Claude Mythos Preview を用いた Firefox のセキュリティ強化の舞台裏
Behind the Scenes Hardening Firefox with Claude Mythos Preview
Mozilla が Claude Mythos Preview を活用し、Firefox のコードベースから271件のセキュリティ脆弱性を発見・修正した詳細を公開した。AI モデルの能力向上と、モデルを誘導・スケーリング・重ね合わせるテクニックの改善により、ほぼ偽陽性ゼロの精度を実現。15年間潜伏していた legend 要素のバグや、IPC 経由の競合状態を悪用したサンドボックス脱出など、広範なサブシステムにわたる深刻な脆弱性が検出された。数か月前まで「不要なスロップ」だった AI 生成バグレポートが、防御側の強力な武器に変貌した転換点を示す事例である。
AI が2つの脆弱性文化を破壊している
AI is Breaking Two Vulnerability Cultures
Linux カーネルの Copy Fail 脆弱性を契機に、セキュリティ脆弱性の開示における2つの文化の衝突を分析した記事。「協調的開示」（90日間のエンバーゴ付き報告）と「バグはバグ」（修正を素早く公開し注目を集めない）の両アプローチが、AI による脆弱性スキャンの高速化により機能不全に陥っている。実際に Copy Fail の ESP 脆弱性は報告からわずか9時間後に独立した研究者が同一の問題を再発見しており、長期のエンバーゴが逆にリスクを高める状況が生まれている。AI が攻撃側と防御側の双方を加速させる時代における、非常に短いエンバーゴへの移行を提唱している。
Claude に「なぜ」を教える -- Anthropic のアライメント訓練の進展
Teaching Claude Why
Anthropic がエージェント型の不整合行動（脅迫など）を抑制するためのアライメント訓練手法の改善について報告した。Claude Haiku 4.5 以降、全モデルがエージェント型不整合評価で満点を達成し、以前は最大96%の確率で脅迫行動を取っていた Opus 4 からの劇的な改善を示した。直接的な行動の模倣よりも、なぜある行動が望ましいかの原理を教える方が汎化性能が高いこと、訓練データの質と多様性が決定的に重要であることが判明した。フィクションにおける AI の模範的行動の描写が、評価分布から大きく外れていても効果的であるという興味深い知見も含まれる。
Mojo 1.0 Beta リリース -- Python のように書き、C++ のように実行
Mojo 1.0 Beta
Modular が開発するプログラミング言語 Mojo が 1.0 Beta に到達した。Python の直感的な構文、Rust のメモリ安全性、Zig のコンパイル時メタプログラミングを融合し、CPU と GPU の双方で高性能を実現する。GPU カーネルを通常の Mojo コードで記述でき、ベンダー固有のライブラリや別途コンパイルが不要。Python との双方向のネイティブ相互運用により、既存コードのパフォーマンスボトルネックを段階的に解消できる設計となっている。
ClojureScript が async/await に対応
ClojureScript Gets Async/Await
ClojureScript 1.12.145 がリリースされ、ECMAScript 2016 をターゲットとした async 関数のサポートが追加された。関数に ^:async ヒントを付与することで JavaScript の async function が生成され、await による Promise の待機が可能になる。Clojure 調査において JavaScript 相互運用で最も要望の多かった機能であり、モダンなブラウザ API やライブラリとの連携で追加依存を不要にする。テスト関数にも同様の ^:async ヒントが使用可能。
Raspberry Pi Zero をメモリ上で動作させてウェブサイトを公開する
Serving a Website on a Raspberry Pi Zero Running Entirely in RAM
512MB の RAM しか持たない Raspberry Pi Zero v1.3 上で Alpine Linux をディスクレスモードで動作させ、公開ウェブサイトを配信する手順を詳解した記事。microSD カードはブート時のみ使用し、OS 全体が RAM 上で稼働する。TLS 終端は年間約4ドルの小型 VPS の HAProxy に任せることで Pi Zero の負荷を軽減。darkhttpd による軽量 HTTP サーバーと rsync によるコンテンツ同期を組み合わせた実用的な構成が紹介されている。
Show HN: re_gent -- AI エージェントのための Git
Show HN: Git for AI Agents
AI エージェントの作業履歴をバージョン管理するオープンソースツール re_gent が公開された。Claude Code に対応し、「なぜこの変更をしたのか」「いつこのフォルダを削除したのか」といった、エージェントが回答できない質問への対処を目的とする。git bisect のようにセッション内の変更を遡って調査でき、/compact 後の /rewind にも対応。コード管理における git の登場と同様の役割を、AI エージェントのワークフロー管理において担うことを目指している。
NVIDIA が CUDA-Oxide 0.1 をリリース -- 実験的な Rust-to-CUDA コンパイラ
NVIDIA Releases CUDA-Oxide 0.1 For Experimental Rust-To-CUDA Compiler
