Grok 4.3 リリース -- xAI が最新モデルを公開
Grok 4.3
xAI が Grok 4.3 モデルを公開した。Hacker News で 372 ポイントを獲得し大きな注目を集めている。REST API および gRPC 経由で利用可能で、テキスト・画像・動画・音声の各モダリティに対応する。Batch API、Prompt Caching、Provisioned Throughput などのエンタープライズ機能も備え、既存の OpenAI 互換コードからの移行パスも提供されている。
LLM の安全機構を逆手に取る「Gay Jailbreak」手法が公開
The gay jailbreak technique
LLM のアライメント機構を悪用する新しい jailbreak 手法が GitHub で公開された。LGBT に関する要求に対してモデルが拒否しにくい傾向を利用し、有害コンテンツの生成を引き出す。GPT-4o、o3、Claude 4 Sonnet/Opus、Gemini 2.5 Pro で動作が確認されている。安全機構を強化するほど攻撃が成功しやすくなるという逆説的な特性があり、AI 安全性研究に重要な示唆を与えている。
cPanel/WHM 全バージョンに認証バイパスの脆弱性 -- ゼロデイとして悪用済み
CPanel and WHM Authentication Bypass – CVE-2026-41940
7,000 万以上のドメインを管理する cPanel/WHM の全サポートバージョンに認証バイパス脆弱性 CVE-2026-41940 が発見された。セッションの読み込み・保存処理に問題があり、管理者権限での不正アクセスが可能となる。KnownHost がゼロデイとしての実際の悪用を確認しており、cPanel 側は v110〜v134 の各パッチバージョンへの即時アップデートを推奨している。
クレジットカード番号は総当たり的に復元可能 -- PCI DSS の盲点
Credit cards are vulnerable to brute force kind attacks
PCI DSS 準拠のマスキング仕様では BIN（先頭6桁）と末尾4桁の表示が許可されているが、残る中間6桁は約100万通りしかなく、有効期限やサービスコードも表示可能なため、事実上の総当たり攻撃で完全なカード番号を復元できる。著者は自身のカード情報がこの手法で漏洩した実体験を報告しており、PCI DSS が最低基準に留まることの限界を指摘している。
Adobe の 1991 年製 PostScript インタプリタをブラウザで動かす
Running Adobe's 1991 PostScript Interpreter in the Browser
HP LaserJet III 用の PostScript カートリッジ（1991年、Adobe 純正リファレンス実装）の 2MB ROM を M68K エミュレータで動作させ、ブラウザ上で .ps ファイルをレンダリングするプロジェクト retro-ps が公開された。Ghostscript ではなく Adobe 自身のリファレンス実装が 35 年経った今もそのまま動作する点が興味深い。任意の DPI・用紙サイズに対応し、サーバー不要で完全にクライアントサイドで実行される。
Intel が LLM 量子化ツール auto-round を公開 -- 高精度な低ビット量子化を実現
Advanced Quantization Algorithm for LLMs
Intel が LLM 向けの高度な量子化アルゴリズム auto-round を OSS として公開した。SignRound 手法により、従来の GPTQ や AWQ と比較してより高精度な重み量子化を実現する。INT4/INT2 への量子化をサポートし、Transformers、vLLM、llama.cpp などの推論フレームワークと統合可能。モデルサイズ削減と推論高速化を両立させる実用的なツールとして、HN で 115 ポイントを獲得している。
Microsoft が安全な C プログラミング向けライブラリ lib0xc を公開
Lib0xc: A set of C standard library-adjacent APIs for safer systems programming
Microsoft が C 言語のシステムプログラミングをより安全にするためのライブラリ lib0xc を GitHub で公開した。C 標準ライブラリの隣接 API として設計されており、バッファオーバーフローや型安全性の問題を軽減する関数群を提供する。メモリ安全性が業界全体の課題となる中、既存の C コードベースを Rust に書き換えることなくセキュリティを向上させるアプローチとして注目されている。
Meta が Ray-Ban スマートグラスの非公開映像をセールスデモに使用していた AI トレーナー 1,100 人を解雇
Meta contractor fires 1,100 AI trainers after they revealed Ray-Ban glasses recorded private and intimate footage
Meta の委託先が AI トレーナー 1,100 人を解雇した。Ray-Ban Meta スマートグラスがプライベートな映像や親密な場面を記録し、それがセールスデモに使用されていたことを内部告発したことが原因とされる。Reddit r/technology で 17,000 以上の upvote を集め、AI デバイスのプライバシー問題と内部告発者保護に関する議論が活発化している。
OpenAI Codex の内部指示に「ゴブリンについて絶対に話すな」という謎のルール
'Never Talk About Goblins': OpenAI's Instructions to Codex Have a Weirdly Emphatic No-Creatures Policy
