しきとら

データ分析の仕事→LLM周り/お猫さま

[しきとら @rr_masakaki]

うちの子たちも例のアプリでカード化
毛が抜けるって書いた気がするが、毛玉が周りをファンネルしてて笑う

#ペットカードジェネレーター
#gemini

[コドモン公式_こども施設ICTソフト @codmon_official]

2026年10月21日、PHPの脆弱性（通称「PHP2Shell」）への対策として、コドモンのサービスを日中に一時停止しました。
施設の先生方、保護者の皆さま、自治体や販売代理店の皆さまには、十分な事前のご案内ができないまま、長い時間にわたりご不便をおかけしたことを、深くお詫び申し上げます。

今回の対応について、当時の記録をもとに、サービス停止の判断から再開までの経緯を振り返る記事を公開しました。対応の中で生じた課題や、今後に向けた反省点も含めてまとめています。
同様の状況に直面する開発・運用担当者の皆さまにとって一助となれば幸いです。

https://t.co/esEYQTNxvi

[YONEUCHI, Takashi | GMO Flatt Security @lmt_swallow]

【PHP脆弱性対応の「後」にむけて】

みなさん、昨晩からのPHP対応お疲れ様です。一晩中連絡鳴り止んでおらず、一部の個別メッセージに返せてなくて申し訳ないです。

一括して、今、世の中の CTOs/CISOs に届いてほしいことを４つ書き残しておきます↓

（まとまりない部分もあるのですが、投稿しないよりマシかなと、このまま投げちゃいます）

Point 1: これからは、ソフトウェア業界全体で、高負荷の続くタイミングになります。意図してセキュリティに時間をあて、チームが「休息」が取れる体制を。
・我々は脆弱性リサーチに数年間継続的に取り組んできてました。だからこそ感じますが、ここ一年（体感では GPT-5.6 Sol 以後）が、最も「本当に？」みたいな脆弱性が掘り出されていく一年になると思います。こんなのまだあったの？という驚きとともに。
・特に複雑なメモリバグの類（memory safe でない言語製のものを中心に）、あるいは認可バグの類が中心になると思われます。
・少なくともここから年末までは、このクラスの脆弱性がまだまだ出てくると考えておく必要があります。（僕が読み外しているかもしれませんが、恐らく高い確度でこうなります。直近のPHP脆弱性すら、いま世界中の研究者が Variant Analysis をしていて、多分まだ出てくるでしょう）
・このご時世では、新規機能の開発に割く時間を明確に落とすしかありません。あくまで経営者である CTO には取りにくい判断なのは重々承知です（僕もそうなので）。
・「対応AIで」と思うかも知れません。これは技術的には正しいです。ただ、組織的には正しくないです。確実になんとかならず、組織は疲弊していきます。
・なんせセキュリティ対応は大抵自分にタイミングが御せないからです。深夜の対応、急な対応、計画の変更、デグレへの不安、脆弱性情報過多（そもそも自社に影響があるかも分からないものが大半なのに）… と、ストレスの強度がぐんぐん高まっていきます。昨日〜今朝のPHP対応のようなものが、毎週あれば、チームは比較的簡単に壊れてしまうでしょう。
・敢えてリーダーが、セキュリティへの、時間・お金（・トークン）にアロケしてください。これは経営者にしか取れない択で、かついま技術経営者に求められることです。

Point 2: 「必要なら予防的にサービス停止」の覚悟を決め、予めできる調整を重ねたい。止められない場合は、仮想パッチ・監視へのリソースアロケを。
・前提、今回のPHPの件のような脆弱性の対応では、「顧客の保護のためならサービスを止めざるを得ない場面」が訪れます。今回も様々なビジネスがそれに直面しました。今後も訪れるでしょう。
・今回の経験を旨に、本当に止めてはならないのか、止めらるのか、止めうる期待値調整がお客様と出来ているか、を徹底的に見直しておきましょう。
・直近の流れをうけての、お客様への事前連絡（スタンス表明）も有効だと思います。（弊社 GMO Flatt Security 製品についても、これからそれをし、リリースノートとして掲示予定です。我々のサービスの侵害、特に Takumi Guard の侵害は、ソフトウェサプライチェーンの最悪な侵害につながるからです。）
・勿論、止めてはならないビジネスも様々存在します。ビジネスドメインに由来する規制/制約（特に金融・医療セグメント）もあれば、顧客とのSLAもあるでしょう。ただし、現代においては、それらに反するリスクと、セキュリティ被害にあうリスクを天秤にかける必要がでてきています。少し前まではサービス停止でのデメリットは容易に考えられても、セキュリティ侵害など考えにくい、という時代でしたが、今はそうではありません。この天秤を再考する必要があります。（なお、「もう何がなんでも止めてはならない」ビジネスは、相当に限定的だと思います。）
・どうしても止めてはならない（もう何がなんでも止めてはならないもの。限定的であれ存在。人命に関わるもの中心）という場合、厳しい戦いになりますが、WAFレイヤなどで緩和策を施しては祈り、監視する、という流れになります。必要なコンポーネント（WAFなど）と運用リソースがあるならば、苦しい時代ですが、休息うまく取りながらやっていきましょう。なければ、これもしんどいですが、整えましょう。

