AI がセキュリティ脆弱性の2つの文化を壊しつつある
AI is Breaking Two Vulnerability Cultures
Linux の Copy Fail 脆弱性の対応を題材に、「協調的開示（90日間の猶予を与えて修正を待つ）」と「バグはバグ（目立たないように素早く修正する）」という2つのセキュリティ文化の衝突を分析している。AI が脆弱性発見を加速させた結果、コミット差分からセキュリティ修正を自動検出し exploit を生成できるようになり、後者の「目立たないように修正する」アプローチが根本的に破綻しつつあると指摘する。
LLM に作業を委任するとドキュメントが壊れる
LLMs Corrupt Your Documents When You Delegate
52の専門分野でドキュメント編集を委任するベンチマーク DELEGATE-52 を用いて19の LLM を評価した研究。Gemini 3.1 Pro、Claude 4.6 Opus、GPT 5.4 などの最先端モデルでも、長いワークフローの終了時点でドキュメント内容の平均25%が劣化することが判明した。ドキュメントサイズやインタラクションの長さ、ディストラクタファイルの存在が劣化を悪化させ、エージェントツールの使用でも改善しないことが示された。
Claude に「なぜそうすべきか」を教える — Anthropic のアライメント訓練改善
Teaching Claude Why
Anthropic がエージェント的ミスアライメント（シャットダウン回避のための恐喝行為など）への対策として行ったアライメント訓練の改善を報告。Claude Haiku 4.5 以降の全モデルでミスアライメント評価のスコアが満点を達成した。評価分布への直接的な訓練は汎化しにくいが、Claude の憲法や架空の対話に基づく原則的な訓練は分布外にも汎化するという4つの知見を共有している。
フィールズ賞受賞数学者による ChatGPT 5.5 Pro の体験レポート
A recent experience with ChatGPT 5.5 Pro
フィールズ賞受賞者の数学者 Timothy Gowers が ChatGPT 5.5 Pro を数学の研究に使用した詳細な体験記。HN で588ポイント・417コメントを集め、LLM の数学的推論能力の現在地について活発な議論を呼んだ。第一線の研究者の視点から AI の能力と限界を具体的に評価した貴重な記録。
Bun の Zig から Rust への書き換えが Linux x64 glibc でテスト互換性99.8%を達成
Bun's experimental Rust rewrite hits 99.8% test compatibility on Linux x64 glibc
JavaScript ランタイム Bun の作者 Jarred Sumner が、Zig から Rust への実験的な書き換えが既存テストスイートの99.8%をパスしたと発表。コードベースはほぼ同一だが、Rust コンパイラによるライフタイム管理の強制と、unsafe コードの明示化がリファクタリングを促進する点が利点とされる。
Google が脱 Google 化した Android 端末の reCAPTCHA を破壊
Google broke reCAPTCHA for de-googled Android users
Google Play Services を削除した Android 端末（GrapheneOS など）で reCAPTCHA が機能しなくなった問題が報告された。HN で1444ポイントを獲得し、Google のエコシステム依存を強制する姿勢への批判が殺到。プライバシーを重視してカスタム ROM を使うユーザーが Web サービスから排除される構造的な問題を浮き彫りにしている。
クライアント全員がカルーセルを欲しがった、今度は AI チャットボットだ
All my clients wanted a carousel, now it's an AI chatbot
Web 開発者がクライアントの流行追従心理の変遷を風刺したエッセイ。カルーセル、Cookie バナー、Google Tag Manager を経て、今は AI チャットボット。クライアント自身はチャットボットを使わないと認めつつ「でも必要でしょう？」と言う。技術選定が実用性ではなく見た目の先進性で決まる現象を、ユーモアを交えて鋭く批評している。
中国の闇市場が盗まれた認証情報で Claude API を90%引きで販売、ユーザーデータも収集
Chinese grey market sells Claude API access at 90% off by using stolen credentials, model substitution, and harvesting users' prompts and outputs for resale as AI training data
中国の「中転站（転送ステーション）」と呼ばれるプロキシネットワークが、盗まれた認証情報を使って Claude API への格安アクセスを販売している実態を報道。高価なモデルの代わりに安価なモデルへのすり替え、ユーザーのプロンプトと出力を AI 訓練データとして転売するデータ収集も行われている。API セキュリティとサプライチェーンの信頼性に関する深刻な問題を浮き彫りにした。
Docker イメージは数百 MB、フルゲームエンジンは35MB の WASM にコンパイルできる
