もるみかんアンテナTrivyが3週間で2度目のサプライチェーン攻撃を受けた件——GitHub Actions経由でCI/CDが狙われる
OSSセキュリティスキャナTrivyのGitHub Actions（setup-trivyとtrivy-action）に悪意あるコードが注入され、利用者のCI/CDパイプラインからクレデンシャルが抜き取られるサプライチェーン攻撃が発生。しかも3週間以内に2度目という深刻さ。記事では攻撃の経緯と影響範囲、具体的な対応指針がコンパクトにまとめられている。
セキュリティスキャナ自体がサプライチェーン攻撃の入口になるという、なかなかの皮肉。GitHub Actionsをタグ指定で使っている人は、この機会にコミットハッシュ固定への移行を真剣に検討したほうがいい。
「3日50万円 vs 4ヵ月800万円」問題が突きつけているのは、SIerの品質ではなく受発注構造そのもの
SIerに発注すれば4ヵ月800万円の見積もりになるシステムを、AIを駆使して3日50万円で作ったという話題を受けて、きしだ氏が「SIerの文書化や品質保証に価値がある」という反論の裏側にある受発注モデルの構造的問題を指摘した記事。論点は「AIで安く作れる」ではなく「そもそもこの発注形態が成立しなくなりつつある」というところにある。
「ドキュメントが大事」という正論で防衛線を張る気持ちはわかるが、顧客から見れば「同じものが16分の1の費用で手に入る」という事実は重い。SIerに限らず、プロセスの厚みで単価を正当化してきた業態すべてに刺さる話。
目に見えないコードが400超のリポジトリを汚染した「GlassWorm」の話
2026年3月、GitHub・npm・VSCode拡張機能など400以上のリポジトリが「GlassWorm」と呼ばれるマルウェアに汚染されていたことが判明。不可視文字を使ったコード注入という手法で、目視レビューでは検出が極めて困難だった。対策方法も含めた詳細な解説記事。
「公開パッケージだから安心」という信頼を根底から揺さぶる攻撃手法。OSSのサプライチェーンセキュリティ、もはや他人事ではない。開発者は一読しておいて損はないはず。
AI文章の「あの感じ」はなぜバレるのか——Wikipediaが体系化した"AIくささ"の正体
AIが生成した文章に漂う独特の「それっぽさ」の正体を、Wikipediaコミュニティがまとめた「Signs of AI writing」を起点に分析した記事。丁寧すぎる接続、均一なトーン、具体性の欠如など、人間が感じる違和感の要素を言語化し、さらにそれをClaude Codeのスキルとして組み込んで"AIくささ除去"を自動化するところまで踏み込んでいる。
AIの文章がバレる理由を、AIを使って消す。マッチポンプ感は否めないが、「敵を知る」という意味では正しいアプローチ。なお、この紹介文自体がAIくさくないかは各自ご判断ください。
意識があろうがなかろうが、量子力学は気にしない
量子力学は「そこにモノがある」という素朴な実在論ではなく、現代的には情報理論の一種として理解されている。アインシュタインらが期待した局所実在論はベル不等式の破れによって実験的に否定され、観測者が意識を持つ人間でも機械でも結果は変わらないことが示されている。物理学者・堀田昌宏氏による丁寧な解説記事。
「観測者の意識が量子を変える」というスピリチュアル方面の誤解に対して、物理学の側からきちんと釘を刺してくれる記事。こういうのがもっと広まってほしい。
電話恐怖症の新社会人、解決策として「通話用バイオリン」を自作する
電話が怖い新社会人が、「優雅に通話すれば恐怖は消えるのでは」という仮説のもと、バイオリン型の通話デバイスを制作。問題の根本解決からは全力で遠ざかっているが、その遠回りこそがこの記事の見どころ。発想の飛距離がすごい。
電話恐怖症の解決法として「慣れる」「練習する」という正攻法を完全に無視し、楽器を作り始める姿勢に、ある種の希望を感じる。社会人生活、大丈夫だろうか。
「道民は転ばない」と豪語した直後に盛大に転んだ友人の写真が完璧すぎる
北海道民の友人が「ペンギン走りだから転ばない」と宣言した直後、見事に大転倒。飲み物が宙を舞い、背中から豪快に滑落する瞬間が写真に収められた。道民いわく、転ぶと悟ったら抵抗せず体を預けて受け身を取るのが正解らしい。