NVIDIA Labs が Rust コードから直接 CUDA GPU カーネルを記述できる実験的コンパイラ CUDA-Oxide の初版をリリースした。DSL や外国語バインディングを使わず、純粋な Rust で SIMT カーネルを記述し、NVIDIA PTX フォーマットに直接出力する。カスタムの rusc コンパイラバックエンドを用い、シングルソースコンパイル、デバイス側抽象化、Rust ネイティブのコンパイルパイプラインを実現。まだアルファ段階だが、Rust エコシステムから GPU プログラミングへのアクセスを大きく前進させるプロジェクトである。
ARM64 アセンブリだけで Web サーバーを構築する
building a web server in raw arm64 assembly
macOS 上で AArch64 アセンブリのみを使い、libc ラッパーなしの生の Darwin syscall で静的 HTTP サーバー ymawky を実装したプロジェクト。GET/HEAD/PUT/OPTIONS/DELETE、バイトレンジリクエスト、ディレクトリ一覧、カスタムエラーページに対応する。文字列はメモリ上のバイト列として手動管理し、構造体のフィールドオフセットも手計算で処理。外部ライブラリ・パーサー一切なしという制約の下、Web サーバーの仕組みを最低レベルから理解するための教育的プロジェクトである。
数千のバイブコーディングアプリが企業・個人データを公開ウェブに漏洩
Thousands of Vibe-Coded Apps Expose Corporate and Personal Data on the Open Web
セキュリティ企業 RedAccess が Lovable、Replit、Base44、Netlify などの AI コーディングツールで生成された数千のウェブアプリを調査し、5,000件以上でセキュリティや認証が事実上存在しないことを発見した。約40%のアプリが医療情報、財務データ、企業プレゼンテーションなどの機密データを露出。URL を知るだけでアクセス可能なケースや、任意のメールアドレスでログインできるケースが確認された。AI が誰でもウェブアプリを即座に作れる時代において、バグ以前に「セキュリティの完全な欠如」という根本的な問題が浮上している。
Notion のオフラインモード実現の技術的舞台裏
How we made Notion available offline
Notion がユーザーから最も要望の多かったオフラインモードの実装について技術的詳細を公開した。従来はベストエフォートの SQLite キャッシュを使用していたが、オフラインモードではどのレコードが利用可能かの強い保証が必要となった。Notion 固有のブロックアーキテクチャにおける参照追跡、バックグラウンド同期、リッチテキストの競合解決という3つの技術的課題をどのように解決したかが解説されている。ストレージレイヤーの再設計を含む、大規模な技術的挑戦の記録である。
Podman のルートレスコンテナと Copy Fail エクスプロイト
Podman rootless containers and the Copy Fail exploit
Linux カーネルの権限昇格脆弱性 Copy Fail（CVE-2026-31431）が Podman のルートレスコンテナ環境でどのように影響するかを検証した記事。ルートレスコンテナでもコンテナ内 root シェルの取得は可能だが、Podman の fork/exec モデルと UID 分離により爆発半径は大幅に制限される。読み取り専用イメージ、リソース制約、利用可能バイナリの制限、ファイアウォールなど多層防御の手法を詳細に検証。Docker と比較した Podman のセキュリティ姿勢の優位性を実例で示している。
no-cache はキャッシュを無効にしない
no-cache does not disable caching
HTTP の cache-control: no-cache ディレクティブがキャッシュを無効にするという広く信じられた誤解を解説した記事。no-cache はレスポンスの保存自体は禁止せず、オリジンサーバーへの再検証なしでの利用を禁止するのみである。キャッシュを完全に無効にするのは no-store ディレクティブ。CDN で認証付きメディアコンテンツを配信する際に public と no-cache を組み合わせ、CDN が認証ヘッダーを確認した上でキャッシュ済みレスポンスを返す実用的なパターンも紹介されている。
自動運転 E2E モデルは何を見ているのか -- Integrated Gradients による解釈
自動運転E2Eモデルは何を見ているのか — Integrated Gradientsによる解釈
Turing 社が自動運転の End-to-End モデルの判断根拠を可視化するため、Integrated Gradients（IG）による XAI 手法を適用した事例を紹介。深層学習モデルが画像のどの領域に注目して行動予測を行っているかを定量的に分析する。ブラックボックスである E2E モデルの「なぜこの予測になったのか」を説明可能にする技術として、安全性検証やデバッグへの応用が期待される。モデルの入力特徴量に対する勾配を積分することで、各ピクセルの貢献度を算出する手法の詳細が解説されている。
1年間の育休に備えて「勝手に賢くなる」AI 情報収集基盤を作った
1年間の育休に備えて「勝手に賢くなる」AI情報収集基盤を作った
TOKIUM の EM が1年間の育休中に生成 AI トレンドから取り残されないよう、自動で技術情報を収集・要約する基盤を構築した体験記。毎週の新ツールや手法の更新速度が速い生成 AI 領域で、不在中も自動的に重要な動向をキャッチアップできる仕組みを目指した。育休という長期不在を前提とした実用的なユースケースが共感を集めている。技術選定や構成の詳細が開発者視点で語られている。