Point 3: もし平時があれば、システムのモダナイズ（Rebuild and Retire）を検討されたい。
・もし自社での緊急対応が落ち着いているならば、レガシーコンポーネント（数年塩漬けのシステム）、誰がメンテできるのか分からないオーパーツ的存在から順に、作り直し（Rebuild）と旧システムの廃止（Retire）を試みてください。新規開発の代わりに、ここにリソースを充てることが CTO/CISO の仕事です。（他の誰もそれを決められないので。）これは追々自分たちを助けてくれる（ついでにAI-native 開発に移行できて改善しやすくなる）とも思料。
・どのシステムからモダナイズしていくかですが：「XXXで書かれているとまずい」というのは燃えるし言いにくいものの、memory unsafe な言語、type safety があまり確保されていない言語の実装は、モダナイズを検討すべきでしょう。（僕はPHP好きですが、C/C++ で書かれた php-src は、やはりメモリバグ類に対して見通しに限界がありますね。好きなんですが…）
・また経験上、開発当時に DevOps プラクティスすら整っていなかった時代のソフトウェアも、モダナイズを検討したほうがよいです。「セキュリティ診断」をしても、取り返しのつかない量の脆弱性が出てきて、作り直したほうが早い、となる傾向にあります。（弊社でも診断/ペネトレしてますが、こうなると、どうしようもありません。）
・ただし Rebuild には、強いソフトウェア開発力が必要で、AI-native なスタイルに移行することは必須です。この意味で CTO の力がいります。かつ、どこからレガシーの追い出しをするか、どうレキュリティ的なレジリエンスを確保するかは、CISO 的な感性が求められます。既製品（とくに SaaS）を買って処理したほうがいいな、というような判断には CIO 的センスが求められます。総力戦だと思ってください。

Point 4: CTO/CISO の総力戦を。
・Point 3でも述べた通り、直近のくだりには、CTO/CISO の総力戦が必要です。ボードがセキュリティに向かって一致団結する必要があります。
・結構これらロールの間にサイロがあるケースがありますが、そんなことを言っている場合ではありません。
・団結を！

[しきとら @rr_masakaki]

#MYAF2026

[しきとら @rr_masakaki]

第二子爆誕、元気な女の子でした。

Hello, World!

[しきとら @rr_masakaki]

ピカピカしてきた

[miyatti | 生成AIエバンジェリスト / CPO @miyatti]

jevの用途みてるとなんかdifyの質問判定ノードとかを思い出すdify老人会

[auccchi @auccchi]

プレゼント選びに困ることが多いので作ってみた
https://t.co/mMqZmaIRAq

[サカキばら @y_sakaki]

ぴよログのAPIの公開はずっと悩んでいました。
直近の記録の読み取りのみで、機能は限定的ですが、いろいろと使い道はあるかと思います。
ぜひ使ってみてください。

ぴよログの読み取り専用API（データフィード機能）を公開しました。
https://t.co/4beasymHiK

[Waymo @Waymo]

Tokyo, your autonomous ride is arriving in 2027 🇯🇵✨ Waymo, @Nihonkotsu_Taxi and @go_goesnext have signed an agreement preparing for the commercial launch of a fully autonomous ride-hailing service in Tokyo in 2027.

Read more: https://t.co/56yMVhQoCo

[第20巻、9月18日金曜日発売予定！ 「紛争でしたら八田まで」公式アカウント @funsodeshitara]

世界中で起きる事件を地政学で解決する『紛争でしたらハ田まで』のTVアニメ化が決定しました！
長い間、楽しんでいただいた皆様、誠にありがとうございます！
詳細は随時お伝えしていきます。
引き続き何卒よろしくお願い致します！！

[しきとら @rr_masakaki]

！！
https://t.co/hJwanhmTyj

[𝒉𝒂𝒓𝒓𝒚 @gappy50]

本日はありがとうございました！
Agentic Enterpriseに向けてみんなも企業のオントロジーに向き合っていきましょう！！！

https://t.co/fyGWbyDWj4
#SWTTokyo26

[The Economist @TheEconomist]

