記事一覧

Animaの4人LoRAで、短いプロンプトと成功する長文をQwen側・T5側へ分けて交差させた。seed 42の画像とconditioning介入から、T5側の系列内容とQwen経路が4人の描き分けへどう関わるかを切り分ける。

2026年8月6日公開のWordPress 7.0.3は、ログイン画面の未認証XSS（CVE-2026-64638、XSS2Shell、CVSS 8.9）を含む脆弱性群を修正した。空白入りの`< area`がstrip_tagsを素通りしてKSESで実タグに戻る判定差を起点に、管理者のクリック一回でプラグインアップロードによるPHP実行まで繋がる連鎖と、全バージョンが影響し修正が4.7まで遡る対応範囲を整理した。

anima-4char-v1をトリガー語のみ〜識別アンカー+位置文+服装文の4段階、2〜4人の11通りの組み合わせ×3seedで実測。崩れの大半は、学習キャプションにある言い回しをプロンプト側で補うと直った記録。

M1 Max 64GBでQwen3.6-35B-A3BのMoEルーターをモンキーパッチして層ごとのエキスパート選択を実測し、観測ベースの事前ウォームアップと素のmmapキャッシュの生成速度を比較した。Qwen3.5-122B-A10B-4bitがこの環境でMetalのOOM例外を出す実測込み。

2026年8月4日公開のFFmpeg 9.0は7ライブラリ全てがメジャーバージョンを更新し、8.0で予告されたTLS証明書検証の既定有効化を実施した。8.1.2と9.0をM4 Mac miniでソースビルドし、自己署名証明書のHTTPS取得が拒否される挙動と、アニメーションWebPのネイティブデコードを実測した。

Claude Codeのisolation: 'worktree'サブエージェントが親チェックアウトへ書き込める問題が、2.1.203から2.1.222まで4リリースにわたって対象範囲を変えながら修正された。git -C、GIT_DIR、破壊的gitコマンドと、公式リリースノートの記述を整理する。

8月3日公開のNext.js 16.3をAstro 7.1、Nuxt 4.5と並べ、同一デザインのブログをM4 Mac miniで3つ実装して実測した。見た目はピクセル一致でも、クライアントJSはNext.js 172KB、Nuxt 21.5KB、Astro 0KBと桁で差が付いた。

JFrogが55件の脆弱性報告のうち54件を捏造と判定した調査を追った。CVE-2026-51296から51304の6件は存在しない関数や行番号を挙げたままNVDでCritical掲載まで通過。スキャナーがこの番号を検出しても誤検出として扱ってよい。

Palo Alto Networks Unit 42が公開したPass-ta-key攻撃3種を整理した。前提はWindows上のChromeとマルウェアの先行感染だが、全パスキーを暗号化するマスター鍵がプロセスメモリに平文で載り、抜かれても失効させる方法がない。返ってきたUVフラグを確かめていないサービス側の問題も扱った。

2026年8月4日のkeyv侵害を調べた。汚染版にはGitHub Actions署名のprovenanceが付いたままで、34分のあいだに8組織へ広がった。npmレジストリとGitHub側を実際に叩いて確認した現状と、失効を先にやると起動条件を満たす監視デーモンの除去順序まで書いた。

2026年6月にarXivで公開されたSeFi-Image（Semantic-First Diffusion）をM1 Max 64GBのローカル環境で動かせるか検証。

M1 MaxでINT8ConvRotに近い量子化行列積をPyTorch、Metal、MPSMatrix、MLXから直接測定し、fp16との速度差とMPS経路の制約を確認した。