昨今GitHub上で提供されている有名なOSSに対して攻撃がなされることが多い（例: Nxの2025/08の事例）。自分もそこから学び、最低限GitHub上でセキュリティ周りの設定を入れた方が良いと考えた。 設定を考えるにあたって、とくに次の3つの記事が参考になった。 リポジトリを保護するためのクイック スタート - GitHub ドキュメント Nx の攻撃から学べること #s1ngularity | blog.jxck.io GitHub の Immutable Releases を有効にしてセキュリティインシデントを防ごう これらを参考にAIと協力して最低限のセットアップドキュメントを作ったので共有する。もっとこういう設定を入れるべきなどあれば、教えてもらえると嬉しい。 GitHub OSS セキュリティ最低限セット チェックリスト [ ] Dependabot Alertsを有効化

ターミナルネイティブのコーディングエージェントであるGitHub Copilot CLIが、すべてのGitHub Copilot有料プラン向けに一般提供（GA）を開始しました。 GitHub Copilot CLIは、GitHub Copilotのパワーをコマンドラインに直接届けるターミナルネイティブのコーディングエージェントで、すべてのGitHub Copilot有料プラン向けに一般提供（GA）を開始しました。 2025年9月のパブリックプレビュー開始以来、皆さまのフィードバックをもとに数百の改善を行ってきました。GitHub Copilot CLIは、ターミナルアシスタントから本格的なエージェント開発環境へと進化しました。計画、ビルド、レビュー、セッション間の記憶保持まで、すべてターミナルから離れることなく実行できます。 主要なアップデートのハイライトをご紹介します。 ターミナルでのエ

tl;dr; モチベーション 技術的なこと 注意点 苦労したポイント One more thing 2026/2/20 23:50追記 tl;dr; 自分が管理してるOSSで Dependabot Security Alert で作られたPRに対して自動でタイトルにCVE IDをつけたりsecurityラベルをつけられるようにしました モチベーション PRのタイトルにCVE IDを書いておくとリリースノートでオートリンクされて便利です。 今まではDependabot Security Alertが作ったPRに対して手でタイトルを修正をしてたのですが、自動化の機運が高まったのでやりました。 技術的なこと dependabot/fetch-metadata で alert-lookup: true をつければGHSA ID（ https://github.com/advisories 上のID

Author Don Syme Peli de Halleux GitHub Agentic Workflowsがテクニカルプレビューとして登場。GitHub Actionsでコーディングエージェントを使用し、意図駆動型の自動化を構築しましょう。トリアージ、ドキュメント作成、コード品質向上など、さまざまなタスクを自動化できます。 朝、リポジトリを訪れて、穏やかな気持ちになれることを想像してください。なぜなら： Issueがトリアージされている。 CIの失敗が説明され、修正が提案されている。 ドキュメントがコードの現状を反映している。新しい分析により、品質とツールの改善点が示されている。 テストを改善する2つの新しいプルリクエストがレビューを待っている。 すべてが可視化され、検査可能で、あなたが定義した境界内で動作している。 これがGitHub Agentic Workflowsのビジョンで

最近、Claude Codeの以下の問題で非常に困っていた。 今の所 - 起動した直後は問題ない - C-rの履歴検索やC-gのエディタ起動で100%確定で動かなくなる - 一旦claudeを落とし、claude -cで復帰すると直る って感じですね〜— 柴崎優季 (@shibayu36) 2026年2月1日 x.com Claude Codeはコードを書かせるだけじゃなくて壁打ち役に使わせるのも便利だなと感じていた。そこでClaude Codeに手伝ってもらったらバグ報告も簡単にできるのではないかと試したところ https://github.com/anthropics/claude-code/issues/22315 のようにいい感じにissueを作れた。非常に体験が良かったので、参考のために今回はどんな感じに壁打ちしていったかを記録しておく。 まずClaude Codeはバグレポート

2026年1月のすがた ※リンクを効かせたい場合はダウンロードしてください

Claude CodeやClaude Code Actionを用いて、AIに自律的にPull Requestのレビューを行なってもらうとき、いくつかの課題があった。その解決のためにPull Requestのレビュー操作に特化したgithub-pr-review-operationというClaude Skillsを作ったので紹介します。 課題 次の3つの課題があった。 インラインコメントを付ける時に、コメントする行を間違える Claude Code ActionにはインラインコメントをつけるMCPが同梱されているが、ある行に対する指摘内容を別の行にコメントを付けることが多かった そのPull Requestに過去ついたコメントを考慮してと指定しても、うまくコメント一覧を取得できない 通常のコメントは取得できてもインラインコメントは取得せずに進めてしまうなど そのPull Requestについ