A tiny, weeping, hamster-like creature has conquered East Asia https://t.co/43EDOAjUYO

[雨穴の変な世界展。 @uketsu_museum]

【開催概要】
『雨穴の変な世界展。』
2026年10月23日(金)〜2027年1月17日(日)
寺田倉庫 G1ビル（東京・天王洲アイル）
10:00〜19:30（予定）

▼チケット購入はこちらから
https://t.co/Mlu54R63as

[いもいもくん @ma_anago]

https://t.co/JXS06cOKhT
・・・結局ドキュメンテーション文化のある会社がAIに接続して効率化して生き残るんでしょうね。。こんなに明文化が大事になるとはね、、

[藝祭2026 彫刻/先端/音環/器楽/管楽 @senkanchoonpi]

買取先募集中🙏🙏

私たち一年生が経験、知識、時間をかけて制作した御輿を、買い取って下さる方を探しています。
見つからなかった場合、壊すことになってしまいます．．．。
質問でも構いません。
連絡お待ちしております！🙇

#藝祭2026 #コイコガレ #買い取り手募集
#彫刻 #御輿解体阻止

[しきとら @rr_masakaki]

大麦、コーン、塩味のって
塩類風化と有機酸での脱獄支援って理解で良いよね？
#VIVANT

[Haruki Yano / Haruma-K @harumak_11]

データをAIエージェントに対応させる方法、という記事
https://t.co/GqoVBbLyr6

・これまで30年間にわたり人間のためにデータシステムを構築してきた
・人間はデータが不完全でも文脈や判断力で補うことができたが、自律型エージェントは渡されたデータをそのまま信じてすぐに行動に移してしまう
・そのためデータをエージェントが安全に利用できる形に変えることが極めて重要になる

・AI対応のデータには信頼性、文脈、追跡可能性、統制、運用のしやすさという5つの属性が必要になる
・信頼できるデータを提供し、指標やエンティティの意味を教え、行動した理由を記録し、アクセスを制限し、さらに自律的に行動できる環境を整えなければならない

・エージェントはすべてのデータを真実として受け止めるため、悪いデータを事前に防ぐ仕組みが必要になる
・スキーマをコードとして厳格に定義するデータ契約を導入し、データの形式や品質、データの鮮度に関するルールを明確にする
・Open Data Contract StandardやData Contract CLIなどのツールを活用して、契約ルールを自動で検証する
・データ契約に違反したデータを隔離する手法を取り入れ、エージェントに悪いデータを見せないようにする
・メダリオンアーキテクチャを活用し、検証済みのゴールド層以上のデータのみにエージェントのアクセスを制限する
・テキストなどの非構造化データに対しても、メタデータの付与やインデックス再構築の期限を監視することで同様の品質管理を適用する
・品質シグナルが低下したときには、モデル自身の確信度にかかわらず人間に処理を委ねる仕組みを作る

・自律的な行動に対して、規制当局や監査人から理由を求められたときに説明できなければならない
・何が起きたかだけでなく、なぜその行動を選択したかという思考プロセスを記録するエージェント用の履歴管理を導入する
・OpenTelemetry、Langfuse、Arize Phoenixなどのツールを利用して、意思決定の過程をトレースする
・シャドウモードから段階的に自律性を高めていき、テストを重ねながら信頼を獲得していく
・システム共通のサービスアカウントは使わず、利用者の権限を一時的な認証情報としてエージェントに引き継ぐ仕組みを導入して被害の範囲を最小限に抑える

・エージェントは売上といった言葉のビジネス上の定義を自分で判断できないため、共通の定義を定義ファイルで教える必要がある
・何が存在するかを示すドメインモデル、計算方法をコードで示すセマンティックモデル、何ができるかを示すケイパビリティモデルをコンテキストレイヤーとして構築する
・複雑なエンティティの関係性を探索するために、GraphRAGやGraphitiといったナレッジグラフ技術も活用できる

・単なる文書の読み取りだけでなく、実システムへの問い合わせやシステムへの書き込みまでできる実用的なアクセス環境を整える
・Model Context Protocol (MCP)を利用して、読み取り専用の資源とアクションを実行するツールを切り分けて提供する
・既存のAPIをそのままMCPに変換してツールの数が多すぎる状態にするのは避け、よく設計された少数のビジネス機能として提供する
・契約書などのテキスト情報はエージェントの判断材料としてのみ使用し、実行を許可する権限の判定には使用せず、必ず事前にプログラムされたルールで実行可能かどうかを検証する

[ANDPAD (アンドパッド)開発部 @andpad_dev]

