Anthropic の Claude Haiku 5.5 と OpenAI の GPT-6 全ユーザー提供が Hacker News と Techmeme の上位を占め、はてなブックマークでは IDCF クラウドへのランサムウェア攻撃など国内の不正アクセスの話題が続く

2025 年 7 月に公開された体験記で、一緒に働いていた人物がノートパソコンの窃盗に関わっていたことを、Apple の修理ケース ID や Apple Store での確認を手がかりに突き止めていく経緯を書いている。

コメントでは、ノートパソコンと事情の説明だけで Apple Store が本来の所有者の名前と住所まで教えたのかという疑問が出て、空箱 5 つの送付先まで教えていたという指摘が続いた。既に疑っていた名前を確認しただけかもしれないという見方もあった。後半は、相場よりはるかに安い中古ノートパソコンの出品や、eBay の外で送金させる詐欺の手口についての体験談に話題が移った。

Web 開発者の David Bushell が、生成 AI を巡る現在の状況が落ち着いた後を見据えた Web のキャリアについて書いた記事。映画『ショーン・オブ・ザ・デッド』を引き合いに出している。

コメントでは「その仕事は戻ってこない」というスティーブ・ジョブズの言葉を引いて楽観は妄想だとする意見に対し、あの発言は iPhone の製造がアジアに移った話で仕事自体は残っているという反論が出た。React をいま学ぶのは時間の無駄だという意見には、既存の React の保守案件は今後何十年も残るという声や、Stack Overflow の調査では React が依然として主流で、13 年使われてきた退屈な技術だという指摘が続いた。

POSIX.1-2024 で規定された基本ユーティリティ以外の実行時依存を持たず、現行のどの Unix 系システムでも動くプログラムを作るためのツール「Brut」の紹介サイト。Linux の VM から BSD サーバー、Mac まで同じプログラムを動かせるとしている。

コメントでは、POSIX に従うなら printf を書式指定付きで至る所に書く必要があり、共通関数を切り出していくと modernish に近づくという指摘が出た。/bin/sh の実体が macOS では bash、Debian では dash、Alpine では busybox ash と異なるため、実用上の移植性の主張は言い過ぎだという意見や、シェル本体だけでなく呼び出すユーティリティにも依存する点が重要だという声もあった。

REA（Reverse Engineer Anything）は、バイナリやアプリケーション、実行時の挙動にまたがるリバースエンジニアリングを 1 つの MCP で扱うツール。他のアプリで見かけた機能について、ソースコードなしでエージェントに調べさせ、仕組みの説明と根拠を示させたうえで、自分のプロジェクト向けに同様の機能を作らせる使い方を想定している。

対象はネイティブバイナリ、JavaScript と Electron のアプリ、.NET アセンブリ、Web サイトで、同じツールはターミナルからも使える。npx rea-agents setup で導入でき、動作環境は Node.js 22.19 以上、ライセンスは MIT。README は英語のほか中国語、日本語、韓国語、アラビア語でも用意されている。

AnyPS5 は、PS5 の実行ファイルを Linux と Windows へ自動的に移植するツール。実行ファイルを対象システムのネイティブ形式に変換するリリンカーと、動的リンクに使える PS5 のシステム prx ライブラリの実装を含み、エミュレーションや別の実行時プロセスは使わない。

シェーダーの再コンパイラは SPIR-V を生成し、SPIRV-Tools で検証できる。動作確認済みのゲームとして、2D プラットフォーマーの Dreaming Sarah が GTX 1050 Ti と i5-7500 の環境で 60fps で安定して動くとしている。SDL 経由のゲームコントローラーに対応し、キーボードとマウスは設定ファイルで割り当てられる。未対応の状態に入ると例外を投げてプロセスを終了する方針を取る。

openGym は、自分で所有できるセルフホスト型のジム・体重トラッカー。週ごとのルーティンを計画し、ガイド付きでワークアウトを進め、スーパーセットやウォームアップ、有酸素運動を含む各セットと体重を記録できる。データは端末間で同期され、ログインにはパスキーを使う。

どの筋肉を鍛えたか、疲労しているか、衰えているかを表示する機能や、FitNotes、Strong、Hevy からのデータ取り込みにも対応する。公式サイトにはライブデモがあり、Android 向けの APK とセルフホスティングのガイドも用意されている。ライセンスは AGPL-3.0。

