CA鍵の欠陥が揺るがすWebの信頼、Cerebrasが超巨大AIの動かし方を公開
AI
How we deploy trillion-parameter frontier models on Cerebras
Cerebras が公式ブログで、3兆パラメータ級のAIを自社チップで動かす方法を明かした。同社のチップはウェハー（半導体の円盤1枚を丸ごと使った巨大チップ）で、内蔵メモリは44GBしかない。そこでモデルを層ごとに複数のチップへ割り振り、例に挙げたKimi K3では59枚を使う計算になる。チップ間では計算途中の結果だけを渡すので、重みを動かさずに高速な応答を保てるという。
AI ネイティブの SDLC プレイブック
Anthropic が、AIを前提にソフト開発の流れを組み直すための手引きを公開した。AIがコードを書く速さに比べ、計画やレビュー、リリースは人の速度のままで、そこが新たな詰まりどころになるという。手引きは計画から保守までの6段階ごとに、AIの組み込み方と人が判断する場所を示す。人が1行ずつ目で確かめる旧来の審査では、AIが書く量に追いつかないとも指摘している。
A 10-year-old CNN outperforms frontier LLMs for skin cancer diagnosis
10年前の古い画像認識AIが、皮膚がんの診断で最新の大規模AIを上回ったと、皮膚科医の著者が自身のサイトで報告した。生検で確定した200件で試すと、古いAIの正答率は62%、最新の汎用AI2種は42%にとどまった。古いAIは CNN（画像の特徴をつかむのが得意な昔ながらのAIの型）で、皮膚の画像で約20分だけ追加学習させた専用品だ。著者は件数が少ないことなどの限界も自ら挙げたうえで、専門に絞った小さなAIの強さを示している。
Kimi K3.1 Pro’s debut draws scrutiny over allegations that influencers were asked to promote the model without disclosing a commercial relationship to Moonshot
Techmeme 経由の VentureBeat の報道で、中国Moonshot AIの新モデル「Kimi K3.1 Pro」の宣伝手法に疑いが出た。インフルエンサーに、金銭関係を明かさないまま紹介を頼んだとされる。このモデルは公開時から外部の性能比較でも高い点数を出していた。性能とは別に、評判の広まり方の信頼性が問われている。
Source: Replit recently moved most AI spend from Anthropic to OpenAI, which gave 30%+ off in a deal worth $100M+/year, after Anthropic discontinued its discount
Replit がAI利用料の大半をAnthropicからOpenAIへ移したと、The Information が報じた。OpenAIは3割以上の値引きを示し、取引は年1億ドル超の規模とされる。きっかけは、Anthropicが割引をやめたことだという。Anthropicとの協業終了の裏側で、OpenAIの値下げ攻勢が実を結び始めた形だと同紙は伝えている。
Infra
eMudhra のインシデントは Web にとって何を意味するのか | blog.jxck.io
インドの認証局eMudhraの鍵の不備は、話題のPHPの脆弱性より深刻だと blog.jxck.io が論じた。認証局（サイトが本物だと保証する機関）の鍵が、実質1バイト分しかない弱さだった。この鍵があれば、どのサイトでも「正規の」証明書を作れてしまう。piyologの時系列まとめが経緯を追ったのに対し、本稿は監査の意味そのものを問うている。
Data center tenants now demand $5M+ a day in late-delivery fees, up from $1M this spring, spawning new “delay-in-delivery” coverage from brokers like Marsh
The Information によると、データセンターの完成が遅れた際の違約金が、1日500万ドル超に跳ね上がった。今年の春は100万ドルほどだったという。遅れたときの負担が重くなり、保険仲介大手のMarshなどは引き渡しの遅れに備える新しい保険を扱い始めた。
DreamHost Status
レンタルサーバー大手のDreamHostで障害が起き、一部の利用者のメールとFTPのパスワードがリセットされた。同社の障害情報ページによると、影響を受けた利用者には再設定の手順をメールで順次送っている。ファイル管理画面は使えない状態が続いている。同社はパスワードを尋ねるメールは送らないとし、便乗する偽メールへの注意を促している。
ぬる〜い水でもGPUを冷やせる。日立の新型コールドプレートで冷却電力が3割減る
