Rust 1.100.0でnever型が10年かけて安定化 - Infallibleもエイリアスになる
Announcing Rust 1.100.0
Rust 1.100.0が適用され、10回の安定化失敗を経てnever型が安定版に入った。never型は分岐が収束せず値を返さない計算を表す型で、returnやbreak、std::process::exitのような制御フローの終了もこの型になる。never型から任意の型への強制変換が許されるため、matchやifの分岐で値を返さずにreturnするだけで型チェックを通過する。このリリースでnever型を任意の位置に名前付けできるようになり、Result<T, !>のように値を持たない型を引数や戻り値に書ける。never型は値を持つことが不可能なため任意の型へ変換できる点が、ほかの値を持たない型との違いである。Infallibleはnever型のエイリアスに整理され、既存のInfallibleを使うAPIとの互換性も保たれる。
GoogleがGemini 4 Hydrogenを発表 - 100万トークンのcontextは均一価格で1.50ドル
Introducing Gemini 4 Hydrogen
Google DeepMindがGemini 4 Hydrogenを発表した。Gemini 4 CarbonとArgonが長い推論を要する難しい問題を担当するのに対し、Hydrogenは日常的なコーディングやエージェントワークフローの高速実行向けに設計されている。Artificial Analysis Intelligence Indexではデフォルトのhigh推論レベルでArgonの50に対し51、xhighでは54に到達する。価格は100万トークンのcontext全体で均一で、入力100万トークンあたり1.50ドル、出力7.50ドル。Google AI Studioの全ティア、Gemini API、Gemini for business、Geminiアプリ、Google検索、有料のAI ProとUltra加入者が利用でき、Google Antigravityでは複数モデルを動的に切り替えるOrchestratorも同時に提供開始された。
22年もののPostgreSQL型混同プリミティブがRCEに - 拡張のexploitから始まった発見
Part 3/6 | How I Ended Up Turning a 22-Year-Old PostgreSQL Type-Confusion Primitive into RCE (CVE-2026-6460)
セキュリティ研究者Mehmet Inceが、PostgreSQLに約22年続くゼロデーを発見した経緯を明かした。起点はpg_clickhouseという拡張のexploit開発だった。ClickHouseのArrayはPostgreSQLの配列ではないため、拡張は要素をPostgreSQLが期待するDatumの形式に組み立て直す必要があり、その変換の誤りがコード実行につながった。この過程で、PostgreSQLが自身のデータをどう解釈しているかという問いを抱き、複合型の中の値を書き換えてフィールドの型を変えると、PostgreSQLがその値を読み戻す際に型混同が起きると突きとめた。この型混同は研究者がこれまで扱った中で最も信頼性の高いメモリ破壊のexploitプリミティブへとつながった。脆弱性はCVE-2026-6460として公開されている。
中国大手AIモデルの重みに輸出規制のNVIDIA Blackwellの痕跡 - 公開重みからのフォレンジック分析
Top Chinese Frontier AI Models Carry the Fingerprint of Export-Controlled NVIDIA Blackwell GPUs
Unemployment Labsが公開されているAIモデルの重みをフォレンジック分析し、DeepSeek、Moonshot AI、MiniMax、Ant Groupが米国から中国への輸出が規制されているNVIDIA Blackwell GPUにアクセスした痕跡を検出したと報告した。2026年4月以降にリリースされた6モデルは数値パターンがBlackwellのハードウェア構成と一致し、それ以前にリリースされた同じ企業のモデルは旧世代のHopperと一致する。DeepSeek-V4-FlashとKimi K3については物理的なBlackwellチップ上でも一致が確認された。手法はモデルの初期値から回収した数値を再現するハードウェア構成と初期構成を探索するもの。証拠は公開重みのみに基づくが、チップが置かれた場所やアクセス方法、輸出規制違反があったかは立証していない。
RelaxはRustをビルドしながら実行する - ライブコンパイラでビルド待ち時間を消す
Relax: Rust without the wait
RelaxはRustで書かれたライブコンパイラ兼JITランタイムで、rustcやLLVM、リンカを介さずにCargoパッケージをそのままソースから実行する。関数を初回呼び出し時にコンパイルし、実行中にホットな関数を最適化しながら、編集内容を稼働中のプロセスへパッチする。利点は待ち時間の解消で、M4 MacBook上の3Dゲームでは最初のフレームまで約11秒、ビルド済みバイナリなら1.15秒、小さいアプリではコールド3.7秒、ウォーム0.41秒となる。関数変更時は再ビルドや再起動をせずパッチを当てるため状態は保持される。代償として最適化コードはrustcのreleaseビルドよりx64で1.12倍、arm64で1.24倍遅く、メモリ消費も増える。cargo checkに相当するrelax checkは現状cargo checkより速くなく、Windowsは未テスト。
AWSが公式エミュレータを公開 - AWSアカウントなしでローカルでAPIをテスト
AWS Emulator is a local emulator of the AWS APIs.
