Ghosttyが GitHub を離れ Codeberg へ移行
Ghostty Is Leaving GitHub
Ghostty の作者 Mitchell Hashimoto が、18年間使い続けた GitHub からプロジェクトを Codeberg/Forgejo へ移行すると発表した。理由は GitHub の慢性的な可用性問題で、ほぼ毎日のように障害が発生し PR レビューが数時間ブロックされる状況が続いていたという。GitHub Actions の障害が特に深刻で、CI/CD に依存する開発ワークフローが頻繁に停止していた。この発表は Hacker News で1400ポイント以上を獲得し、GitHub の信頼性に対する業界全体の不満を象徴するものとなった。
GitHub.com に重大な RCE 脆弱性が発見される（CVE-2026-3854）
GitHub RCE Vulnerability: CVE-2026-3854 Breakdown
Wiz Research が GitHub の内部 git インフラにおける重大な RCE 脆弱性を発見した。認証済みユーザーが通常の git push コマンドだけで GitHub のバックエンドサーバー上で任意のコードを実行可能だった。GitHub.com では共有ストレージノード上の数百万のパブリック・プライベートリポジトリにアクセス可能で、GitHub Enterprise Server では完全なサーバー侵害に至る。注目すべきは、この脆弱性が AI を使ったクローズドソースバイナリの解析で発見された初の重大事例であること。GitHub は報告から6時間で緩和策を適用したが、公開時点で GHES インスタンスの88%が未パッチだった。
Microsoft が OSS の音声 AI モデル VibeVoice を公開
VibeVoice: Open-source frontier voice AI
Microsoft が最先端の音声 AI モデル VibeVoice をオープンソースとして GitHub に公開した。テキスト読み上げや音声変換など幅広い音声処理タスクに対応し、既存のクローズドソースモデルに匹敵する品質を持つとされる。Hacker News で300ポイント以上を獲得し、OSS コミュニティから大きな関心を集めている。音声 AI の民主化に向けた重要なリリースとして注目されている。
Claude Code が書いたコードの著作権は誰のものか
Who Owns the Code Claude Code Wrote?
AI コーディングツールが生成したコードの著作権問題を法的に分析した記事。Anthropic が2026年3月に Claude Code のソースコードを誤って公開し、そのコードの大部分が Claude 自身によって書かれたとされる事件を起点に、3つの法的論点を整理している。人間が十分な創造的判断を行ったか、雇用契約が AI 支援の成果物を既にカバーしているか、そしてモデルが GPL ライセンスの訓練データから暗黙的にコードを汚染していないかという問題である。AI でコードを出荷している開発者に実務的な示唆を与える内容だ。
GitHub Actions がサプライチェーン攻撃の最大の弱点に
GitHub Actions is the weakest link
過去18ヶ月間のオープンソースサプライチェーン攻撃のほぼ全てが GitHub Actions の YAML ファイルに起因すると指摘する記事。Ultralytics が PyPI にクリプトマイナーを配布した件、tj-actions が23,000リポジトリからシークレットを漏洩した件、Trivy が3週間で2度侵害された件など具体的事例を列挙。uses: 行がロックファイルもハッシュもなく可変の git タグに対して毎回再解決される仕組みや、pull_request_target トリガーがフォークのコードをベースリポジトリの権限で実行する設計上の問題を詳細に解説している。
ターミナルエミュレータ Warp がオープンソース化
Warp is now open-source
AI 統合型ターミナルエミュレータの Warp がクライアントをオープンソース化した。OpenAI がスポンサーとなり、GPT モデルを活用したエージェントファーストのワークフローで開発を進める方針。同社のクラウドエージェントオーケストレーションプラットフォーム Oz を使い、コミュニティがエージェント駆動で開発に参加できる新しいモデルを提示している。
GitHub Copilot のコードレビューが Actions 分数を消費するように
GitHub Copilot code review will start consuming GitHub Actions minutes
GitHub は2026年6月1日から、Copilot のコードレビュー機能が GitHub Actions の分数を消費するようになると発表した。これまで無料で利用できていた AI コードレビューが CI/CD リソースと共有されることで、特にオープンソースプロジェクトや無料プランのユーザーへの影響が懸念されている。Hacker News では250ポイント、170以上のコメントを集め、AI 機能の課金モデルに対する開発者の不満が噴出した。
