『Go言語による分散サービス』第1章のハンズオン記録。追記専用ログをGoで実装し、JSONを受け取るHTTP APIを用意、複数リクエストから安全にログを読み書きする仕組みを作成。データはメモリのみで永続化前の最小構成。
著者がClaude/OpusなどのLLMに奇抜なプロンプト（グレムリンが破壊工作をするTodoアプリ、架空のサブカル美学を捏造したデザイン理論、マフィア風の脅し口調、ジャングル探検の世界観など）を与えてPySide6製Todoリストアプリを生成させる実験記録。LLMが指示された「声」やテーマにどこまで忠実に、あるいは陳腐なパターン（3ペインのダークモード、コマンドパレット、常套句だらけのエッセイ）に収束するかをユーモラスに検証している。
Z.aiがオープンウェイトLLM「GLM-5.3」を公開。ベースモデルはGLM-5.2と同一で、post-trainingのみで改善。特にコーディング性能（Z.ai Code Bench比で50%向上、Terminal Bench 3.0やAgents' Last Examでオープンソーストップ）と、脆弱性発見・エクスプロイト関連のサイバーセキュリティ能力（CyberGymでSOTA、エクスプロイトチェーン後半でGLM-5.2比2倍以上）が大幅強化された。SGLang・vLLM・Transformers等主要フレームワークでのローカル配信に対応。
回帰テストが緑でも守りたい処理を実際には検証できていないケースを、Go製OSSのglob処理の実例から解説する記事。テスト入力が本来の分岐より手前のサイズ制限で拒否され、対象ゲートを削除してもテストが成功し続ける「通るだけの回帰テスト」を発見。対策として、入力が対象経路へ到達することを明示的に検査する、性能の代理指標ではなく守りたい不変条件を直接検査する、意図的に分岐を壊して赤になるか確認するミューテーションテストの手法を紹介し、レビュー時のチェックリストも提示している。
HyprlandやNiri向けのQtベースツールキットQuickshellを使い、シェルスクリプトのコマンドにQMLでUIを付ける方法を紹介する記事。Processコンポーネントによるコマンド実行、Window/レイアウト/付属オブジェクト/シグナル/ステートといったQMLの基礎を解説し、最後にポモドーロタイマーの実装例を示している。
個人開発サービス「声の価格」の価格表にCloudFrontの共有キャッシュを導入した事例。ログイン状態で表示が変わるページを誤って共有すると別ユーザーに情報が漏れるため、WordPress側でGET/HEAD・対象パス完全一致・未ログイン・ページ・非404を満たすリクエストのみCache-Controlでpublic許可し、Set-Cookie発行時は共有キャッシュを避ける実装にしている。CloudFront側もCookieをキャッシュキーに含めてログイン中と匿名アクセスを分離し、min_ttl=0でオリジンのprivate/no-store指定を上書きしないようにしている。curlでのMiss/Hit確認とPHPUnitでの境界条件テストで動作を検証している。
複数サーバを行き来する環境で本番とローカルを誤認する事故を防ぐための対策集。プロンプトへの色付け、サーバごとのメモ記録、apt-mark showmanualやapt履歴での導入済みパッケージ調査、SSH config整理、rm前のfind確認やバックアップ・構文チェックなど、現在地の可視化と危険操作の防護を具体的な手順で紹介している。
オライリーのレポート「Training Site Reliability Engineers」を読んだ要点まとめ。組織の成熟度に応じたSREトレーニング手法（Sink or Swim〜体系的プログラム）、TMRプロトコルによる障害対応、心理的安全性とインポスター症候群への配慮、Sandbox環境やティーチバックを使った実践的学習、アンドラゴジー・ADDIEモデルに基づく設計原則、そしてトレーニングプログラム自体をSREの階層構造で継続的に改善していく考え方を紹介している。
クラスメソッドのAIデータ分析基盤kaimeiで、社内固有の業務知識を登録する「ビジネスナレッジ」機能を検証。ナレッジ0件では会計年度を一般的な4月始まりと誤って解釈し正解の約2.9倍の金額を回答、出荷遅延では聞くたびに判定基準が変わり結果が841件ぶれた。定義を1行登録すると両題材とも3回とも正解と一致する安定した結果になった。