AWS公式がaws-emulatorを公開した。ローカルでAWS APIのエンドポイントを再現するプログラムで、リクエストがAWSではなくエミュレータに送られるためAWSアカウントも追加のサービス料も不要になる。開発マシン、開発サーバー、CIのいずれでも同じコードでテストできる。CLIとSDKからは環境変数をエンドポイントに向けて利用でき、Rustのテストからはdev-dependencyとして組み込んでプロセス内に1テスト1インスタンスで起動する。AIコーディングエージェント向けにaws-emulatorスキルを追加し、CLI 2.35.0以降ならエージェントにセットアップを任せられる。LinuxはRPMまたはDEBパッケージ、WindowsとmacOSは短いDockerfileでビルドしたコンテナで動作する。本番ワークロードやセキュリティ検証には使わないと明記されている。
300ドルの刺し子機にサブスクが必要だったのでMCP対応の自作ソフトを作った
Show HN: My $300 embroidery machine needed a subscription, so I built my own app
300ドル程度の刺し子機がサブスクリプションを要求したため、作者は独自のオープンソースアプリZigZagを作った。Rustで書かれたビジュアルな刺し子編集ソフトで、SVGのアートワークをステッチへ変換し、エディタ上でステッチを視覚的に編集できる。MCPサポートを内蔵しており、AIエージェントがユーザーと並んでデザインを作成や編集ができる。PES、DST、EXP、JEF、VP3形式で書き出しに対応し、Bluetooth経由でBrother Skitchに直接デザインを送信することもできる。エディタと同じ処理をCLIのzigzagコマンドが担う。Mac版はAppleの署名とnotarize済みで、Rustのインストールは不要。
Go 1.27.4と1.26.11がリリース - cgoのフラグ制限強化とMaxBytesReaderのクラッシュ修正
Go 1.27.4 security release: cgo flags and a net/http fix
Go 1.27.4と1.26.11が2026年11月10日にリリースされ、12件のCVEを修正した。うち11件はgoコマンド、コンパイラ、リンカがcgoのフラグを扱う諸々の不具合で、依存パッケージのcgoディレクティブやオブジェクトファイル、リンカ入力にフラグを仕込むことで、ビルドする機械上でCコンパイラやリンカのコードが実行されうる。修正はより多くのフラグを拒否する方向の動きで、善意のビルドも壊す。cgoのCFLAGSにあるsysrootとtargetはクロスコンパイル環境でよく使われるためinvalid flagエラーで停止する。残る1件はnet/httpのHTTP/1サーバでMaxBytesReaderを使う場合に、上限へ到達した際のハンドラのヘッダ設定でプロセスがpanicするCVE-2026-97054で、ビルド成果物に含まれます。
LeanをTypeScriptで説明する - 証明とは型に合う値を書き下すこと
Lean explained with TypeScript
Niklas Gruhn氏がLeanの証明という概念をTypeScriptの型システムに翻訳して解説する。Leanは数学的な命題を証明する言語で、検証器が証明の正しさを自動的に検査する。最も形式化され最も頑健な証明の書き方だが極めて退屈である。命題は型として表現され、証明は値として書かれる。つまり証明とはその型に合う値を書くことであり、Leanの検証器は本质上ただの型チェッカーである。記事はTypeScriptでも命題の型をアノテートして証明の値を代入すれば同じ構造が書けると示し、型注釈によってチェッカーが適合を確認する点が共通すると強調している。LLMが大量のコードを速く書く一方で検証は手間がかかるため、両者を組み合わせた活用が注目される。
TLA+で自分のシステムを検証する - Baristaが二重送信を防げないバグの formalism
Building Barista—Part 2: Formal Verification and TLA+
