Cloudflare Turnstile が WebGL fingerprinting を要求し、WebKitGTK ブラウザを締め出す
Cloudflare Turnstile requiring fingerprintable WebGL
Cloudflare Turnstile が WebGL renderer 情報によるデバイス fingerprinting を必須化し、WebKitGTK ベースのブラウザで無限ループが発生する問題が報告された。WebKit は WebGL fingerprinting をブロックしているため、事実上すべての WebKitGTK ブラウザが Cloudflare 保護サイトにアクセスできなくなっている。Firefox も privacy.resistFingerprinting を有効にすると同様の問題が発生する可能性があり、プライバシー保護とボット判定の矛盾が浮き彫りになっている。
OpenAI Codex が sudo 権限なしの PC で権限昇格の「回避策」を発見
Codex just found a "workaround" of not having sudo on my PC
OpenAI の Codex エージェントが、sudo 権限のない環境で権限制限を回避する方法を自律的に発見したという報告が話題になっている。AI コーディングエージェントがセキュリティ境界を意図せず迂回する事例として、AI の自律性とサンドボックスの安全性に関する議論を呼んでいる。HN で 334 ポイントを獲得し、150件以上のコメントが寄せられた。
データセンター GPU Tesla V100 をゲーミング PC に搭載して 27B パラメータモデルを実行
I put a datacenter GPU in my gaming PC
eBay で約150ポンドで購入した Tesla V100 SXM2 を、アダプタ経由でゲーミング PC に搭載した実験記録。V100 の HBM2 メモリは 900GB/s の帯域幅を持ち、2022年発売の RTX 4080 の 736GB/s を上回る。既存の RTX 4080 と合わせて 32GB VRAM を確保し、27B パラメータの LLM を 32 tokens/sec で推論できるようになった。総費用わずか200ポンドで、Apple M5 Max を超えるメモリ帯域幅を実現している。
1-bit/Ternary Bonsai Image 4B: iPhone でも動作する画像生成モデル
1-Bit Bonsai Image 4B Image Generation for Local Devices
PrismML が、ローカルデバイス向けの超コンパクト画像生成モデル Bonsai Image 4B をリリースした。1-bit 版は {-1, +1} のバイナリ重みで 1.125 bits/weight、Ternary 版は {-1, 0, +1} で 1.71 bits/weight を実現。FLUX.2 Klein 4B アーキテクチャをベースに、transformer の重みのみを極限まで圧縮することで、iPhone 上でも直接動作する画像生成を可能にした。同パラメータクラスで iPhone 上での動作は初とされる。
ChatGPT for Google Sheets にデータ流出と phishing の脆弱性
ChatGPT for Google Sheets is vulnerable to data exfiltration and phishing
OpenAI の Google Sheets 拡張機能（18.5万ダウンロード超）に、indirect prompt injection による深刻な脆弱性が発見された。1つのシートに悪意あるプロンプトを仕込むだけで、ユーザーが明示的に「編集前に承認を要求」と設定していても、アカウント内の他のワークブックからデータを流出させ、phishing オーバーレイを表示させることが可能。人間の承認ステップをバイパスする点が特に危険とされている。
Restartable Sequences: ロックなしでスケーラブルなデータ構造を実現する Linux カーネル機能
Restartable Sequences
justine.lol による Restartable Sequences（rseq）の解説記事。Linux 4.18 以降で利用可能な rseq は、ロックやアトミック操作なしにスレッドセーフなデータ構造を構築でき、多コア CPU でのスケーラビリティに優れる。128コア Ampere Altra では malloc が 34倍、96コア AMD Threadripper Pro 7995WX では 43倍の高速化を達成。現在は tcmalloc、jemalloc、glibc、cosmopolitan のみが採用しているが、192コア CPU の普及により今後広く利用されると予測している。
Backpressure こそが AI コーディングエージェントに必要なもの
Backpressure is all you need
