私は50年近くプログラミングをやってきたけれど、脆弱性のないプログラムを書くことは難しく、自分の技術力では到底たどり着けない領域だと感じていた。 それでも、世界には自分など及びもつかないほど頭のいい人たちが大勢いて、そういう人たちが書いた堅牢で美しいプログラムによって、インターネットという巨大な仕組みが支えられているのだろうと、どこか楽観的に信じていた。 自分にはできなくても、きっと誰かにはできるのだろうと、長いあいだ思っていたのである。 しかし、今日の騒動を見ていると、どうやらそうでもなかったらしい。 人類は月に人を送り、何十億もの人々が瞬時につながる世界を作り上げ、ついには人間のように言葉を操るAIまで生み出したというのに、それらを支えるプログラムから脆弱性をなくすという、一見ささやかな願いさえ、いまだに叶えられずにいる。 人類には、脆弱性のないプログラムを書くことは、まだ難しすぎた。 今日ぐらいは、そんなクソデカ主語で語っても許されるだろうか。

なぜどのLLMも日本が好きなのかという謎 事前学習の段階ではそのようなバイアスは見られず、事後学習で安全性のための性質を仕込む段階で刷り込まれるらしい 日本が「無害で親切で礼儀正しい」と言う印象論とどこかで結びついていて、その属性を自身と重ねているのかもしれない

ブランドのコンセプトムービー 全てAIで制作 企画：ChatGPT 画像：Midjourney 動画：Grok 音楽：Suno 編集：Google Vids

ハイドンとかベートーヴェンが、交響曲はパート譜含めて収益化するまで時間もコストもかかるから、その間弟子の楽譜商にスコットランド民謡やアイルランド民謡を売りつけてたみたいな

X（Twitter）が現実の人々の姿をどこまで正確に反映しているのかは分かりませんが、最近、日本人と外国人のアカウントの間で否定的なやり取りを目にすることが増えたと感じています。 特に、自動翻訳機能が導入されてから、日本人ユーザーに対して失望したという声を海外の人たちから多く見かけるようになりました。 ただ、ここで改めて言っておきたいのは、僕自身、Xで見かける人たちの言動が、必ずしも現実の日本人や外国人全体を正確に表しているとは思っていないということです。 SNS上での一部のやり取りだけを見て、その国の人々全体を判断しないようにしてほしいと思います。 その点は、ぜひ心に留めておいてください。

午後の会議で聞かれる、と聞いたので今のうちに皆さんに質問するのですが 「PHPやNode.jsというのに 脆弱性があるのは分かった、 じゃあ一番 脆弱性とかトラブルの少ない プログラム言語は何だ、それを使え」 Q.一番脆弱性とかトラブルの少ない言語って、何？？？🤔

昨日、Twitter見たんです。Twitter。 そしたらなんか普段は脆弱性の話なんかしない連中まで、PHPの脆弱性で大騒ぎしてるんです。 で、よく見たらなんかphp2shellとか書いてあるんです。 もうね、アホかと。馬鹿かと。 お前らな、php2shellが話題になったくらいで普段見向きもしない脆弱性対応に群がってんじゃねーよ、ボケが。 Criticalだよ、Critical。 お前らが昨日まで見過ごしてた脆弱性もCriticalだろうが。 なんか普段セキュリティに興味ない人とかもいるし。全社総出で脆弱性対応か。おめでてーな。 よーしパパ緊急セキュリティ対応しちゃうぞー、とか言ってるの。もう見てらんない。 お前らな、CVSS 10.0のチケットやるからその席空けろと。 脆弱性対応ってのはな、もっと殺伐としてるべきなんだよ。 本番環境のバージョン一覧を挟んで、開発担当とインフラ担当がいつ喧嘩を始めてもおかしくない、パッチを当てるかサービスを止めるか、そんな雰囲気がいいんじゃねーか。 にわか有識者は、すっこんでろ。 で、やっと影響範囲の確認が始まったかと思ったら、隣の奴が、とりあえずWAFで、とか言ってるんです。 そこでまたぶち切れですよ。 あのな、WAFで防げるかも確認せずにとりあえずWAFなんてきょうび流行んねーんだよ。ボケが。 得意げな顔して何が、とりあえずWAFで、だ。 お前は本当に自社が影響を受けるのか把握してるのかと問いたい。問い詰めたい。小一時間問い詰めたい。 お前、WAFって言いたいだけちゃうんかと。 脆弱性対応通の俺から言わせてもらえば今、通の間での最新流行はやっぱり、影響範囲の棚卸し、これだね。 影響範囲の棚卸し、悪用可能性の確認、パッチ適用。これが通の頼み方。 棚卸しってのは使ってるソフトウェアを把握できる。そん代わり放置してる脆弱性も見つかる。これ。 で、それに悪用可能性と事業影響を踏まえた優先順位付け。これ最強。 しかしこれを頼むと今まで見過ごしてた脆弱性が大量に見つかって対応に追われるという危険も伴う、諸刃の剣。 素人にはお薦め出来ない。 まあお前らド素人は、未対応のDependabot Alertsでも眺めてなさいってこった。

Claude Codeから情報が漏れないように、やっといた方が良いこと10個。 【まずここから】 ・全開モード（bypass）はなるべく使わない。基本はauto ・送信の手前はask、触らせたくないものはdenyへ（どのモードでも止まる） ・起動はホームじゃなくプロジェクトのフォルダで ・APIキーは権限を狭く、期限を短く、上限金額つきに ・.env / .ssh / .aws / .gcloud はReadのdenyで読ませない ・会話ログの保持は30日→7日に ・/permissions を月1で棚卸し 【業務・機密を扱うなら】 ・curl / wget / git push はaskに入れる（書き方を変えるとすり抜けられる） ・MCPは提供元がはっきりしたものだけ ・/sandbox でOS側から囲う（文字列じゃなくOSで止める） 全部やると正直不便。どこまで許容するかは各々で選べば良いと思う。 （自分はホームで起動しちゃってるし、大丈夫そうな作業は全開モードで回してるので人のこと言えないw） 皆さんはこの10個のうち、どこまでやってますか？

Google Cloudに「Astra」含むOpenAIのモデルが追加　「主要3社のクローズドモデル使える唯一のハイパースケーラー」に itmedia.co.jp/aiplus/article…

We’re opening a research preview of Claude Duet, a new app where Claude works as a proactive agent. It comes to you with what needs your attention, completes tasks you ask of it, keeps working when you step away, and checks with you before it acts on your behalf.