こんにちは！エーアイセキュリティラボのはるぷです。 2026年2月下旬、オープンソース界隈を揺るがす自動攻撃キャンペーンが実施されました。ターゲットとなったのは、誰もが名前を知るような大手企業のプロジェクトを含む主要なリポジトリ群。攻撃の主導者は 「hackerbot-claw」 と呼ばれる、AI（Claude-Opus-4.5）を搭載した自律型セキュリティ調査エージェントです。 このボットはわずか1週間で、7つのターゲットのうち少なくとも4つでリモートコード実行（RCE）に成功し、書き込み権限を持つGitHubトークンを外部へ流出させました。 このStepSecurityの解析レポートを読み、私は自分のテスト用リポジトリ(private)で、攻撃手法を実際に再現・検証しどの程度簡単にできてしまうのかを調べてみました。 脆弱性の仕組みとリスクが大きくなる条件 実際にGitHub上で、多くの

A week-long automated attack campaign targeted CI/CD pipelines across major open source repositories, achieving remote code execution in at least 4 out of 7 targets. The attacker, an autonomous bot called hackerbot-claw, used 5 different exploitation techniques and successfully exfiltrated a GitHub token with write permissions from one of the most popular repositories on GitHub. We're entering an

jj ブームはすぐそばに? 最近、にわかに jj (jujutsu) が話題だ。 jj は、Google の Martin von Zweigbergk 氏が 2019 年に開発を始めたバージョン管理システム (VCS) だ。2022年のカンファレンス「Git Merge 2022」では、 jj は Google 社内でも利用されていると紹介されている。 私は jj の存在を知ってはいたが、 git で特に困っていなかったことや、プロジェクト名がネタっぽかったことから、それほど興味を惹かれなかった。 最近、AIコーディングエージェントを使っているうちに、 git でのバージョン管理が今の開発スタイルに合わないと思うようになった。ファイルを書き換えることの負荷が大きく下がった。予期しない大きな書き換えが頻繁に起こるようになった。コミットしたけど少し直したくなることが増えた。自分で git 操

本記事で紹介する 「プレースホルダー構文（${selection} や ${input} 等）」は, 現時点で Visual Studio Code / GitHub Copilot における独自の連携仕様です。Cursor, Windsurf, Trae といった他社エディタでは, 同様の機能を @メンション や独自のルールファイル（.cursorrules 等）で実現しており, ${...} 構文をそのまま利用することはできません。 動作フローの視覚化 ユーザーの入力（トリガー）の種類によって、どの設定ファイルが読み込まれるかの分岐は以下のようになります。 2. ディレクトリ構造の視覚化 .github フォルダの標準的なディレクトリ構造は以下の通りです。 .github/ ├── copilot-instructions.md # プロジェクト全体の「共通の掟」 ├── instru

Mysterium VPNは2026年2月5日（現地時間）、インターネット全体を対象とした調査結果として、公開Webサーバ約500万件で「Git リポジトリ」の管理情報が外部から閲覧できる状態にあったと発表した。設定不備が原因で、内部ファイルが公開される事例が広範囲に及んでいると指摘する。 約25万件で認証情報が流出か、設定不備によるリスク Mysterium VPNの調査によると、496万4815件のIPアドレスで.git構造が確認され、また25万2733件の.git/configに配備用の認証情報が含まれていた。単なる管理情報の露出だけでなく権限取得に直結する可能性がある問題と説明した。 Gitは分散型バージョン管理システムとして広く使われる。だが、Webの公開ディレクトリに隠しフォルダが混入すると、/.git/HEADや/.git/configなど既知の経路から構成が読み取られ、一般

microgpt.py P%]� �tP� """ The most atomic way to train and run inference for a GPT in pure, dependency-free Python. This file is the complete algorithm. Everything else is just efficiency. @karpathy """ import os # os.path.exists import math # math.log, math.exp import random # random.seed, random.choices, random.gauss, random.shuffle random.seed(42) # Let there be order among chaos # Let there be

