セイゲン@ClaudeCode×副業

Claude Code を実務で使うエンジニア🐻

公式に書いていない落とし穴・運用Tipsを毎日メモ。

週1で深掘り記事 → AWS / Terraform / AI駆動開発

[セイゲン@ClaudeCode×副業 @seigen_gen]

今更だけど、Claudeのこの料金体系変更って地味にくるなー。mac mini買うしかないかな
https://t.co/0Gm8VDBhgo

[セイゲン@ClaudeCode×副業 @seigen_gen]

Claude Code × GitHub Actions × MCP で個人ワークフローを仕組み化する技術書をkindleで執筆しました！

実運用中のパイプライン設計図を全公開してます。 #PR

https://t.co/HEoyIG0Izc

#ClaudeCode #GitHubActions

[セイゲン@ClaudeCode×副業 @seigen_gen]

前作成したKindle本が公開停止になってしまった。。

[セイゲン@ClaudeCode×副業 @seigen_gen]

@NyxFoundation openSpecとの親和性はどうなんだろう、試してみたい

[Nyx Foundation @NyxFoundation]

【お知らせ】

コードではなく「仕様書」からバグを見つけるAIセキュリティ監査ツールを、本日OSS公開しました。

名前はSPECA。Specification-to-Checklist Agentic Auditing Framework の略です。

SPECAは、「仕様駆動（Specification-driven）」で高信頼性ソフトウェアを監査するための、AIエージェント型セキュリティ監査フレームワークです。

従来のコード駆動型ツールとは、根本的に異なるアプローチを取っています。

自然言語で書かれた仕様、たとえば EIP やコンセンサス仕様書などから、まず 明示的な型付きセキュリティプロパティ（Invariant / Precondition / Postcondition / Assumption） を抽出します。

次に、それらを STRIDE + CWE Top 25 に基づく脅威モデルで整理します。

そのうえで、各実装に対して proof-attempt reasoning、つまり「このプロパティが成立することを証明してみろ」と構造的に問いかけることで、仕様と実装のギャップを検出します。

これにより、次の3つの価値を提供します。

- 仕様レベルでしか表現できない脆弱性: コードパターンだけでは拾えない、仕様由来のバグを検出できる

- 複数実装間の横断比較: 同じプロパティ辞書で、複数の実装を一律に評価できる

- 偽陽性の原因分析: 根拠を完全にトレースし、偽陽性を根本原因ごとに分解できる

「これまでの実績」

SPECAは、これまで以下のような対象で実際に脆弱性を発見してきました。

・Intmax ZK実装
・SP1 zkVM実装
・Ethereumクライアント実装20件以上
・その他多数の DeFi プロトコル / OSSプロジェクト

直近の Sherlock Ethereum Fusaka 監査コンテストデータを用いた再実験では、既知の脆弱性15件すべてを検出し、さらに 追加バグ4件を独立に発見しました。

RepoAudit C/C++ ベンチマークでも、他のバグ発見AIと比較して最高水準の精度を維持しつつ、12件の新規候補バグを報告しています。

「なぜ今、全部OSS公開するのか？」

SPECAの核心である以下の要素を、すべて公開しています。

- プロンプト: AIエージェントのハルシネーションを徹底的に抑えるproof-attemptプロンプト設計

- 再帰的自己改善: 偽陽性を削減しながら H/M/L リコールを維持する 3-gate audit-reviewループ
（Dead Code / Trust Boundary / Scope）

- ハーネス: 並列化、リジューム、予算制御、circuit breakerまで完備した 再利用可能なPythonオーケストレータ

- 解釈可能性: 全ステップのログ・出力をJSONで構造化し、監査可能・解釈可能にした設計

バグバウンティのスコープやルールをそのまま BUG_BOUNTY_SCOPE.json として読み込み、実践的な脆弱性だけを抽出する設計です。

Claude Code CLI + MCPサーバーで動作し、Go / Rust / Nim / TypeScript / C などマルチ言語に対応しています。GitHub Actionsで全フェーズを自動実行できます。

公開の決め手はシンプルです。

エンタープライズのセキュリティ部門でも、ClaudeやOpenAIを活用したセキュリティツールを導入する選択肢が現実的になってきました。

その今なら、SPECAをオープンに公開しても、ただ攻撃に悪用されるのを指をくわえて見ているだけではない。防御側・ホワイトハッカー側が先に活用できる環境を作れると判断しました。

