rengotaku

AIエージェントは3回に1回失敗する前提で導入する

参考: The 2026 AI Index Report まとめ OSWorldでのAIエージェントの成功率は約12%から66.3%まで伸びた それでも、構造化された評価で約3回に1回は失敗する 導入初期は、結果を確認できて、失敗から戻せる業務に絞る 正答率だけでなく、確認時間、修正時間、復旧の成否まで測る AIエージェントは、質問に答えるだけでなく、画面やファイ...

「伝えればすむ」という誤解 — バグ対応でPdMとエンジニアがすれ違う理由

まとめ 既知の軽微なバグを抱えたままリリースするか、という判断で、PdMとエンジニアは根本的にすれ違う。 エンジニアは「顧客に伝えればすむ」と考えがちだが、それは判断を顧客に丸投げしているだけで、返ってくる答えは「直してから出して」に決まっている。 PdMは基幹ドメインを「確率に関わらず越えてはいけない一線」として見ている。エンジニアはその一線の高さが見えず、発生確率で語って...

マルチ環境のCPUアーキテクチャ・ドリフト: Intelに戻すかGravitonに前進するか

まとめ マネージドサービスのエンジンパッチ識別子が arm と intel に割れていたのが発端。これはインスタンスタイプ(node_type)のCPUアーキの写像で、AWSとしては正常挙動だった 本当の問題はパッチではなく、環境間でCPUアーキと世代がずれていたこと。しかも本番だけが数世代前のIntel系に据え置かれていた 揃える方向は「本番をGravitonに前進させる」...

レビュー不能なPRを出す人の心理と、レビュアー側の防衛策

まとめ PR本文が空(テンプレのプレースホルダーのまま)のPRは、レビュアーが判断材料を持てないので「レビュー不能」になる 原因は能力ではなく「受け手視点の欠落」。作者は文脈を全部持っているので、書く必要を感じない(知識の呪い) 変更が大きいほど本文の説明が要るのに、この型の人は規模が変わっても本文を書かない。むしろ悪化する 個人へのフィードバックより「動作確認・チェック...

意見を求めた相手に理由を隠すと、決定より伝え方で人は怒る

まとめ 誰かに意見を求めた時点で、その人は「相談された当事者」になる。当事者には判断材料を対称に渡すのが原則 人が本気で怒るのは決定内容そのものより、核心を伏せたまま意見だけ求められる伝え方の非対称に対してだった センシティブな理由は集団の場ではぼかしてよい。ただし当事者には別で1対1の本音を渡す、という二段構えが要る 又聞きで届く前に自分の口から渡す。噂は途中で色が付く...

AIエージェントは、コンテキストに載った情報を全部「等しく真」として扱う

まとめ AIエージェントは、いま確かめた事実と、キャッシュから読み込んだだけの古い記述を、コンテキスト上で区別しない。どっちも同じ重さの「真」に見えてる。 だから古い情報をそのまま使うのは「確認が面倒」だからじゃない。古いかもしれないという目印がデータに付いてないので、確認する必要自体を感じてない。 「必ず最新を確認する」とドキュメントに書き足す対策は弱い。肝心の場面でその一...

インシデント報告書を読み解く ― KDDI の不正アクセス報道発表から学ぶ開示の型

参考: ISP 事業者向けメールシステムに対する不正アクセスの発生について(KDDI 報道発表資料 2026-06-23) まとめ インシデント開示文書は「謝る」「経緯を語る」ためではなく、 読み手の不安を事実で畳み、次の行動を提示する ために書く 確定事実と未確定事項を 語尾で厳密に区別 する。「判明しました」と「可能性があります」を混ぜない 数字には必ず前提を貼り、 ...

Webアプリのフレームワーク移行計画で抜けがちな観点

まとめ 移行計画のレビューで効くのは、コスト試算の数字の細かさより「致命的になりうる構造リスクが設計に入っているか」 1つのDBを新旧2つのORMで共有する期間が一番あぶない。不変条件がアプリ層にしかないとサイレントなデータ破損になる CSRF・認証・ジョブ基盤の切替は、移行期間中の新旧併存でこそ事故る ROIは並走期間の二重コストと再診断費を入れないと前提が反転する。撤...