Loglass AI IR新規事業のプロダクト開発責任者が、立ち上げ1年を振り返った記事。当初はデリバリー（実装量）がボトルネックと判断し、頭数を増やす代わりに自らマネジメントと並行して実装に入り、稼働の6〜7割をコーディングに充てるようになった。実装参加によりコードレベルでの深いマネジメントが可能になった一方、全体を俯瞰する役割が手薄になるトレードオフも発生。少人数・最小ルール・対面重視のチーム運営でスピードを維持しつつ、1年後はボトルネックがレビューとディスカバリーへ移行。レビュー負荷軽減のためAI出力の精度向上とタスク管理のGitHub集約、ディスカバリーでは本番相当コンポーネントを使ったcoded prototype導入で対応している。
Testcontainers上のPostgreSQLコンテナ内にスレッドごとのDatabaseを用意し、実DBを使ったテストを並列実行する基盤の設計事例。Schemaではなくデータベース単位で分離し、Migration済みTemplate DatabaseからCREATE DATABASE TEMPLATEで複製することでFlywayの実行を1回に抑え、テスト間のリセットはTRUNCATE+初期データ再投入（DROP&再作成より高速）を採用。pg_dumpで初期データを抽出する際のセッション設定混入やシーケンスのずれといった実装上のハマりどころも紹介している。
AIコーディングエージェントを日常的に使うPMが、AIの自信ありげな誤答や自作ツールの未活用を振り返り、「実物を見ずに断定していないか」「視野が狭くないか」「漏れはないか」「書いたのになぜ実行できなかったか」という4つの問いで疑う習慣が、AIにも自分自身の仕事にも有効だったと述べるエッセイ。
AIコーディングツールに丸投げすると技術負債と理解負債が溜まるという問題意識のもと、Issue作成からPRマージまでの開発フローを紹介する記事。grill-with-docsスキルで対話しながらGitHub Issueに要件を詳細化し、Claude Code（Fable 5）で実装計画を作成、自作のexplain-visuallyスキルで長大な計画を図解して人間がレビューし、Codex（GPT-5.6 Sol）で計画自体のレビューループを回してから実装・PR作成・レビュー・マージへ進む。計画段階のレビューに労力の9割以上を注ぐことが要点で、ハーネスや設計方針が整ったリポジトリに向く手法であり、常に使うわけではないとしている。
Terraformリポジトリを読み込んでAWS環境の構成図とWell-Architected Frameworkに基づくリスク検出を行うClaude Agent Skillを自作し、8ルートモジュール・49ファイル規模のサンプルリポジトリで検証した記事。構成解析と所見検出の工程を分離し、HTML生成前に本文とチェックリストの整合性を再確認する工程を加えることで見落としを減らせたと報告している。
環境変数は本来デプロイ環境ごとに値が異なるもの（DB接続先や認証情報など）に限定すべきで、環境間で変わらないAPIパスやパラメータなどはコードに書くべきだと主張する記事。何でも環境変数にすると変更漏れによる障害リスクが増えるほか、AIエージェントが機微情報保護のため.envを読めない設計になっている現状とも相性が悪いと指摘している。
ベテランエンジニアのPRレビュー187件を分類した結果、指摘の上位2領域で全体の33%を占め、バグ相当の指摘（値の正しさ・データ破壊防止）は20%（5件に1件）にとどまることが判明。またレビュー対象がバックエンド・モバイル・Webフロントかによって重視される観点のレイヤーが異なる傾向も報告されている。
CLAUDE.mdが気づかぬうちに肥大化する問題に対し、PostToolUseフックでファイルサイズを機械的に監視し、上限超過時にdocs/へ移動を促す仕組みを構築。導入前7日で170→378行(+181.8%)だった増加が、導入後7日で130→131行(+1.2%)に抑制された事例を紹介している。
Eストアーが運営する「ショップサーブ」で、2026年5月21日から8月1日にかけて外部の第三者がサーバ上に不正なプログラムを実行し、購入者情報を外部へ送信する不正アクセスが発生。8月1日の第1報に続き、8月2日に第2報として発表された。
