Bun が6日で Rust に書き換わった件 ― AI が96万行を生成、unsafe は13,000箇所超
Bun が 6 日で Rust に書き換わった件
JavaScript ランタイム Bun の Zig コードベースが、Claude を用いて6日間で約96万行の Rust コードに移植され main ブランチにマージされた。テスト通過率は99.8%、バイナリサイズも縮小された一方、unsafe ブロックは13,000箇所を超え、作者の Sumner 自身も「全部破棄する可能性が高い」と発言している。直接の動機は Claude Code が Bun のメモリリーク（最大23GB）で苦しんでいたこと。記事は「100万行を誰がレビューしたのか」などの疑問を整理し、コードレビューの定義が「テストと AI の再生成可能性を信じること」へスライドしている現象を指摘している。
セキュリティ研究者が Microsoft BitLocker にバックドアを発見、exploit を公開
A security researcher says Microsoft secretly built a backdoor into BitLocker, releases an exploit to prove it
セキュリティ研究者が Microsoft の BitLocker にバックドアが密かに組み込まれていると主張し、それを証明する exploit コードを公開した。r/technology で15,000以上の upvote を獲得。BitLocker は企業や政府機関のデータ保護に広く使われており、この発見が事実であれば暗号化データへの不正アクセスが可能になる深刻な脆弱性となる。Windows のフルディスク暗号化の信頼性について大きな議論を巻き起こしている。
AI はプロセスを速くしない ― トヨタ生産方式とザ・ゴールから学ぶボトルネックの本質
I don't think AI will make your processes go faster
「トヨタ生産方式」と「ザ・ゴール」を再読した著者が、AI によるプロセス最適化の誤解を指摘する。Gantt チャートで最も時間がかかるのは開発工程だが、実際のボトルネックはその上流にある曖昧な要件定義にあることが多い。タイピング速度を上げても開発は速くならないように、AI をコーディングに投入しても問題の理解と定義が不十分なままでは根本的な改善にならない。制約理論の視点から「見える場所の最適化」と「本当のボトルネックの解消」の違いを論じ、HN で473ポイントを獲得した。
LinkedIn プロフィールに AI prompt injection を仕込み、採用スパムを古英語で返させたユーザー
LinkedIn user hides AI prompt injection in bio to force recruitment spam to be sent in Olde English prose
ある LinkedIn ユーザーが自分のプロフィールに AI prompt injection を埋め込み、AI を使った採用スパムボットに古英語調で「My Lord」と呼びかけさせることに成功した。AI が外部テキストを無批判にコンテキストとして取り込む脆弱性を突いたもので、r/technology で3,300以上の upvote を獲得。AI 大量メール送信ツールのセキュリティの甘さと prompt injection 対策の重要性を面白おかしく実証した事例。
Apple Silicon でのローカル LLM 推論は OpenRouter より高コスト ― M5 Max での実測分析
Apple Silicon costs more than OpenRouter
M5 Max MacBook Pro で Gemma4 31B をローカル実行した場合のコストを電気代・ハードウェア減価償却・トークン生成速度の3軸で詳細に分析。電力消費50-100W で時間あたり約2セント、$4,299の本体を5年償却で時間あたり約10セント。合計するとローカル推論は100万トークンあたり約$1.50 となり、OpenRouter の同等モデル（$0.38-0.50）の約3倍。推論速度も10-40トークン/秒とクラウドの60-70トークン/秒に劣り、プライバシー以外にローカル推論の経済的メリットは薄いと結論づけている。
8ビットマイコンで Web サーバーをホスティングする
Hosting a website on an 8-bit microcontroller
1ドルの AVR64DD32（8ビット、RAM 8KB、Flash 64KB）で Web サイトをホストするプロジェクト。Ethernet は10Mbps でも速すぎるため、SLIP（Serial Line Internet Protocol）を USB シリアルアダプタ経由で使用し、Linux の slattach コマンドでネットワークインターフェースとして認識させる。TCP/IP スタックを最小限に実装し、わずか数ミリワットの消費電力で実際にアクセス可能な HTTP サーバーを構築。ソースコードとプリビルドバイナリも公開されている。
Zerostack ― Unix 哲学に基づく Rust 製コーディングエージェント
Zerostack – A Unix-inspired coding agent written in pure Rust
Unix の設計哲学にインスパイアされた pure Rust 製コーディングエージェント。パイプやコンポーザビリティの考え方をAI エージェントに適用し、小さなツールの組み合わせで複雑なコーディングタスクを実行する設計が特徴。Claude Code や Codex とは異なるアプローチで、Rust によるメモリ安全性と高パフォーマンスを両立している。HN で538ポイントを獲得し大きな注目を集めた。
