@phonogram のVPoEをしています。Web開発（React / Laravel等）もやります。Codex / Claude Code / Cursorなど気になったことや学んだことを投稿しています。Agentic Coding楽しい！
広島県
Joined August 2010
- Tweets1.8K
- Following2.7K
- Followers2.9K
- Likes157K
Node.js 26がLTSになりましたね。24系を使っているプロジェクトは26に移行していこうと思います！
Node.js 26 “Lithium” is now Long Term Support 🎉
v26.13.0 is out, with updates through April 2029.
Heads-up for Linux users coming from an earlier LTS: libatomic may need to be installed separately.
nodejs.org/en/blog/release/v…
どこホスティングを WebMCP 対応しました！ChatGPT デスクトップアプリの Codex / Work の内臓ブラウザが試しやすいかと思います。まだ実験機能なのでそんなに実用的ではないです！
ようやく「どこホスティング」のサイトを公開しました！Chrome拡張に加えてWebからも使えるようになりました。URLを入力するとXServer、さくらなどのホスティング先を推定してくれます。Webディレクターさんにおすすめです。PHP2Shell対応のときにも活躍してくれました！
doko-hosting.com
WebMCPはChrome DevToolsからもテストできます。仕組みを知りたい方は↑を触ってみてください！
You registered a WebMCP tool, but does the browser actually see it with the name, description, schema, and in the state you intended?
In Chrome DevTools, Application > WebMCP shows the tools your page exposes and lets you test them.
@kaskulikowski walks you through it ⤵️
WordPressに緊急度の高いセキュリティアップデートが公開されています。CVSS 9.0のリモートコード実行（RCE）などが含まれています。攻撃できるタイミングがWordPress更新中の短時間に限られるようですが、即時更新が推奨されています。
WordPress 7.1.4 is now available. This security release fixes multiple issues, and site owners should update immediately. Update from the WordPress Dashboard or download the release. wp.me/pZhYe-5Ha
今回のXServerとさくらインターネットのPHP修正対応はありがたかったですね。ただ、古いバージョンで再稼働できるようになったことで、お客さまにこのままでも大丈夫と受け取られ見直す必要性を感じにくくさせてしまっているような気もしています…！
Codex CLI v0.165.0で、会話途中にeffortを変更してもプロンプトキャッシュの無効化を抑えられるreasoning_effort_overrideがデフォルトで有効になったようです。対応モデルは6 Astra、6.1 Sol、6.1 Terraです。19日目の改善がようやく入りましたね！
github.com/openai/codex/rele…
セキュリティ投資不足のツケを払っている面はあると思いますし、エンジニアの需要がなくならないことも同感です。ただ、サービスやサイトは関わるエンジニアの手が届く範囲だけで成り立っているものではないですし、今のAIの進化の速さをみているとそこまで楽観的には考えられません。
AIの進化によるサイバー攻撃の激増で「インターネットが壊れかけている」みたいな恐怖や絶望に襲われている人もいらっしゃるようですが、エンジニア観点だと全然違うんですよね。
いま壊れているのは基本的に「セキュリティ周りに十分な投資をしてこなかった企業さんのサービス」でありまして、優秀なエンジニアにしっかりお金を払ってモダンな構成を維持して脆弱性対策をしてきた企業さんのサービスは大きな被害は受けていないわけです。
「KADOKAWAやGMOもやられているじゃないか」という意見もあるかと思いますが、それらの企業さんは「優秀なエンジニアは一定数在籍しているもののセキュリティ対応を先送りにし続けてきた」ツケを今払わされている企業さんなんですよね。
なのでモダンな環境で働いているエンジニアからすると
「目立ちたがりで外見を飾ることばかりにお金を使ってきたお城が次々と攻め落とされているが、守り固めにしっかり投資してきた自分たちの城はほぼ盤石なので、他の城が陥落していくことに関しては"自業自得"としか思っていない」
という感じなんですよね。
