#opensource

Metabaseは、セキュリティ報告の件数が月10件程度から週10件程度へ急増したと紹介している 背景には、LLM-powered code scanners（AIを使ったコード解析ツール）の進化がある こうしたツールは、公開コードの脆弱性を大量かつ深く見つけるようになってきた その結果、オープンソースは短期的にはかなりつらいが、長期的にはセキュリティ改善につながる ただし、公開コードを持つ開発者は、「見つかったらもう世に出たもの」として即対応を求められるようになる Metabaseの記事は、かなり挑発的なタイトルです。 “strip mining” というのは、地表をはぎ取るように広く浅く、でも大量に資源を掘り出す採掘方法のこと。ここではそれを比喩にしていて、要するに 「AIがオープンソースの脆弱性を、片っ端から掘り起こす時代になった」 という話です。 これ、なかなか面白い表現だと思います。 昔のセキュリティ調査は、熟練の研究者が狙いを定めて深掘りするイメージでした。ところが今は、LLMを使ったコードスキャナーが登場して、**大量の公開

Open Sourceは“余暇の趣味”ではなく、今や社会インフラだという主張 OSSメンテナは、会社の業務時間を使って依存先のOSSを維持すべきだと訴えている ポイントは「サボる」ことではなく、会社がすでに依存しているものを会社の時間で直すこと ただし、契約・秘密情報・知的財産の扱いには注意が必要 “正しい会社なら許可を出すべき”という穏健策もある一方で、本記事はもっと直球の行動を勧めている かなり挑発的だが、OSS維持の現実をかなり正確に突いていると感じる Open Source Resistance は、ざっくり言うと 「企業に勤めながらOSSメンテナンスをしている人は、夜や週末だけでなく、会社の勤務時間でもやるべきだ」 という“直行型”のマニフェストです。 ここで言うOSSは Open Source Software、つまりソースコードが公開されていて、誰でも利用・改変できるソフトウェアのことです。 たとえば、Webサービス、開発ツール、インフラ、パッケージ管理など、私たちの仕事の土台にはOSSが山ほどあります。 著

Archestraの開発チームが、AI生成の雑なコメントやPR（Pull Request） に悩まされている Issue（課題管理）やPRの欄が、本物の開発者よりAI botの投稿で埋まる 状態になった 対策として、GitHubの仕組みを使ったオンボーディング制限を導入した ただしその方法はかなり強引で、“やむを得ない核オプション” という印象 この記事は、AIがOpen Sourceに与える影響について、かなり切実な警鐘を鳴らしている この記事は、ArchestraというOpen Sourceプロジェクトのチームが、「AI slop（AIが量産する雑で中身の薄い投稿）」に本気で困っている、という話です。 ここでいうAI slopは、見た目だけはそれっぽいけれど、実際には役に立たないコメント、提案、PRのこと。要するに、AIが作った“中身のないノイズ” ですね。 これ、かなり笑いごとではないと思います。Open Sourceって、本来は「みんなで良くしていく場所」のはずなのに、そこに雑音が大量発生すると、まともな人ほど疲れて離れていってしまう。こ

Zulipの創業者Tim Abbott氏が、フルタイムのZulipリーダーを退き、Anthropicに移る Zulipを支えてきた会社Kandra Labsは、独立した非営利団体「Zulip Foundation」に寄付される これにより、Zulipは財団が保有する会社というかなり珍しい形で運営される 目的は、Zulipの価値観・独立性・長期安定性をはっきり守ること 既存ユーザー向けの運営は継続し、Zulip Cloudやself-hosted版も当面大きく変わらない 財団化によって、寄付や助成金などの資金調達もしやすくなる リーダー交代中の実務は、経験豊富な体制で途切れず進めるとしている Zulipは、ひとことで言うと「整理しやすいチームチャット」です。SlackやDiscordのようなチャットツールの仲間ですが、Zulipの持ち味はtopic-based threading、つまり「話題ごとに会話をきれいに分けられる」こと。雑談が流れっぱなしになりにくく、複数の話を同時に進めても混線しにくいのが強みです。 今回の発表で大きいのは、Zulipの運営体制そのものが変わる

Linus Torvaldsが、Linuxのsecurity mailing listが「almost entirely unmanageable（ほとんど管理不能）」になっていると発言 原因は、AIを使って同じ脆弱性を見つけた研究者たちが、似た報告を大量に送ってくること その結果、重複チェックや振り分けばかり増え、「無駄な苦痛と意味のない作業」になっているという Torvaldsは、AIで見つけたなら“報告だけ”で終わらず、ドキュメントを読んでパッチも出せ、と注文 一方で、Linux maintainerのGreg Kroah-HartmanはAIをより前向きに評価しており、見方は割れている Linux kernelの生みの親であるLinus Torvaldsが、Linuxのsecurity mailing listについてかなり強い言葉で不満を表明しました。 要するに、「AIを使ってバグを探す人が増えたのはいいけれど、同じ発見が何通も何通も届いて、もう回らない」という話です。 security mailing listは、Linuxのセキュリティ問題を報告・議論するための場所です。

新しめの open-ish frontier model 3種を、実務寄りのコーディングベンチマークで比較した記事 対象は Kimi K2.6 / Qwen 3.6 Plus / DeepSeek v4 Pro 品質は3つともかなり高い が、総合では DeepSeek v4 Pro がいちばんバランス良好 Qwen 3.6 Plus は総合点は悪くないものの、Planner段階で gate failure が発生 コスト面では DeepSeek が有利。品質差が小さいなら、ここはかなり重要 結論としては、オープン寄りモデルにも十分勝負のチャンスはある、ただし「安いのに高品質」とはまだ言い切れない この記事は、「オープン寄りの frontier model は、閉じた closed-source model に対抗できるのか？」という、いまのAI界隈でかなり気になるテーマを実験で確かめたものです。 ここでいう frontier model は、最先端クラスの大規模AIモデルのこと。 closed-source model は

steering は、LLMの内部表現（activations）を直接いじって、出力の傾向を変える手法 たとえば「簡潔に答えて」といった性格を、プロンプトではなくモデル内部から強められる ただし、軽い調整は prompting で代替できることが多く、万能ではない 一方で、拒否を弱める・検閲を外す など、prompting では難しい用途がある Open weights の強いモデルが増えたことで、ローカル環境で steering を試す価値が急に上がった ただし著者は、実用面ではまだ懐疑的。結局は fine-tune や prompt のほうが効率的では、と見ている この記事のテーマは、ざっくり言うと 「LLMの出力を、プロンプトではなく内部から直接いじる技術」 です。 これが steering。日本語にするなら「誘導」や「操舵」に近い感じでしょうか。 著者 Sean Goedecke は、昔の「Golden Gate Claude」にかなり魅了されたと言います。これは Claude の出力がなぜかゴールデンゲー