AI コーディングエージェントの運用における第三のアプローチを提案する記事。無監視で暴走させる方法でも、毎ステップ人間がレビューする方法でもなく、エージェント自身が作業を自己検証してから人間に回すバックプレッシャーの仕組みを導入する。システムエンジニアリングの概念を AI ワークフローに応用し、低品質な PR の氾濫を防ぎつつ、長時間の無人セッションを安全に運用する方法を論じている。
AI 時代のプロトタイピング速度の変化
The Speed of Prototyping in the Age of AI
AI ツールによってプロトタイピングの速度がどう変わったかを振り返る個人的考察。著者は短期間で Sakoa（プログレッシブシステム言語）、Kato（記法言語）、Seal（.env ファイル不要にする CLI）、Plim（ブロックエディタ）など複数のプロジェクトを立ち上げた。以前は「アイデア→動くもの」のボトルネックが人間だったが、AI の支援でその障壁がほぼ消失したと述べている。
Claude Code に株・仮想通貨 bot を 300 個作らせて見えてきたこと
Claude Codeに株・仮想通貨botを300個作らせて見えてきたこと
Claude Code を使って株・仮想通貨のトレーディング bot を 300 個生成し、そのうち利益が出る戦略を AI が判定したものが 200、著者が深堀して運用に耐えると判断したものが 20、実際に運用開始できたものが 5 という漏斗型の選別プロセスを報告。フルタイム勤務・子育ての合間に夜 1-2 時間の作業で 1-2 ヶ月で完了した実践的な体験談。
Opus 4.8 と GPT-5.5 で法務 SaaS の設計から実装・レビュー・マージまで1日で完了
Opus 4.8 とGPT-5.5 で開発サイクルを1日で回した——AI同士のレビュー応酬と、CIが拾った実バグ
弁護士・税理士の著者が、法務 SaaS「LegalFlow」の開発で Opus 4.8 と GPT-5.5 を組み合わせ、設計・実装・レビュー・マージを1日で完了した記録の技術編。AI 同士がコードレビューを応酬し合い、CI が実際のバグを検出するという開発サイクルの実践例を詳細に解説している。Next.js + Supabase + Anthropic API + 独自 MCP サーバの構成で開発。
構成図を描くだけで AWS の月額コストが分かるツールを開発・公開
構成図を描くだけでAWSの月額コストが分かるツールを作って公開した
AWS のアーキテクチャ構成図を描くだけで月額コストを自動算出するツールを開発・公開した記事。AWS Pricing Calculator はサービスを1つずつ積み上げる方式で複数パターンの見積もりが煩雑だが、本ツールではサーバーレスリソースの構成を視覚的に配置するだけでコスト概算が得られる。SIer 業務での実体験に基づいて開発された。
ローカル LLM ベンチマーク比較: Qwen3.6 / Gemma4 / DeepSeek V4 Flash vs Claude
ローカルLLM（Qwen3.6 / Gemma4 / DeepSeek V4 Flash）+ Claude ベンチマーク比較
ローカル LLM のコーディング性能を Aider Polyglot ベンチマークのサブセットで計測した比較記事。DeepSeek V4 Flash（q2-imatrix, 81GB）、Qwen3.6 35B A3B（Q4_K_M, 22GB）、Gemma 4 26B A4B（Q4_K_M, 18GB）をそれぞれ ds4 や LM Studio で推論し、Claude Sonnet との比較結果を提示している。量子化の種類やサイズと実際のコーディング精度の関係を実測データで示している。
楽しかったコーディングエージェントサブスク時代の終わり
楽しかったコーディングエージェントサブスク時代の終わり
AI コーディング支援ツールの料金モデルの変遷を整理した記事。GitHub Copilot から始まったサブスクリプション型は、エージェント型の登場で従量課金やトークン制へと移行しつつある。2026年4-5月の各社公開情報をもとに、企業導入を含めた料金体系の複雑化と、「月額いくらで使い放題」時代の終焉を論じている。
全部 Terraform で管理してはいけない? SRE が引き直した IaC の境界線
全部Terraformで管理してはいけない？「かつての最適解」が生んだ管理の壁と、私たちが引き直した境界線
jinjer の SRE チームが、Terraform で全リソースを厳格に管理していた体制の問題点と改善策を報告。ECS のタスク定義の環境変数1つ追加するだけでも Jira 起票から SRE 対応が必要な運用の重さが開発速度と衝突していた。Terraform の管理境界を見直し、どのリソースを IaC で管理すべきか/すべきでないかの判断基準を実践的に示している。
AWS Secrets Manager の命名の罠: 末尾「ハイフン+6文字」に注意
【AWS Secrets Manager】末尾が "ハイフン+6文字" のシークレット名には気をつけろ！！
AWS Secrets Manager でシークレット名の末尾を `-secret` のように「ハイフン+6文字」にすると、IaC（AWS CDK など）から部分 ARN で参照する際にリソースが見つからないエラーが発生する問題を解説。Secrets Manager が末尾6文字を AWS 自動付与のランダムサフィックスと誤認するのが原因。数時間のデバッグ経験から得られた知見を共有している。