AI エージェントは脆弱性を見つけるだけでなく exploit を作成できる
AI agents show they can create exploits, not just find vulns
UC Berkeley、Max Planck 研究所、Anthropic、OpenAI、Google の研究者らが ExploitGym ベンチマークを構築し、AI エージェントの exploit 作成能力を評価した。Mythos や GPT-5.5 などのフロンティアモデルが、発見した脆弱性を実際に動作する exploit に変換できることを実証。これまで AI が発見したバグは軽微で武器化が困難とされてきたが、新たな研究は AI のセキュリティ攻撃能力が急速に向上していることを示している。
AI は技術であり製品ではない ― Gruber が語る Apple のアプローチ
AI is a technology not a product
John Gruber が、Apple の新 CEO Ternus の「我々は技術ではなく製品を出荷する」という発言を支持し、Steven Levy の「Apple は AI キラー製品を出すべき」という主張に反論。iPod が MP3 ではなく音楽についてだったように、AI は製品カテゴリではなく製品に統合される技術。AI エージェントという独立製品で勝負する必要はなく、既存製品に AI を組み込む Apple のアプローチが正しいと論じ、HN で304ポイントを獲得した。
C++26 の std::simd は誰も求めていなかった ― スカラーループより遅い SIMD ライブラリ
C++26 Shipped a SIMD Library Nobody Asked For
C++26 で標準化された std::simd（P1928）の問題点を実測ベンチマークで検証。元は CERN でも使われた Vc ライブラリから発展した提案だが、コンパイルが10倍遅く、スカラーループより実行速度が遅く、デフォルトのベクトル幅が不適切で、実際の SIMD コードで必要な演算の90%を表現できない。コンパイラの auto-vectorizer の方がすべての指標で優れているという厳しい評価を下しており、C++ 標準化プロセスへの批判的な議論が展開されている。
ネイティブ開発はテキストに到達すると破綻する
Native all the way, until you need text
ネイティブアプリ開発でテキストレンダリングが最大の難関であることを論じた記事。グラフィックスや入力処理はプラットフォーム API で対応できるが、テキストの表示・入力・編集にはフォント処理、Unicode 対応、レイアウト、IME 対応など膨大な複雑性がある。結果としてテキスト機能のためだけにクロスプラットフォームフレームワークに依存せざるを得ないという皮肉な現実を指摘し、HN で375ポイントを獲得した。
Palantir が「SaaS は死んだ」と宣言
Palantir Says SaaS Is Dead
Palantir が従来の SaaS モデルは終わりを迎えると宣言し、r/technology で5,200以上の upvote を獲得。AI エージェントが直接タスクを実行する時代には、個別の SaaS アプリを人間が GUI で操作するモデルは非効率になるという主張。自社の AI プラットフォーム AIP を軸にエージェント型ソフトウェアへの移行を推進しており、ソフトウェア業界のビジネスモデル変革を予見する内容として議論を呼んでいる。
Google AI Overview でオープン Web は生き残れるのか ― 報酬モデルなき引用の問題
How does Google expect the open web to survive AI Overviews without a compensation/citation model?
Google の AI Overviews により検索トップのオーガニック CTR が最大58%低下しているデータを受け、Web コンテンツ制作者への報酬モデルの必要性を問う r/webdev の議論。技術記事やツールを作っても AI の無料学習データとして消費されるだけで、インディー Web 開発のインセンティブが崩壊しつつある。ゲートコンテンツへの移行を検討する声が上がり、160 upvote を獲得した。
PyPI パッケージ数が急増 ― AI 生成コードが引き起こすセキュリティ検出の混乱
PyPI packages are increasing rapidly
PyPI の週間パッケージ公開数が AI の影響で2025年比30%増加している。著者が開発する悪意コード検出ライブラリ hexora で新規パッケージを監視したところ、vibecoding で生成されたパッケージの多くが eval、exec、subprocess を不必要に多用し、マルウェア検出の偽陽性を引き起こしていた。base64 でエンコードした Python コードをデータベースに保存して exec で実行するなど、悪意あるコードと区別がつかないパターンが蔓延している問題を報告している。
Vercel がシステムプログラミング言語 Zero を公開 ― AI エージェントのための言語設計
Vercelがシステムプログラミング言語「Zero」を公開した！ 悔しい悔しい悔しい！
Vercel が AI エージェント向けのシステムプログラミング言語 Zero を公開した。拡張子は .0 で、明示的エフェクトシステム、予測可能なメモリ管理、Wasm/WASI 対応、Agent Skills 対応が特徴。Rust のような強力な所有権モデルは持たないがレキシカル借用チェックを採用し、C コンパイラ不要で直接エミッターからバイナリを生成する。自身も類似言語 Ane を開発中の著者が、Rust・Zig との設計比較を交えて解説している。
