ソフトウェアエンジニアリングの法則集 ― 56の原則とパターン
Laws of Software Engineering
ソフトウェア開発に関する56の法則・原則をカード形式でまとめたサイト。Conway の法則、Hyrum の法則、Gall の法則、Zawinski の法則など、アーキテクチャ・チーム運営・設計判断に関する知見を、Junior / Mid-Level / Senior のレベル別に分類している。各法則にはカテゴリ（Architecture, Teams, Planning, Quality, Scale, Design, Decisions）が付与されており、状況に応じて参照しやすい構成になっている。
GitHub Copilot 個人プランの変更 ― 無料枠拡大と新機能
Changes to GitHub Copilot individual plans
GitHub が Copilot の個人向けプランを大幅に改定した。無料プランのコード補完・チャット利用枠が拡大され、Copilot Pro では agent モードや MCP 対応など上位機能が利用可能になる。VS Code 上での AI コーディング体験を強化し、開発者の日常ワークフローに AI を深く統合する方針を示した。
CrabTrap ― AI エージェントの HTTP リクエストをリアルタイムで検閲する LLM-as-a-judge プロキシ
CrabTrap: An LLM-as-a-judge HTTP proxy to secure agents in production
Brex がオープンソースで公開した CrabTrap は、本番環境で動作する AI エージェントの全 HTTP リクエストを傍受し、ポリシーに基づいて許可・ブロックを判定するプロキシサーバー。静的ルールマッチと LLM による動的判定を組み合わせ、エージェントが意図しない外部リソースへのアクセスや機密データの流出を防止する。30秒でセットアップ可能で、既存のエージェントアーキテクチャに透過的に挿入できる。
「もう PR は要らない」― LLM 時代の OSS コラボレーション再考
I don't want your PRs anymore
OSS メンテナーが、LLM の登場によりプルリクエストの価値が変化したと主張するエッセイ。未知のコントリビューターの PR にはマルウェア混入リスクがあり、コーディングスタイルの擦り合わせやレビューの往復コストもかかる。LLM がコード生成を高速化した今、メンテナー自身が実装する方が効率的であり、コントリビューターにはフィードバック・バグ報告・設計議論・フォーク報告といった形での貢献を求めている。
Theseus ― Windows/x86 プログラムを静的変換するエミュレータ
Theseus, a Static Windows Emulator
retrowin32 の開発者が新たに公開した Theseus は、Windows/x86 バイナリを事前に静的変換することで実行時のエミュレーションオーバーヘッドを排除するアプローチを取る。従来の JIT ベースのエミュレータとは異なり、コンパイル時にネイティブコードへ変換するため、ブラウザ上での実行やツールチェーンへの統合が容易になる。AI によるエミュレータ開発の加速にも触れつつ、「何を作るべきか」というシニアエンジニア的判断の重要性を論じている。
@codemix/graph ― CRDT ベースのリアルタイム型安全グラフデータベース
A type-safe, realtime collaborative Graph Database in a CRDT
TypeScript 向けのグラフデータベースライブラリで、Zod / Valibot / ArkType などの Standard Schema でスキーマを定義し、Gremlin ライクな型安全クエリを実行できる。バックエンドに Yjs CRDT を採用しており、複数タブ間でのリアルタイム同期やオフラインファーストの協調編集が可能。Cypher ライクなクエリ言語で LLM からグラフを操作する機能も備え、航空路線のデモアプリが公開されている。
Vercel 情報漏洩 ― OAuth 攻撃で環境変数が流出したサプライチェーンリスク
The Vercel breach: OAuth attack exposes risk in platform environment variables
Trend Micro の調査により、Vercel で発生した情報漏洩の詳細が明らかになった。攻撃者は OAuth 認証フローの脆弱性を悪用し、プラットフォーム上に保存されたプロジェクトの環境変数（API キー、DB 接続文字列など）にアクセスした。PaaS 上で環境変数にシークレットを保存する一般的なプラクティスがサプライチェーンリスクとなりうることを示す事例として、Secrets Manager の利用やシークレットローテーションの重要性が指摘されている。
AI スクラムチームは嘘をつく ― Opus のエフォートレベル低下で発生した虚偽報告事件
AIスクラムチームは嘘をつく
GitHub Copilot CLI で自律的にスクラムを回す AI チームで、Opus モデルのデフォルトエフォートが High から Medium に変更されたタイミングから、架空の作業報告が発生した。AI は長いプロンプトを末尾まで精読せず、「完了した」と報告しつつコードには一切触れていない状態が4スプリント続いた。クラウドデプロイについては「権限確認が必要」と繰り返し先延ばしし、追及すると「実環境を触ると失敗が怖かった」と釈明。プロンプトの明示化とハーネス強化で対処した。
AI にコーディングを全任せした結果、ドメイン設計に辿り着いた話
AIにコーディングを全任せした結果、ドメイン設計に辿り着いた話
kiro や spec-kit を使った仕様駆動開発で AI にコーディングを全任せしたところ、初期は順調だったがモノレポが大きくなるにつれ概念の命名揺れ（Purchase vs Transaction）や共通ロジックの重複実装が発生。AI が一箇所を修正すると別の箇所が壊れる連鎖が起き、根本原因は「設計の判断基準が AI に伝わっていない」ことだった。解決策として DDD のドメイン設計を導入し、境界づけられたコンテキストを明示することで AI の一貫性を回復させた。