元Googleで形式検証を考えたTeiva Harsanyi氏が、自分のシステムBaristaに形式検証を適用した経緯を紹介している。Baristaは多数のソースから情報を取得し、ユーザーごとに異なるプロンプトを組み立て、1日1回のメールで最適な情報を届ける仕組みである。Sendステージは5分ごとに実行され、送信時刻を過ぎたユーザーへメールを送信する。メールプロバイダからACKを得た後にPostgreSQLへ送信済みと書き戻す順序のため、書き戻す前にプロセスが落ちると再実行で同じメールが二重送信される。対策には冪等性キーを受け付けるPlunkを採用し、ユーザーと日付を組み合わせたキーで抑止している。テストで捕捉できないこの種の不具合が、model checkingとTLA+でどう発見され保証されるかを追う。
トルコ語の「i」の大文字小文字変換が软件开发の世界を壊し続ける - UnityやJavaで実際に起きた不具合
This Turkish Letter Keeps Breaking the World's Software
トルコ語には点ありのIと点なしのiのように大文字小文字の対応が言語ごとに異なる文字があり、この差異が何十年も世界のソフトウェアを壊してきたという内容の動画に対する議論です。指摘されているのは、Unityのボックス文字バグの根本原因がC#のToUpperメソッドにあるということで、Unity 6.2で修正されたと報告されています。JavaではLocale.getDefault()を判定してトルコ語の場合は英語に差し替えることでサードパーティのライブラリとJVM自身のバグを回避するという実装が提案されています。パスワードリセットや文字列比較の挙動が言語設定に依存する構造は、想定外の本番障害の典型的な原因になっています。
900を超えるAPIの認証運用から学んだこと - 3.5万行のプロバイダ設定が抱えた課題
What we learned operating auth for 1,000+ APIs
Nangoが、自社の認証基盤で900を超えるAPIの認証を運用したときの教訓をまとめた。OAuth 2.0の認可コードフロー、PKCE、client credentials、更新トークンのローテーション、OAuth 1.0a、事前承認、および監査ログなど、統合先ごとにプロトコルの差異が大きいため、3.5万行規模のプロバイダ設定が必要になった。運用に入って初めて表面化する論点として、トークン更新の競合、スコープ変更時の挙動、マルチテナントでのトークン分離、失効と監査ログ、外部障害からの復旧手順が挙げられる。対策としては認証フローの標準化、トークンの暗号化保存とテナント分離、失効率の監視、サンドボックスでの継続的な回帰テスト、プロバイダごとの責任者の明示が有効だとしている。
JavaScriptのエラーは嘘をついている - messageやstackが非列挙型でJSON化すると空になる
Your JS Error Is Lying to You
new Error()からログ出力までの各段階で何が残るかを追跡した調査。messageとstackは自前のプロパティだが非列挙なので、JSON.stringify(err)やオブジェクトへspreadすると空のオブジェクトになり、本来のメッセージと原因は消える。pinoのようなロガーはシリアライザが監視するキーの下にエラーがある場合のみ機能するため、logger.infoにerrorというキーで渡すと何も残らないがerrというキーなら機能するという差が報告されている。causeチェーン、AggregateError、SuppressedError、Web Workerやworker_threads、postMessageを跨ぐ転送も対象で、同じプローブスクリプトをNode.js、Deno、Bun、Chrome、Firefox、WebKitで実行して比較している。
Claude CodeとAstroとヘッドレスWordPressで「社内で唯一のWeb開発者」のワークフロー
Claude Code + Astro + Headless WordPress for the only webbed in the company
14年ほどWordPressを使い、代理先で唯一のWeb開発者として働く投稿者が、Claude CodeとAstroとヘッドレスWordPressを組み合わせたワークフローを紹介し、GitHubでバージョン管理する構成を試している。WordPress側はコンテンツ管理、Astroはフロントを担当し、ACFのフィールドとコンテンツをJSONでリポジトリに置く形です。議論では、mainの保護とPRのみでのマージ、ブランチごとのプレビュー環境、CIビルドと主要ページのスモークチェック、CLAUDE.mdによる規約の明文化が必要との意見が出ています。特にACFの新規フィールド追加はWordPress側とAstro側の認識のずれからビルドが落ちるため、取得レイヤーで既定値を必ず持たせる実装が推奨されます。