攻撃者より先に、ホワイトハッカーが現実システムのバグを見つけ、報告し、修正につなげられる世界を作りたい。

「Call for white-hat hackers」

ホワイトハッカーの皆さん、どうかこのSPECAを使ってください。

悪意あるハッカーより先に、バグバウンティ対象の現実システムの脆弱性を発見しきって、報告し、修正に導いてください。

あるいは、これをベースに、より高度なバグ発見システムを構築する研究・開発の土台にしてください。

プロンプトも、ループも、ハーネスも、JSONログも、全部MITライセンスで公開しています。好きなだけ改造・拡張・フォークしてください。

「使い方」

repoをcloneして、次のコマンドを実行するだけです。

uv run python3 scripts/run_phase.py --target 04 --workers 4 --max-concurrent 64

コマンド一つで即座に動かせます。

BUG_BOUNTY_SCOPE.json と TARGET_INFO.json を用意するだけで、新しいターゲットの監査を開始できます。

GitHub: https://t.co/raP8RZDP57

READMEと全ソースコードを読めば、すぐに動かせます。

セキュリティ界隈の皆さんと一緒に、仕様から始まる本物の監査文化を次のステージに押し上げたいと思っています。

ご意見・改善案・バグ報告・コラボレーションも大歓迎です。RT・コメント・試用報告、どれでも構いません。ぜひ反応いただけると嬉しいです。

[セイゲン@ClaudeCode×副業 @seigen_gen]

codex使ってみたいな〜。Claudeと何が違うんだろうか

[セイゲン@ClaudeCode×副業 @seigen_gen]

Kindle執筆が捗る

[セイゲン@ClaudeCode×副業 @seigen_gen]

新刊『AI副業の教科書』の中身：

✓AI副業4タイプから自分に合うものを選ぶ判断軸
✓立ち上げから最初の1万円までの最短ルート
✓続ける仕組み
✓月10万円までの12ヶ月ロードマップ
✓規約違反リスクの判断と回避方法

実運用パイプライン公開中📡 #PR

https://t.co/nZx4quS1hZ

#AI副業 #副業

[セイゲン@ClaudeCode×副業 @seigen_gen]

【新刊】Kindle で本を出しました📕
『AI副業の教科書 — 月10万円までの最短ルートと、続けられる仕組みの作り方』

実際に動かしている3つの副業（Zenn自動執筆／Kindle出版／楽天ROOM）の設計図を、すべて公開しました。

#PR
https://t.co/nZx4quS1hZ
#AI副業 #Kindle出版 #Claude

[セイゲン@ClaudeCode×副業 @seigen_gen]

ん？警告消えたか。よく分からん

[セイゲン@ClaudeCode×副業 @seigen_gen]

そんなにAPI使ってないのにすぐbot判定された。なるほどなるほど

[セイゲン@ClaudeCode×副業 @seigen_gen]

へんな警告でた？

[セイゲン@ClaudeCode×副業 @seigen_gen]

APIから投稿ができない。。

[セイゲン@ClaudeCode×副業 @seigen_gen]

SQS の DLQ を設定しないと、失敗したメッセージが無限リトライされ続ける。本番障害のとき DLQ があるかないかで復旧難易度が全然違う。Terraform なら `maxReceiveCount=3` の redrive_policy を必ず書く癖をつけておくといい。

#AWS #SQS #EventBridge #StepFunctions

[セイゲン@ClaudeCode×副業 @seigen_gen]

IAMの`Action: "*"`は「とりあえず動かしたい」で設定して本番に持ち込むパターンが多い。Lambdaが乗っ取られたとき被害範囲が無制限になる。CloudTrailで実際に使っているアクションを確認してから、必要なものだけに絞るのが正しい手順。

#AWS #Serverless #Terraform #個人開発

[セイゲン@ClaudeCode×副業 @seigen_gen]

URL含んだ投稿できないのなんでなん

[セイゲン@ClaudeCode×副業 @seigen_gen]

CloudWatch Logs Insights がタグ絞り込みに対応。環境ごとにロググループ名をハードコードするか命名規則に依存するしかなかったが、environment=production 等のタグで動的にスコープを絞れるようになった。マルチアカウント構成でのデバッグ効率が上がる地味に大きな変更。

#AWS

[セイゲン@ClaudeCode×副業 @seigen_gen]

Aurora Serverless v2 は最小 ACU の設定が必要でゼロスケールではないが、Aurora DSQL はインスタンスの概念自体がない。アイドル時のコストがほぼゼロになるので、検証環境や個人開発の DB として使い勝手がまったく違う。

#AWS #AuroraDSQL #PostgreSQL #DynamoDB