DDD の理想と決済システムの現実 ― なぜ「1トランザクション1集約」を破るのか
DDDの理想と決済システムの現実
決済システムのコードを AI に設計レビューさせたところ「1トランザクションで複数集約を更新している」と指摘されたことをきっかけに、DDD の原則をあえて破る判断を論じた記事。注文初期化では注文レコード・積立設定・決済準備データ・監査ログを一括作成する必要があり、中途半端な状態（幽霊データ）が残ると調査・パッチ・顧客対応の運用コストが膨大になる。決済のように不整合コストが極めて高い領域では、トランザクションの重さよりデータ一貫性を優先すべきケースがあると実体験から説明している。
AI に同じ質問を3経路で投げたら入力トークンが約1,200倍違った
AIに同じ質問を3経路で投げたら、入力トークンが約1,200倍違った
2026年6月15日から導入される Claude のプログラム利用専用クレジット（Pro 月$20、Max 5x 月$100）を受け、AI コスト構造を分析。同じ質問を PDF 全文渡し、HTML 渡し、構造化 API 経由の3パターンで試したところ、入力トークン数に約1,200倍の差が生じた。AI 利用料が従量課金化する時代には、モデル単価を下げるより入力データの構造化による削減の方が桁違いに効果的であることを、ソフトバンクグループの有価証券報告書を題材に実証している。
怖くない unsafe 入門 ― Bun の Rust 移行で話題の unsafe を正しく理解する
【Rust】怖くないunsafe入門
Bun の Rust 移行で13,000箇所の unsafe が話題になったタイミングで、Rust の unsafe を体系的に解説。ポインタの deref、unsafe 関数呼び出し、mutable static 変数アクセス、unsafe trait 実装、union フィールドアクセスの5つのケースを整理し、unsafe ブロック内でもコンパイラのチェックは継続されることを明示。「unsafe が含まれているから危険」は誤解であり、慎重な操作を要する部分を明示するための仕組みだと説明している。
レガシーコードベースの考古学的読み方 ― 5段階の実践手順
How to read any legacy codebase. The archaeology playbook.
1950年代のソ連初の高水準言語コンパイラ PP-BESM をタイプ原稿からリビルドするプロジェクトを導入に、レガシーコードの体系的な読み方を解説。境界特定（入出力と副作用の把握）、ハーネス構築（分離実行環境）、二分探索（重要な10%のコードに集中）、命名改善、型追加の5段階アプローチを提唱。PHP、COBOL、Java 6 など、どんな古いコードベースにも適用可能な実践フレームワークとなっている。
ブラウザ内で AI モデルを実行し Core Web Vitals への影響を計測した
I Ran AI Models Directly in the Browser and Measured What It Did to Core Web Vitals
Transformers.js で DistilBERT（66M）、BERT-base（110M）、Whisper Tiny（39M）、MobileViT-S（5.7M）の4モデルを INT8 量子化で Chrome 実行し、INP への影響を計測。プライバシーとレイテンシの観点からブラウザ内 AI は魅力的だが、モデル推論がメインスレッドをブロックし、Google のランキング指標 Core Web Vitals を大幅に悪化させることを実データで示した。ベンチマークツールとソースコードも公開されている。
AI セキュリティベンチマークの集計値は嘘をつく ― 700関数のドメイン別分析
Aggregate Benchmarks Lie. Here's What 700 AI Functions Look Like by Security Domain.
Claude と Gemini の5モデルで生成した700関数をセキュリティドメイン別（データベース、認証、ファイル I/O、コマンド実行、設定）に分析。集計では Haiku 4.5 が最安全（49%）だが、ドメイン別にするとランキングが逆転する。「最悪」モデルがデータベース脆弱性の93%を修正する一方、「最良」モデルの修復率は低い。AI セキュリティ評価には集約スコアではなくドメイン別の詳細分析が不可欠であることを示した。
ノイズを加えたら Snake AI の安定性が向上した ― Noisy Networks の評価時パラドックス
When Chaos Wins: Adding Noise Improved My Snake AI's Stability
Rainbow DQN で Snake AI を構築するシリーズの第4回。Noisy Networks では評価時にノイズをオフにするのが定石だが、ノイズをオンのまま評価した方がスコアが大幅に向上するという逆説的な発見を報告。ネットワークが各線形層のノイズパラメータ（sigma weights）を自ら学習するため、ノイズが単なる探索ではなくポリシーの一部として機能している可能性を考察。機械学習の「常識」を疑う興味深い実験結果。
Go で AI エージェントループを自作して学んだこと
What I learned building an AI agent loop in Go
個人用 AI エージェント nevinho を Go フレームワーク Vikusha として再設計した過程を解説。AI エージェントの本質は「メッセージ送信 → ツール呼び出しかテキスト応答か判定 → ツール実行結果を戻す」のループだと明快に説明し、システムプロンプト・ツール・トランスポートを差し替え可能な設計にした。エージェントの内部動作をブラックボックスから理解可能な構造に分解する実践的チュートリアル。