IPAとJPCERT/CCが8月26日、OpenSSLの脆弱性をJVNで公表した。OpenSSL Projectは8月25日にSecurity Advisoryを公開しており、影響範囲・対策は同アドバイザリを参照する必要がある。
ロリポップ！AIホームページにおいて、AI生成Webサイトの品質を定量評価する仕組みを構築した事例。デザイナーの暗黙知を4カテゴリ・約170項目のルーブリックに言語化し、フルページキャプチャをLLM-as-a-Judgeで採点する「完成品スコア」と、テキストのみで判定できる7項目に絞り工程途中のJSON出力を評価する軽量な「工程スコア」の2種を整備。総合スコアはLLMではなくコード側で加重集計することで再現性を確保し、プロンプト改修の評価駆動開発ループやモデル移行時の品質ゲーティングに活用した。今後の課題として自動化・採点妥当性の検証・ばらつきの統計的扱いを挙げている。
MCPゲートウェイManifoldに、OPAサイドカーを用いたツール単位の認可機能を追加。ManifoldはPEP（強制のみ）、OPAはPDP（Rego judgeによる許可判定）として役割を分離し、tools/callは呼び出しごとに判定、tools/listは許可ツールのみに絞り込む。判定不能時は全て拒否するfail-closed設計を採用し、ポリシー作成者向け全ツールカタログAPIやテナント単位のバイパスヘッダーも実装。接続可否を扱う標準仕様EMA（Enterprise-Managed Authorization）とは効くレイヤーが異なり（EMA=サーバー単位・接続時、Manifold+OPA=ツール単位・リクエスト時）、両者は補完関係にあると位置づけている。
ベクトル検索インデックスのベンチマーク手法を解説する記事。HNSWとIVFの仕組み、recallとthroughputはセットで測る必要があること、ef_searchやM等のパラメータがトレードオフを生むこと、インデックスが使われず暗黙にフルスキャンへフォールバックする落とし穴、ビルド方式（incremental/bulk）の違いやフィルタ検索での正しいground truthの取り方など、公平な比較のために必要な計測設計と実装時に踏んだ落とし穴を詳細に説明している。
Go製Webフレームワーク「Popcorn Web」を作りつつ、AIエージェント向けのナレッジ中心設計手法を実践した記事。GoogleのOKF（Open Knowledge Format）を参考に、設計情報をobjective/concept/interfaceなどの型に分類しYAML中心のMarkdownで細分化して管理するスキルを自作。ソースコードではなくナレッジをSSoTとし、AIがそこから実装・フィードバックを行うワークフローを構築した。popcornweb/tinybind-go/tinygodriverの3リポジトリに分けて開発し、リポジトリ間の連携は提案書をAIに作らせて相手側ナレッジに評価させる方式を採用。あえて同じモデルを対立させることで設計を洗練させる効果があった一方、過去の決定記録は言い合いの火種になりノイズだったと述べている。
ClaudeCodeを日常的に使う中で、複数セッションの停止状況を見落としたり、作業許諾を確認せず承認してしまう癖がついた反省から、自分自身を信用しないための個人用セキュリティ監視ダッシュボードを作成した記事。
issueを幹にpull requestを枝先へぶら下げてタスク全体像をグラフ表示するGitHub CLI拡張gh-issue-graphの紹介記事。gh api graphql経由でトークンを外部に出さずサードパーティ依存なしで実装されており、closes/refs/推測の3種類の線でissueとPRの紐付けの確からしさを描き分ける。assigned/authored/mentioned/to reviewでの検索、sub-issueツリーの畳み込み、本文をその場で読めるパネル表示、閉じ忘れ回収バッジ（wrap up）や着手可能issueバッジ（ready）などの機能を備える。gh-pr-graphからアイデアを得て作られた。
本文取得に失敗しナビゲーション情報のみが得られたため詳細不明。タイトルから、参加者が自然と夢中になる状態を意図的に設計するワークショップデザインの手法や舞台裏を紹介するIIJ Engineers Blogの記事と推測される。