そしてサイバー攻撃が増えれば増えるほど、セキュリティ周りの知見に強みを持つタイプのエンジニアの需要は高まるので、恐怖よりも「人材価値が勝手に高くなりそうだから嬉しいな」と思ってるエンジニアの方が多いと思います笑😁
Downloadsフォルダに限らず、信頼できないファイルが紛れ込んでいる可能性のある場所で Claude Code / Codex を開くと、悪意のある AGENTS.md / CLAUDE.md の指示に従ってしまいます。外部コンテンツ（テキストファイルなのでセキュリティ対策ツールで発見しにくい）がAIの実行権限で処理されてしまうリスクがあることを理解して使う必要がありますね！
千万别在你的 ~/Downloads（下载）文件夹里启动 Claude Code 或 Codex。
昨天安全机构 Forever 披露了一起在真实客户电脑上抓到的野生攻击，看完只能感叹：过去 30 年的系统安全常识，在 AI 时代归零了。
过去 30 年，Chrome 默认允许网页不弹窗就往你的 ~/Downloads 塞一个纯文本文件（比如 .md）。因为系统认为：纯文本又不是 .exe，自己不会跑，怕什么？
但现在，接近 50% 的开发者干过同一件事——直接在 ~/Downloads 里打开 Claude Code 或 Codex，让 AI 帮自己解压或整理刚下载的文件。
黑客就是卡住这个死角，通过网页静默下载往你的 Downloads 塞一个 13KB 的纯文本 AGENTS.md / CLAUDE.md：
1. 对付 OpenAI Codex（成功率 >90%）：
伪装成「工程规范」的 Markdown 指示 Codex 先往全局配置 ~/.codex/config.toml 注册一个恶意 MCP 服务，并自己加上 --dangerously-bypass-approvals-and-sandbox 跑校验。哪怕你关掉 Downloads，以后在任何正经项目里开 Codex 都会自动加载木马。
2. 对付 Claude Code（成功率 ~50%）：
指示 Claude 建一个 .claude/settings.json，把 ANTHROPIC_BASE_URL 指向黑客服务器。连上的第一秒，你的 Claude 登录 Token 直接明文送给黑客；下一秒，黑客假扮成大模型下发一条关沙盒的 Bash 指令，直接接管电脑。
最黑色幽默的是官方结论：
这个洞没有 CVE，OpenAI 和 Anthropic 也不会发补丁。因为「浏览器自动存文本」是正常功能，「AI 认真读目录下的 Markdown 并严格执行」也是正常功能。
以前黑客想黑你，得苦心积虑写 0day；现在只需要写一篇排版优雅的 Markdown 小作文，你的 AI 就会自己把沙盒关了、把网线接过去、顺手把账号双手奉上。
会社が生成AIを禁止しても効率化したい人は個人アカウントで使い、かえって情報漏えいリスクが高まるという記事です。開発でも外部委託先などで起こりうる（多分起きている）ので、対応を先延ばしにせず、安全に使える環境を整えていくことが大事ですね！
社内で禁止されている外部の生成AIに社内情報を入れてしまう件に関連して。
米国の調査では働く人の59%が仕事で私用のAIアカウントを使い、そのうち71%が勤め先から見えないツールに機密を入れた経験があるそうです。
ほか、人の振り見て我が振り直せと言わんばかりの調査結果が目白押しです。
ai-data-base.com/archives/14…
Google Drive / Google DocsがMarkdownに対応しています。去年までは想像もしていませんでしたが、社内では開発者以外の人もMarkdownを使うようになってきているのでこういう機能があると助かります！
Native Markdown support is available across @GoogleDrive & @GoogleDocs. 🚀 Preview .md files directly in Drive, open and edit them in Docs, and collaborate in real time—all without converting your files. 👉 goo.gle/3W2dMbe
GPT-6.1 Terraが公開されました。API料金はGPT-6.1 Solの半額で、速度とコストを重視したモデルという位置付けのようです。Sonnet 5.5みたいな感じですかね？今日はTerraを使ってみようと思います！
Web版を触ってみてくださった方ありがとうございます！AI開発の勉強も兼ねて判定精度と表示速度をちまちま改善していきます。個人開発ですがコストもドメイン費用くらいなので持続性もあるはずです。今後もぜひ使ってあげてください🙏
ようやく「どこホスティング」のサイトを公開しました！Chrome拡張に加えてWebからも使えるようになりました。URLを入力するとXServer、さくらなどのホスティング先を推定してくれます。Webディレクターさんにおすすめです。PHP2Shell対応のときにも活躍してくれました！
doko-hosting.com
Codex 0.164.0で、推論トークンの二重カウントが原因でコンテキストが早く自動圧縮されてしまう不具合が修正されています。GPT-6.1-Solで頻繁に圧縮されて困っている方はアップデートすると改善するかもしれません。
github.com/openai/codex/pull…
