Osamu MATSUMOTO retweeted
Chromeのレビューや開発に使ってる限りでもAIの指摘はまだ2〜3割は間違ってる。それも、数十のサブエージェントを使い6段のパイプラインで様々なチェックリストを使って検証して出した結果がそのレベル。
もちろん調査とかは爆速だけど、そこから出てくる仮説はまだまだだし、そもそもコンテキストが僕らと比べたらあまりにも小さすぎる。必要な情報が綺麗にコンテキストに揃った時しか正しい判断はできないのに、必要な情報が乗り切らないどころか、正しく集めることすら難しい。
AIを使って成果が出てるのは、本当の専門家が横について粗い回答について不審な点を洗い出し、この件は考慮した？あの話は知ってる？って質問詰めにしてコンテキストを煮詰めてあげるから出てくるのであって、AI自身の力で言えば、単にモノを沢山しっていて作業が速い……当初と変わらずそれだけってのが現実。作ったものが動かないんだ、客観的なデータだよね。
もし本当にAIの方が凄けりゃAnthropicから送られてくるパッチは非の打ち所がないはず。でも、全然そんな事はない。本当にAIの方が凄けりゃバグを見つけるだけでなく完璧に直してくれるはず。でも一番難しいバグを直すのは僕らだ。
来年のことはわからないけど、少なくとも今の最前線の現場はそんな感じ。たくさんのシニアが質の低い生成コードのレビューに悩まされてburn outしてる。
もちろん調査とかは爆速だけど、そこから出てくる仮説はまだまだだし、そもそもコンテキストが僕らと比べたらあまりにも小さすぎる。必要な情報が綺麗にコンテキストに揃った時しか正しい判断はできないのに、必要な情報が乗り切らないどころか、正しく集めることすら難しい。
AIを使って成果が出てるのは、本当の専門家が横について粗い回答について不審な点を洗い出し、この件は考慮した？あの話は知ってる？って質問詰めにしてコンテキストを煮詰めてあげるから出てくるのであって、AI自身の力で言えば、単にモノを沢山しっていて作業が速い……当初と変わらずそれだけってのが現実。作ったものが動かないんだ、客観的なデータだよね。
もし本当にAIの方が凄けりゃAnthropicから送られてくるパッチは非の打ち所がないはず。でも、全然そんな事はない。本当にAIの方が凄けりゃバグを見つけるだけでなく完璧に直してくれるはず。でも一番難しいバグを直すのは僕らだ。
来年のことはわからないけど、少なくとも今の最前線の現場はそんな感じ。たくさんのシニアが質の低い生成コードのレビューに悩まされてburn outしてる。
少なくとも、自分の専門領域においては、AIよりも賢いと信じたいのは分かるけど、もはや幻想のような気がする。
たとえば、僕が読んだRFCの数は多いが、AIは全部読んでる。
プロトコルの仕様に関する領域でさえ、僕はもうAIに勝てない。
6
119
431
57,733
Osamu MATSUMOTO retweeted
Chromeは春には対処してるんで殆どのユーザーには影響ないはず。元々はChromeのCIがfuzzingで見つけたんで、何となく消えて無くなったバグではないですね。
もし放置されてたらNetwork Serviceやcast用のutility processの乗っ取りが出来たわけだけど、その際の権限昇格のパスも今はだいぶ厳しく制限するように直してます（僕も大きいのはいくつか直した）。
もし放置されてたらNetwork Serviceやcast用のutility processの乗っ取りが出来たわけだけど、その際の権限昇格のパスも今はだいぶ厳しく制限するように直してます（僕も大きいのはいくつか直した）。
During this red-teaming exercise, we also found a vulnerability that allows for unauthenticated remote code execution in Brotli, a widely-deployed compression library included in many pieces of software such as Node.js, Bun, and Envoy.
The flaw could let an attacker run their own code on affected systems by sending or replying with malicious compressed data, without any need to create a user account. That is, an unpatched server that accepts compressed input could be taken over by a malicious client, and an unpatched client that accepts compressed input (such as “curl --compressed”) could be taken over by a malicious server.
This root cause issue was actually fixed in the Brotli source code in February, but it wasn’t known at the time that it gave rise to a security vulnerability and there was no more recent release of Brotli. Since Brotli is built into other software, any software which includes this library needs to take the update too, followed by the users of that software. We disclosed the vulnerability to Brotli and other downstream projects such as Node.js, which released or are currently releasing security updates, and Brotli cut new release versions and published a CVE.