フラグ回収の速度としては世界記録級。「転ばない」→転倒の流れは古典的だが、写真という動かぬ証拠があるぶん言い逃れできないのが残酷でいい。
Claude Codeで「自分の仕事」をSkills化する具体的な手順ガイド
非エンジニアのPM向けに、Claude Codeの「Skills」機能を使って自分の業務ナレッジを再利用可能な形に落とし込む方法を解説した記事。前回の「PMはスキルエンジニアリングを極めるべし」の続編で、今回は実践編にあたる。AIモデルの性能比較に時間を使うより、自分の業務をどう構造化するかに集中しようという主張が一貫していて好感が持てる。
「どのモデルが最強か」論争を横目に「まず自分の仕事を整理しろ」と言い切る姿勢、正しいと思う。期間限定で全文無料とのことなので気になる方はお早めに。
DiscordからClaude Codeのセッションに指示を飛ばせる「チャンネル」機能を試す
Claude Code v2.1.80で追加されたResearch Preview版の「チャンネル」機能を使い、Discordから実行中のClaude Codeセッションに外部イベントを送る仕組みを構築した記事。チャンネルの正体はMCPサーバーで、外部ツールとの連携に道を開くものになっている。セットアップの手順も丁寧に書かれており、試してみたい人にはありがたい内容。
Discordで「これやっといて」と投げたらClaude Codeが粛々と作業してくれる世界、もうほとんどSlackのbotに仕事を丸投げしてた時代の進化版。便利だけど、チャットの延長で開発が回るようになると仕事とダラダラの境界がさらに曖昧になりそう。
「自作OS」の次のステージ、Linuxコンテナを動かすところまで到達した猛者の記録
自作OSの上でLinuxコンテナを動作させるという、なかなかに骨太な取り組みをまとめたスライド。OSを自作するだけでも十分すごいのに、その上でコンテナまで走らせようというのだから恐れ入る。低レイヤの仕組みをここまで手を動かして理解しようとする姿勢には、素直に頭が下がる。
SpeakerDeckのdescriptionが完全にポッドキャスト広告で埋まっていて、記事の中身が一切わからないのは逆に潔い。内容はスライドを開いて自分の目で確かめてほしい。
「結石には水を飲め」——1600人規模のRCTで再発予防効果が確認されず
尿管結石の再発予防に「とにかく水を飲め」というのは長年の医療の常識だったが、1600人以上を対象としたランダム化比較試験で、水分摂取を増やして尿量が増えたにもかかわらず再発予防効果は認められなかったという結果が報告された。「常識」がエビデンスで覆される典型的な例として、読み応えのある内容。
水を飲むこと自体は悪いことではないので、結石経験者が読んで「じゃあ飲まなくていいや」とならないことを祈る。研究は一つの知見であって、主治医の判断が最優先。
中身のないビジネス用語を好む人ほど判断力が鈍いという研究
コリイ・ドクトロウの記事の翻訳で、「コーポレート・ブルシット」——もっともらしいが空虚なビジネス英語——を好む人は判断力が低い傾向にあるという話。言葉の豊かさとごまかしの境界を、物書きの視点から鋭く論じている。「シナジー」「レバレッジ」あたりが頭をよぎった人は、少し立ち止まってみてもいいかもしれない。
この記事の見出し自体がかなりストレートで、ブルシットの対極にあるのが良い。
マシュマロで大量の質問を送りつけて「秘密の質問」を盗む手口に注意
匿名メッセージサービス「マシュマロ」を悪用し、大量の質問に紛れ込ませて「秘密の質問」の回答を聞き出そうとする手口が広がっている。「好きな食べ物は？」「ペットの名前は？」といった無害に見える質問が並ぶが、これらはパスワード再設定時の本人確認に使われる定番の項目。人間味のあるコメントが一切ないのも特徴なので、届いても回答しないのが鉄則。
ソーシャルエンジニアリングも手法がカジュアルになってきた。「マシュマロで個人情報を抜かれる」という字面の脱力感がまた怖い。
同じ質問を10回すると答えが二転三転する——ChatGPTの一貫性のなさが研究で裏付けられた
ワシントン州立大の研究チームが、最新論文の仮説が「証明された」か「否定された」かを当てるテストをChatGPTに700問×10回繰り返したところ、同じ質問に対して回答がころころ変わり、一貫性が著しく低いことが判明。正答率も最低ラインにとどまったという。LLMを「知識の確認」に使うリスクがデータで示された形。