OpenAI の Codex に渡されるシステムプロンプトに、ゴブリン・グレムリン・アライグマ・トロール・オーガ・ハトなどの架空および実在の生物について言及することを明確に禁止するルールが含まれていることが判明した。この奇妙なポリシーの技術的な背景は不明だが、LLM のシステムプロンプト設計における意図せぬユーモラスな側面として Reddit で 584 upvote を集めている。
元 Meta マネージャー: AI を本当に効果的に使えるエンジニアはわずか2%
Ex-Meta manager says just 2% of engineers know how to use AI 'very effectively'
元 Meta マネージャーが、AI ツールを「非常に効果的に」使えるエンジニアは全体のわずか 2% にすぎないと発言した。AI コーディングツールの普及が進む一方、実際にプロダクティビティを大幅に向上させられる開発者は少数派であるという現実を指摘している。Reddit r/technology で 770 upvote を獲得し、AI 時代のエンジニアリングスキル格差について活発な議論を呼んでいる。
コンテナの仕組みをゼロから理解する -- Docker ライクなコンテナを自作するチュートリアル
How Containers Work: Building a Docker-like Container From Scratch
コンテナのファイルシステムをゼロから構築することで、Docker の内部動作を理解するハンズオンチュートリアルが公開された。Linux の namespace、cgroup、overlay filesystem などのカーネル機能を直接操作しながら、コンテナランタイムの基盤技術を学べる。r/programming で 125 upvote を獲得しており、コンテナ技術の本質を理解したい開発者に好評を得ている。
AI コーディングツールがスキルを退化させる問題 -- 航空業界は30年前に気づいていた
AI coding tools are quietly atrophying our skills, and aviation figured this out 30 years ago
航空業界ではオートパイロットの普及によりパイロットの手動操縦スキルが退化する問題が 30 年前から認識されており、定期的な手動操縦訓練が義務化されている。この記事はソフトウェア開発における AI エージェントツールの利用にも同様のスキル退化リスクがあると警告し、開発者が基礎スキルを維持するための実践的なアプローチを提案している。
南アフリカ政府が AI 政策文書を撤回 -- AI が執筆したものと判明
South Africa withdraws AI policy after it was found written by AI
南アフリカ政府が公表した AI 政策文書が、実は AI によって執筆されたものであることが発覚し、文書が撤回される事態となった。政策文書の品質や正確性に疑問が呈されたほか、AI に関する規制を AI 自身が書くという皮肉な状況が国際的な注目を集めている。Reddit r/technology で 293 upvote を獲得した。
自作 MCP サーバーのトークン消費を9割削減する「退避パターン」
自作MCPサーバーのトークン消費を9割削減するTips ── MCPの退避パターン
エアークローゼットの CTO が、MCP サーバー運用で判明したトークン消費の課題と対策を解説。MCP のツール呼び出しは JSON-RPC over HTTP であり、AI が送る引数とツールの戻り値が全てトークンとして消費される。ツール結果を一時的に退避させ、必要な部分だけを参照するパターンにより、トークン消費量を約90%削減した実践的な知見を共有している。
TypeScript ワークフローの正しさを Lean とランダムテストで検証する
TypeScript で実装したワークフローの「正しさ」を Lean とランダムテストで検証する
AI Shift が、TypeScript で実装したワークフローエンジンの正しさを定理証明支援系 Lean で検証するアプローチを紹介。Lean で基準となる仕様モデルを定義し、TypeScript 実装がそのモデルと一致するかをランダムテストと組み合わせて検査する。ワークフローの状態遷移やノード間の意味のずれを形式的に検出でき、実装変更時の回帰バグ防止に有効である。
terraform apply を GitHub Actions で実行してはいけない理由
terraform applyをGHAで実行してはいけない理由
2026年3月以降、GitHub Actions を攻撃の入口として悪用する事例が急増している背景を踏まえ、GHA 上で terraform apply を実行するリスクを体系的に解説。PR タイトルやブランチ名など外部から与えられる値を run ステップで不適切に展開することによるコマンドインジェクション、サプライチェーン攻撃、シークレットの漏洩リスクを具体例と共に説明し、安全な代替アーキテクチャを提案している。
セキュリティ診断を AI に任せて月額 $0.5 で運用する方法
セキュリティ診断、AIに全部やらせたら月$0.5で回せるようになった話
Claude Code 用のセキュリティ診断スキル claude-security-scan が OSS として公開された。3スキル体制への分割とテストハーネスの導入により検出率 100% を達成し、月額コストは $1 未満に抑えられている。従来の商用セキュリティスキャナーと比較して大幅なコスト削減を実現しつつ、実用的な脆弱性検出能力を備えている。
1m 精度の標高データと YOLO で日本全国の前方後円墳を機械学習で探索