More details on the patch and mitigations below:
patchtheplanet.org/brotli
1
16
68
9,660
脆弱性の公表に驚き過ぎなんじゃないか？ｗ
bindの脆弱性なんて前からずーっと大量にあったし、今回のGSS-TSIGとか外部向け権威サーバでは使わんだろうし、社内DNSでもレアなんじゃないか？
bindの脆弱性なんて前からずーっと大量にあったし、今回のGSS-TSIGとか外部向け権威サーバでは使わんだろうし、社内DNSでもレアなんじゃないか？
0
0
1
86
たとえば、個人情報を登録するECサイトは、なんらかの公的機関への登録制となって維持のための費用を払う必要がある。登録されたサイトはAI脆弱性診断が定期的に行われ、なんかったら指摘を受け、直さなかったら登録解除。的な未来あるかな。
1
0
0
124
IDCFのゾーン名、変に凝ってるけど、いらん認知負荷だろーw。コード、監視、ドキュメントなど各所にその名前を綴る気持ちを考えてほしいねw
しかし、運用チーム大変だろうなぁ。。。基盤がvCenterだもんなぁ。
しかし、運用チーム大変だろうなぁ。。。基盤がvCenterだもんなぁ。
0
0
4
435
Osamu MATSUMOTO retweeted
AI型ハッキングに使われたのは、
脆弱性を探す「Strix」、
侵入作業を進める「Cairn」、
全体を管理する「Hermes」という3種類のAIツールで、
「脆弱性レポートを見てから始めて」「管理画面に入って」といった短い指示を出し、その後探索の多くをAIに任せるだけで完結した。
数百店のEC店を攻撃、
2026年9月10～15日だけでも105件の攻撃プロジェクトが実行され、少なくとも27社へ侵入。2社から流出した60万件超のクレカ情報。
さらに27の攻撃対象のうち19サイトには、決済画面からカード情報を盗む不正スクリプトが仕込まれていた。
101件にかかったAI利用料は1社あたり平均25.46ドルだった。攻撃対象を絞り込むコストが大幅に下がったことで、セキュリティホールから、逆算して攻撃されていると推察される。
以上、セキュリティ企業Gambit Securityからの報告。
脆弱性を探す「Strix」、
侵入作業を進める「Cairn」、
全体を管理する「Hermes」という3種類のAIツールで、
「脆弱性レポートを見てから始めて」「管理画面に入って」といった短い指示を出し、その後探索の多くをAIに任せるだけで完結した。
数百店のEC店を攻撃、
2026年9月10～15日だけでも105件の攻撃プロジェクトが実行され、少なくとも27社へ侵入。2社から流出した60万件超のクレカ情報。
さらに27の攻撃対象のうち19サイトには、決済画面からカード情報を盗む不正スクリプトが仕込まれていた。
101件にかかったAI利用料は1社あたり平均25.46ドルだった。攻撃対象を絞り込むコストが大幅に下がったことで、セキュリティホールから、逆算して攻撃されていると推察される。
以上、セキュリティ企業Gambit Securityからの報告。
AIでサイバー攻撃のコスト激減 数行の指示だけで27社に侵入、カード情報60万件超が流出 weekly.ascii.jp/elem/000/004/4…
24
3,756
7,783
983,905
久しぶりにバイクに乗ろうとしたらバッテリーあがってて、「バイク買ってから交換してないしなぁ〜」とAmazonで買い、古いのを外したところで２年前に交換したという過去を思い出した。メンテナンス記録簿をみるとDIY交換って書いてた、先に言ってよ〜案件。で復活したバイクで向かったのは近所のツルハドラッグとw またあがるな。
0
0
7
339
Cloudflare OSを読んだところ、capnwebっていうwebsocketベースのrpcの便利さと、Durable Object FacetsのAI generated App + sqlite hostingにめんくらった。AI時代にフィットしてる。信頼できないコードをVMMでなくV8 Isolateでやるっていう発想の延長でこうなるんだぁ、と感心しちゃたよ。
0
0
0
427
Osamu MATSUMOTO retweeted
「AIで業務を効率化したい」と最近お声掛けいただく機会が多いんですが、その度に思うことがあるので書きました。
地方中堅・中小企業の方々に届くといいなーと思ってます。 x.com/i/article/2092…
地方中堅・中小企業の方々に届くといいなーと思ってます。 x.com/i/article/2092…
2
9
39
5,410
RT @shinshin2715: 【DXは若手採用に効果があるのか】
今年、南都技研に計3名が入社しました。