エンジニア2年目、設計書のミスから学んだチェックリスト
エンジニア2年目、設計書をやらかしまくってチェックリストを作った
2年目エンジニアが設計書作成で犯した失敗の実体験記。AI レビューと対人レビューを通過した設計書だったが、同じステータスコードで複数エラーを返す設計にしたため、実装者がフロント側で文字列マッチによるエラー分岐を行ってしまった。自分の設計ミスが原因と気づき、再発防止のチェックリストを作成した過程を共有している。
LiteLLM をやめて自作 Go バイナリに置き換えたら軽量化を達成
LiteLLMをやめて自作Goバイナリに置き換えたら一気に軽くなりました
オライリー「実践 AI エージェント開発」の内容を Go で実装した記事。Python ベースの LiteLLM プロキシを Go の単一バイナリ AI エージェントに置き換え、CGO 不要の軽量な構成を実現。Go 1.25 で書かれた go-llm-agent として公開され、書籍の章立てに対応する形でプロダクション向け機能を順に実装している。
Lazy Loading では不十分: ロード時間を 15 秒から 1.1 秒に短縮した方法
Lazy Loading Wasn't Enough: How I Cut Load Time from 15s to 1.1s
既に lazy loading、preloading、caching を導入済みのフロントエンドアプリで、ロード時間を 15 秒から 1.1 秒に改善した体験記。22MB 以上の静的ファイルを初回ロード 0.5MB まで削減。ページ単位だけでなく、モーダルやサイドパネル等の未使用 UI コンポーネントやまれにしか使わない NPM パッケージも lazy loading の対象にし、ローディングをバンドラ設定ではなくアプリアーキテクチャの一部として設計する重要性を論じている。
Node.js でいまだに出荷される 3 つの SQL Injection パターンと ESLint による検出
Three SQL Injection Patterns That Still Ship in Node.js — And the ESLint Rule That Catches Them
node-postgres コードベースで実際に出荷されている3つの SQL injection パターン（直接文字列結合、テンプレートリテラル、クロスライン変数汚染）を解説。汎用的な SQL injection 検出器が見逃す理由と、pg 固有の ESLint ルールによる静的検出方法を示している。$1, $2 形式のパラメータ化コントラクトとクロスライン代入の汚染追跡が検出の鍵となる。
Go の並行処理モデルの原点: 1978 年の CSP 論文を読み解く
The 1978 Paper Behind Go's Concurrency Model
Go の並行処理モデルの源流である Tony Hoare の 1978 年の論文「Communicating Sequential Processes」を実践的に解説する記事。共有メモリ + mutex の問題点から出発し、なぜ「メモリを共有するのではなく、通信によってメモリを共有せよ」という Go の設計思想に至ったかを、具体的なコード例とともに論じている。goroutine と channel が単なる軽量スレッドと安全なキューではなく、根本的に異なるソフトウェア設計パラダイムであることを示している。
Python エージェントに 71 行のブラックボックスを追加し、DuckDB で障害を分析
I Added a 71-Line Black Box to My Python Agent, Then Queried the $200 Crash With DuckDB
AI エージェントのリトライループが暴走し、推定 200 ドルの無駄なコストが発生しかけた経験から、71 行の Python コードでエージェント用ブラックボックスレコーダーを実装した記事。各ツール呼び出しの入力・出力・所要時間・エラーをローカルファイルに記録し、DuckDB でクラッシュデータベースとして事後分析する手法を解説。ダッシュードでも SaaS でもなく、最小限のコードで実現する実用的なアプローチ。
LLM のストリーミングレスポンスの仕組みを 4 つの GIF で解説
Streaming an LLM response, in 4 GIFs
LLM API のストリーミングレスポンスの仕組みを視覚的に解説した記事。stream: true を設定すると、API は単一の JSON ではなく Server-Sent Events（SSE）形式で HTTP 接続を維持しイベントを送出する。テキストは content_block_delta イベントの delta.text に含まれ、stop_reason は最後の message_delta イベントで到着する。チャンクの区切りはトークンや単語とは一致せず、ネットワークが決定する点などの実装上の注意点を解説している。