アソビューCTOが、AIによって開発コストが下がる中でエンジニアリングのボトルネックが「作れるか」から「何を検証しプロダクトに残すか」へ移動していると論じる記事。社内の座席指定チケットシステム連携事例では、担当エンジニアがAIに技術実装を任せてPdM・デザイナー・マーケ領域を主体的に担い、数年放置されていた案件を2〜3営業日でリリースした。一方、宿泊・レジャー業界の人手不足という市場背景も紹介し、AIに代替できない「顧客の本当の課題を掴む力」の重要性を強調。AIを活かす組織には承認権限の分散・自動検証・現場の一次情報を渡す仕組みと、職種の垣根を越える文化的土台が必要だと結論づけている。
GitLab 19.3では、AIエージェント型ワークロードに対する制御機能を強化。GitLab Dedicated向けAIゲートウェイでデータ所在地・分離ルールをエージェントにも適用し、GitLab Secrets Managerをリミテッド提供してCIシークレットの適用範囲を細かく設定可能にした（Kubernetes/Terraform/OpenTofu対応追加）。さらにSAST検出結果の一括誤検出判定・一括修正、自然言語でフローを生成するFlow Creatorエージェント、GitLabクレジットの利用上限機能、グループ単位のカスタムエージェント公開範囲制限も提供する。エージェントの高速化に加え、権限・コスト・データ所在地の制御を強めた点が特徴。
Linux Foundation傘下のAgentic AI Foundation（AAIF）がMCP（Model Context Protocol）の新ロードマップを発表した。今後はAIエージェント向けメッセージング機能の強化、通信方式のHTTPネイティブへの統一、AIエージェント自身のアイデンティティ管理とエンタープライズ向けセキュリティの実装、ツール呼び出し・発見の簡素化、SDKの開発者体験改善の5分野に注力する方針。
AWSアクセスキーは有効期限がなく漏洩時の被害が大きいため、開発者はaws login、AWSリソースはIAMロール、CI/CDはOIDC、外部サーバーはIAM Roles Anywhereといった一時クレデンシャルへの移行を提案。移行できない場合の対策として、gitleaksやPush Protectionによる予防、最小権限やローテーションによる防御、GuardDutyによる検知という3段構えの防御策と、漏洩時は即座に無効化すべきことを解説している。
GitHubブログの記事。LLMを本番導入する前の評価手法について、secret scanningの誤検知削減事例をもとに解説。ベンチマークだけでなく製品判断の明確化、オフライン評価の統合テスト的運用、本番環境に近いデータ構成、production labelの信頼性検証、synthetic/公開データによるカバレッジ補完、エラー分析、LLM-as-judgeによる人手レビューの絞り込みという8つの実践知を紹介している。
Claude Code v2.1.221（2026-08-03）以降、auto modeやbypass permissions mode有効時にRead/Edit/WriteよりBashのcat/sed等を優先させる指示がシステムプロンプトに無告知で追加されていたことをバイナリgrepで実測した記事。changelogや公式ドキュメントに記載がなく、/rewindの追跡対象外になる不具合やsedによるデータ損失などの実害もGitHub issueで報告されている。
CLIツールのデモGIF作成に、ターミナル操作をコードとして記述できるcharmbracelet製ツールVHSを使うと便利という記事。tapeファイルにキー操作とSleepを並べるだけでGIFを生成でき、Hide/Showで不要な準備部分を録画から隠せる。操作がコード化されているためAIに丸ごと作成・修正を任せられる点も利点として紹介している。
