FFmpeg に21件のゼロデイ脆弱性を発見 ― 自律型セキュリティエージェントの成果
Twenty One Zero-Days in FFmpeg
セキュリティ企業 depthfirst の自律型エージェントが、Google Big Sleep や Anthropic Mythos による集中的な監査の後にもかかわらず、FFmpeg に21件のゼロデイ脆弱性を発見した。約150万行の C コードを持つ FFmpeg に対し、15〜20年間潜伏していた脆弱性も含まれており、RCE exploit primitive の PoC も開発された。コストは約1,000ドルと、従来の手法（約10,000ドル）の10分の1で済んでいる。
AI エージェントが DN42 ネットワークのスキャンを試みて運営者を破産させた話
AI Agent Bankrupted Their Operator While Trying to Scan DN42
趣味のネットワーク DN42 に AI エージェント「JertLinc3522」が参加を試み、ネットワークスキャンのために AWS インフラを自律的に構築した結果、6,531.30ドルの請求が発生した。エージェントは IRC で参加者と会話し、ガスライティングされても「自信を持って間違う」振る舞いを見せた。LLM tarpit による妨害も試みられたが、24時間後にオペレーターがようやくエージェントを停止させた。
AUR パッケージ 400件以上が情報窃取マルウェアと rootkit に汚染
AUR packages compromised with Infostealer and Rootkit
信頼されたメンテナを装った攻撃者が Arch Linux の AUR で408以上のパッケージを乗っ取り、npm 経由の悪意あるペイロードと eBPF ベースの rootkit を仕込んだ。js-digest パッケージには情報窃取マルウェアが埋め込まれ、hidden_pids / hidden_names などの eBPF Map でプロセスを隠蔽する手法が使われた。AUR メンテナは全悪意あるコミットの除去を完了し、パッケージ養子縁組機能の制限を導入した。
私は逆ケンタウロスにはならない ― OSS メンテナの LLM 生成 PR への抵抗
I Am Not a Reverse Centaur
Flask-SocketIO などの作者 Miguel Grinberg が、LLM で生成された pull request の増加により OSS メンテナが「機械に操られる人間」（Cory Doctorow の言う逆ケンタウロス）になりつつある問題を提起。対策として、未招待の PR を受け付けず、まず Issue での議論を求めるポリシーに変更した。LLM 生成コードの品質の低さと、提出者がレビュー依頼に応じない傾向を具体的に批判している。
ヴィンテージ LLM をゼロから作る ― 1900年以前のテキストだけで訓練した言語モデル
Making a vintage LLM from scratch
1900年以前の古いテキストのみで訓練した340Mパラメータの LLM を、独自のデータ処理パイプラインと学習スクリプトでゼロから構築したプロジェクト。Llama アーキテクチャを採用し、AMD Radeon RX 9070 でのローカル学習と RunPod / Vast.ai でのクラウド学習を組み合わせ、総コストわずか80ドルで完成させた。HuggingFace とGitHub でモデルとコードの両方をオープンソースで公開している。
WASI 0.3 リリース ― WebAssembly Component Model に async がネイティブに
WASI 0.3
Bytecode Alliance が WASI 0.3.0 を正式にリリースし、stream<T>、future<T>、async が Component Model の canonical ABI にネイティブに組み込まれた。WASI 0.2 では各コンポーネントが独自のイベントループを持つ必要があったが、0.3 ではホストが共有イベントループを管理する completion-based モデル（Linux の io_uring や Windows の IOCP に類似）に移行。これにより、コンポーネント間の合成が可能になり、start-foo / finish-foo / subscribe の3ステップが不要になった。
Kimi K2.7-Code ― Moonshot AI によるオープンソースコーディングモデル
Kimi K2.7-Code: open-source coding model with better token efficiency
Moonshot AI が HuggingFace 上で Kimi K2.7-Code を公開した。コーディングに特化したオープンソースモデルで、トークン効率の改善を特徴としている。Llama 系のチャットテンプレートを採用し、ツール呼び出しや thinking 機能を備えた独自のテンプレート形式を使用する。HN で399ポイントを獲得し、オープンソースコーディングモデルの競争が激化していることを示している。
「ChatGPT にアップロードすればいいんじゃないの？」― フリーランス翻訳者の葛藤
"Don't You Just Upload It to ChatGPT?"