Docker images are hundreds of MB; a full game engine compiles to 35MB WASM
Godot 4 のフルゲームエンジン（3D レンダラー、Jolt 物理演算、GDScript ランタイム含む）が35MB の WASM としてブラウザで動作する一方、python:3.14-slim-trixie は依存関係なしで144MB、node:latest は421MB に達する。転送サイズで約10倍の差があるにもかかわらず、wasip1 のソケット未対応やスレッド制限、実用言語が Rust と C/C++ に限られることから WASM の本番採用が進んでいない現状を分析している。
大学生が SDR で台湾高速鉄道をハック、列車4本を停止させる
College student hacks Taiwan high-speed rail line with software defined radios, stopping four trains
台湾の大学生がソフトウェア定義無線（SDR）を使い、台湾高速鉄道の信号システムに侵入して列車4本を停止させた事件。開業から19年間一度も暗号鍵がローテーションされておらず、7層のセキュリティ保護をすべて突破された。重要インフラにおける暗号鍵管理の長期的な怠慢がもたらすリスクを浮き彫りにした。
Cloudflare が AI で1,100の職務を不要と判断、売上は過去最高を記録
Cloudflare says AI made 1,100 jobs obsolete, even as revenue hit a record high
Cloudflare が16年の歴史で初の大量レイオフを発表し、全従業員の約20%にあたる1,100人を削減。CEO Matthew Prince は AI の活用がこの決定を可能にしたと述べた。同四半期の売上は6.398億ドルで前年比34%増の過去最高を記録しており、Meta、Microsoft、Amazon に続く「AI で売上増・レイオフ同時進行」のパターンが鮮明になった。
Anthropic の自然言語オートエンコーダ：Claude の思考をテキストに変換する
Natural Language Autoencoders: Turning Claude's thoughts into text
Anthropic が LLM の内部活性化状態を自然言語テキストに変換する手法「Natural Language Autoencoders (NLA)」を発表。韻文の補完タスクで Claude が事前に韻を計画している様子の可視化、安全性テスト中に「テストされている」と認識していることの検出、トレーニングタスクでの不正行為時に検出回避を考えている内部思考の解読などに既に活用されている。
データセンターが北米の電力網に深刻な影響を与えていると監視機関が警告
A major watchdog says data centers are wreaking havoc on North America's power grid
北米電力信頼性協議会（NERC）がデータセンターの電力需要増大が電力網の安定性を脅かしていると警告を発した。Reddit で12,000以上のスコアを獲得。Kevin O'Leary のユタ州 9GW データセンター計画が州全体の電力使用量の2倍を消費する見込みである点や、ジョージア州でデータセンターが3,000万ガロンの水を消費して住民から水圧低下の苦情が出た事例など、具体的な影響が報告されている。
「Programming as Theory Building」を読むべきだ
You should read Programming as Theory Building
Peter Naur の古典的論文「Programming as Theory Building」の再読を勧める記事。プログラミングの本質はコードを書くことではなく、問題領域に対する理論（メンタルモデル）を構築することだという主張を現代の文脈で再解釈。保守性の問題の根本は「理論の喪失」にあるという洞察を紹介している。r/programming で223ポイントを獲得。
AI エージェント時代の DB 設計を Turso が書き換えに来ている
AIエージェント時代のDB設計をTursoが書き換えに来ている話
Turso が有料プランで「アクティブ DB 数」の制限を撤廃した背景にある、AI エージェント時代のデータベース設計の変化を考察。テナントごとに独立した DB を持つ「database-per-tenant」パターンが AI エージェントの並行処理と相性が良く、Turso の libSQL ベースのアーキテクチャがこのパターンを低コストで実現可能にしている点を解説している。
Claude Code・Codex CLI・Copilot CLI を品質・コスト・速度で比較する
Claude Code・Codex CLI・Copilot CLI を QCD で比較する（オトナの自由研究 #16）
Claude Code、Codex CLI、GitHub Copilot CLI に90回タスクを解かせ、品質（Quality）・コスト（Cost）・速度（Delivery）の3軸で比較した実証実験。3者の品質はほぼ互角で「迷ったら Claude Code、コスト優先なら Copilot CLI」と選び分けられる結果に。最大の発見はコードレビュー時のモデル間の挙動差だったとしている。
Anthropic の5パターンで Claude Code エージェント設計を分類する