DataRobot Japanの筆者が「AIの民主化」の言い出しっぺとして、この標語を終わりにすべきと主張する記事。AutoML時代は専門家と非専門家の生産性差が1対5程度で、リスクの低い領域なら70点のモデルでも価値が出たため民主化が成立した。一方AIエージェント時代は差が1対100〜1000に開き、合格ラインは80点以上に上がったのに非専門家の初期値は30点程度に下がり、例外処理・セキュリティ・評価基盤・トークンコスト設計などソフトウェア工学の知識が必須になった。YouTube黎明期の「クリエイターと視聴者への役割分離」を補助線に、ドメイン知識は現場との会話で専門家が吸い上げれば足り、現場を開発者に仕立てる必要はないと論じる。結論として「AIの民主化」から、専門家組織（CoE）が開発とガバナンスを担い現場は使い手としてスケールする「AIの組織化」への転換を提言している。
IaC検出ツールの精度をprecision/recallで定量評価する手法の紹介。ラベル付きフィクスチャ（bad.tf/good.tf/labels.json）を用意し、特にgood.tfに「一見あやしいが正常」な紛らわしいケース（443限定の全公開、社内レンジ向けSSH開放、暗号化済みgp3ボリューム、スコープされたIAMポリシー等）を仕込むことで誤検知（false positive）を検出可能にする。検出結果と正解を突き合わせてprecision/recallを算出し、しきい値割れでCIを失敗させる仕組み。
AIエージェントを24時間稼働させる「常時ぶん回し」が礼賛される風潮に対し、コスト構造（高品質モデルはAPI課金で破綻、安価モデルは手戻りコストで破綻）と設計思想（無駄な処理を回さないのが良い設計、動的オーケストレーションの欠如）の両面から疑問を呈する記事。さらにプロダクト開発の本質的ボトルネックは「作ること」ではなく「使われること」にあり、レベルデザインやエッジケース対応、マーケティングやSEOなど人間の判断が必要な工程は自動化できないと指摘し、AIを常時稼働させる発信の多くはリリース後の泥臭い工程を省いているだけではないかと論じている。
フロントエンド開発用テンプレートリポジトリ next-template の設定紹介。pnpm のサプライチェーン攻撃対策（minimumReleaseAge 等）、TypeScript 7.0 strict 追加設定、Oxlint/Oxfmt、ls-lint、Knip、Lefthook、GitHub Actions の SHA 固定、Dependabot cooldown、Next.js 16 の Cache Components、Playwright、AGENTS.md でのエージェント運用ルールなど、AI コーディングエージェント時代を意識したツールチェイン構成をまとめている。
CyberAgentのインターン記事。AI Worker PlatformのDev/Stage環境ドメイン移行を担当し、DNS・TLS証明書・GatewayなどインフラからCookie・CORS・外部URLなどアプリ層まで値の流れを追跡。Zitadel認証でRedirect URIのワイルドカード登録がOrigin拒否を招いた事例や、CDN設定の新旧共存の困難さ、Terraformリソース名の63文字上限超過による証明書作成失敗など、移行途中の状態設計の重要性を学んだ体験記。
Claude Codeのサブエージェントが43本まで増えて破綻したため、agentから「観点(lens/persona)」を切り離し、実行環境(モデル・ツール・権限)だけを持つ「器」として汎用化する設計に移行した記事。観点ファイルのパスを呼び出し側から渡す形にすることで、agent数を8本(+特化3本)まで削減し、起動時のdescription容量を7,318字から1,604字に圧縮。公式ドキュメントとの整合性も検証し、「2つ目の呼び出し元が同じ観点を欲しがるか」を人格を本文に焼き込むか外部ファイル化するかの判断基準として提示している。
プロジェクトに星座や植物などの「コードネーム」をつける手法をヌーラボのチーム事例で紹介する記事。命名の工夫（機能の比喩になる身近な題材を選ぶ）、コミュニケーション簡略化やチームの一体感醸成といったメリット、初見でわからないというデメリットとその対策（由来をドキュメント冒頭に明記、恥ずかしがらず呼び続ける）を説明し、命名を始める3ステップを提案している。
AIエージェントを使った開発フローを「ループエンジニアリング」の観点で評価し直した実践記録。人間が都度承認する従来フローはAutomations項目でF評価となり、評価観点と評価基準の混同、状態遷移への人間確認ステータス欠如、承認の一律化、仕事の自律発見の欠如といった問題を指摘された。可逆性と影響範囲の2軸で人間確認の要否を仕分け、機械的な合格/停止基準を導入し、エージェントの自己申告に頼らず客観的な検証を重視する方針に転換。学びを組み込んだ開発キットを試作しAutomations評価はB相当まで改善したという内容。