PPM(プロダクト・ポートフォリオ・マネジメント)を「分類」から「動かす道具」として読み直す

PPM は事業を「市場成長率 × 市場シェア」の2軸で4象限に分けるフレームワーク ただの分類で終わらせず、象限を「動かす」道具として使うと戦略になる 事業の一生は 問題児 → 花形 → 金のなる木 → 負け犬 の順。負け犬はスタートではなく終着点 お金の流れは 金のなる木 → 問題児。稼ぎ頭の資金で次世代を育てる 「低成長」は悪い意味ではない。悪いのは成長率ではなくシェアの低さ

CPAは「高いから広告を出せる」ではなく「LTVが高いから結果としてCPAが上がる」

CPA は Cost Per Acquisition(顧客獲得単価)の略で、1 件のコンバージョン獲得にかかった広告費を示す指標 「CPA が高いから広告費を厚く張れる」は因果が逆。正しくは「LTV が高いから CPA が高くても回収できる → 結果として広告費を厚く張れる → 競争でさらに CPA が上がる」 高 CPA な顧客層は「採算が合う高 LTV 層 = 取り合いになっているリード」と…

SSH秘密鍵を「複製不可能」にする運用と、会社PCでできる現実的な代替

ファイルとして置かれた SSH 秘密鍵は、コピー・同期・マルウェアによる窃取のリスクから逃げられない 「複製不可能」とは、秘密鍵をハードウェアの中で生成して 外部にエクスポートできない 状態にし、外に出るのは公開鍵と署名結果だけにする運用 OpenSSH 8.2+ なら FIDO セキュリティキー(YubiKey 等)を 追加ソフトなし で使える。…

「計画する」を分解するとAI時代の生存戦略が見える

ある記事は「依頼された仕事をやらない人」の本質を「考えるのが嫌」と診断し、処方箋として「考えなくていい仕事に閉じ込めろ」と提案している しかしその処方箋が指す領域は、ちょうど今 AI が一番得意な領域と重なる 「計画が苦手」を 8 要素に分解すると、AI で代替できる部分と人間に残る部分がはっきり分かれる AI に食われるのは「計画が苦手」全員ではなく、着手できない人 + 考える行為自体を避ける…

SKILL.md の決定的処理はシェルに任せる

Claude にファイル探索や有無判定を「自然言語の指示」で任せると、似た名前のファイルを巻き込んで読んでしまう 決定的に判定できる処理は test -f などのシェルコマンドに移譲し、echo で次にやるべき指示文を直接返す SKILL.md の手順は「決定的処理(スクリプト)」と「判断・生成(Claude)」に分けて記述すると迷いが減る

CLAUDE.md に細かいコーディングルールを全部書くのはアンチパターン

CLAUDE.md はセッション中 毎ターンプロンプト先頭に積まれる ので、細かい規約を全部書くとトークンを毎回払う トークン以上に深刻なのは アテンションが薄まる こと。長くなるほど一行一行の効きが弱くなり、肝心の禁止事項が守られなくなる 長セッションでは CLAUDE.md も コンパクションで要約に巻き込まれて潰れる 。…

マネーフォワードGitHub流出事件を読み解く — なぜ起きたのか、どう防ぐか

ソースコードへの認証情報ハードコードと本番データのテスト流用は「当時は正解だった判断」が組織の成長とともにアップデートされなかった結果 削除済みファイルも git log -p で復元できる。リポジトリをクローンされると歴史ごと盗まれる セキュリティ問題は「人の意識」ではなく「機械的ブロック」で防ぐ設計が必要 GitHub の Push Protection は無料で今日から有効化できる