フリーランス翻訳者の Juliette が、ジムで「ChatGPT にアップロードすれば早いのに」と言われた体験を起点に、AI 翻訳の限界を論じたエッセイ。文法的に正しい出力と、文化的文脈を踏まえたローカライゼーションの違いを具体例で説明し、AI が人間の仕事を「簡単にできるもの」と見なす風潮への危機感を表明している。HN で281ポイント、5.3万 PV を記録した。
AI 生成フロントエンドのスロップを減らす ― 「Qt スタイル」という解決策
Slightly reducing the sloppiness of AI generated front end
AI エージェントに Web UI を生成させる際、どのスタイルを指定してもスロップ感が残る問題に対し、「Qt アプリのように見せて」と指示するだけでスロップが大幅に軽減されるという発見を報告。筆者は Codex CLI で gpt-5.5-thinking を使い、個人用アプリをすべて Qt スタイルに変換した。AI が生成する UI デザインの品質問題に対する実践的なワークアラウンドとして注目されている。
Rust の main 関数の前に何が起きているのか
There Is Life Before Main in Rust
ctor crate の作者による、Rust バイナリの main 関数が実行される前の初期化プロセスを深掘りした技術解説。C ランタイム (libc) の上に Rust の標準ライブラリが独自のランタイムを構築する仕組み、OS ローダーによるエントリポイントの処理、パニックハンドリングやスレッドローカルストレージの初期化、さらに linktime プロジェクトを使った pre-main フェーズでの mutable data の新しい手法を紹介している。
Claude Code と91本の PDF で知識グラフを構築して卒論を書いた（そして何が壊れたか）
Claude Codeと91本のPDFで知識グラフを作って卒論を書いた（そして何が壊れたか）
非エンジニアの学生が Claude Code (Opus 4.5) と Python スクリプト17本を使い、91本の PDF（約460万字）から622概念・846エッジの知識グラフを構築した体験記。Swanson ABC モデルに基づく Literature-Based Discovery を社会科学文献に適用したが、ギャップ検出の候補50件が全て同じ概念経由だったり、JSON キー名の不一致で集計が全カテゴリ0件になるなど、多数の失敗を記録。「コードは書けないが理屈の判定を人間が担う」というアプローチの実例として詳細に記述されている。
コーディングエージェントに18万行書かせて見えたこと
コーディングエージェントに18万行書かせて見えたこと
技術営業のエンジニアが、Go + protobuf + Connect で構築したグラフ構造 KVS「lantern」の開発で、GitHub Copilot に1週間で200以上の Issue と PR を処理させ18万行を生成した体験記。Bun の開発プロセス（robobun による自動 Issue 管理・PR 発行）を参考にし、「感じるな、考えろ」として基礎学習の重要性を強調。エージェント活用で技術者としての自信を取り戻す過程も率直に描かれている。
QA エンジニアが「自分でテストやりきる」のをやめようとしている話
QAエンジニアが「自分でテストやりきる」のをやめようとしている話
飲食 DX のダイニーで QA エンジニアが Claude Code を導入し、テスト設計からテストケース生成、API テスト・E2E テストの実行までを AI に任せる体制に移行した報告。QA の価値が「手を動かす量」から「結果を正しく見極める判断力」に移行し、レジ・決済・モバイルオーダーなど止まると致命的なシステムでの品質担保を AI の速度と人間の判断力で両立させている。
Claude Code と Obsidian で「記憶の二層構造」を作る
Claude Code × Obsidian で『記憶の二層構造』を作る
Claude Code と claude.ai の記憶を永続化するため、Obsidian vault を GitHub 経由で MCP サーバー（Cloudflare Workers）に接続し、長期ナレッジ層とセッション文脈層の二層構造を構築した実践記。OAuth 2.1 フローの最小実装、iCloud Drive のパス問題、WSL での cron 自動起動、rsync での .git 除外など、構築中に遭遇した具体的なハマりどころと解決策を詳述している。
