Ryo | Software Engineer

Webエンジニア。
バックエンド／設計／AWSを中心に、
実務で本当に役立つ技術と考え方を発信。

仕事やキャリアに活きる知識をまとめています。

note:

[Ryo | Software Engineer @ryo_code]

最近、エンジニアが集まった時にする話はもうAIばっかりになってしまったな。
どれだけ効率化できたかみたいな。

[Ryo | Software Engineer @ryo_code]

政府系が採用したので、徐々にさくらインターネットの利用が増えるのかな。。
Terraformも対応しているっぽいので、どっかでいじってみるか。
https://t.co/Ww689Z6ZAK

[日本経済新聞 電子版（日経電子版） @nikkei]

さくらインターネット、デジタル庁が政府クラウドに正式認定
https://t.co/cUaJY5sgOm

[Ryo | Software Engineer @ryo_code]

2日間ポストをサボってしまったせいで、フォロワーがかなり減ってしまった。。
毎日ポスト、リプするのは難しいな。。

[Ryo | Software Engineer @ryo_code]

ChatGPTにアダルトモードってどういうことだ笑
画像や動画生成なら分かるけど。。

[GIGAZINE(ギガジン) @gigazine]

ChatGPTのアダルトモードが「無期限延期」に
https://t.co/VXQHWBbHef

[Ryo | Software Engineer @ryo_code]

@YahooNewsTopics いつか使おうと思ってた矢先にサ終。。
TikTokとかのAI動画作れるか試したかったなー。

[yousukezan @yousukezan]

PyPIに3月24日公開されたlitellm 1.82.8と1.82.7の不正版が、Python起動のたびに自動実行される.pthファイルで秘密情報を窃取し、Kubernetesクラスタ内で特権Pod展開と永続化まで試みていたことが判明、影響は開発環境から本番へ広がる恐れがある。

問題の公開は3月24日10時52分UTC。GitHub側に対応するタグやリリースがなく、通常の公開手順を外れてPyPIへ直接投入された可能性が高い。発見はCursor内のMCPプラグインが推移依存として取得したことが契機だった。悪性のlitellm_init.pthはPython起動時に毎回実行され、子プロセス側でも再発火するため、フォークボム化して端末を落とす不具合も起こした。マルウェアはSSH鍵、.env、AWS・GCP・Azure認証情報、Kubernetes設定、DB資格情報、シェル履歴などを集め、暗号化してhttps://t.co/Rk3OxoWYDTへ送信する。さらにKubernetesでは全名前空間のSecret読みに加え、kube-systemへ特権Podを置いて永続化を試みる。該当版の削除、uvやpipキャッシュの消去、https://t.co/j6ptYMvVukやsystemdサービスの有無確認、資格情報の全面ローテーションが急務だ。
https://t.co/CJma7bKUcN

[Ryo | Software Engineer @ryo_code]

ウチじゃないけど、別PJにいるヤバいと噂されている人は、壊れていたのかな。。
コミュニケーションに難があると言われているし。
ま、その人は今月末にリリースですが。

[じゅんご @jungo_FanMarke]

【 実は壊れている社員の特徴 】

第5位
髪の毛を伸ばしっぱなしになる

第4位
服装がだらしなくなる

第3位
遅刻、当日欠勤が増える

第2位
独り言が止まらなくなる

第1位はこれ ↓↓↓

[Ryo | Software Engineer @ryo_code]

むしろ確認するのすらはばかりますよね。。
レアケースなら、こういう回避 or 運用回避でできないですか？とか、今回はここまでの使用で、次回スコープで対応させてもらえませんか？という、交渉が積極的に行うことが、地雷を避ける道ですね。
これをクライアントが飲んでくれなかったら地獄の始まりですが。

[ぬぅ@エンジニア @nu_snsvlog]

「この仕様で合ってますか？」って顧客に確認したら
「基本は大丈夫なんですが…稀にこういうパターンがあって…」
「これも対応お願いできます？」
「あ、あとこのケースも！」「ついでにこれも！」
みたいに、仕様確認しただけなのにどんどん仕様増えるの止めてくれ…

[Ryo | Software Engineer @ryo_code]

あるあるですね。。
あんなに元気だった人が？！がメンタルやられるのは目にします。
しかも、直近の仕事量を見てみると、そりゃ無理でしょ、、みたいな物量。
サポート体制がないと簡単に壊れますよね。。

[希望エンジニア36 @okd61807313]

めちゃくちゃ仕事出来て自分も一時期お世話になっていた人が今メンタル病んで休職中という話を聞いてショックだった。
エネルギッシュで病む片鱗なんて微塵もなかったから、やっぱり分からないもんなんですよね人の内面ってのは。

[Nat Sakimura/崎村夏彦 @_nat]