ターミナルでVS Code的なコード閲覧環境を作る — Neovim + LazyVim入門

- Neovim + LazyVim でファイルツリー・タブ・LSP・ファジー検索が最初から揃う - neo-tree をカスタマイズすると、ツリーでカーソル移動するだけでプレビュー表示される VS Code 的な体験が得られる - micro や helix も試したが、プロジェクト単位のコード閲覧には Neovim が一番完成度が高い

新しいチームで最初の90日間をどう過ごすか — 即動く派の振り返り

「90日間は、何もするな。」というリーダーシップの考え方がある。元ポストでは、ハーバード流マネジメント講座「90日で成果を出すリーダー」を引用しつつ、新しい組織に入った際の最初の90日間で実践すべき4つのことが紹介されている。自分は真逆の「即動く派」だが、過去の経験を振り返ると学ぶことが多かった。

e-Gov電子申請アプリケーションにおける Custom URL Scheme の処理にアクセス制限不備の脆弱性 を読んで

JVN#15808274: e-Gov電子申請アプリケーションにおける Custom URL Scheme の処理にアクセス制限不備の脆弱性 保有する機能 デジタル庁が提供する e-Gov電子申請アプリケーションをインストールすると、システムに Custom URL Scheme が登録され、Web ブラウザなどから特定の URL にアクセスすることで当該アプリケーションが起動されるようになりま…

アナリティクスと AI によるデータのビジネス価値化 のメモ

自社組織のデータとアナリティクスへの投資が増えたと報告するリーダーの割合が大多数。AIの取り組みの資金を増額も大半を占めている。 基本的なデータ管理や AI とアナリティクスに関連する重要インフラへの投資や支出を目先の判断で渋った組織は、巻き返しに苦労 格言『計画を立てないことは失敗する計画を立てること』 効果的なデータ戦略はデータレイクの構築やクラウドへの移行への高水準のアプローチに勝ると指摘…

New Relic ハンズオン: SLI/SLO䛾設計䛾基本 NRU 303 - SLI / SLO

- 信頼性 → イノベーション(開発) の順で行う。 - どうやって信頼性を計測するの? - SLOを利用 - アラート対応は優先度付して行う - 類似の言葉 - SLA - サービスが止まった場合に返金するなどの対応 - SLI - ユーザから計測したメトリクス(レスポンス速度) - エラーバジェット(エラー予算) - SLO以下にならないようにする - SLO、 SLI活用ステップ 1.…

Claude Code のプロンプトキャッシュ — CLAUDE.md も履歴も毎回送っているのに破綻しない理由

参考: Claude Code prompt caching (公式ドキュメント) まとめ LLM の API はステートレスなので、Claude Code は CLAUDE.md も会話履歴も 毎ターン丸ごと送り直している 。省略はしていない。 それでも料金・速度が破綻しないのは、先頭の安定した固まり(システムプロンプト+CLAUDE.md+過去の履歴)が プレフィックスキ...

「3時間ダウン」なのに可用性98%? 可用性パーセントの読み方

まとめ 可用性パーセントは「不安定だった時間の幅」ではなく「その間に実際に失敗した割合」を表す。断続障害だとこの2つは大きくずれる 障害の実効ダウン ≒ 障害が続いた窓の幅 × その窓での失敗率。3時間36分の窓でも失敗率が1割なら実効ダウンは20分台になる 可用性の測り方は時間ベースと成功率ベースの2系統。等間隔で叩く外形監視(Synthetic)の成功率は、実質「時間ベー...

Claude Code のモデル選択がセッションをまたいで残る挙動と、その止め方

まとめ /model でモデルを選ぶと、デフォルトでは設定ファイルに保存され、次に立ち上げた新規セッションにも引き継がれる ピッカーで行を選ぶとき Enter は「保存して既定にする」、s は「今のセッション限り」で、後者なら設定ファイルに書き込まれない 新規セッションを毎回まっさらな既定モデルから始めたいなら、設定ファイルの model キー自体を消すのが確実 設定はス...

