスタムメトリクス表示機能が追加され、Claude CodeやCodexのRate Limitをはじめ、好きな情報を表示できるようになりました。何を表示させるかはユーザー次第。
https://t.co/zof3snbMXm

[あるまじろ @armadillo_ai]

Anthropic
「うぉぉりゃぁぁ、Fable 5 復活させたぜ！7/7まで限定だけどな。愚民ども、束の間の天国を味わえ」
↓
OpenAI
「Fable 5より強いGPT5.6 Sol出しました」
↓
A「う、、、仕方ねぇ、、、7/12まで延長するか」
↓
ユーザー「Opus 4.8しか使えないClaude価値なくね？」
↓
A「、、、7/19まで延長します」
↓
O「Codex 5時間の使用制限撤廃。みんなじゃんじゃん使ってね」←イマココ

[47NEWS @47news_official]

【速報】米アップル、オープンAIを提訴
https://t.co/736K7QQPWl

[梶谷健人 @kajikent]

基本的にClaude Codeに膨大なタスクを投げてから寝る、という日々を送っているんですが、その時に送っているプロンプト。

---

以下を行って。私はこれから寝るから私に確認必要な項目は最後に回してあなたの方で進められるところを一通り進めて。作業がボリューミーだから適宜作業管理ファイルを作成して進捗を記録しながら進めて。

{ここにお願いしたいこと一気に列挙しまくる}

[Erling Haaland @Erling]

One thing to do today… search my name on Google 😉

[有機 @wu___yuki__3]

一缶600円以上するのに全然美味しくない品質微妙なクラフトビールを何本も飲んだ結果、「大手の品質管理とサプライチェーンで流通するし300円以下で買えるヤッホーブルーイングは最高」という評価になっている、サントリーがクラフトビールを名乗る商品出す国で細かい定義の話は意味ないし

[HPEO @hpeo_jp]

今年のIPA試験スケジュールが出ました！
科目A-1免除の扱いが気になってましたが、今年の前期試験合格（or科目A-1合格）でも後期試験で免除できるっぽいですね

[𝑃'𝑒𝑘𝑜 𝑅𝑎ℎ𝑎 @pekoraha]

久しぶりにジムを再開しました。低負荷で死にそうになっててくさです

[ライブドアニュース @livedoornews]

【最上級】「Xクラス」の太陽フレア発生、GPSや短波通信などに乱れのおそれ
https://t.co/0GCc96yw47

5日、太陽の表面で大規模な爆発現象である「太陽フレア」が発生し、現在も地球周辺で「地磁気嵐」が続いていると発表した。規模は5段階で一番上の階級にあたる「Xクラス」だという。

[よんてんごP @yontengoP]

@MogyFarm 自分も使い道が間違ってるんだろうなぁと思ってます

ClaudeくんがマネージャでGPTなどがプレイヤー、
Claude→GPTに「こういう風に画像生成しろ」みたいな指示を出させる、のが人間の仕事なんだろうなぁ…と🤔