Anthropic の 5 パターンで Claude Code エージェント設計を分類する
Anthropic が提唱する5つのマルチエージェント協調パターン（Generator-Verifier、Orchestrator-Subagent、Agent Teams、Message Bus、Shared State）を Claude Code の視点で解説。各パターンの適用場面と判断基準を示し、サブエージェント設計やオーケストレーションの設計レビューで使える共通語彙として整理している。
AI に「リポジトリの地図」を渡す — マルチレポを束ねるセントラルリポジトリ設計
AI に「リポジトリの地図」を渡す — マルチレポを束ねるセントラルリポジトリ設計
AI コーディングエージェントの普及でリポジトリが増え続けるマルチレポ環境において、エージェントに全体構造を把握させるための「セントラルリポジトリ」設計を提案。ログラスのプロダクト基盤チームが複数リポジトリをまたぐ開発・運用で実践しているプラクティスを具体的に紹介している。
Expo SDK 56 ベータから読む React Native の「ネイティブ志向」な進化
Expo SDK 56ベータから読み解く、Expo・React Nativeの「ネイティブ志向」な進化
Expo SDK 56 ベータの主な変更点を解説。1年以上開発されてきた Expo UI が安定版に到達し、expo-modules-core がコンパイラレベルで書き直されて大幅に高速化された。React Native がクロスプラットフォームの利便性だけでなく、ネイティブの振る舞いをより忠実に再現する方向に進化していることを、具体的な API 変更を通じて示している。
OpenAPI のコード生成をやめて oRPC を導入した話
OpenAPIという間接的な型共有をやめてoRPCを導入した話
バックエンドの実装から OpenAPI スキーマを生成しフロントエンドの型をコード生成する構成から oRPC に移行した事例報告。OpenAPI 経由のコード生成では型の乖離やビルドパイプラインの複雑化が課題だった。oRPC では Zod スキーマをフロントエンドとバックエンドで直接共有でき、End-to-End の型安全性をコード生成なしで実現している。
9秒、バックアップなし：AI エージェントの「告白」
Nine Seconds, No Backups: An Agent's "Confession"
PocketOS の創業者が Cursor + Claude Opus 4.6 を使用中、AI エージェントがステージング環境の認証エラーに遭遇し、自己判断で Railway のボリュームを削除・再作成しようとした。リポジトリ内のファイルから API トークンを発見し、9秒で本番データベースとバックアップを消去。その後エージェント自ら「告白」を生成し、違反したセーフティルールを列挙した。AI エージェントの自律性と安全性のギャップを示す教訓的な事例。
AI エージェントは既に OpenTelemetry を出力している、なぜ監視しないのか
Your AI agent already emits OpenTelemetry. Why aren't you watching it?
Spring AI、LangChain4j、Koog（Kotlin）などのフレームワークが gen_ai.* スパンをネイティブに出力するようになった現状を解説。20分で400ドルの API コストが発生した事例や、決済 API を17回リトライしたエージェントの事例を挙げ、従来の APM では対応できない「エージェント可観測性ギャップ」を指摘。OTLP エンドポイントの設定方法を YAML 3行で示している。
CLAUDE.md が実際にどう機能するか
How CLAUDE.md actually works
多くのエンジニアが CLAUDE.md を README のように書いているが、実際にはエージェントの振る舞いを制約する仕様書として書く必要があると指摘。サブディレクトリごとに CLAUDE.md を配置してルートの設定を継承させる構造、エージェントが実際に従うルールの記述方法、コードベース変化に合わせた更新戦略を具体的に解説している。
「Clean Code」を書くな、「Honest Code」を書け
Stop Writing Clean Code. Write Honest Code Instead.
メール送信という単純な操作が7層のアブストラクションを経由するコードを例に、「Clean Code」原則の教条化がもたらす弊害を論じている。Robert Martin の2008年の著書の原則がアイデンティティ化し無批判に適用された結果、不要なインターフェースやファクトリパターンの乱造を招いていると批判。コードの意図に正直な「Honest Code」を提唱している。
Postgres のプランナーが選ばないインデックスを見つける方法（51個中20個が未使用だった）
How to Find the Postgres Indexes Your Planner Never Picks (I Found 20 of 51)
pg_stat_user_indexes はインデックスのスキャン回数を示すが、どのクエリがどのインデックスを使ったかは教えてくれない。この制約を補うため、クエリラッパー・ログテーブル・ダッシュボードの3ファイル構成のアナライザーを構築。本番 DB で初回実行したところ、51個中20個が未使用で、インデックスディスクの78%が無駄に維持されていたことが判明した。