Author Kyle Daigle GitHub Universe 2025にて発表された、GitHubの次なる進化。それは、開発者がいつでもどこでもあらゆるエージェントをオーケストレーションできる単一の統合ワークフローです 現在、開発者をとりまくAIの環境は、よくある課題を抱えています。それは、AIのもつ膨大な力が様々なツールやインターフェースに分散しているということです。GitHubはこれまでも、Gitへのアクセス性の向上、プルリクエストによる体系的なコードレビュー、Actionsによるデプロイメントの自動化など、こうした体系的な課題の解決に常に取り組んできました。 1億8000万人の開発者が利用するGitHubは史上最速のペースで成長しています– そして毎秒新しい開発者がGitHubを使い始めていて、その80%が最初の1週間でGitHub Copilotを使用しています。AIはもは

GitHub Copilot CLI: New models, enhanced code search, and better image support GitHub Copilot CLI continues to evolve with significant improvements to search capabilities, better image support, access to and support for the latest AI models, and reliability enhancements. Here's what we've been working on lately. Latest AI models now available We've added support for the newest models from OpenAI a

newmoでは、pnpm workspaceで管理している複数のアプリケーションやライブラリに対してESLintを実行しています。 プロジェクトの成長とともにLint対象のファイル数が増加し、CI実行時間とメモリ使用量が増加していました。GitHub Actionsのmatrixオプションを使用した動的なShardingを実装し、これらの問題に対応しました。 newmoフロントエンドの開発原則 newmoのフロントエンド開発では、次の原則を重視しています。 1つ目は、「同じ目的を達成するための手段を統一する」という原則です。同じ目的に対する複数の手段が混在するよりも、統一した手段を使うことで学習コストや保守コストを削減できます。例えば、npmパッケージのバージョン管理では、One Version Ruleに基づき、同じ目的を持つライブラリは1つに絞っています。これは「同じコードを書かない」

id:cohalzです。この記事は、はてなのSREが毎月交代で書いているSRE連載の2025年10月号の記事です。9月の記事はid:s-shiroのCloudFront標準ログ(v2)をカスタマイズして便利に使う工夫でした。 みなさん組織でGitHubを安全に使えていますか？ こうした問いに答えるため、安全に利用するためのポリシーをはてな社内でいくつか設定していきました。今回はそのうち、最近利用できるようになった機能を中心に以下の2つについて話していきます。 Enforce SHA pinningの有効化 Owner権限を持つ人を減らす また最後にリポジトリ・プロジェクトの管理者を調べるための方法についても付録として紹介していきます。 Enforce SHA pinningの有効化への道のり 最近大きく話題になっているセキュリティリスクといえばサプライチェーン攻撃で、2025/3にはGit

1 vCPU Linux runner now available in GitHub Actions in public preview GitHub Actions 1 vCPU Linux runners are now in public preview. Customers looking to run lightweight operations can take advantage of these lower cost runners. These runners are optimized for automation tasks, issue operations, and short running jobs outside of typical heavyweight CI/CD builds. Runner details These runners have o

ここ数ヶ月でサプライチェーン攻撃に関連していくつかベストプラクティスが出ていたので、GitHubのリポジトリに適用しておいたほうがいいものをまとめた。 被害を受けないために Dependabotにcooldownを設定する 過去のサプライチェーン攻撃では、ほとんどは問題のあるリリースが公開されてから数時間で発見されているので、自分のリポジトリが汚染されないためにリリースから一定期間はアップデートを保留するという手段が取られるようになったと記憶している。もともとRenovateには minimumReleaseAge オプションがあったのだが、Dependabotでも cooldown オプションが使えるので設定する。 Dependabot supports configuration of a minimum package age このオプションを設定しても、上の記事中に Key ben

GitHub⁠⁠、プルリクエストの新しいFiles changedページで未変更行へのコメントを可能に GitHubは2025年9月25日、プルリクエストの新しい「Files changed」ページにおいて、変更されたファイル内の未変更行を含む任意の行へコメントできる機能を追加したことを発表し、リポジトリ単位で段階的に展開していることを案内した。なお、新しい「Files changed」ページと今回追加した機能はいずれもパブリックプレビュー段階のもの。 Pull request “⁠Files changed⁠”⁠ public preview now supports commenting on unchanged lines - GitHub Changelog Been at GitHub for nearly 13 years and I'm pretty sure this re