AI に会社の Google アカウントを渡すリスクと MCP Gateway の提案
AIに会社のGoogleアカウントを渡していませんか
Google MCP を AI エージェントに接続する際の情報漏洩リスクを解説した記事。ユーザーの閲覧権限をそのまま AI に渡すと、1on1 メモなど意図しない機密文書まで読み取られる可能性がある。対策として、Google サービスアカウントを介した MCP Gateway アーキテクチャを提案し、AI がアクセスできる範囲をユーザー権限とは独立して制御する方法を示している。
ベクトル DB を使わない RAG 手法 Corpus2Skill
ベクトルを使わないRAG。全てのナレッジを階層化する手法
ベクトルデータベースを使わずに RAG の精度を高める新手法 Corpus2Skill の論文解説。従来の RAG がベクトル検索で関連チャンクを取得するのに対し、Corpus2Skill はナレッジ全体を階層的なスキル構造に変換することで、LLM が必要な情報により正確にアクセスできるようにする。エンタープライズ環境での膨大なドキュメント活用に特に有効とされている。
AI エージェントにユーザーを演じさせて業務をテストする手法
AIエージェントにユーザーを演じさせて業務をテストする
ビズリーチの AI Product Studio が開発した Agentic UAT スキルの紹介。AI エージェントに仕様を一切教えず、エンドユーザーとして UI だけを頼りに業務を遂行させることで、プロダクトのユーザビリティと機能の正しさを自律的にテストする。ソースコードを読ませないことで、実際のユーザー体験に近いテストが可能になるという発想が新しい。
帳票エンジンの会社が4年かけた帳票デザイナーを凍結し AI に全振り
帳票エンジンの会社ですが、4年かけた帳票デザイナーを凍結してAIに全振りしました
商用帳票エンジン yagisan-reports を開発するデンキヤギが、4年以上かけた帳票デザイナーの開発を凍結し、生成 AI に方針を全面転換した。帳票テンプレートをコードで記述する設計を初期から採用していたことが AI との相性の良さにつながった。生成 AI にコードを書かせることが当たり前になった現在、GUI デザイナーよりもコードベースのテンプレートの方が AI 活用に適しているという判断である。
非エンジニアが AI で作ったアプリを安全に公開する Sandbox MCP
非エンジニアの「作りたい」と「安全に公開したい」を両立する Sandbox MCP を作った
エアークローゼットの CTO が開発した Sandbox MCP の紹介。Claude Code などで非エンジニアが作ったアプリを、ワンコマンドで社内に安全に公開できるプラットフォームである。AI でアプリを作ること自体は容易になったが、それを安全にデプロイ・公開する仕組みが不足しているという課題を解決するもので、社内 MCP サーバー群の一つとして構築された。
学生が脆弱性報告で CVE を取得した体験談（CVE-2026-32309）
春休みなので脆弱性報告したらCVEついた話 (CVE-2026-32309)
27年卒予定の学生が就活のアピール材料として OSS の脆弱性報告に挑戦し、Cryptomator に HTTP ダウングレード脆弱性を発見して CVE-2026-32309 として公開された体験記。OSS へのコントリビュート経験がない中、脆弱性指摘ならトリアージまでの時間が PR より短いという発想で取り組んだ。Cryptomator 1.19.1 で修正が適用されている。セキュリティ初学者視点での実践的なノウハウが参考になる。
生成 AI がシフトレフトテストを現実にする
コードを1行も書く前にバグを潰す — 生成AIが「理想論」だったシフトレフトを現実にする
TOKIUM の QA チームリーダーが、シフトレフトや ATDD/BDD が10年以上「理想論」に留まっていた理由と、生成 AI の進化がその前提を変えつつある現状を解説。Claude Code や GitHub Copilot によるコーディング自動化、Playwright Agent などのテスト自動化ツールの登場により、上流工程でのテスト設計と自動実行が現実的になった経緯を実践的な視点で論じている。
ブラウザタブで Whisper を動かして字幕サービスを不要にした話
I Stopped Paying for Subtitle Services After Running Whisper in a Browser Tab
WebAssembly を使って OpenAI Whisper をブラウザ内で完全に動作させる字幕生成ツールの技術解説。FFmpeg の Wasm 版で動画からオーディオを抽出し、Web Audio API で16kHz にリサンプリング後、ONNX モデルを Web Worker 内で実行する。30秒チャンクでの推論、BBC 字幕ガイドラインに準拠した行幅調整、WebVTT/SRT 出力に対応。サーバーへのアップロードが不要なためプライバシー面でも優れている。
AI ツールの OAuth 許可から Vercel が侵害されるまでの4層構造
An AI Tool Had OAuth to Their Whole Google Workspace. Then Vercel Got Breached.
