Google DeepMindがAlphaProof Codeを発表 - Signalのプロトコル実装をAIエージェントが形式検証
Introducing AlphaProof Code
Google DeepMindが、既存コードから仕様書を作成しAIエージェントが自力で証明を生成するAlphaProof Codeを発表した。証明はすべてLeanで機械的に検証されるため、エージェントの主張をそのまま信用する必要がない。実証としてSignalの暗号プロトコルの実コードについて主要な安全性を証明し、意図的にバグを仕込んだ版については非安全性を証明することも確認した。形式検証はセキュリティ保証の最高水準とされる一方、手作業中心で負担が大きい。SignalのCTOは、手動が主体だった検証をエージェントが自動化できた点で大きな進歩だと評価している。
AmazonがSonnet 4.6をStrands Deciderに置き換え - 判定精度は同等でコストは98%減
Amazon saves millions replacing Sonnet with Strands Decider
Amazonのエンジニア2名が、社内の世界最大級のチケットシステムでSonnet 4.6によるラベル付けを、1か月前に公開された意思決定モデルStrands Deciderへ置き換えた。テキストを生成できない意思決定モデルは選択肢ごとの確率と確信度のスコアを返すため、20種類のカテゴリに振り分ける用途にそのまま適合する。E4B Gemma 4ビルドを使った検証では本番のSonnet 4.6を上回り、1チケットあたりの入力トークンが6,554から2,009へ、総トークンが6,724から2,010へと70%減った。1リクエストあたりの平均応答時間も4,215ミリ秒から897ミリ秒へ78%短縮している。SQS、Lambda、SageMaker AI Endpoint、AppConfig、CloudWatchという標準のAWSサービスだけで構成され、AppConfigの切替で段階的に移行した。
AnthropicのProject Glasswing開始から7か月 - 報告された37,966件中19.4%しか公開されず修正は217件
After 7-months, Glasswing Overwelms Maintainers with Underwhelming Findings
VulnCheckがAnthropicのProject Glasswingを4月17日から追跡した結果、今年公開されたCVEの約0.5%に相当する442件がAnthropic起因とされた。Anthropicが報告した37,966件のうち公開されたものは7,349件（19.4%）、修正済みとされたものは217件にとどまる。9月以降の2か月で報告件数は約12,000件増えた一方、修正の追加は15件しかなく、検知と是正の乖離が拡大している。AnthropicのOSS Scannerは検証作業和维护をメンテナ側へ移しており、curlでも34件の報告のうち19件が脆弱性ではないとして拒否されている。実害の観測は2件だけで、主張されていた真陽性率90.8%から94.2%への上昇にも疑問が投げかけられている。
AI利用が脆いコードベースを生む - 浅いテストと過度に複雑な実装が不具合の増加を招く
AI usage generates a fragile codebase
Evan X Merz氏が、大規模言語モデルによるコーディングが人間が作るのとは質的に異なる脆弱なコードベースを生成すると論じた。理由は大きく3つで、AIが書くテストが浅く本来通らない境界条件を検証しないこと、AIが生成する実装が不要なほど複雑になること、そして開発速度が人の品質基準の維持を追い越してしまうことである。自動テストでも手動テストでも発覚しないバグがユーザーだけが踏む経路として残り、開発者側も保守しづらい状態になる。結論として、人が丁寧に設計したコードベースとAIが生成したコードベースでは、ユーザーに提供される体験が根本的に異なるとしている。
LLMの後学習では重みの99.95%以上を削除するだけでフルファインチュングにcompetitive - Deletion Tuningという手法
The Surprising Effectiveness of Deleting Weights in LLM Post-Training
事前学習済みモデルが新しい能力を得るために必要な変更量について、重みの0.05%未満をゼロ化するだけでフルファインチュングに匹敵する性能が得られたとする研究がarXivに投稿された。手法はDeletion Tuningと呼ばれ、トランスフォーマーブロックのゲート射影上に二値のマスクを学習する形で実現される。検証されたのは強化学習、教師あり微調整、on-policy蒸留の3つの後学習領域で、いずれもマスクの適用だけでフルファインチュング相当の結果が得られたという。モデル容量をほぼ保ったまま振る舞いを獲得できる点は、重みを編集・追加する既存の手法への代替になりうる。
Mozillaが約2500万Firefoxユーザーの実測でブラウザフィンガープリントを分析 - 保護で一意なユーザー割合が75%から46%へ低下