React Compiler とは何か、AIに実装させる時代に使うべきか

まとめ React Compiler は、これまで手動で書いていたメモ化(useMemo / useCallback / React.memo)を、ビルド時に自動で適用してくれる最適化コンパイラ。 コードの意味は変えず、合わないコードは最適化をスキップする安全設計なので、導入して壊れるリスクは低い。 AIに実装を任せる運用とは相性が良い。メモ化はAIでも人間でも貼り忘れ・貼り...

git の HTTPS リモートを SSH に自動書き換えして macOS キーチェーンの確認を止める

まとめ macOS で git を HTTPS 経由で使うと、push/pull のたびにキーチェーンの確認ダイアログが出ることがある。原因は credential helper がキーチェーンから資格情報を読み出すため 個別リポは git remote set-url で SSH に切り替えれば、キーチェーンを経由しなくなる グローバル config に insteadOf...

Antigravity CLI (agy) の --print がハングする原因と対処: artifactReviewPolicy

まとめ Antigravity CLI (agy) を --print(非対話)で画像生成に使うと、標準出力が空のまま --print-timeout すら効かずに固まることがある。 真因は設定 artifactReviewPolicy の既定値 asks-for-review。生成物(アーティファクト)のレビュー承認をエージェントが待つが、非対話モードには承認する相手がいないの...

Claude Code のステータスラインをOSC 8でクリック可能なリンクにする

まとめ Claude Code のカスタムステータスラインは、標準出力に出した文字列がそのまま描画される。ANSIカラーだけでなく OSC 8 ハイパーリンク も通る OSC 8 は \x1b]8;;URL\x07 表示テキスト \x1b]8;;\x07 の形式。対応端末では Cmd+click で開けるリンクになり、非対応端末では ただのテキストに劣化する ので貼っても安全 ...

サブドメインの子ゾーン委譲が切り替わったかを dig で確認する

サブドメインを親ゾーン内の単一レコードから独立した子ホステッドゾーンへ昇格させる作業をした。委譲が本当に切り替わったかを確認しようとして、最初に手が止まった。dig で引いても返ってくる IP が作業前と同じだったからだ。 これは当然で、移行の前後で A レコードの宛先(ALB)は変えていない。変わるのは「どのゾーンが権威を持って答えるか」であって、解決結果の IP ではない。だから検証も...

nginx の自動アップグレードが連動モジュールを壊した — systemctl disable --now の罠

Ubuntu の unattended-upgrade が nginx のパッチリリースを上げた ことで、apt パッケージで配布されている nginx モジュール(Web アプリのワーカーを管理する連動コンポーネント) との ABI 不整合 を起こし、Web アプリのワーカーが spawn できなくなった ALB ヘルスチェックは失敗を返し、ASG が unhealthy 判定 → 次々と E…

MSA(マイクロサービス)とモノリスの違いを今さら整理する

MSA = アプリを小さな独立サービス群に分割する設計、対義語はモノリス(1 つの大きなアプリ) 各サービスは独立デプロイ・独立 DB・言語選択自由 障害局所化・チーム分割しやすさが利点、運用の複雑化が欠点 「Rails は MSA に向かない」と言われるのは、1 アプリで全部やる前提で作られているから

iptables の hashlimit で HTTP DDoS を IP 単位にレート制限する

iptables の hashlimit モジュールで、送信元 IP ごとに独立したトークンバケットを持たせて HTTP/HTTPS をレート制限できる ユーザー定義チェーンに「正常レートなら RETURN」「超過したら DROP」を 2 段で組むのが定番形 --hashlimit-burst を 100 くらい残しておくと、ブラウザの並列リクエストを潰さずに済む

ImageMagick の InterpretImageFilename で見つかった off-by-one read overflow

ImageMagick の InterpretImageFilename に「連続パーセント記号 %% を処理する箇所」で off-by-one error があった バグの本体は 書き込み ではなく 読み込み 側のポインタが \0 を 1 バイト飛び越えること 1 バイトの read overflow 自体は軽症(クラッシュ or 軽い情報漏洩)だが、パーサーがそのバイトを「次の動作の判断材料…