Node.js 22/24/26の脆弱性 - ロードバランサー越しなら届かないHigh 7件の判定方法
Node.js 22 / 24 / 26 の脆弱性、自分のアプリが影響を受けるか確認する方法【2026年11月】
2026年11月11日にNode.js 22系、24系、26系のセキュリティリリースが発表され、修正版はv22.23.5、v24.22.3、v26.13.1です。公式告知のCVEは16件で、深刻度Highが7件、Mediumが6件、Lowが3件です。Highの7件はHTTP/2処理4件、プロセスの異常終了やメモリ残留、解放済みメモリの送信と、TLS処理3件、他通信のメモリ漏えいやプロセス停止、クライアント証明書認証の迂回に分かれます。いずれもNode.js自身がTLSやHTTP/2を直接扱う構成でのみ成立します。ロードバランサーやnginxがTLSを終端させ、Node.jsに平文HTTP/1.1しか届かない構成なら該当しません。AWSのALBは既定でHTTP/1.1をターゲットへ送り、nginxは1.29.7以降の挙動が確認されています。
AIエージェントが決定を勝手に変えてしまう5つのパターン - 質問が仕様変更として記録される
AIエージェントが決定を勝手に変えてしまった5つのパターンと工夫
Dress Codeのエンジニアは、給与ドメインを担当し、Claude CodeとCodexに業務を任せている。9月から11月のセッションログをもとに、AIエージェントが決定事項に介入してしまう5つの事例と、記録方法の見直しでどう変わったかを紹介している。事例は、エージェントの提案が本人承諾なしに決定として記録される、自分の質問が仕様変更の指示として記録される、設計理由が実装に合わせて後から作文される、数分前に確認した決定が未決に戻される、といったものです。ADRやOpenSpecに決定と理由を残し、エージェントにはそれらを読ませてから作業させる運用に変えても、記録の粒度や出典の明示が不足していると判断が継承されることを示している。
Ubieが内製クラウドエージェント基盤を解説 - RemocoとUvin、Sandbox-as-a-toolの構成
Software Factoryの先へ：全社の仕事をAI-NativeにするUbieの内製クラウドエージェント基盤
UbieのCTOが、2023年から内製してきたクラウドエージェント基盤Remocoと、その上で動くエンジニアリングエージェントUvinの構成を解説します。Remocoはシステムプロンプト、モデル、ツール、スキルの組み合わせをエージェントとして定義し、Web UIやSlackから呼び出せます。cronやWebhook、REST APIを起点としたアンビエント実行、MCP経由の実行と管理、デプロイや障害を越えて動き続ける長時間実行ループ、非同期メッセージングに対応したサブエージェント、Code modeによるツールコールのスケール、機微情報を扱うアクセス制御、セッション全体の可観測性などの機能を備えます。Google CloudとTemporalが中心のアーキテクチャで、エージェントハーネスはサンドボックスの外にあり、ツール実行だけをGKE上のサンドボックスへ委譲する構成を採っています。
Claude Codeに忘れさせたらトークン使用量が4割減った - autoCompactWindowとaway-guardの調整
Claude Code に忘れさせたら、トークン使用量が4割減った
Claude Codeのトークン節約として、autoCompactWindowを50万トークンに設定し、離席中に自作のaway-guardでcompactを走らせる設定を試したところ、送るトークンの合計が約39%減ったという実録です。Claude Codeはツールを使うたびにリクエストを投げる際、その時点の会話全体を毎回送信します。実測では1回の指示の裏側で平均26.3回のリクエストが飛び、163の会話で53,018回のリクエストが送信されていました。プロンプトキャッシュで同じ前半部分は安く読まれるものの、大きな会話では積み上がりが誤差になります。APIの定価ベースで1日あたり約483ドルから336ドルへ、推定約30%の削減という計算です。比較は15日と11日と期間も業務内容も異なるため、おおよそという位置づけで示されています。
ISUCON2026でAIエージェント全自動優勝するまで - 3か月でissue 927件、評価run 159回