Matt Pocock が日々の開発で使っているエージェントスキルをまとめたリポジトリ。GSD、BMAD、Spec-Kit のように開発プロセス全体を管理する手法は制御を奪い、プロセス内の不具合を直しにくくするとして、小さく、手を入れやすく、組み合わせられるスキルを目指したとしている。どのモデルでも動くという。

導入方法は 2 つあり、Claude Code のプラグインとして入れると読み取り専用の一式が Anthropic の公式マーケットプレイス経由で更新される。skills.sh を使うと編集可能なスキルファイルがプロジェクトにコピーされる。両方入れると全スキルが重複するため、どちらか一方を選ぶよう案内している。マーケットプレイスの更新はリポジトリより数日から数週間遅れることがあるとも書かれている。

e2e は Web とモバイルアプリ向けの E2E テストフレームワーク。テストの中で自然言語の目標を書くとエージェントがアプリを操作し、同じテスト内でロケーターとアサーションを使って結果を確かめられる。後続のアサーションで検証されたエージェントのステップは操作が記録され、次回からはアプリが変わるまでモデルを呼ばずに再生される。

モデルは自前のサブスクリプション、API キー、ローカルモデルから選べる。Web は Playwright 経由で Chromium、Firefox、WebKit を動かし、モバイルは iOS と Android のシミュレータ・エミュレータに対応する。Vite、Next.js、Expo、SwiftUI、Jetpack Compose、Kotlin Multiplatform、Flutter の例が用意され、結果をプルリクエストにコメントするレポーターもある。

Claude Code、Codex、GitHub Copilot、Factory Droid、Pi などの Agent Skills 対応環境向けに、編集デザイン品質の図を生成させるスキル。図は自己完結した HTML と SVG で出力され、影や汎用的な角丸ボックスを使わない方針を取る。図の種類は 42 で、バージョン 2.5.10 ではサンキー、フィッシュボーン、ワードリーマップ、カンバン、UML クラス図、データベーススキーマなど 10 種類が加わった。

振る舞いを表す意味的なパターンをレイアウトと分けて扱い、キューや信頼境界などを既存の型で表現する。静的な HTML が既定で、順序のある説明には任意でアニメーションを付けられる。draw.io、Mermaid、Excalidraw の図を指定した形式とサイズで描き直す機能もある。作者は、自分のサイトに合う図を Claude から得られなかったことが作成のきっかけだとしている。

AI コーディングエージェント向けに、シニアエンジニアが使うワークフローや品質ゲート、ベストプラクティスをスキルとしてまとめたリポジトリ。開発を定義、計画、実装、検証、レビュー、出荷の段階に分け、エージェントが各段階で一貫して従えるようにしている。

/spec、/plan、/build、/test、/constraints、/review、/webperf、/code-simplify、/ship の 9 つのスラッシュコマンドがあり、各コマンドが対応するスキルを有効にする。/build auto は計画の生成から全タスクの実装までを 1 回の承認で進めるが、各タスクはテスト駆動で個別にコミットされ、失敗や危険な手順では停止する。API 設計や UI 構築など作業内容に応じてスキルが自動で有効になる仕組みもある。

コーディングアシスタントが答えを長文の中に埋もれさせるのを防ぐためのスキル。ADHD の人にも読みやすい出力を目指しているが、診断の有無は問わないとしている。README では、前置きや脱線を含む長い回答が、編集するファイルと行番号、番号付きの手順、次の一手だけを示す回答に変わる例を載せている。

ルールは 10 項目で、次の行動を先頭に書く、複数の手順には番号を振る、最後に具体的な次の一手を 1 つ示す、脱線を抑える、時間の見積もりを分単位で示す、リストは 5 項目までにする、前置き・要約・締めの言葉を省く、などが含まれる。導入はリポジトリの AGENTS.md を参照させる指示をエージェントに貼る形で、SKILL.md をフォークして調整することもできる。

コーディングエージェントをセキュリティ監査役にするスキルで、Cloudflare の脆弱性発見ハーネスの元になったもの。ハーネスはその後多段階で全社規模のシステムに発展しており、このスキルは単一リポジトリ向けの出発点にあたるとしている。