S3 で「バケット内のリスト」だけを無効化し、個別オブジェクトの public-read 配信は維持する

バケット ACL を public-read にすると、誰でもバケット直下に対する ListObjectsV2 が叩けてしまう(オブジェクトキー・サイズ・LastModified が匿名で取得できる情報漏洩リスク) 個別オブジェクトの public-read 配信(CarrierWave の asset_sync / Rails アセット等)は維持しつつ、 バケットレベルのリストだけを拒否 した…

macOS の Background Items 表示名は plist の ProgramArguments で決まる

macOS「システム設定 → 一般 → ログイン項目と機能拡張 → バックグラウンドでの実行を許可」に表示される名前は、plist の Label ではなく ProgramArguments[0] の basename から取られる ProgramArguments[0] を /bin/zsh にして第二要素にスクリプトを渡すと、表示名は「zsh」に丸め込まれて識別不能になる スクリプトに sh…

稼働中バイナリを差し替えるときの atomic rename パターン

稼働中の ELF バイナリに cp で上書きすると Text file busy (ETXTBSY) で失敗する 一時ファイルに書き出して mv -f で差し替える atomic rename で回避できる rename(2) はディレクトリエントリだけを書き換え、古い inode は実行中プロセスが使い続ける Rails で同じ問題に遭遇しなかったのは Capistrano の symlink…

HTTPSでドメインを公開すると即座にボットに発見される仕組みと対策

HTTPS証明書を発行すると CT Log(証明書透明性ログ) に即座に記録され、誰でも検索できる 攻撃者はcertstreamでCT Logをリアルタイム監視しており、証明書発行から数分以内にスキャンが来る 開発・ステージング環境はBasic認証+IP制限で守る。本番はWAF サブドメイン名を隠すにはワイルドカード証明書。…

AWS SES サプレッションリストによるメール未着を調査・解消した

SES のサプレッションリストはリージョンごとに独立している。正しいリージョンを確認すること Hard Bounce が発生すると SES がアドレスを自動的にサプレッションリストに登録し、以降の送信がすべてブロックされる サプレッションリストから削除してもブロックされたメールは再送されない。手動で再送が必要

誤って commit した重いファイルを git 履歴から除去してリポジトリを軽量化する

重いファイルを履歴から消すには git filter-repo が現代の標準 必ずバックアップ → 実行 → force-push → gc の順 全 commit の SHA が変わるので共同作業者・PR 参照に注意 private リポ・単独作業なら影響範囲が限定的で実行しやすい 完全削除はホスティング側の GC を待つかサポート依頼

S3 暗号化が SSE-S3 のみで SSE-KMS 未使用だと、何が『できていない』のか

SSE-S3 のみの運用は「暗号化されている」が「鍵管理は統制されていない」状態 SSE-S3 が守るのは物理層レベルの脅威のみ。運用面の漏洩には寄与しない SSE-KMS 未使用 = 鍵レベル多重防御・鍵利用ログ・顧客主導キーローテーション・クロスアカウント鍵制御・コンプライアンス対応がすべて欠落

AWS データ暗号化の at-rest / in-transit を整理する

暗号化は at-rest / in-transit / 鍵管理の3軸で考える 「暗号化されている」だけでは何が守れているか分からない。鍵管理レベルまで踏み込んで記述する SSE-S3 は AWS デフォルトで自動有効。明示的に書く価値は限定的 SSE-KMS は鍵レベル多重防御・利用ログ・キーローテーション制御で監査価値が高い 監査ドキュメントで「未確認」を残してはいけない。…

直近1週間の開発ツール・IDE・CLI重要アップデートまとめ(2026年7月15-22日)

この1週間、AI統合開発環境を中心にいくつかの実用的なアップデートがリリースされました。特にAgent機能の強化やワークフロー統合が目立ち、日常のコーディング効率をさらに押し上げる内容が多いです。以下で主なものをピックアップし、「誰に刺さるか」「既存ワークフローとの関係」も交えて解説します。 CursorのSlack統合強化とAutomations機能 Cursorでは7月17日頃にSl...

トレンドのタグ