#ci_cd

What jumps out to me is how little of this is really about “coding” in the narrow sense. The article keeps circling back to the same pain: enterprise integration work is mostly memory, context, and coordination. That part feels right. If you’ve ever chased a broken payload across a couple of services and three teams, you know the hard part isn’t writing syntax. It’s reconstructing intent from scattered clues. I’m mildly skeptical of the breezy confidence around “Claude reads an entire codebase”

いちばん引っかかったのは、モデルそのものをだましているというより、モデルの前後にある“手つき”のほうが崩れていたことだ。読んでいて、これってAIの賢さの問題というより、CIやハーネスの設計ミスをAIが増幅しているだけではないか、という感覚が強かった。 GitHub Issue みたいな外から入ってくる入力が、普通なら「未信頼」として扱われるはずなのに、いつの間にか workflow secrets に近づいていく。ここが怖い。人間の感覚だと「Issue に書かれた文字列がそんなところまで届くの？」となるけれど、記事を読むと、実際には validate したつもりの値が別の経路で再解釈されていたり、allowlist が登録時にしか効いていなかったりする。こういうのは一度穴が開くと、攻撃者はモデルを攻略しなくても十分だ。AI を狙っているようで、実際には周辺の自動化を食っている。 もう一つ、Claude Code の話で Hugging Face の download counter を exfiltration に使ったという部分は妙に生々しかった。秘匿情報の漏えいというと大げさな脱出

この記事を読んでまず思ったのは、「パッケージを入れるだけでここまでやられるのか」という、かなり素朴で、それでいて重い怖さでした。npm の malware というだけなら珍しくないのですが、今回は単に credential を抜くだけで終わらず、感染した package からさらに別の package へ広がっていく“worm”になっている。しかも開発者の手元だけでなく CI 環境まで狙っているので、被害の入口がかなり広い。ライブラリを `install` した瞬間の lifecycle script がこんなに危ないのだと、あらためて突きつけられます。 特に引っかかったのは、「署名や provenance があるから安心、とはならない」点です。GitHub Actions の正規の release workflow を通っていて、OpenID Connect や SLSA の provenance まで付いていたとある。でも、それでも中身が安全だとは言えなかった。ここはかなり厄介で、いまの開発現場が頼っている“信頼の見え方”が、攻撃者の動き方と相性が悪いのだと思います。証明書や ba

OpenAPIは、APIの「設計図」みたいなもの Spring Bootでは `springdoc-openapi` を使うと、コードからOpenAPI定義を出せる ただし、手で保存する方法は面倒で、CIには向かない 記事の核心は「アプリを起動した状態で、MavenプラグインにOpenAPIを取りに行かせる」こと そのために `openapi` 用のSpring profile を分けているのがうまい CIでAPI仕様を自動生成できると、フロントエンド連携や契約テストがかなり楽になる この記事は、Spring Bootアプリから OpenAPI 仕様を自動生成し、それを CI pipeline に自然に組み込む方法を紹介しています。 まず前提として、OpenAPIはAPIの仕様を機械が読める形で表したものです。人間にとっては「このAPIはGETで、こういう入力を受けて、こういう出力を返す」と読めるし、ツールにとっては「クライアントコードを作るための材料」になります。 ここが大事で、OpenAPIはただのドキュメントではありません。 実際には次のような用途でかなり役に立ちます。