監査は 6 段階で進む。アーキテクチャや信頼境界、入力面を洗い出す偵察、カバレッジ台帳に基づいて分離されたエージェントが探索するハンティング、候補ごとに新しい検証役が反証を試みる検証、findings.json への構造化出力とスキーマ検証、別のエージェントによる最終記録の再検証、REPORT.md などのレポート生成である。結果は confirmed、needs_validation、rejected に分類され、同じリポジトリへの複数回の実行は過去の台帳と結果を引き継ぐ。

Claude Code 向けに作られた永続メモリ圧縮システム。セッション中のツール利用を自動で観察・記録し、意味的な要約を作って以後のセッションで使えるようにすることで、セッションが終わってもプロジェクトに関する知識を引き継げるようにする。

npx claude-mem install で導入でき、Grok Bot 向けには --ide grok-bot を指定する。Grok Bot にはホスト側のフックがないため、チャットログのファイルを監視する方式を取る。既定はホスト型の CMEM Pro で、ローカルでの観測は任意で選べる。インストール後はブラウザでのサインインを求められ、30 日間の無料試用ではメモリの処理を利用者のプランの外で動かす。試用が終わると、メモリの処理は自動的に Anthropic 側の利用に戻るとしている。

mizchi 氏が 2026 年 10 月 5 日時点の AI プログラミング手法を棚卸しした記事。人間の役割を、モデルの性能を観察してドメイン知識にすること、自動化のループを作ること、評価指標を作って改善すること、AI の行動ログを見てテストと CI を調整することと定義している。仕事を任せるときは完了の定義と評価指標を決め、一度やらせて振る舞いを観察し、失敗したらコンテキスト、権限、性能のどれが足りないかを切り分けるとしている。

プロンプトは急速に陳腐化するため、グローバルプロンプトには選択肢があるときの判断基準だけを書き、Agents.md には一般的でないこだわりや制約だけを書く方針を示す。ループの例として、Git 履歴から次の作業を決める Ralph Loop、セッション終了時に目標を再送する /goal、dspy の RLM を挙げ、マルチエージェントには現状決定的な解がないとしている。

2026 年 1〜8 月に Zenn に投稿された 5.2 万件の記事のデータを使い、技術ブログの現状を確かめた記事。月間の投稿数は 5,000〜7,500 件で横ばいだが、投稿記事の合計 Like 数は 3 月に 5 万を超えてピークとなり、7 月には 3 万を割った。著者は、AI に聞いて解決する機会が増えて閲覧数が減り、文章の良し悪しを判定できない書き手が生成 AI の文章を投稿することで Like 率も下がったと考えている。

Zenn は 4〜6 月にかけて、タイムラインや Topics などを新着順からアルゴリズムによる表示に移行した。7 月以前と 8 月を比べると、Publication に紐づかない記事では Like の偏りを示すジニ係数が上がり、0 Like の記事の割合が 8 月に 50% を超えた。一方、Publication に紐づく記事では大きな変化は見られなかったとしている。

9 月末から続く情報漏洩の報道が実際の増加を意味するのかを、警察庁や個人情報保護委員会の統計、各社の公式発表、被害の公表に関する公的な指針で確かめた記事。2026 年 6 月までの統計では漏洩に関わる件数は高止まりしていて急増とまでは言えず、AI の関与を示す公式発表も見つからなかったとしている。

目立つ理由として、1 件あたりの規模が大きいこと、本人確認書類の画像など後から変えられない情報が漏れたこと、利用者の多いサービスの公表が同じ週に重なったこと、原因の異なる事案が「漏洩」としてまとめて見えていることの 4 点を挙げる。9 月 1 日から 10 月 6 日に公表された 30 組織の事案を、件数と公式発表に書かれた原因の種類とともに一覧にしている。

「タスクは AI に任せ、人間は判断に集中する」という言説への違和感を書いた記事。著者は、対象を理解していなければ妥当な判断はできず、専門外のタスクでは理解しないまま AI の推奨案を選ぶだけになると指摘する。

AI コーディングエージェントが筋の悪い指示を渋り、別案を出したり許可なく実行したりする場面があることに触れ、AI ラボは結果の良さを優先する方向に調整しているように見えるとしている。そのうえで、必要なのは超賢い AI と対等に議論して納得させられるだけの専門性だと論じる。判断だけをする働き方に移ると具体的な知識が落ちて判断そのものが劣化するため、意図的に自分の能力向上に時間を使う必要があるとしている。