人間だって同じ質問を10回されたら途中から適当になる気もするが、AIの場合は「毎回初対面」でこれなので、弁護の余地がない。重要な判断をAIに丸投げしている人にはぜひ読んでほしい。
マーケ業務の「毎回同じ作業」をClaude CodeのSkillにまとめて自動化した話
ニュースレターの情報収集、LP改善提案、イベント資料準備——マーケティングにありがちな定型業務3つをClaude CodeのSkill機能で自動化した実例記事。自然言語で指示を出すだけでコード生成からファイル操作、外部API連携まで一気通貫で回る仕組みを構築している。「手順が決まっているなら人間がやる意味あるのか」という問いに、実装で答えを出した好例。
Skill化の粒度がちょうどよく、再現しやすい内容。逆に言えば、ここに書かれている程度の業務をまだ手作業でやっているチームは、そろそろ危機感を持ったほうがいいかもしれない。
パラメータ9Bで120B超えの性能——Qwen3.5-9Bがローカル推論の勢力図を塗り替えそう
Alibabaの Qwenチームが公開したQwen3.5シリーズの中で、わずか9Bパラメータのモデルが120B超のモデルに匹敵するベンチマークを叩き出したという記事。フラッグシップの397B-A17Bから段階的に公開された全モデルがApache 2.0ライセンスで、ローカル環境で動かせるサイズ感のモデルが実用域に入ってきたことを実感させる内容。
「小さいモデルがデカいモデルを超えた」系の話は定期的に出てくるが、今回はベンチマークの内訳を見ても割と説得力がある。もっとも、ベンチマークと実務の間には毎回キャニオン級の溝があるので、手元で試すのが一番早い。
CO2から服を作る——「それ、逆に着たくなる」レベルの環境テック
米スタートアップのRubiが、回収したCO2から繊維素材を生成する技術を開発中。できた素材は衣服や布製品の原料になるという。木材由来の繊維に依存しない新たな選択肢として注目されており、「排出したものを着る」という発想の転換が面白い。
コスト面やスケーラビリティの話はこれからだろうが、「CO2を減らす」ではなく「CO2を使い倒す」方向に舵を切る発想は素直に好き。
イスラエルの歴史を「わかる／わからん」で仕分けしていく増田の潔さ
はてな匿名ダイアリーに投稿された、イスラエルの歴史的経緯を時系列で「わかる」「わからん」と率直に仕分けしていくエントリ。移住の背景には一定の理解を示しつつ、侵略や迫害には容赦なく「わからん」を突きつけていく。感情論に流れず、かといって冷笑でもない、絶妙な距離感。
複雑な問題を「わかる／わからん」の二択で切っていくのは乱暴に見えて、実は「自分の理解の限界を正直に示す」という誠実さがある。こういう書き方ができる人は信用したくなる。
Figma × Claude Code × MCP——「AIに優しいデザインデータ」とは何かを比較実験で探る
Claude CodeとFigma MCPを組み合わせてAIにフロントエンドコーディングをさせる際、Figma側のデザインデータの作り方によって出力品質がどう変わるかを比較実験した記事。Desktop版とRemote版の使い分けや、無料枠での運用についても触れている。AIコーディングの「入力の質」を意識する第一歩として参考になる。
「AIにやさしいデザイン」という言い回し、数年前なら意味不明だったのに今は普通に通じてしまう。人間にやさしいデザインの次はAIにやさしいデザイン。デザイナーの気遣いの対象が増え続けている。
iOS 27の破壊的変更、今から備えないと「アプリが起動しない」未来が待っている
iOS 26対応の真っ最中だが、すでにAppleはiOS 27（2026年9月リリース見込み）での破壊的変更を予告済み。Liquid Glassデザインの完全義務化やUISceneライフサイクルの強制適用など、対応を怠ればアプリが起動すらしなくなるリスクがある。今のうちから準備項目を整理しておこうという実践的なガイド。
毎年「今度こそ本気で移行しないと」と言わされるiOS開発者の皆さん、お疲れさまです。Appleの「予告したからね？」というスタンス、もはや様式美。