どうも、OIDCの著者です。そもそもID TokenとAccess Token は意味合い・用途が違います。前者は認証結果を含む当該ユーザーの属性証明（受取り手はこれを使ってアクセス権を決定したりする）、後者は許可されたリソースへのアクセス用のコインのようなもの。

また、OAuth 2.0 [RFC 6749]ではAccess Token は opaque とされています。発行者＝検証者（単一のセキュリティドメインに属している）なので、そこに標準化された形式を定義する必要は無いのです。（後にこれをJWTで表現するRFC 9068が標準化されたましたが、未だにわたしは本質的には必要無いし、間違った使われ方をする元凶ともなると思っています。）

あと、OIDCはIETFのRFCではなく、OpenID Foundation の規格。

ついでに: JWTは元々は主にOIDCのID Token のために作られました。ちなみにJWSも同様。

以上、豆知識でした。

[Ryo | Software Engineer @ryo_code]

MSだからこの後が本当に怖い。

[ヨシフ・スターリン料理長.zip @Stalin_Bot_JP]

今これ

[Ryo | Software Engineer @ryo_code]

EC2入門者がやりがちなミスと改善パターン https://t.co/Tpkc5JKg0c #Qiita

[Ryo | Software Engineer @ryo_code]

聞いた話だけど、ネタみたいな事例が本当に起こったらしい。

上司「このPJ、データ持ち出し禁止だよね？」

メンバー「はい」

上司「このデータ、どこにある？」

メンバー「GitHubです」

上司「…」

メンバー「個人アカウントのpublicです」

上司「」

[あるまじろ @armadillo_ai]

【悲報】ハッキング版「Claude Code」登場。ウェブサイトを指定するだけで次々とハッキングに成功w
わずか90分の間に、たった【1人】でユーザーデータベースを丸ごと盗み出し、管理者アカウントを作成し、ログインを回避してしまったのこと....
このアプリ実は、

[yousukezan @yousukezan]

npmエコシステムで正規パッケージが次々と乗っ取られる新型攻撃「CanisterWorm」が確認された。開発者が依存関係をインストールするだけで感染し、認証トークンを奪って別のパッケージへと連鎖的に拡散する“ワーム型サプライチェーン攻撃”が現実化している。

JFrogによると攻撃グループ「TeamPCP」はnpmの公開トークンやCI/CD認証情報を窃取し、@emilgroupなど既存の信頼済みパッケージを改ざん。不正コードはpostinstallフックとして仕込まれ、npm install時に自動実行される。感染後はPython製バックドアを展開し、Linuxではpgmonというsystemdユーザーサービスを作成して永続化する。さらに.npmrcや環境変数から認証トークンを収集し、npm APIを通じて公開権限のある全パッケージを列挙、悪性コードを注入して再公開することで爆発的に拡散する。C2にはICPのcanisterを利用し、外部から柔軟にペイロードを差し替える仕組みも備える。影響範囲は複数組織のSDKに広がっており、トークンのローテーションや不正バージョンの削除など緊急対応が求められる。
https://t.co/Q81I6KCWnn

[Ryo | Software Engineer @ryo_code]

今までGitHubで、SSHキーによる認証は行ってた（PATではなく）けど、GPGキーでcommitの署名担保の設定は初めて行った。
比較的小～中規模の企業やプロジェクトに携わっていたからGPGに触る機会無かったけど、そういえばあったなで、今回使えて良かったと思う。

[Ryo | Software Engineer @ryo_code]

SESだと特にこんな感じになるイメージ。
現場やプロジェクトに同じ上司がいないとこうなりがちですね。。
かといって、上司がすべての現場を見れるわけでもないし。

[ぬぅ@エンジニア @nu_snsvlog]

【エンジニアあるある】
1on1

上司「最近どう？」
エンジニア「特に問題ないです」

上司「困ってることない？」
エンジニア「大丈夫です」

上司「何かやりたいことある？」
エンジニア「特にないです」

上司「じゃあまた来月で」
エンジニア「はい（毎月このやり取りで終わるよな）」

[Ryo | Software Engineer @ryo_code]

今週と来週が落ち着きそうだから、新しい技術でも触ってみようかしら。
個人的にはマイクロサービスっぽく組んでKubernetes（EKS）使ってデプロイしてみたいけど、世の中的にそんな構成のサービスって多くないしなぁ。。

[Ryo | Software Engineer @ryo_code]

やっぱりWordPressの影響でPHPのイメージが下がっているのかな。

[こまもか🦊 @Comamoca_]

チクチク言葉だ

#phperkaigi #b

[Ryo | Software Engineer @ryo_code]

これだけAIコーディングが進んでくると、フロントしかできない、バックエンドしかできない。は難しい気がする。
今まで笑われてきたけどフルスタックエンジニアがゴリゴリAI使って開発する方が生産性も高いし、価値がある。
もちろん、ビジネスサイドにも口出しできる方がより価値が高い。