1m精度の標高データを使って、全国の前方後円墳を探してみた
国土地理院の 1m 精度標高データ DEM1A から約 146 万枚の WebP 標高タイルを生成し、YOLO11n で前方後円墳の地形パターンを全国スキャンするプロジェクト。DEM から multi-hillshade、slope、curvature の3チャンネル画像を生成して物体検出モデルに入力する。古墳の公開データベースとの照合も実施しており、考古学と機械学習の異色のクロスオーバーとして注目を集めている。
走行データの全てを可視化するビューアの実装スタック -- Turing の自動運転開発
全てを可視化する「全部入り走行データビューア」を実現するデータパイプラインとフロントエンド実装スタック
自動運転スタートアップ Turing が、走行動画と各種メトリクスを同期再生する走行データビューアの実装を公開。Next.js をフロントエンドに採用し、MPEG-DASH によるストリーミング再生、Databricks Lakeflow SDP（旧 Delta Live Tables）によるデータパイプライン構築を組み合わせている。AI モデル開発者とドライバーの双方にデータの洞察を提供する可視化基盤の技術的な詳細が解説されている。
Claude Code の CLAUDE.md・skills・agents を整備して開発体験を改善する
【Claude Code】CLAUDE.md・skills・agents を整備して開発体験が劇的に変わった話
Claude Code を VS Code 拡張で使い始めたが、的外れな動作や処理時間の長さに課題を感じていた著者が、CLAUDE.md によるプロジェクト固有の指示設定、skills によるタスクの定型化、agents による複雑な処理の委譲を体系的に整備した事例を紹介。これらの設定ファイルを適切に構成することで、AI コーディングアシスタントの精度と効率が大幅に向上した具体的な改善プロセスを共有している。
@ttsc/lint -- typescript-go に Lint を統合して 20 倍高速化
@ttsc/lint - I made 20x faster TS Lint by building it into typescript-go — one compile catches both
従来の TypeScript プロジェクトでは tsc と eslint が同じソースを二重にパースしていた問題を解決するツール。Go で書き直された次世代 TypeScript コンパイラ typescript-go の AST を再利用し、型チェックと Lint を単一のコンパイルパスで実行する。JavaScript から Go への移行による約 10 倍の高速化と、二重パース解消の効果を合わせ、理論上約 20 倍の高速化を実現する。TypeScript v6 との互換性を維持している。
MCP エコシステムの5つの未解決問題
Five Hard Problems in the MCP Ecosystem
10,000 以上の MCP サーバーのインフラを運用する CuratedMCP からのフィールドレポート。ディスカバリ層の破綻（7種類の Postgres サーバーから選択する問題）、セキュリティ監査の欠如、バージョニングの不在、エンタープライズガバナンスの困難、そしてプロトコル自体の制限という5つの課題を、90日間の運用経験に基づいて具体的に分析している。
EKS 上で vLLM を使った LLM サービングを構築する
LLM on EKS: Serving with vLLM
Amazon EKS 上に vLLM をデプロイし、Streamlit でチャットボット UI を構築するハンズオンガイド。AWS CDK で GPU ノード（g4dn.xlarge）を含む EKS クラスタをプロビジョニングし、vLLM の推論エンジンを Kubernetes Pod として実行する。Service Quotas の GPU vCPU 制限への対処法や、IAM と kubectl の権限マッピングなど、本番環境でのLLM サービング構築に必要な実務的知識がまとめられている。
PyTorch Lightning のサプライチェーン攻撃ベクターを本番環境で再現検証
Malware in PyTorch Lightning: I Simulated the Same Supply Chain Attack Vector on My ML Dependencies in Production
GitHub 上のアクティブな Python ML プロジェクトの 94% が、requirements.txt に検証済みハッシュのない推移的依存関係を少なくとも1つ含んでいるという調査結果を起点に、PyTorch Lightning のサプライチェーン攻撃ベクターを自身の本番環境で再現検証した記事。pip install lightning で 47 のパッケージが SHA 検証なしでインストールされる一方、npm では全パッケージに SHA-512 整合性チェックが付与されている現状を比較し、Python ML エコシステムの構造的なセキュリティ課題を指摘している。
CLI vs MCP -- AI エージェント時代のツール連携インターフェースの選択
Why CLI over MCP?
AI エージェントとの連携において、MCP サーバーを構築する代わりに既存の CLI ツールをそのまま活用するアプローチを提案する記事。Claude Code などのエージェントは元々シェルコマンドを実行できるため、既存の CLI を MCP でラップする追加の複雑さが本当に必要か疑問を呈している。ツールの保守性、デバッグのしやすさ、エコシステムの成熟度の観点から、CLI ファーストのアプローチが多くのケースで合理的であると論じている。