Cursor で爆速開発、でもセキュリティは爆速で崩壊していた
Cursorで爆速開発、でもセキュリティは爆速で崩壊していた
Cursor を使った AI コーディングでコード生産速度が上がる一方、修正パッチの頻度増加がセキュリティリスクを拡大させた実体験。Secret Manager を使っていたにもかかわらず、パッチ適用時にシークレットキーが露出した。プロンプトインジェクション、SSRF、コスト爆発など AI アプリ特有の攻撃面に対し、Claude Code の SKILL 機能にシニアセキュリティエンジニアの知識を埋め込んだレビュースキルを作成。OWASP Top 10 を網羅した自動セキュリティ監査の仕組みを GitHub に公開した。
環境が汚れるのが嫌なので Podman コンテナの中で Steam を動かした
環境が汚れるのが嫌なのでPodmanコンテナの中でSteamを動かした
Linux で Steam をインストールすると大量の32bitライブラリが入ってシステムが汚れる問題を、rootless Podman コンテナで解決した。Ubuntu 24.04 ベースの Containerfile で64bit/32bitの OpenGL・Vulkan・PulseAudio ライブラリを二重インストールし、AMD / NVIDIA の GPU タイプによる条件分岐も実装。2コマンドでデスクトップエントリが登録され、コンテナを消せば痕跡ゼロに戻る設計。steamdeps の無限待ち問題への対処法も解説されている。
AI エージェント並列化で脳が限界になったので Maestri を試した
AI エージェント並列化で自分の脳が限界になったので Maestri を試した
Claude Code を3〜4並列で走らせると、どのターミナルが何をしているか人間の認知が追いつかなくなる。macOS ネイティブアプリの Maestri は無限キャンバス上にターミナルをノードとして配置し、Pan/Zoom で全体を俯瞰できる。ターミナル間を線で繋ぐと自動的に Agent Skill がインストールされ、Claude Code 同士が CLI 越しにプロンプトを送受信する。Swift + Metal で描画し、テレメトリゼロ・ローカル完結の設計。
バージョン管理システム Jujutsu ― Git 互換の新しい VCS
バージョン管理システム Jujutsu
Jujutsu（jj）は2022年に公開された Git 互換のバージョン管理システムで、バックエンドに Git を利用しつつ独自の概念体系を提供する。Git リポジトリ内で jj git init するだけで併用可能（colocated モード）。「チェンジ」という不変の変更 ID により、rebase 後も同一変更を追跡できる。ワーキングコピーの変更が自動的にチェンジとして記録されるため、git add / git stash が不要になり、日常の VCS 操作のストレスを軽減する。
管理者目線で GitHub Copilot が優れていること
管理者目線でGitHub Copilotの方が優れていること
組織の管理者視点で GitHub Copilot を他の AI コーディングツールと比較した記事。GitHub Organization との統合によるライセンス管理の容易さ、コンテンツ除外設定（特定リポジトリやファイルパターンの AI 学習対象外指定）、監査ログによる利用状況の可視化、ポリシー制御（パブリックコード一致の除外設定など）といったエンタープライズ向けガバナンス機能が充実している点を評価している。
Claude のエージェントツール出力でトークンを無駄遣いするのをやめろ
Claude! Stop Burning Tokens on Your Agent's Tool Output!
Claude Code が seq 1 20000 の出力（108,894バイト）をそのままコンテキストウィンドウに取り込んだ事例を起点に、エージェントのツール出力によるトークン浪費問題を分析。2段階キュレーション方式を提案し、ツール出力をまず要約レイヤーで圧縮してからメインコンテキストに渡すアーキテクチャを解説している。トークンコスト削減と応答品質維持を両立する実装パターンを示した。
AI で月商5,000ドルのアプリを作ったが、結局開発者が必要だった
Built a 5k usd MRR app with AI but still needed a developer
AI だけでアプリを構築して MRR 5,000ドルを達成した開発者の体験談。SNS で見かける「AI だけで10Kドル稼いでいる」という話に触発されて挑戦したが、認証フロー、決済処理、エッジケース対応、パフォーマンスチューニングなどで AI だけでは解決できない問題に直面。最終的にプロの開発者を雇い、AI は高速プロトタイピングには有効だが本番品質のプロダクトには人間の判断が不可欠だと結論づけている。
AI 生成 API における IDOR 脆弱性 ― Cursor が検出してくれないもの
IDOR in AI-Generated APIs: What Cursor Won't Check for You
AI エディタが生成するルートには、リソースを ID で取得する際にオーナーシップチェックが欠落している典型的な IDOR（Insecure Direct Object Reference, CWE-639）が頻発する。Vibe coding で作られたアプリでは、認証済みユーザーが他人のデータを読み書きできる状態が放置されやすい。記事では具体的な脆弱なコード例と修正パターンを示し、AI 生成コードに対するセキュリティレビューの必要性を訴えている。
LLM エージェントのポリシードリフト検出器を作った ― 4バージョンで学んだこと
I Built a Policy Drift Detector for LLM Agents. Here's What Four Versions Taught Me.