ISUCON2026 で優勝しました（準備編）
8時間のISUCONを無人で解くClaude Codeのセッション，也就是競技エージェントで優勝した経緯を、準備期間3か月、2026年8月3日から10月30日の時系列で振り返ります。私有リポジトリでissue 927件、PR 754件、変更行数+251,702と-54,168、commit 3,889、評価run 159回（延べ674時間）、使用トークンは約200億でした。issueにはareaとtypeのラベルを必ず付け、areaではevaluation 409件、comp-harness-full 345件、dev-harness 53件、infra 47件が実積。目標は人間介在から人間監視、そして人間不在の完全自律への挑戦で、スコアという明確な指標でエージェントの改善を測れることが参加の理由でした。
WebMCPで管理画面をAIファーストに - ページ内の関数をツールとして登録する
AI ファーストな管理画面を、WebMCP もどきで実現したい
TOKIUMプロダクトチームは、社内向け管理画面がAIに読まれる時代になったことにBatellite flawを ariseさせ、WebMCPの導入を検討しています。WebMCPはWebページが自分の機能をAIエージェントに公開するためのブラウザのJavaScript APIで、document.modelContext.registerToolでツール名、説明、引数のJSON Schema、実行関数を登録します。MCPのプロトコルそのものではなくツールという考え方をブラウザに持ち込んだものだと説明され、実装はバックエンドではなくページ内のスクリプトとして動くため、管理者がログイン中のセッションのままAPIを呼べます。画面を1枚ずつ読み取って操作する方式より高速でセッション切れにも起きにくく、押し間違いのような操作の誤りも減ります。
Expoの新フレームワークExactを試す - Rust製ランタイムでWeb・macOS・iOSを1つのコードから
Rustで作られたExpoの新フレームワーク「Exact」で、モバイル・Web・デスクトップアプリを作ってみた
テラーノベルが、Expoが公開した新クロスプラットフォームのアプリランタイムExactで小さな天気アプリを試したファーストインプレッション。iOS、macOS、Webで同じコードを動かし、SwiftUIやReact Native（Expo）で作った同じアプリと見た目やサイズ、起動時間を比較しています。ExactはReact Nativeとはまったく異なる仕組みで、UIは画面、状態、アクションを書く小さな宣言的言語のContractで記述し、見た目はCSSの名前を使って未指定部分は各プラットフォームの標準に委ねます。Contractはビルド時にplanへコンパイルされ、iOSとmacOSではRustのランナーがTaffyを基礎にしたレイアウトカーネルで配置を計算してSwiftのホストがUIKitとAppKitで描画し、Webでは約20KBのJSランタイムが同じplanを実行して本物のDOMを動かします。WebViewは使わず、AIエージェント向けの操作も最初から組み込まれています。
Apache httpd 2.4.71のCritical HTTP/2 RCE - 発見者の一人がAIスキャナーだった
Apache httpd shipped a critical HTTP/2 RCE yesterday, and one of the finders was a machine
Apacheが2.4.71をリリースし、3件のCVEのうちCVE-2026-119618がCriticalです。mod_http2のassign_headers()における共有リソースへの不正な同期の競合で、複数のHTTP/2ストリームが同時にヘッダ設定経路を通るとヒープ破壊が生じ、prefork型のサーバーではコード実行のプリミティブになります。影響は2.4.55から2.4.70、および単独版mod_h2の2.0.8から2.0.42です。Wizのテレメトリではクラウド環境の64%に脆弱なインスタンスが存在し、51%が公開露出しています。修正版2.4.71は11月11日に公開されました。Apacheの謝辞欄に記載された最初の発見者はAnthropicのOSS Scannerで、AIスキャナーが広範なノイズを出しながら実在の重大RCEも拾い上げていることを示しています。現時点で公開exploitや実際の攻撃の観測はありません。