ギズモード・ジャパンの記事によると、日立がGPUの冷却電力を3割減らせる冷却板を開発した。冷却液をGPUへまっすぐ当て、U字に折り返して戻す細い流路を数千本並べた構造だ。冷たい液と温まった液が混ざらないので、45℃程度のぬるい液でも十分に冷やせる。液が温かいほど外気へ熱を捨てやすく、AI向けデータセンターの電力を抑えられる。
[アップデート] AWS CloudFormation の「更新ロールバックを続ける」の高度なトラブルシューティングオプションに「強制ロールバック」が追加され、戻せないリソースをまとめてスキップできるようになりました
DevelopersIO の記事で、AWS CloudFormation に「強制ロールバック」が加わったことが紹介された。更新に失敗し、元に戻す処理まで失敗すると、スタック（まとめて管理するクラウド資源の一式）は操作を受け付けなくなる。これまでは戻せない資源を自分で選んで飛ばす必要があった。新機能は失敗した資源をまとめて飛ばしてくれるので、復旧の手間が減る。
Backend
「DuckDB 2.0 LTS」正式リリース。Quackプロトコルによるクライアント/サーバ機能や非同期処理による高速化など
Publickey が、分析用データベース「DuckDB 2.0」の正式公開を詳しく報じた。目玉は、別のマシンで動くDuckDBへ独自の方式でつなぐクライアント/サーバー機能だ。非同期I/O（読み書きを待つ間に別の処理を進める仕組み）による高速化や、形を決めずにデータを入れられる型も加わった。公式の発表どおり長期サポート版で、開発元がAWS傘下に入ってから初の大型版になる。
TIL: POSIX wordexp(3) is dangerous
C言語の関数 wordexp を外部からの入力に使うのは危険だと、著者がブログで注意を促した。~ をホームフォルダに置き換える定番の手段だが、既定では $(...) によるコマンド実行まで有効になっている。止めるためのフラグもあるが、musl や macOS の実装には抜け道があるという。著者の結論は、信用できない文字列にはフラグを付けても使うな、というものだ。
SIMD and Go
Goの新しいSIMD機能を、CPUの中の仕組みから図解する記事が internals-for-interns で公開された。SIMD は1つの命令で8個の数値をまとめて計算するような仕組みで、記事はレジスタの使い方から順に説明する。Go 1.26の実験的パッケージと、1.27で入った機種を問わない版を、主な操作ごとにコード付きで紹介している。Go公式の紹介と合わせて読むと、手書きのアセンブリなしで高速化できる流れがつかめる。
Stop Trusting the OAuth Email: How One Missing Check Enables Account Takeover in 2026
HackerNoon の寄稿で、OAuth（他社のアカウントでログインさせる仕組み）の実装に潜む乗っ取りの穴が解説された。ログイン元がメール確認を済ませていなくても、受け側のアプリがそのメールを確認済みと見なしてしまう問題だ。著者はDiscordのログインを例に、未確認のアカウントでアプリ側のメール確認をすり抜けられたと報告する。ログイン元が返す「確認済み」の印を、アプリ側で必ず確かめることが対策になる。
Why WooCommerce Is Slow: 924 ms to Build a Page, 27 ms to Serve It
Dev.to の記事で、WooCommerce のネットショップが遅くなる理由が計測付きで示された。キャッシュが無いと、商品ページを開くたびに千を超えるPHPファイルを読み、90回のデータベース問い合わせが走る。ページキャッシュが効けば、サーバー側の処理は1ミリ秒ほどで済む。ただしカートや決済の画面は毎回組み立て直しになり、そこはキャッシュでは隠せない。
Frontend
さよならWordPress。ゲ制工房は新時代のCMS、EmDashに移行しました。
ブログ「ゲ制工房」が、WordPressからCloudflareの新しいCMS「EmDash」へ1日で移った体験を公開した。作業はほぼ Claude Code に任せたという。きっかけは、土台のPHPに深刻な脆弱性が見つかったことだ。1.0が出たばかりのEmDashは、記事を部品ごとのデータで持つ。AIが段落単位で直しやすい点を、最大の利点に挙げている。
HTMX creator on the history of REST and why he thinks we got it wrong
Reddit の r/programming で、HTMX の作者が出演したポッドキャストが紹介された。もともとの REST の定義と、JSON をやり取りするだけの API が「REST」と呼ばれるようになった経緯を語っている。作者は、サーバーからHTMLを返すほうが元の考えに近いと主張する。SPA（1枚のページの中で画面を書き換える作り）が本当に要る場面や、AIが簡素なコードの価値をどう変えるかにも触れている。