Repository automation, running the coding agents you know and love, with strong guardrails in GitHub Actions. Imagine a world where improvements to your repositories are automatically delivered each morning, ready for you to review. Issues are automatically triaged, CI failures analyzed, documentation maintained and tests improved. All defined via simple markdown files. GitHub Agentic Workflows de

プルリクエストはGitHubなどのGitホスティングサービスが提供する機能であり、オープンソースのソフトウェア開発において重要な役割を果たしています。しかし、ウェブベースのドローツールを開発するオープンソースプロジェクト「tldraw」は外部コントリビューターからのプルリクエストを一時的にクローズする決定を下しました。プルリクエストに関するポリシーが変更された背景にはAI技術の利用増加が影響しています。 Contributions policy · Issue #7695 · tldraw/tldraw https://github.com/tldraw/tldraw/issues/7695 tldrawの創業者兼CEOであるSteve Ruiz氏は、外部コントリビューターがAIツールのみによって生成されたコードをプルリクエストに含めるケースが増加しており、ほとんどの場合「不完全もしくは誤

はじめに：AI開発ツールの「落とし穴」 AI開発アシスタントを使っていて、こんな経験はありませんか？ 要求を投げると大量のコードが生成されるが、実行すると エラーだらけ ビジネスロジックが不完全で、結局人間が大幅に修正 前日に書いたコードと今日書いたコードで一貫性がない これらの問題の根本原因は、現在のAI開発ツールが「素直すぎる」ことにあります。つまり、立ち止まって考えることなく、機械的にコードを生成してしまうのです。 この課題を解決する注目のプロジェクトが、2026年1月にGitHub Trendingを席巻し、29,000+ Starを獲得したSuperpowersです。 Superpowersとは？ Superpowersは、Claude Code向けのプラグインで、AIに**「ベテランエンジニアの作業フロー」を強制的に組み込む**ツールです。 驚異的な成長：数ヶ月で29,000+

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session. You switched accounts on another tab or window. Reload to refresh your session. Dismiss alert

株式会社FLINTERSでフロント&バックエンドエンジニアをやっている者です！ いい加減、git worktreeを身近においておこうと思い書き留めました。✏️🗒️ 本記事はFLINTERS BLOG Advent Calendar 2025の13日目の記事となります。 はじめに 開発者の皆さんなら、一度は「コンテキストスイッチ地獄」を経験したことがあるのではないでしょうか。新しい機能開発に没頭しているまさにその時、Slackに飛び込んでくる 「緊急バグ修正お願いします！」 の通知。 ここから始まる従来の手順は、思い出すだけでも気が滅入ります。 まず、中途半端な作業を git stash で退避。次に git switch でバグのあるブランチに移動し、修正作業に頭を切り替えます。 修正が終わったら、また元のブランチに戻り、git stash pop を実行。 しかし、複数の stash

こんにちは！ぐるなびFineOrderというモバイルオーダーサービスでバックエンドの開発をしてます谷です。 担当しているプロジェクトでGitLabからGitHubへ移行することになり、せっかくなら一緒にsubmodule運用もやめてmonorepo化したいと思いまして、今回、両方一緒に対応しました。 そのときの話を紹介していけたらと思います。 GitHub移行とmonorepoは関係ない まず最初にお伝えしたいのですが、GitHub移行とmonorepo化は技術的に関係ありません。 当然、GitLabでもmonorepoはできますし、GitHubでsubmoduleを使い続けることもできます。 ただ、GitHub移行もmonorepo化の対応も、通常はCIの書き換えが必要になるかと思います。 別々で対応すれば2度手間になります。 つまり、まとめて対応した方がお得です！ また、当たり前ですが

AIを使う開発者は自分の好みの言語よりも、AIのハルシネーションが少ないTypeScriptのような型付け言語を選ぶようになる。GitHubがAIによる変化を予想 GitHubは、開発ツールとしてAIが導入されていくことで、プログラミング言語やフレームワークの選択にどのような影響を与えるかを考察したブログ記事「TypeScript, Python, and the AI feedback loop changing software development」（TypeScript、Python、そしてAIフィードバックループがソフトウェア開発を変えていく）を公開しています。 AI導入によって静的型付け言語が選ばれるようになる 記事では、静的型付け言語の方がAIがより正確なコード生成を行いやすい傾向にあり、それゆえにAIツールを利用する開発チームでは開発者の好みよりもAIとの相性が良いプログ