Large-Scale Measurement and Real-World Mitigation of Web Browser Fingerprinting in the Wild
MozillaがOHTTPなどのプライバシー保護技術を使い、約2,500万人のFirefoxリリースユーザーの実測データからブラウザフィンガープリントの有効性を測定し、Firefox 143で採用された保護策を評価した研究を公開した。保護策の適用によって、一意と判定されるユーザーの割合は75%から46%へ低下している。Fingerprint Proは50超のメトリクスを取得するが、80%の一意なユーザーは8つのメトリクスだけで識別でき、Signifydも80超のメトリクスを取得しつつ9つで識別できていた。Shannonエントロピーはフィンガープリントの影響を予測できないことも示され、cohortの大きさ（Simpson Index）による評価が重要だと論じている。
Blender 5.3が3D Gaussian Splatのnative対応でリリース - EEVEEとCyclesでレンダリングできRipple編集も導入
Blender 5.3
Blender 5.3がリリースされ、3D Gaussian Splatsのnativeサポートが導入された。PLY、SPZ、glTFからインポートしたスプラットをポイントクラウドとして保持し、Geometry Nodesで加工でき、Workbench、EEVEE、Cyclesのいずれでもレンダリングできる。映像制作面ではVideo SequencerにRipple編集が入り、Ripple、Shuffle、Overwriteの3モードをR、S、Vキーで切り替えられるようになった。Ripple Trim、Ripple Delete、Box Bladeの再設計、OpenTimelineIOのインポート・エクスポート、Outlinerのカスタムソート、全エディタのサイドバー検索も追加された。DLSSデノイズや光の分散、EEVEEの魚眼レンズにも対応している。
Microsoftが.NET 11を発表 - C# 15のunion型とclosed hierarchy、Runtime Async、MCPサーバーテンプレートを追加
Announcing .NET 11
Microsoftが.NET 11をリリースした。Standard Term Support（STS）リリースで2年間のサポートが提供され、.NET 10がLTSオプションとして残る。言語面ではC# 15にunion型とclosed hierarchyが入り、アプリケーションの状態をコンパイラが検査可能なパターンで表現できるようになった。ランタイムでは非同期のサスペンドとレジュームをコンパイラ生成の状態機械ではなくランタイム側へ移すRuntime Asyncがプレビューとなる。SDKにはMCPサーバーテンプレートが含まれ、Microsoft.Extensions.AI、Agent Framework、Blazor AIコンポーネントとAG-UIの統合などAI開発向けの仕組みが提供される。
Cloudflareがコアサーバーの起動時間を数時間から数分へ短縮 - UEFIがNICを1つずつ試してタイムアウトしていた
How we reduced core unit boot time from hours to minutes
Cloudflareが、制御プレーンや課金、アナリティクスを動かすコアサーバーの起動がファームウェア更新後に4時間かかるようになっていた問題を数分へ短縮した経緯を紹介した。原因はUEFIの起動シーケンスで、サーバーが起動可能なネットワークブートインターフェースをすべて1つずつ試す線形の探索を行い、IPv4 HTTPS、iPXEなど失敗するたびに約5分のタイムアウトを待ってから次へ進んでいたことにある。修正は探索をやめて正しいブートインターフェースを事前に宣言する方式で、初回起動に数分かかっても以降の起動は20分以上から1分未満へ短縮された。古いUEFIでの順序指定の非対応やファームウェア更新後の設定リセットに対しては、変更後に設定を検証し必要なら再適用して再起動する状態検証ステップとして実装している。
25時間ある日にだけ発生するChromiumのバグ - 24時間加算とローカル真夜中の組み合わせがタイマーを繰り返し発火させる
A Chromium Bug Caused by a 25-Hour Day
Ramsay Leung氏が、タイムゾーンの切り替えで25時間となる日にだけChromiumで起きるバグを解説した。device_statistics_scheduler.ccのComputeEarliestAllowedTimeToRunは「1日後」をbase::Days(1)すなわち86400秒として計算してからLocalMidnight()で丸めており、ローカル暦の1日ではないためである。照明時間から標準時間への切替日に記録時刻が日付的にずれると、実行可能時刻が常に現在より前になりタイマーが即座に発火して再スケジュールを繰り返す。修正はローカル暦で「記録日の翌日の真夜中」を直接計算する方式で、余裕を持たせて4時間の許容幅を加えている。