テックブログで、先日 JECA から表彰された ANDPAD図面 性能検査機能 の開発舞台裏側を紹介する記事を公開しました！

表キャプチャ機能の開発の裏側 - ANDPAD Tech Blog
https://t.co/Fm7o3zCfKL

[iwashi / Yoshimasa Iwase @iwashi86]

このAWSの方の発表はかなり面白い。Amazon内部のAI活用実績をだいぶ話してくれている。良かったので、メモ多め。

・（前提）発表者は、AWSのシニアプリンシパルエンジニアであるクレア氏

・初期のAIコーディング支援はコードの行補完やチャットベースの質問にとどまっており、生産性の向上は10〜20％程度にすぎなかった
・しかし現在、Amazon社内の一部のチームでは、生産性が中央値で4.5倍、時には10倍以上にも跳ね上がるという劇的な変化が起きている
・このような圧倒的な成果を出す開発者をフロンティア・デベロッパーと呼ぶ。

・フロンティア・デベロッパーの第一の特徴は、自ら記述するコードを全体の1〜2％に抑え、残りのすべてをAIエージェントに任せていること
・第二の特徴は、彼らはエージェントと頻繁にやり取りせず、数時間単位で自律的にコードを書かせ続けること
・第三の特徴は、待機時間を最小限にするため、複数のAIエージェントを並行して稼働させ、タスクのバックログを次々と消化させている点

・この飛躍的な生産性が最初に確認されたのは、BedrockのMantleチーム
・30人で18ヶ月かかると想定された新システムをわずか6人が76日間で構築した
・しかしこの成功例は、分散システムやAIの専門知識を持つ社内トップクラスのエンジニアが集められた特殊な事例
・なので、一般的なチームでの再現性に疑問が残った

・次にPrime Videoのチームが6人で10日間のスプリントを実施すると、90週の工数がかかるとされたプロジェクトを24週にまで短縮する成果が出た
・だがこれも、ミーティングやオンコール業務を一切排した特殊な隔離環境
・事前に3週間かけて詳細なタスク定義が行われていたという前提があった

・そこでAmazon Stores部門は、既存のシステムを扱うごく一般的な50のチームを対象に、より現実的な環境でのパイロットテストを実施
・その結果、半数のチームは生産性の向上が3倍未満に留まったのに対し、残りの半数は4.5倍から10倍の生産性向上を達成した

・この劇的な違いを生んだのは、AIに合わせて働き方を意図的に変えたかどうかという点

・高い成果を出したチームには、新しい働き方として共通する5つの習慣が根付いていた

・第一の習慣はエージェントのコンテキストへの投資
・従来は口頭やチャットで共有されていた暗黙知を、AI向けの指示ファイルとして明文化した

・第二の習慣は、急ぐためにあえて減速したこと
・エージェントが動作しやすいように既存のコードベースやエラーメッセージを整理する準備期間を設けていた
・AIがコードを理解して自己検証しやすい環境を作るために、Pythonのような動的型付け言語から、コンパイラが優秀なTypeScriptやRustへ移行するチームさえ存在した

・第三の習慣はエージェントのお守りをしないこと
・少しずつコードを書かせて対話するのではなく、自己検証可能なまとまったタスクを与えて放置する

・第四の習慣は意図の明確化
・事前に詳細な仕様書を作成して、AIとドキュメントの段階ですり合わせを行っていた

・第五の習慣はテストのシフトレフト
・リンターやローカルで動くモックサーバーを活用して、エージェントが素早く自己修正できる環境を構築していた

・これらの習慣を取り入れるプロセスは決して簡単ではなく、エンジニアが新しい働き方に適応する過程でバーンアウトするリスクもある
・完璧なプロンプトを求めて夜遅くまで作業してしまったり、複数のエージェントを並行管理することでエンジニアの認知負荷が劇的に高まったりする
・特に若手エンジニアにとっては、自らコードを書くよりも、AIが生成した大量のコードを読み解いてレビューする作業のほうが重い負担となっている

・AIを効果的に活用するためには組織側の変化も不可欠
・リーダーは「AIがあるのだからすぐに開発が早くなるはずだ」という安易な期待を捨てなければならない

・事前準備やコードベースの整理には数ヶ月の時間を要する
・なので、経営陣は生産性が一時的に低下する減速の期間を許容する必要がある
・また、十分なノウハウが蓄積される前に組織全体へAI開発を急激にスケールさせると、チームが混乱に陥るリスクが高い

・AIによってコーディング自体が劇的に高速化された結果、プロダクトを作るかどうかの意思決定にかかる時間が新たなボトルネックとなっている
・コードが数週間で完成するようになった現在、承認プロセスや意思決定に何ヶ月もかけていてはAIのスピードを活かしきれない

https://t.co/eg2MxajxFN