Vue Fes Japan 2026で「あなたの await、OS まで届いてる？ strace で覗く JavaScript の非同期」というタイトルで登壇しました
DevelopersIO で、Vue Fes Japan 2026 の発表内容が公開された。strace（プログラムがOSに出す依頼を記録する道具）で await fetch() を覗くと、OSに接続や送信の依頼が届いていた。一方で await Promise.resolve() では、OSには何も届かない。await はただ待つだけで、OSとやり取りしているのは裏で動く libuv だと、実験で確かめている。
作ったゲームのソースコードをまるごと「Xのポスト」に詰め込めるゲームエンジン現る。“URL”なら3KBまでセーフ - AUTOMATON
AUTOMATON によると、「Pyxel」の作者が、ゲームを丸ごとXの投稿に収められるエンジン「Playload」を公開した。JavaScriptで書き、コードは圧縮後3KBまで、色は8色、画面は160×144ドットに絞られる。この上限は、Xが4096文字までのURLを短く扱える仕様に合わせたものだ。作ったゲームはURLにして投稿するだけで、ほかの人がすぐに遊べる。
GitHub - enesozturk/dimensional-drawing
UIの部品を寸法入りの図面に描き起こすスキルが GitHub で公開された。スキルとは、AIエージェントに作業手順を教える追加ファイルだ。Apple が製品ごとに出す寸法図を手本に、余白や角の丸み、重なりを記号で書き込む。文言は省いて構造だけを残すため、文章が変わっても図面が古びない。
Products
AgentGrid.io
Product Hunt に登場した、人とAIエージェントが同じ文書やアプリを一緒に編集できる共有の作業場。AIが作った成果物がチャット履歴に埋もれがちな問題に対し、保存・版管理・共有リンクをまとめて用意する。人にはGoogleドライブのように、エージェントにはGitのように見えるのが特徴だ。Claude や ChatGPT、Cursor など複数のAIに対応し、AIを業務に取り込むチームに向く。
Others
We should be more ambitious with the software we build
AI時代こそ、作るソフトにもっと大きな野心を持てると Dan Luu がブログで論じた。粗悪なAI製プロジェクトがあふれる一方、PostgreSQLをRustで作り直す「pgrust」は本家のバグまで見つけている。徹底したテストと計測を伴えば、以前は大きすぎた挑戦も実用水準に届くという。周りの粗悪品を気にせず、できる範囲が広がったことを生かすべきだとまとめている。
電子漫画「ピッコマ」 顧客のメールアドレス約100万件流出 | NHKニュース
NHKによると、電子漫画サービス「ピッコマ」の運営会社が、顧客のメールアドレス約100万件の流出を発表した。メール配信を任せていた外部の企業が不正アクセスを受けたことが原因だという。自社のシステムが無事でも、委託先から情報が漏れうる例になった。流出したアドレスを狙う、なりすましメールにも注意が要る。
GMOへの攻撃者、利用者PCの乗っ取りを画策 会社は注意喚起 - 日本経済新聞
日本経済新聞によると、GMOのクラウドへの不正アクセスで、攻撃者を名乗る人物が新たな脅しをかけている。27日正午までに身代金を払わなければ、サービス利用者のPCを乗っ取ると予告した。PC内の個人的な情報を広めるとも脅している。GMOが金銭要求を受けていると明かした件の続報で、同社は利用者に注意を呼びかけている。
AI delivers ‘zero financial payoff’ to most companies, Apollo economist says
AIはIT業界以外の企業に利益をもたらしていないと、投資会社Apolloの経済学者が指摘した。TechCrunch が報じた。巨大IT7社を除いた米大手企業では、利益率も従業員1人当たりの売上も横ばいだという。同氏は、ビジネスで要る知能の大半は判断であり、AIは責任や信頼、文化を理解しないと述べる。
Nikon photography contest winner loses title after scientists spot signs of AI
TechSpot によると、ニコンの顕微鏡動画コンテストで、優勝作品がAIの使用を理由に取り消された。細胞の形や大きさが不自然で、構造が突然現れたり消えたりすると研究者たちが指摘した。作者は後処理の補助にAIを使っただけだと主張したが、ニコンは規約違反と判断した。同社は今後、応募の規約と審査の手順を見直すとしている。
管理人のピックアップ
About the compromised eMudhra intermediate CAs - Apple Support