Menu. Currently selected: Ever wish Copilot understood your project as well as your teammates do? Now it can. Ever wish Copilot understood your project as well as your teammates do? Now it can. With GitHub Copilot Spaces, you can bring together the context it needs — files, pull requests, issues, and repos — so that Copilot’s responses are always grounded in your project. With spaces, Copilot does

Intro Nx リポジトリが攻撃を受け、広範囲にわたるインシデントが発生した。 今回の事例は、GitHub Actions を中心に複数のステップが組み合わさった攻撃であり、過去に何度も発生してきた攻撃と本質的には変わらない。 しかし、途中で AI が何度か登場するため「AI が書いたコードをマージしたから」などといった表面的な反応もあるが、実態はそこまで単純な話でもない。 また、「自分のプロジェクトは Nx を使っていないから関係ない」とも言えない攻撃であるため、特にフロントエンドエンジニアは全員注意と確認が必要となる。 この攻撃が何だったのか、そこから学べることは何なのか、解説する。 Nx Incident 今回のインシデントについては、既に公式の Advisory が出ている。ニュース系の記事も多々あるが、一次情報は以下となる。 Malicious versions of Nx a

ローカル開発のために GitHub App からセキュアに User Access Token を生成する CLI である ghtkn を紹介します。 まとめ ghtkn は Device Flow を用いて GitHub App から User Access Token を生成する CLI セキュアなローカル開発を実現 No More Personal Access Token Personal Access Token と違い短命 (8時間) な access token GitHub App とユーザー両方が持ってる権限しか持たず、両方がアクセスできるリポジトリにしかアクセスできない Secret manager を用いて access token を管理 プレインテキストや shell の環境変数に access token を露出しないため、流出リスクが低い 複数の GitHub

GitHub⁠⁠、仕様駆動開発ツールキット「Spec Kit」を紹介 —⁠—コーディングエージェントを利用して仕様を解釈し⁠⁠、開発計画⁠⁠・タスク分解⁠⁠・実装をおこなう GitHubは2025年9月2日、コーディングエージェントを利用した仕様駆動開発（Spec-Driven Development）のためのツールキット「Spec Kit」を開発し、公式ブログで紹介した。仕様を「実行可能」にすることで、開発意図自体をソフトウェア開発の中核に据えることを目指している。 Spec-driven development with AI: Get started with a new open source toolkit - GitHub Blog spec-kit - GitHub Spec Kitは、仕様（Spec）からソフトウェア開発の計画を作成して、その計画をタスクに分解し実装するため

2025年8月26日、JavaScriptエコシステムで最も広く使用されているビルドツールの一つであるNxにおいて、複数の悪意のあるバージョンが攻撃者によって公開されてしまったことが話題になった。 socket.dev github.com 攻撃の概要 簡単に説明すると、 攻撃者が悪意のあるコードを含むNxライブラリを作成 Nx公式のnpmトークンを盗む 攻撃者がNx公式になり代わり、あたかも公式リリースかのように悪意のあるコードを含む最新バージョンを公開 利用者が最新版をダウンロードすることで、悪意のあるコードが実行される という感じだ。攻撃の影響や詳しい流れは本記事の守備範囲外のため、NotebookLMに簡潔にまとめてもらった内容を記載する。 1. GitHub Actionsワークフローの脆弱性悪用 攻撃者は pull_request_target トリガーを持つワークフローのBa

はじめに GitHub Actionsを用い、ベースブランチへのマージを自動でブロックする方法をまとめました。 弊社プロダクト[1]ではリリースが行われる日を「休日の前の日を除いた平日」と定めています。 git-pr-release[2]を用い、1日あたり数十個のPull Requestを、まとまった単位でリリースしています。まとまった単位でリリースするために、ベースブランチへのマージを特定の時刻に締め切り、QAチームに動作確認を依頼しています。 この「特定の時刻でマージを締め切る」作業は、ベースブランチのブランチ保護ルールの変更によって行なっています。以前は人の手によって作業がなされていたため、特定の時刻に締め切られないことで動作確認対象のPull Requestが余計に増えてしまい、リリースが遅延していまう問題がありました。 この問題を対処すべく、ベースブランチへのマージを自動でブロッ