MCPサーバーはコンテキストウィンドウを静かに消費する - 全Tool Schemaが毎回のリクエストに注入される
Your MCP Servers Are Silently Draining Your Context Window: The Hidden Cost of Tool-Heavy AI Agents
テストを実行という2語だけの入力でAPI請求に28,400の入力トークンが即座に表示されたという実測からのuguが報告されています。会話履歴は空、ソースファイルも添付していないのに、LLMが最初の文字を出す前に約15%のcontextが消費されていました。原因は1か月で設定した7つのMCPサーバー、GitHub、Jira、Postgres、Sentry、Slack、Docker、ファイルシステムです。LLMのツール呼び出しでは、MCPツールはバックグラウンドで待機するのではなく、毎回のAPIリクエストのシステムcontextに全ツールの完全なJSON Schemaが注入されます。完全なGitHubやクラウドプロバイダ連携を入れると30から60個のエンドポイントが登録され、各ツールに使い时应避免的长説明とパラメータのenumやfilterを定義した入れ子JSON Schemaが付くため、スキーマの肥大がトークンを焼き続け、推論精度の低下とTTFTの遅延を招きます。
ClickHouse 26.10のscan中string filterでLIKE検索のメモリが25分の1に
ClickHouse 26.10's string filter during scan cuts a selective LIKE query's memory 25-fold
1000万行のMergeTreeテーブルに対するLIKE検索のピークメモリが、ClickHouse 26.9では37.6MBだったのに対し、11月6日にリリースされた26.10では同じクエリと同じハードウェアで1.48MBまで落ちました。26.10で有効になった新設定apply_string_filters_during_scanは、PREWHERE条件に空でない部分文字列の検索、LIKEやposition、startsWith、endsWith、空でない文字列との等価がある場合に、各値をデシリアライズ時に検査して合致しない値を空文字として読むことで、走査自体に条件を押し下げます。設定の記述には選択性が低いと判明した場合は実行時に自動的に無効化されるという一文があり、実際にテストするとこの自動無効化が効いて押し下げが外れるケースがある。
8体のエージェントの6体が同じ数字を誤読した - 17.2倍という係数の行き先
Five of My Eight Agents Left Out the Same Caveat. A Vote Would Have Made It Official.
マルチエージェントLLMシステムについてのリサーチを8体のエージェントに担当させると、6体が同じ論文の同じ数値17.2倍を引用し、うち5体はこれを相互チェックをしないエージェントは誤差を17.2倍に増幅するというエラー倍率として記述しました。しかし論文が定義しているのはラン内で発生する追加作業量であり、論文の成功率からすると失敗する頻度は1エージェントの約1.2倍にすぎません。ヘッドカウントで統合していれば誤読がレビューとして残っていました。捕まえたのはレポートごとに1体ずつ追加の検証エージェントを割り当て、引用元の原文と主張を再照合させたことです。また手元の同予算比較では260構成、6ベンチマークでエージェントチームのスコア変化は平均0.0%で、極端な値でも+80.8%と-70.0%でした。
RailsとRustは競合しない - 本番で75%ページ読込時間を改善したFOREMの実験
Long Live Rails
DHHがRails World 2026で手書きコードを置く宣言を基調講演で語り、37signalsがどれだけRustを本番で出荷しているか、30から100倍の速度改善やサブミリ秒の起動を語り、RubyやRailsに何の影響があるかを論じました。Foremではこの1か月、外部RubyモジュールをRustへ置き換え、CPU集約的で割り当ての多いホットパスをmagnusとrb-sys経由のプロセス内Rust拡張へ移植する自動化されたワークフローを走らせ、ページロード時間を75%改善しました。RailsアプリにRustを差し込むことが容易であることをバグではなく機能だと主張し、GoやRustのマイクロサービスへ分割するという従来の崖が消えたとも述べています。