JSON の仕様に残る曖昧さと実装による挙動の違いを、実装を比較しながら整理した記事。JSON は IETF の RFC 8259（STD 90）と Ecma の ECMA-404 で標準化され、ISO/IEC 21778:2017 や JIS X 3061:2021 もあることを確認したうえで、拡張仕様やリソース制限は扱わず、仕様の範囲内での差異に絞るとしている。

曖昧さを減らすための I-JSON（RFC 7493）にも触れ、整数と浮動小数点数の構文上の区別や負のゼロの扱いはカバーされないと指摘する。最初の論点である数値では、仕様が構文だけを定めて意味論を定めていないため、整数と小数を区別するか、範囲外の値をエラーにするか浮動小数点数として扱うかで実装が分かれるとし、STD 90 が safe integer の範囲内での出力を勧めていることを紹介している。

Claude Code の公式の拡張の仕組み Claude Mods を解説した記事。mod は Claude Code の中で動く TypeScript または JavaScript の関数で、ツール呼び出しや権限確認などのイベントの前後や代わりに処理を差し込み、プロンプトの書き換えやツール呼び出しの停止、ペインや帯の表示などができる。2026 年 10 月 1 日の v2.1.287 で正式リリースされ、既定で有効になっている。

settings hook、skill、MCP サーバーとの違いは、Claude Code のプロセス内で動くため画面を描いたり組み込み機能を差し替えたりできる点にあり、/diff も mod として作り直されている。mod はサンドボックスの外でユーザー権限で動くため、導入前に claude plugin validate で拾うイベントと呼ぶ API を確認する手順を示している。著者が入れたのは prompt-rail、md-prompt、qa-guide の 3 つ。

生成 AI の分野で増えている RAG、ナレッジグラフ、オントロジー、GraphRAG といった用語を時系列で整理し、GraphRAG をゼロから理解することを目指す記事。GraphRAG には Graph と RAG を組み合わせた手法一般と、Microsoft が公開した同名の OSS の 2 つの意味があるとし、後者を MS GraphRAG と呼んで区別している。

前半では、LLM 単体では学習していない新しい情報に答えられず数値計算も苦手であること、fine-tuning は情報が更新されるたびに学習し直すコストがかかることを説明する。そのうえで、プロンプトをもとに必要な情報を検索して添える RAG を社内規定の質問を例に紹介し、モデルを更新せずに資料の更新だけで新しい情報や社内情報に対応できる点を利点として挙げている。

イエソドのエンジニアが、Claude Code の Mods でセッションごとに TODO とメモを残せる mod「session-memo」を作った記事。Raycast Notes でメモを取っていたが、セッションが増えるとどのメモがどのセッションのものか分からなくなるのが動機だったという。

mod は入力欄の上の帯に TODO とメモの件数とボタンを出し、/memo でペインを開いて追記や削除ができる。/memo raw では Markdown ファイルを直接編集でき、/memo todo で TODO を追加する。データは作業ディレクトリの .session-memo/ に Markdown で保存する。Claude Code には mod 作成用のスキルが組み込まれており、「mod でメモ帳を作って」と頼むだけでほぼ形になったとしている。構成は plugin.json、hooks.json、register.tsx、型定義の 4 ファイル。

エムニのエンジニアが、書籍『オブジェクト指向UIデザイン ──使いやすいソフトウェアの原理』の考え方を Claude Code の Agent Skill にまとめ、Skill の有無で生成される UI がどう変わるかを比べた記事。AI が生成した画面への修正指示が「もっと見やすく」のような感覚的な表現になりがちで、要件が機能（動詞）の箇条書きで定義されると AI もその並びに引っ張られるという課題が出発点になっている。

本書の前半から、UI 構造の決定に効く原則として、名詞から動詞へ、オブジェクトが見えて直接触れる、一覧と詳細のビューを対応づける、モードレスにする、の 4 つを抽出した。各原則を要点と判断観点の形にまとめ、AI が生成した画面をレビューするときの評価軸としても使えるようにしている。検証の題材には、社内文書を扱う RAG システムの管理画面を使っている。