AIでテストカバレッジを23%から84%へ引き上げた方法 - 低カバレッジファイルを1件ずつ処理して生成させる
AIでテストカバレッジを23%から84%に引き上げた方法
litalico氏が、テストカバレッジが23%だったRailsのコードベースをAIエージェントで84%まで引き上げた手法を紹介した。複数ファイルをまとめて処理すると収集と設計の段階で情報が錯綜して品質が劣化するため、1ファイルずつテストコードを生成してコミットする繰り返し作業が基本となり、1回のプルリクエストで50〜100件のテストが作成されるようになった。生成したテストはgrepで検査し、常に500エラーを返すバグを検証するテストや現実で起こりえないテストデータを使い回していないかを確認している。コンテキスト溢れによる品質低下を避けるためプロンプトをSkillファイルへ移行し、シンボリックリンクで複数のエージェントから読み込めるようにした。テスト作成中に到達不能なデッドコードが発見され、リファクタリングのきっかけにもなっている。
少年団の役員向けRAGを作り直す - 条文単位に切り直すだけで正答率52%から72%へ、ハイブリッド検索は効かなかった
少年団の役員向けRAGを作った — 条文単位に切り直しただけで正答52%→72%、ハイブリッド検索は効かなかった
mappy55氏が、架空のスポーツ団体の会則や入会案内、役員向け連絡文に対してRAGチャットボットを試作した結果をまとめた。正答率は当初52%だったが、文書の切り方を条文単位へ変更しただけで72%へ改善し、その後に試したハイブリッド検索などの手法はいずれも効果がなかった。文書に無いことを「無い」と答える記載なし問題も評価セットに含め、誤答より「分からない」を優先する設計としている。最後に埋め込みと回答をローカルの小さなモデルへ差し替えると正答率が2割低下したが、落ちたのは埋め込み側ではなくほぼ回答側の側だった。
LLMアプリケーションのプロンプトはどこで管理するか - コードや管理ツール、reusable promptsの4パターンを比較
LLM アプリケーションのプロンプトをどこで管理するか
painter氏が、LLMアプリケーションのプロンプト管理について、コードと同じリポジトリで管理する場合とLangfuseのような管理ツールで実行時に取得する場合など4パターンを比較し、どの条件で使うべきかを整理した。プロンプトとコードの結びつきの強さは、人と対話するエージェントでは弱く、ツールを使うエージェントでは中程度で、ワークフローでは各ステップの出力スキーマに依存するため強いという。OpenAIがダッシュボードのreusable promptsを2026年11月30日に終了し、コードへ移してgitのコミットとPRレビューで管理するよう案内したことも反映されている。
Node.js 26のMap.getOrInsertComputedは置き換えるイディオムより遅い - ウォームキャッシュでは約40%遅い実測
Node.js 26's Map.getOrInsertComputed is slower than the get-and-set it replaces
Alex Georgiev氏が、Node.js 26.13.0が導入したMap.prototype.getOrInsertComputedを、値を取得して無ければ計算して設定する従来イディオムと実測比較した。500万個の新しいキーを使うコールドケースでは中央値1,678ミリ秒から1,978ミリ秒へ約18%遅く、同じ1,000キーに500万回アクセスするウォームキャッシュでは29.7ミリ秒から41.6ミリ秒へ約40%遅くなった。順序を交互に入れ替えて9回反復しCPU周波数の影響を排除しても結論は変わらない。失敗した計算結果がキャッシュに残るため、失敗時の再試行を自行で扱う必要がある。
npmのスキャンを信用するな - 分離したAWSサンドボックスで未信頼パッケージを実行して実際のビルドログを読む
Stop Trusting npm Scans: Run Untrusted Packages in an Isolated AWS Sandbox
AWS Builder Centerの週末チャレンジから生まれたstallerとして、Agentが公開リポジトリを静的解析するだけでなく、インストール処理を隔離環境で実行して実際のビルドログを読む構成を紹介している。静的な読み取りでは、インストール時にだけ現れるpostinstallフックやMakefileターゲットを検出できないのが盲点である。2026年にはMastraの侵害やAxiosのRATなど、信頼されたパッケージに武器化されたpostinstallペイロードがレジストリで横行しており、Aikidoは単一四半期で約19,500の悪意あるパッケージ版を数えていると報告している。解法として、破棄可能なAWS CodeBuildコンテナでインストールを実行するツールを追加し、隠れたcurl | bashのpostinstallを検出できるようにしている。