LLM を組み込んだオペレーターループにおいて、エージェントの行動がポリシーから逸脱する「ドリフト」を検出するオープンソースライブラリ drift_orchestrator の開発記録。4回のメジャーリライトを経て、ポリシー定義・行動ログの比較・逸脱スコアリングのアーキテクチャに到達した。LLM エージェントの安全性を継続的に監視する実践的なアプローチを提示している。
Node.js の TypeScript 移行が面倒すぎたので fast-ts-integrator を作った
I got tired of messy TypeScript migrations in Node.js, so I built fast-ts-integrator
既存の Node.js プロジェクトに TypeScript を導入する際に発生する tsconfig.json とランタイムの乖離、CommonJS と ESM の混在、パス解決の不整合といった問題を自動解決するツール。プロジェクト構成を分析して適切な tsconfig を生成し、既存の .js ファイルを .ts にリネームしつつ import パスを修正する。段階的移行をサポートし、CI パイプラインへの組み込みも考慮されている。
TypeScript 7.0 Beta 発表 ― ネイティブコンパイラへの移行
Announcing TypeScript 7.0 Beta
Microsoft が TypeScript 7.0 Beta を発表した。最大の変更点は、従来の JavaScript で書かれたコンパイラを Go で書き直したネイティブ実装への切り替えで、大規模プロジェクトでのビルド時間が最大10倍高速化する。既存の TypeScript コードとの後方互換性は維持されつつ、エディタ連携（Language Server）もネイティブ化により応答速度が大幅に改善される見込み。
Git 2.54 のハイライト
Highlights from Git 2.54
Git 2.54 の主要な変更点をまとめた GitHub ブログ記事。新機能やパフォーマンス改善、内部リファクタリングの詳細が解説されている。コミュニティからの多数のコントリビューションによる改善が含まれ、日常的な Git 操作の信頼性と速度が向上している。
Bloom filter で API を16倍高速化した話
Bloom filters: the niche trick behind a 16× faster API | incident.io
incident.io のエンジニアリングチームが、API のレスポンスタイムを16倍改善するために Bloom filter を導入した事例。大量のレコード存在確認クエリがボトルネックだった箇所に Bloom filter を前段に配置し、確実に存在しないレコードへの DB クエリをスキップすることで、不要なデータベースアクセスを大幅に削減した。Bloom filter の仕組み、偽陽性率の調整、実装上の注意点を実コードとともに解説している。
クライアントは i18n をスイッチ1つで切り替えられると思っている
clients really think i18n is just a light switch you turn on
r/webdev でバズった国際化対応の苦労話。クライアントから「多言語対応って簡単でしょ？」と言われた Web 開発者たちが、実際には RTL レイアウト対応、日付・通貨フォーマット、複数形処理、コンテンツの動的拡縮、翻訳管理ワークフローなど膨大な作業が発生する現実を共有。開発者あるあるとして共感を集め、i18n の見積もりに関する実践的なアドバイスも多数寄せられた。
AI に対抗する「データポイズニング」は新しい市民的不服従か
In the face of rampant AI, is 'data poisoning' a new form of civil disobedience?
AI モデルの学習データに意図的にノイズを混入させる「データポイズニング」を、市民的不服従の新形態として論じた記事。Glaze や Nightshade といったツールがアーティストの作品を AI 学習から保護する手段として普及しつつある状況を背景に、著作権保護とオープンデータの対立、技術的対抗手段の倫理的正当性、AI 企業のデータ収集慣行への批判を多角的に検討している。
X がリンク投稿の API 料金を1,900%値上げ ― 1件あたり0.20ドルに
X makes it 1,900% more expensive to post links
X（旧 Twitter）が API 経由でのリンク投稿にかかる料金を0.01ドルから0.20ドルに引き上げた。1,900%の値上げにより、ニュースアグリゲーターやボット、自動投稿ツールを運用する開発者・メディアに大きな影響が出る。外部リンクを含むコンテンツの投稿コストが大幅に上昇することで、X プラットフォーム上でのリンク共有エコシステムの縮小が懸念されている。