#OSS

AWSがオープンソースで出したAIエージェント用ハーネス「Strands harness」を、公式ブログに埋め込まれたベンチマークの数値から同一モデル同士で比べた。LLMの差し替え方、既定で入っている機能、承認なしでシェルを実行する既定値の注意点も整理する。

Qwen-Image 2.1のKVキャッシュとTaylorSeerキャッシュを併用すると2ステップ目でエラーになる不具合を、DiffusersにissueとPRで報告し、4日弱でマージされた。AIエージェント利用時のDiffusersの投稿ルール、レビューで求められた再現コード・出力画像・テスト、取り込まれた4行の修正の中身。

OCamlのcohttpでパストラバーサル修正のPRを公開した約10分後、同じパターンのプローブがメンテナのサーバーへ届いた。悪用までの平均時間がマイナス7日まで落ちたM-Trendsの数字、AI由来の悪用は増えていないとするVulnCheckのデータ、メンテナ側の容量を論じたbugonomicsの論文を突き合わせた。

MITREが7月31日に却下したSQLiteの捏造CVE6件を8月17日にGitHub Advisory Database APIで直接確認すると、6件ともunreviewedのままCVSS9.8などの表示が残っていた。

2026年8月4日公開のFFmpeg 9.0は7ライブラリ全てがメジャーバージョンを更新し、8.0で予告されたTLS証明書検証の既定有効化を実施した。8.1.2と9.0をM4 Mac miniでソースビルドし、自己署名証明書のHTTPS取得が拒否される挙動と、アニメーションWebPのネイティブデコードを実測した。

JFrogが55件の脆弱性報告のうち54件を捏造と判定した調査を追った。CVE-2026-51296から51304の6件は存在しない関数や行番号を挙げたままNVDでCritical掲載まで通過。スキャナーがこの番号を検出しても誤検出として扱ってよい。

Apache Data Lakehouse Weeklyの2026年7月21日から29日分。読み取り側と書き込み側の負担、Parquet ALP対応、Polaris MCP認証のトークン境界を整理する。

EU向け製品のCRA対応で、全体適用の2027年12月より先に2026年9月の報告義務が始まる。EOL部品を含む製品で、SBOM、サポート期間、24時間通知のどこが先に詰まるかを見る。

Postgres 18.3の回帰テスト46,000本を100%通過したpgrustの作り方と限界（SQLsmithが出したセグフォ、実測9倍遅い公開版）、同じ日に出たZig作者Andrew KelleyのBun移植批判の経緯を整理する。5月のBun 100万行マージの続き。

Chainguardのグレーウェアスキャナ発表を、npmの公開経過時間ゲートやnpm v12 allowScriptsの範囲外として読む。5万2,000件超の遮断、npmの公開例、開発端末とCIで確認する差分まで。

2026-05-15のx-algorithm更新を確認した。Phoenixの実行パイプライン、約3GBのモデル成果物、Grox、広告混合が入り、1月公開版より検証できる範囲が広がっている。

72,376量子ビット、8,000万ゲート。DOOMの1面を量子回路で作り直したQuandoomの論文とQASMを読んだ。可逆性の制約がゲーム描画を変える仕組みと、干渉なしでノートPCシミュレーションが成立する理由。