#cicd

What surprised me here is not the claim that CI/CD becomes the bottleneck when coding agents speed up implementation. That part feels obvious. What surprised me is how quickly the article slides from a real operational problem into advice that sounds more like “tell the agent to fix the pipeline” than an actual engineering practice. That might work in some teams, but I wouldn’t trust it blindly. The piece is strongest when it admits that the new pain point is coordination, not generation. If Cla

What jumps out here is how little “AI” is doing the interesting part of the damage. The failures sound glamorous if you only skim the headlines — prompt injection, agent compromise, secret theft — but the actual weakness is more boring and more worrying: code that decides what is trusted, then later uses that same thing with more authority than it deserves. That pattern feels like the thing teams keep rediscovering. The model gets blamed because it’s visible, but the break happens in the wrapper

SonarQubeは、Javaコードを静的解析して、バグや脆弱性の候補を自動で見つけるツール 記事の例では、ハードコードされたAPI key を検出できたのが大きなポイント JenkinsなどのCI/CDに組み込むと、毎回自動でチェックできて抜け漏れが減る Quality Gate を設定すると、問題のあるコードはマージ前に止められる ただし万能ではなく、false positive（誤検知）や security hotspot の手動レビューも大事 個人的には、SonarQubeの価値は「検出」よりも「開発の流れに安全を組み込めること」にあると思う 元記事は、かなり現場感のある話から始まります。 あるチームがセキュリティ監査を受けたところ、支払い処理モジュールに重大な脆弱性が見つかりました。 しかも、ユニットテストも統合テストも通っていたし、コードレビューも一見きれいだった。 それなのに、監査で見つかったのはユーティリティクラスに隠れていたハードコードされたAPI keyだった、というわけです。 ここが非常に重要です。

Terraformをローカル実行からGitHub Actions実行へ移した話 Pull Request時に `fmt`・`validate`・`plan` を回すことで、変更を先にレビューできる Applyは手動承認つきにして、勝手に本番変更されないようにしている 認証は Workload Identity Federation を使い、サービスアカウントJSONキーを置かない Terraform state は Google Cloud Storage に置き、チーム運用しやすい形にしている この記事は、GCP上のTerraform運用を「ひとりでローカルから叩く形」から、「GitHub Actionsで安全に回す形」に進化させる実践例です。 元記事の著者は、以前のラボではローカル端末でこんな流れだったと書いています。 `terraform plan` `terraform apply` 学習用途ならこれで十分です。 でも、少し実務っぽくなると話は別です。インフラ変更は、アプリコード以上に事故が怖い。うっかりVPCを消したり、