TanStack の npm パッケージが Mini Shai-Hulud ワームに侵害された事後報告と、「AI がコードを書くなら Python を使う理由は?」が 980 コメントを集めた日

Jeff Geerling のブログ記事で、オープンソースの OrcaSlicer に支えられて成長しながら、その派生開発者を法的に脅す Bambu Lab の姿勢をオープンソースの社会契約の悪用だと批判している。買った物を所有し、メーカーに監視されたくないという立場を表明している。1404pt / 428 コメントで当日の首位になった。

コメントでは、正しくやる方が得るものが大きいのになぜこんなことをするのか理解できず、Bambu Lab は絶対に買わないという投稿が最上位にある。所有にこだわる著者はどの電話とノート PC を使っているのかという問いや、外出先から自宅の 3D プリンタをクラウド経由で動かす人が本当にいるのかという疑問も続いた。

「公式クライアントを装った」というのはクライアント側のメタデータの話でありユーザーエージェントは認証ではないという指摘、同価格帯の代替機を問う声、P2S と AMS 2 Pro の初期不良が多いという報告もあった。

Medium に掲載された記事で、AI がコードを書くなら人間にとっての書きやすさで選ばれてきた Python にこだわる理由はなく、性能や配布の容易さで Go や Rust を選ぶべきではないかと問うている。919pt に対して 980 コメントと当日最多の議論になった。

コメントでは、全画面のポップアップが読んでいる文を遮る Medium にまだ投稿する理由が分からないという脱線が最上位にある。本題では、生成されたコードは結局自分が理解する必要があり、Python のコーパスが C++ や Rust より大きく、ボトルネックはコードの実行ではないという反論が上位にある。

Claude と相談して Go を選び、性能とコンテナでの配布の簡単さが素晴らしかったという報告や、コンパイルなしで反復できる方が速く、性能が問題になったら「Go で書き直して」と頼めばよいがその段階に達したことがないという投稿もあった。

TanStack の公式ブログによる事後報告で、@tanstack の npm パッケージが Mini Shai-Hulud ワームに侵害された経緯を説明している。1097pt / 465 コメントを集めた。

コメントでは、このワームが CI/CD パイプラインを乗っ取って開発者の秘密情報を盗みながら正規の npm パッケージを次々に侵害しており、StepSecurity が拡散を追跡しているという投稿が最上位にある。ペイロードは systemd ユーザーサービスや LaunchAgent としてデッドマンスイッチを仕込み、盗んだトークンで 60 秒ごとに GitHub API を叩いて失効を検知するため、トークンの取り消しには注意が必要だという分析も続いた。

公開されていたのは 1〜2 時間で react-query は無事だったが、依存関係を更新するたびにサイコロを振っているようだという声、npm と Microsoft の AI 優先を問うべきだという意見もあった。

GitLab の公式ブログで、「GitLab Act 2」と題して人員削減と、長年ハンドブックに掲げてきた CREDIT の価値観の廃止を発表した。703pt / 683 コメントを集めた。

コメントでは、削減の実施が 6 月 1 日までかかるので従業員はそれまで不安を抱えて過ごすことになるという皮肉が最上位にある。Forgejo を薦める時が来たという声や、「AI のおかげで未来はエンジニアのものなので、抱え込みをやめて他社に行き渡るようにした」という要約の皮肉も続いた。

「エージェント時代」について記事が引き出している結論の多くは見当違いで、GitLab に余剰人員がいるのは疑わないが決まり文句だらけの解雇記事を読むのは疲れるという意見、書かれたコードは全て資産ではなく負債だという注意、今の AI でも優れた UX を作れなかったのに残る人間を減らして何ができるのかという批判もあった。

matklad のブログ記事で、ソフトウェアアーキテクチャをどう学ぶかについて、Gary Bernhardt の講演や John Ousterhout の「A Philosophy of Software Design」などの推薦とともに考えを整理している。612pt / 120 コメントを集めた。

コメントでは、Gary Bernhardt の講演は本当に特別で、そこから他の興味深い場所へ導かれる概念が多いという投稿が最上位にある。コードを整理するための心的モデルの価値を軽視しすぎており、コンパイラを AST の変換の連鎖と見るモデルは他にも応用できるという反論も続いた。

推薦はソフトウェア開発一般についてのものだという意見、保守者自身が各章を書く「Architecture of Open Source Applications」の推薦、この分野を学ぶには大規模なレガシーコードで過ごすか同じプロジェクトを 3 回書き直すしかないという声もあった。