Apple がサポート記事で、鍵が破られたeMudhraの中間証明書への対応をまとめた。10月19日から計12枚の証明書を、Safariやメールなどで自動的に遮断しており、利用者の操作は要らない。23日には、大元のルート証明書も遮断の対象に加えた。ただし curl や git などターミナルの一部の道具は、今後の更新まで受け入れてしまうという。
概念設計が、その後のコードの命運を左右する
設計の最初に「何が存在するか」を決める概念設計の大切さを、Zenn の記事がネットショップの例で語った。破損品の再送を0円の注文として扱うと、売上集計などあちこちで除外の注意が要るようになる。注文と配送を別の概念に分ければ、そもそもバグが入り込む余地が減ると著者は説く。うまく定まった概念は、新しい機能を検討する道具にもなるという。
それでもプログラミングを学ぶ意味はあるか。1年前に書いた答えを、今もう一度考える｜ひさじゅ - RUNTEQの代表
プログラミングスクールRUNTEQの代表がnoteで、AI時代にプログラミングを学ぶ意味を1年ぶりに考え直した。本人はもうコードを書かず、読みもしないと明かしたうえで、それでも学ぶ意味はあると答える。1年前の結論は、書く力より「何を作るか」を考えて言葉にする力が大事、というものだった。今は実装役と検証役を分け、人が判断する場所を決めておく進め方を実践しているという。
エンジニアの劣等感との付き合い方 - Qiita
2020年に Qiita に書かれた、エンジニアの劣等感との付き合い方についての記事。著者は新人時代にコードレビューで厳しく叱られ、それ以来劣等感を抱えてきたと振り返る。それでも続けてこられたのは、人生を他人との競争と見なくなったからだという。不完全な自分を認めつつ、伸びる余地は手放さないことを勧めている。
思いつきが現実になる世界でこわい - 運河
もう自分ではコードを書かず読みもしないというプログラマーが、ブログ「運河」でAIの進化への戸惑いをつづった。新しいAIに仕事の課題を渡すと、自分には思いつかない解決策を完成した形で返してきたという。趣味のサイトは、ほぼ指示だけで2時間ほどで仕上がった。動作確認やデザインの調整までAIがこなす速さに、思いつきがそのまま形になる怖さを感じている。
なぜベテランの暗黙知は、文書化しても継承できないのか | DevelopersIO
ベテランの暗黙知は文書では継承できない理由を、DevelopersIO の記事が整理した。暗黙知とは、本人が当たり前と思い、言葉にできていない判断のコツだ。本人が書けるのは表層だけで、文書は更新されずに古び、緊急時には読まれないという3点だ。記事は、聞き取りで問いを重ねる手間をLLMが担うことで、状況が変わりつつあると見ている。
人間が時間を使うべきところはどこか
AIがコードを書く時代に、人間の時間をどこへ使うべきかを tellme.tokyo の著者が考察した。書く作業がほぼ消えた代わりにレビューが増え、そこが開発速度の上限になったと感じているという。機械で判定できるものは lint などのルールに移し、人とLLMは判断が要るものだけを見る方向を示す。最も貴重なのは人の時間で、次がLLM、最も安いのが機械という序列で考えている。
個人開発者のAPIキー管理、セキュリティー大丈夫ですか？Bitwardenで.envファイル地獄から脱出した話｜Kiku | AI × Bangkok
個人開発者が、APIキーを .env ファイルから Bitwarden へ移した体験を note で公開した。点検すると、9個の .env ファイルに28以上の秘密情報が平文で置かれていたという。.gitignore はGitHubへの流出を防ぐだけで、手元に平文で残る危うさは消えないと著者は気づいた。Mac・Windows・Linuxをまたいで同じキーを使うため、対応の広い Bitwarden を選んだ。
Password Manager CLI | Bitwarden
パスワード管理ツールをコマンドで操作する「Bitwarden CLI」の、Bitwarden 公式の解説ページ。保管庫の操作など、アプリでできることの大半をターミナルから実行できる。Windows・macOS・Linuxで使え、npm などからも入れられる。各コマンドの使い方は bw --help で確かめられる。
Claude Code での開発における認証情報管理: .env をやめて Bitwarden CLI を使うようにした - Qiita
Claude Code に作業させるとき、秘密情報を .env に置かず Bitwarden で渡す方法を、Qiita の記事が紹介した。.env は読ませない設定にしても、プロンプトインジェクション（AIを騙す悪意ある指示の埋め込み）などで漏れるおそれがある。著者は Secrets Manager 用の bws を使い、権限を絞った期限付きの鍵だけをAIに渡している。必要なときだけ、環境変数として注入できるのも利点だという。