社内 SaaS に「アプリ内アンケート機能」を追加した際、要件のすり合わせから実装完了（PR 3 本のマージ）までを 2 日で終えた手順を紹介する記事。速さの理由は AI の実装力ではなく、文章で要件を固めてからモックを作る順序を逆にしたことだとしている。文章の合意は読む人ごとに別の画面を思い描かせて誤解を隠すが、AI でモックが数十分で作れるようになり、順序を逆転できるようになったという。

最初に決めるのは、回答形式の種類や管理画面の有無など、後から変えるとテーブル設計からやり直しになる分岐だけで、番号付きの yes/no 形式で 1〜2 個だけ聞く。モックはプロダクトの CSS 変数と既存画面のコードを読ませて実物と同じ部品で作り、全画面を 1 ページに縦に並べる。この進め方で、実装前に認識のズレが 3 回見つかったとしている。

セキュリティ業界に入って 1 年の筆者が、2026 年 9 月下旬以降に増えたように見えるサイバー攻撃のニュースの背景を整理した記事。AI の普及だけが理由ではないとして、ランサムウェアがバックアップの暗号化・破壊やデータ公開を盾にした多重恐喝、業務停止そのものを狙う方向に変わっていることを挙げている。

攻撃者は偵察、初期アクセスの確保と売買、横展開、情報窃取、RaaS の運営、交渉と役割を分けてビジネス化しており、そこに AI が加わることで、自然な日本語のフィッシングメールの大量作成や攻撃ツールの作成、侵入後の脆弱性探しが高速化したとしている。攻撃者は企業規模を問わず手薄なところを狙い、関連会社や委託先を踏み台にするサプライチェーン攻撃が増えていることにも触れ、経済産業省の対策制度を紹介している。

Claude Code、Codex、Gemini CLI、GitHub Copilot、Cursor の公式文書をもとに、AI エージェントに API キーなどの鍵を渡す 6 つの方法でそれぞれ何が起きるかを調べた記事。鍵の文字列が AI の目に触れる場所にあるほど漏れる経路が増えるとし、鍵そのものを渡さない OAuth が最も安全だとしている。

対話文に貼ると鍵は AI の会社に送られ、手元の会話記録にも残る。.env に書いて読ませると読んだ時点で会話に入り、除外設定で止まるのは AI の読み取り機能だけだという。環境変数は AI には見えないが AI が動かすコマンドに受け継がれるため絞り込みの設定が要り、MCP の設定ファイルに直接書くとファイルごと漏れるため環境変数で参照する形を示している。Claude Code と Codex のクラウド環境では、鍵置き場に登録すれば AI は本物の鍵を持たないとしている。

ファイル変更通知の仕組みを悪用して情報を漏らす研究「File Notification Attacks」の概要を紹介した記事。Linux の inotify は 2005 年のカーネル 2.6.13 で導入され、Android の FileObserver はそのラッパー、Windows には ReadDirectoryChangesW、macOS には File System Events がある。これらはファイルの中身を見られないが、別ユーザーのキー入力や Web の閲覧履歴の追跡に使えることが示され、20 年近く脆弱性が隠れていたことになるとしている。

Linux では、読み取り権限のないファイルでも、親ディレクトリが読み取り可能ならディレクトリを監視してイベントを受け取れる。/dev/input を監視するとキーボードの event ファイルへのアクセスが分かる。漏れるのはどのキーかではなく押されたタイミングだが、キーストロークのタイミングからの推測は 20 年以上研究されてきたと説明している。

Claude Code 2.1.290（2026 年 10 月 5 日）の changelog にある、WebFetch がページの 10 万字より後ろを黙って捨てていた不具合の修正を実測で確かめた記事。公式ドキュメントには大きなページは固定の文字数で切り詰めるとしか書かれていないため、93 万字ある Claude Code 自身の CHANGELOG.md を読ませ、位置が分かっている語について 36 回質問した。

2.1.289 では、10 万字より後ろにある語を「書いてある？」と聞くと 6 回とも「No」と答え、切り詰めの通知もなかった。見出しの最初の項目を聞く形式では、新しい版から並ぶ構造のため途中で切れたことが分かり、「取れなかった」と答えて作り話はしなかった。2.1.290 ではすべて正しく答えたが、費用は約 6 倍になった。検証は Windows 10、本体モデル Opus 5.5 で、ツールを WebFetch だけに限定して行っている。