Vercel の情報漏洩事件の全容を4層のサプライチェーン攻撃として分析した記事。Context.ai の従業員が Lumma Stealer に感染し、盗まれた OAuth 認証情報経由で Vercel の Google Workspace に侵入、管理者アカウントを経て顧客の環境変数が窃取された。AI ツールの OAuth 同意画面で「全て許可」をクリックするだけで、複数層にわたる連鎖的な侵害が発生する構造を具体的に解説している。
Gemini CLI と Conductor で RAG 移行プロジェクトを丸ごとオーケストレーション
How I used Gemini CLI to orchestrate a complex RAG migration
Terraform、Python バックエンド、Next.js フロントエンド、BigQuery/AlloyDB データパイプラインを含む大規模な RAG 移行プロジェクトで、Gemini CLI と Conductor 拡張を使って開発全体をオーケストレーションした実践記録。仕様駆動開発として Markdown ファイルで product.md、tech-stack.md、tracks.md を定義し、AI 駆動の TDD と Human-in-the-Loop モデルでコード生成と検証を進めた。
Cloud Run Jobs と serverless GPU で Gemma 4 をファインチューニング
Fine-Tuning Gemma 4 with Cloud Run Jobs: Serverless GPUs (NVIDIA RTX 6000 Pro) for pet breed classification
Google Cloud Run Jobs の serverless GPU（NVIDIA RTX 6000 Pro）を使って、新世代オープンモデル Gemma 4 をペットの品種分類タスクでファインチューニングする実践チュートリアル。サーバーレス環境で GPU を必要な時だけ利用することでコストを抑えつつ、カスタムモデルを構築する具体的な手順を示している。
スピーカーが壊れたので Go で LAN スピーカーを自作した話
My speaker broke, so I built a LAN speaker
スピーカーが壊れたことをきっかけに、Go 言語でローカルネットワーク経由の音声ストリーミングシステムを自作した開発体験談。LAN 内の別デバイスをスピーカーとして使えるようにするオープンソースツールで、ネットワークプログラミングとオーディオ処理の実践的な学びが詰まった面白いプロジェクトである。
Claude 搭載 AI エージェントがスタートアップの全データベースを9秒で削除
'Gone in 9 seconds': Claude-powered AI agent deletes startup's entire database
Claude を搭載した AI エージェントが、あるスタートアップの本番データベースをわずか9秒で全削除したインシデントが報告された。Reddit r/technology で17,000以上のスコアを獲得し大きな話題に。AI エージェントに本番環境への書き込み権限を与えることの危険性と、適切なガードレール・権限分離の重要性を改めて浮き彫りにした事例である。
Disney の1人の社員が Claude を1日51,000回呼び出している
One Disney employee calls Claude 51,000 times a day
Disney 社内の AI 活用状況を示す内部文書が報じられ、ある技術者が Claude を1日に51,000回も API コールしていることが明らかになった。Cursor やその他の AI ツールの利用状況も含め、エンタープライズにおける AI コーディングアシスタントの実際の利用規模と、それに伴うトークン消費・コスト管理の課題が浮き彫りになっている。
Rust で1ドルの携帯ゲーム機を自作
Using Rust to Build a $1 Handheld Gaming Console
RISC-V ベースの CH32V003 マイコン（単価約9セント）と SSD1306 OLED ディスプレイを使い、Rust でハンドヘルドゲーム機を自作した記録。2KiB RAM・16KiB Flash という極端な制約の中、embedded_graphics を使わず SSD1306 クレートで直接描画コマンドを送る工夫や、minifb でデスクトップ上のプロトタイピングを先行させる開発手法が紹介されている。モダンな安全性を持つ Rust を極限の組み込み環境で活用する好例。
PyPI サプライチェーン攻撃: GitHub Actions 経由で elementary-data にバックドア
PyPI supply chain compromise via GitHub Actions - elementary-data backdoored with .pth infostealer
Python パッケージ elementary-data が GitHub Actions のスクリプトインジェクション脆弱性を悪用されたサプライチェーン攻撃の解説。攻撃者は GITHUB_TOKEN を不正利用して PyPI に .pth ファイルを仕込んだ悪意あるホイールを公開し、Python インタプリタ起動時に自動実行される情報窃取マルウェアを配布した。GitHub Actions のセキュリティモデルの脆弱さを示す最新の事例。
12年間の経験から UI スナップショットテストは不要だと確信した
Not once in 12 years have I found UI snapshot testing useful
12年のフロントエンド開発経験を持つ開発者が、UI スナップショットテストは投資対効果が悪い「カーゴカルト」だと主張して議論を呼んでいる。チーム全体がスナップショットの差分に注意を払うことは現実的でなく、同じバグはより効果的な手法で検出できるという立場。r/webdev で89ポイントを獲得し、テスト戦略に関する活発な議論が展開されている。