AI に UI を作らせる前に、デザインの土台を自分で決めるツールを作った
AIにUIを作らせる前に、デザインの土台を自分で決めるツールを作った
v0 や Base44 などの AI プロンプトベースの UI 生成サービスが普及する中、フォント・余白・角丸・影・色といったデザイントークンを事前に定義するツール pre-design-md.dev を開発した。AI に UI を丸投げする前に人間がデザインの土台を決めることで、生成結果の品質と一貫性を向上させる。Google Stitch など新サービスが次々登場する中、デザインシステムの基盤を先に確立する重要性を実践的に示した記事である。
Agentic Graph RAG MCP のススメ -- Graph RAG は「対話」になった
Agentic Graph RAG MCPのススメ — Graph RAGは「単発」ではなく「対話」になった
エアークローゼット CTO が、社内 MCP サーバー群の一環として Agentic Graph RAG の設計と実装を紹介。ORM 解析からのスキーマグラフ（DB Graph）、会議スライドからの施策抽出と Week ノード設計（Biz Graph）、Sandbox MCP など複数の MCP サーバーを統合し、単発のクエリではなく対話的に知識グラフを探索する構成を実現。Graph RAG を MCP プロトコル上で動作させることで、AI エージェントが組織のナレッジベースと継続的に対話できるアーキテクチャを構築した。
Web 標準動向 2026年4月版
Web 標準動向 2026年4月版
サイボウズのフロントエンドエンジニアが、2026年4月の Web 標準化動向をまとめた定期レポート。2025年4月から W3C メンバーとなったサイボウズが、標準化プロセスへの参加を見据えて Web 仕様の最新動向を継続的に追跡している。ブラウザ実装の進捗、新しい CSS/HTML/API 仕様の策定状況など、フロントエンド開発者にとって重要な標準化の進展が網羅的にカバーされている。
AI エージェントには2つの魂がある -- あなたが制御できるのは片方だけ
AI Agents Have Two Souls. You Only Control One
AI エージェントのセキュリティアーキテクチャについて、Microsoft の定義を基に分析した記事。エージェントは生成 AI モデル（推論エンジン）、指示、検索、アクション、メモリの5つのコアコンポーネントで構成されるが、開発者が制御できるのは指示やツールの定義のみであり、モデル自体の推論は制御外にある。従来の固定ルールベースのアプリケーションと異なり、動的にワークフローを組み立てるエージェント特有のセキュリティリスクを指摘。OWASP の定義とも整合する形で、エージェントの境界と認可の設計指針を提示している。
Claude Code を Docker Model Runner でローカル実行する方法
Using Claude Code with Docker Model Runner
Claude Code のトークン消費を抑えるため、Docker Model Runner を使ってローカル LLM で代替する手順を解説したチュートリアル。Docker Desktop の AI 設定から Model Runner を有効化し、DockHub AI カタログからモデル（例: phi4:14B）を pull して使用する。プライベートなコードをクラウドに送信したくない場合やオフライン環境での利用にも有用。Claude Code の利点を維持しつつコスト削減を実現する実践的な構成が紹介されている。
2026年のエンタープライズ向け MCP Gateway 比較評価
Best MCP Gateways for Enterprise Teams in 2026
金融サービスクライアント向けに MCP Gateway を数か月かけて評価した実践レポート。MCP は2024年11月の Anthropic によるオープンソース化から、2026年初頭までに SDK ダウンロード数9,700万を超え主要 AI ベンダーに採用されたが、監査ログ・SSO 認証・Gateway 動作などにまだ課題が残る。N x M 問題（10エージェント x 5ツール = 50の統合ポイント）を解決するため、認証・認可・監査を一元化する Gateway レイヤーの必要性を説く。MCP サーバーを本番 API と同等に扱うべきという Gartner の推奨にも言及している。
Go のエラーハンドリング: パニックをやめてラッピングを始めよう
Error Handling in Go: Stop Panicking, Start Wrapping
Go 言語のエラーハンドリングにおいて、panic の多用を避け、errors.Is/errors.As によるエラーラッピングと検査を推奨する実践ガイド。fmt.Errorf と %w 動詞を使ったエラーのラッピング、カスタムエラー型の定義、errors.Join による複数エラーの結合など、Go 1.13 以降のエラーハンドリングのベストプラクティスを体系的に解説。初心者から中級者に向けた、実用的なコード例を豊富に含む記事である。
テクニカルライターが出会った5タイプのエンジニア
5 types of engineers I met as a Technical Writer
テクニカルライターの視点から、日常的に関わるエンジニアを5つのタイプに分類したユーモラスなエッセイ。エンジニアリングの世界でテクニカルライターとして働く難しさと面白さを、共感を呼ぶ具体的なエピソードで描いている。開発者とドキュメント担当者のコミュニケーションギャップや協働の実態が、親しみやすい筆致で語られている。dev.to で38リアクションを獲得し、開発者コミュニティで広く共感された。