AI新聞

Claude Codeの使いこなし術について書かれた記事。一流の開発ノウハウを“スキル”として持ち込めるのが肝。

• Sentryのgetsentry/skills：DjangoのIDORやN+1など実運用の観点でレビュー
• ui-ux-pro-max：業界別の配色・スタイルを内蔵し、AIっぽくないUIを設計
• Karpathy原則：推測禁止・最小変更・過剰抽象化回避・テスト駆動を徹底
• web-quality-skills：Lighthouseで速度・アクセシビリティを実測採点
• caveman：応答とルール文書を圧縮し、トークンとコンテキストを節約
• Matt Pocock：ADR作成→チケット化→仕様準拠レビューを一気通貫
• cavekit：SPEC.mdに要件と進捗を集約し、会話を跨いで継続可能
• ECC：役割別サブエージェントとフック、言語別ルールを即導入
• notebooklm-py：NotebookLMに自動照会し、公式ドキュメント起点で実装
• awesome-claude-skills：1000件超のスキルを用途別に探せる名簿

連続不正アクセスの攻撃手法と対策をまとめた調査記事。

• アプリ解析からAPIを特定して不正アクセスに転用。APKを解析し、SSRFなどの脆弱性を突く。AIで既知脆弱性のスキャンやAPI経由攻撃も実施。
• Flutter/Dart AOTの解析にBlutter、jadx、Frida等を使用。署名生成ロジックや秘密鍵を抽出し、正規アプリを介さずAPIに到達。
• SSRF検証用に302リダイレクトを返すHTTPSスクリプトを用意し、挙動を確認。
• Webに限らずMySQL、Jenkins、メールGWも標的。EDR回避やWebシェル設置で内部侵入を試行。国外サービスにも攻撃。
• 対策：秘密鍵や長期トークンをアプリに埋め込まない。サーバ側で厳密な認証・認可を実施。レート制限と異常監視で正規外クライアントを検知。
• SSRF対策：アクセス先の許可リスト化、リダイレクト後の宛先検証を徹底。
• 共有推奨IoC例：210.149.87[.]120、118.26.36[.]16、69.10.51[.]162。

Claude Codeのような生成AI時代に合わせ、開発と検証を加速するワークフローを紹介した記事。

• PRごとのPreview環境を自動で立てる。pushで更新、クローズで削除。アプリだけでなくDBもPR単位で分け、スキーマ変更もマージ前に試す。
• 戻せる変更はアプリ側（Two-Way Door）で自由に試し、戻せない変更はDBやインフラ側に隔離して慎重に扱う。
• PMやCSもAIで機能変更のPRを作り、自分のPreviewで動作確認してからレビューへ。作って試すまでを一人で回せる。
• コードを読むより実物と意図で確認する。AIが「変更の意図」を説明するページを生成し、全体像と差分を把握してからPreviewで触って確かめる。
• 人が重視して見るのは、セキュリティ（権限や外部送信）、設計（モデルや構造）、破壊的なデータ操作やマイグレーションの有無。
• 大きな機能は全員で30分ほど触ってQA。指摘は表に集約し、AIがまとめて修正する。

ClaudeなどのAIを使って“もっと野心的に”働くコツを解説した記事。

• 目標の一段上の成果に直接取り組ませる（Altitude）：資料作成を超え、「何が変わったか・なぜか・次に何を決めるか」まで任せ、継続運用できる仕組みに変える。必要なデータ取得や実行環境も用意する。
• 深さを狙う（Depth）：プロが使う道具と方法を指定（DBや統計モデルなど）。無茶な目標を“普通”と伝え継続させる。前提を生データで検証し、新しい指標を発見。自己採点は避け外部ツールで検証。
• 幅を広げる（Range）：仕事を名詞でなく動詞で捉え直し、記者・編集・モーションなど異分野の視点と手法を持ち込む。役割ごっこではなく、その職能の実作業をさせる。
• 実践条件：AIにソフト導入・データ接続・自動実行できる環境を与えると、自律的に高い抽象度で回るワークフローに近づく。