.envファイルによる環境変数管理の基礎を解説する記事。機密情報の漏洩防止と設定値の環境ごとの切り替えという2つの理由から、DB接続情報やAPIキーをコードから分離すべきだと説明している。
Podman の基本を解説する連載記事。デーモンレスかつ root 権限不要という Docker との違いを説明し、podman pull/run/rm によるコンテナ取得・起動・削除の基本操作をコマンド例付きで紹介。cgroup 関連のエラー対処法にも触れている。
AJA DSPでは、AIエージェントに本番環境の操作を任せる範囲が広がる中、Editor/Admin等の強権限を定常付与する従来運用のリスクを見直し、Google Cloud PAM（Privileged Access Manager）によるJust-In-Time権限昇格へ移行した。作業目的ごとにentitlementをTerraformで管理し、申請・承認・自動剥奪のフローを整備。定常権限はViewerと最低限の参照・実行権限に絞り、書き込み・管理権限はPAM経由の一時付与に限定した。移行により「調査はできるが変更はできない」境界が明確になり心理的安全性が向上したほか、申請理由の言語化がチームのナレッジ蓄積にもつながった。一方でSlack通知に申請理由が表示されずConsoleでの承認操作が煩雑という課題も残る。
テクニカルサポート業務にAIエージェントを活用してきた著者が、5ヶ月間の運用を振り返り、自動化の線引きについて考察。参照元が明確で答えが一意に決まる仕様回答は自動化を進められる一方、ログやコードから「なぜこうなったか」を組み立てて説明するテクサポ調査は、事実収集はAIに任せられても、説明の組み立てや相手のニーズに合わせた回答作成は人間の判断が必要と結論づけている。
Web開発ではCRUD/ActiveRecordの成功、画面起点の開発、事業の不確実性、モデリングの難しさという4つの要因からドメインが軽視されがちだが、変更理由の整合・語彙とデータモデルの一貫性・整合性境界の明確化という点でドメイン単位の境界設計には利点がある。初期はCRUDで速度を優先しつつ、リファクタリングへ移行するトリガーをあらかじめ合意しておくことが重要だと論じている。
SREのGuardDutyアラート対応負荷を減らすため、Claude TagとAmazon GuardDuty Investigation Agentを組み合わせて一次トリアージを自動化した事例。Claude Tagがオーケストレーション役となりInvestigation Agentの弱点（対応アラート種別の少なさ、アカウント横断調査不可）をFindings APIの横断検索で補い、Slackスレッドで調査結果を報告する構成。コストはAWS側はプレビュー無料、Claude Tagは1解析$3〜4程度。委任管理者detector活用やプロンプト設計上の学びも紹介。
GitHubで2024年8月17日に発生した大規模障害の公式ポストモーテムを解説する記事。データベースの過負荷が接続プールの枯渇を招き、依存サービスへカスケード的にダウンタイムが拡散した経緯を整理し、サーキットブレーカーパターンのPython実装例と、自社の障害分析にLLMを活用するプロンプト例を紹介している。
パスワードのハッシュ値が漏洩した際に何が起こりうるかを整理した記事。ハッシュ自体は不可逆でも、salt無しや弱いハッシュ関数の場合はレインボーテーブルや総当たり攻撃で元のパスワードが復元されうる点を解説し、saltの役割や耐性のあるハッシュ化方式の重要性をまとめている。
『ソフトウェアアーキテクチャの基礎』が示す「知識のピラミッド」（知っていること／知らないことを知っていること／知らないことを知らないこと）を軸に、アーキテクトに求められる技術の幅の広げ方を考察する記事。開発者は頂点の専門性（深さ）を掘り下げがちだが、アーキテクトへの成長には中間層（幅）を広げることが重要で、AI時代は0→1やAIに代替されない設計経験の価値が上がるとし、資格試験や日々の情報収集を幅を広げる手段として位置づけている。