新卒と既卒の若手2名、DX専任者1名です。
今回は若手2名の採用に着目します。
この若手2名を惹きつけたのはDXではありませんでした。
ただ、DXが連鎖的な若手採…
今年、南都技研に計3名が入社しました。
新卒と既卒の若手2名、DX専任者1名です。
今回は若手2名の採用に着目します。
この若手2名を惹きつけたのはDXではありませんでした。
ただ、DXが連鎖的な若手採…
0
6
0
vercelのportlessがほぼ同じアイディアやん。ということで、いったん`localapp run -- <server program>`形式をサポート。tailscale serveもしたい。
AIで複数のプロダクトを並行開発をしていると、localhostのポート番号管理が面倒になる。ということで、DNS付きリバースプロキシー with 証明書自動発行を作った。 ってか誰かやってるやろう〜とは思うw
github.com/osamu/localapp
0
0
2
697
AIで複数のプロダクトを並行開発をしていると、localhostのポート番号管理が面倒になる。ということで、DNS付きリバースプロキシー with 証明書自動発行を作った。 ってか誰かやってるやろう〜とは思うw
github.com/osamu/localapp
github.com/osamu/localapp
1
0
4
983
firecracker/containerdのような技術基盤が短命の計算ホスティングとなり、Agent向けのsandboxサービスが増えている。区分された計算リソースを使う主体がアプリケーション本体ではなく、ユーザーのセッション単位になってきてる。AIが使われれば、明らかに後者の方が圧倒的ボリュームになっていく。
1
0
4
228
アプリケーションホスティングにはなかった要件として、Agentにはファイルの永続化、操作が必要。だからsandboxはストレージサービスと一体となる必要がある。そして、高速にforkするとか、CoWするとか、restoreするみたいな機能が重要。アプリ屋にはHevyすぎて、よりクラウド重要となる。
0
0
1
138
Osamu MATSUMOTO retweeted
Chromeは149と150だけで1072件ものセキュリティバグを修正しました。その背景には、AIによる自動化の進化があります。
Chromeチームでは今や、脆弱性の発見からトリアージ、修正、さらにはテストコードの作成まで、Gemini AIを組み込んだマルチエージェントが開発パイプラインの中で自動処理を行っています。
リリース後の「パッチギャップ」を縮めるため、再起動なしでバックグラウンドプロセスを更新する「ダイナミックパッチ」の研究や、macOSでの自動再起動など、ユーザー体験を損なわないアップデート手法も進行中です。もちろん、C++コードのspanificationやRustへの移行といった、根本的なメモリ安全性の向上も並行して進められています。
防御側のAI活用で進化し続けるChromeのセキュリティ戦略（東京のChrome開発チームも大きく貢献してます！）詳細をぜひこちらからご覧ください。 blog.google/security/chrom…
Chromeチームでは今や、脆弱性の発見からトリアージ、修正、さらにはテストコードの作成まで、Gemini AIを組み込んだマルチエージェントが開発パイプラインの中で自動処理を行っています。
リリース後の「パッチギャップ」を縮めるため、再起動なしでバックグラウンドプロセスを更新する「ダイナミックパッチ」の研究や、macOSでの自動再起動など、ユーザー体験を損なわないアップデート手法も進行中です。もちろん、C++コードのspanificationやRustへの移行といった、根本的なメモリ安全性の向上も並行して進められています。
防御側のAI活用で進化し続けるChromeのセキュリティ戦略（東京のChrome開発チームも大きく貢献してます！）詳細をぜひこちらからご覧ください。 blog.google/security/chrom…
0
21
57
5,684
すばらしい資料でした。
コードに対する事業価値の濃度の重要性。やりすぎなマイクロサービスとか、広げすぎたFatなインフラとかにならないよう、価値創出と保守運用の割合を考えるべき。同じ価値創出のためにコード総量が多くなっているとしたらなんか変。
speakerdeck.com/recruitenginee…
コードに対する事業価値の濃度の重要性。やりすぎなマイクロサービスとか、広げすぎたFatなインフラとかにならないよう、価値創出と保守運用の割合を考えるべき。同じ価値創出のためにコード総量が多くなっているとしたらなんか変。
speakerdeck.com/recruitenginee…
0
0
1
216