11月28日、Zig言語の公式ブログが「Migrating from GitHub to Codeberg ⚡ Zig Programming Language」と題した記事を公開した。この記事では、ZigプロジェクトがGitHubからCodebergへとホスティング環境を全面移行した理由と背景、さらに今後の運用方針について詳しく紹介されている。 11月28日、Zig言語の公式ブログが「Migrating from GitHub to Codeberg ⚡ Zig Programming Language」と題した記事を公開した。この記事では、ZigプロジェクトがGitHubからCodebergへとホスティング環境を全面移行した理由と背景、さらに今後の運用方針について詳しく紹介されている。 以下に、その内容を紹介する。 GitHub離脱を決断した背景 Zigプロジェクトは10年間GitHu

IT（情報技術）ソフト開発プラットフォームの米GitHub（ギットハブ）は26日、日本国内の利用者が450万人超と前年から29%増えたと発表した。規模の国別順位は6位と3ランク上がった。企業の生成AI（人工知能）活用で利用が拡大しており、AI共同開発時の修正提案といった貢献度でも日本は世界4位だった。国内では過去1年で100万人以上の新規登録があり、利用者は2020年から4倍弱に拡大した。AI

そういうコマンドがあるわけではありません。 以下のような git alias を .gitconfig に設定すると git aicommit で Claude にコミットメッセージを書かせられるというだけです。 [alias] aicommit = "!f() { COMMITMSG=$(claude -p 'Generate ONLY a one-line Git commit message in English, using imperative mood, summarizing what was changed and why, based strictly on the contents of `git diff --cached`. Do not add explanation or a body. Output only the commit summary line.'

こんにちは、id:takaram です。 ラクスでは全社で GitHub を利用しており、大半のプロジェクトが GitHub Actions を CI として利用しています。 GitHub Actions は、テストやデプロイまでを自動化する強力な仕組みである一方、正しく使わなければセキュリティホールとなる危険性もはらんでいます。 今回は、GitHub Actions のセキュリティについて紹介していきます。 GitHub Actions のセキュリティ ありがちな侵害のパターンと対策 1. サードパーティアクションの侵害 問題 対策 2. 過剰な権限設定 問題 対策 3. run 内での OS コマンドインジェクション 問題 脆弱な例 対策 4. curl | bash 型の危険なスクリプト実行 問題 対策 追加の対策 1. actionlint で構文・展開の安全性をチェック 導入例

GitHub、リリース後のバイナリなどアセットを変更不可にする「Immutable Release」（変更不可リリース）機能を正式リリース リリースしたバイナリなどが変更不可に Immutable Releaseを利用することで、リリースとして公開したバイナリやインストーラなどのアセットとGitタグが変更できなくなります。 これによって攻撃者がリリースされたアセットに対して脆弱性やマルウェアを投入するサプライチェーン攻撃や、開発者がアセットやタグを間違えて変更してしまうようなミスなどを防ぐことができるようになり、セキュリティが強化される効果があります。 Immutable Releaseが設定されると、リリース ページのタイトルの下に「Immutable」が表示されます。 さらに、Immutable Releaseを作成するとリリースに関する暗号として検証可能な「リリース構成証明」が自動的

yellow.asm ��7Ӫ� �uϪ� .global _main .extern _putchar .align 4 _main: ; prolog; save fp,lr,x19 stp x29, x30, [sp, #-0x20]! str x19, [sp, #0x10] mov x29, sp ; make space for 2 dword local vars sub sp, sp, #0x10 ; save argc/argv stp x0, x1, [sp] ; create autorelease pool and save into x19 bl _objc_autoreleasePoolPush mov x19, x0 ; initialize app delegate class bl initAppDelegate ; create CFString wit