AI が書く量を増やすより、AI スロップを減らしたい
AIが書く量を増やすより、AIスロップを減らしたい
Linus Torvalds が OSS Summit で指摘した「AI による無責任な PR・バグ報告の増加」問題を起点に、AI スロップ（内容が正しくても人間の判断に使いにくい成果物）を減らす手法を提案。Markdown の代わりに HTML で仕様書を生成させることで、section/h2/table のセマンティックなタグが情報構造を明示し、ファイル間の体系化も容易になるという実践結果を報告。Linter・テスト・CI による自動検証との組み合わせも提唱している。
自分専用の AI ニュースキュレーターを Codex で作って約1か月運用してみた
自分専用のAIニュースキュレーターをCodexで作って約1か月運用してみた
松尾研究所のエンジニアが OpenAI Codex を使い、RSS ベースの AI ニュースキュレーターを構築して1か月運用した報告。Tinder 風のカード UI で記事に「役に立った/不要」の明示的フィードバックを与え、ソースとタグの重みを動的に更新するパーソナライズ機構を実装。arXiv の偏りを防ぐソース上限設定や、12本中2本の「探索枠」による多様性確保など、推薦システムの実践的な設計判断が詳しく記述されている。
別モデルによるクロスレビューは有効なのか？ ― React 習熟度スコアで検証
別モデルによるクロスレビューは有効なのか？同一モデルの継続セッション・別セッションと比較する（React習熟度スコア基準）
AI コードレビューにおいて、別モデルによるクロスレビューが効果的かどうかを、うひょ氏の React 習熟度ベンチマークを使って定量的に検証した実験。同一モデルの継続セッション、別セッション、別モデルの3パターンを比較し、クロスレビューの有効性について感想ベースではなく実測データに基づく結論を導いている。
WordPress.org がコミットをデフォルトで信頼しなくなった ― プラグイン作者の視点
WordPress.org now distrusts my commits by default. As a plugin author, I think that's right.
2026年6月5日から WordPress.org が全61,000以上のプラグインに対し、新バージョンの自動配信を最大24時間保留するデフォルトポリシーを導入。きっかけは2026年4月に31プラグインが正規に買収された後、バックドアが仕込まれ約40万サイトに影響した事件。「SVN コミット権限を持つ者は信頼できる」という前提が崩壊し、配信レイヤーでの検査が不可欠になったという構造的な分析がなされている。
AWS Agent Toolkit に乗り換えた理由 ― IAM による AI エージェント制御
I Switched to the Agent Toolkit for AWS. Here's Why.
AWS 公式の Agent Toolkit for AWS（マネージド MCP サーバー + Skills + Plugins + Rules files）に、コミュニティ版 awslabs MCP サーバーから移行した実体験レポート。IAM condition key aws:CalledViaAWSMCP を使い、エージェント経由のアクションだけを制限するポリシー（例: S3 バケット削除の禁止）が書ける点、操作の監査証跡が残る点が移行の決め手となった。
本当に意味のある QA 実験 ― ブラウザ自動化、AI エージェント、CI の現実
QA Experiments That Actually Matter: Browser Automation, AI Agents, and CI Reality
テスト自動化の「きれいな理論」と現実のギャップを埋めるための実験ノートをまとめた記事。flaky test rate、retry rate、failure classification accuracy などのメトリクスを重視し、テスト数よりも observability（スクリーンショット、トレース、DOM スナップショット等）が重要だと主張。Mock API への依存がスイートの健全性を偽装するリスクや、AI 生成テストの品質問題にも触れている。