技術

20年前に買って眠っていたアクアプラス製携帯機P/ECEを引っ張り出し、Windows 11でドライバを通し、自作のCゲームをLLVMツールチェーンでビルドして実機で動かすまでの記録。当時のドライバが使えない問題、SDK無しのコンパイラ、LLVMビルドのOOMまで込み。

PostCSS、nanoid、browserslistなどを公開するnpmアカウントaiの集中リスクを見る。provenance未設定、staged releases移行中、TanStackやMastraとの違いから、依存側で確認する差分を絞る。

ModelScope経由のQwen3.7 Plusでfunction callingが通るか検証し、フレームワークなしでツール往復と会話履歴のエージェントをopenai SDKだけで自作した。並列tool_calls、対話の記憶、履歴肥大の破綻点と記憶管理の選択肢まで実機ログ付きで。

Joomla Content Editor 2.9.99.4以前の未認証プロファイル取り込みからPHPコード実行。CISA KEV追加で期限は2026年6月19日。JCE 2.9.99.7への更新と、侵害済みサイトの不正プロファイル・ウェブシェル確認まで必要。

2026年6月16日公開のBoogu-Image-0.1をM1 Max 64GBのComfyUIで実機検証。公式はCUDA/fp8前提でMacの記載がゼロ。fp8はMPS非対応で弾かれbf16必須、Turboは1枚約70秒で回った。人物・アニメ・文字描画・NSFWの通り具合と、MacでComfyUIを上げるときの速度の注意まで。

Unit 42が確認したgoogle-cloud-aiplatform 1.139.0/1.140.0で、Model.uploadのデフォルトステージングバケットが予測可能だった。1.148.0以降への更新、明示的なstaging_bucket、ノートブック・CI・学習パイプライン側のSDK版確認まで見る。

Aレコードを変えたのに反映しない、メールだけ届かない、証明書が発行できない。digで権威DNS・再帰リゾルバ・TTL・ネガティブキャッシュ・CNAME・MX・CAA・DNSSECをどの順で切り分けるかを実例コマンド付きでまとめた。

Chainguardのグレーウェアスキャナ発表を、npmの公開経過時間ゲートやnpm v12 allowScriptsの範囲外として読む。5万2,000件超の遮断、npmの公開例、開発端末とCIで確認する差分まで。

Mastraの@mastra/*侵害は、正規パッケージ本体ではなくeasy-day-js依存のpostinstallが入口。公式116件・外部143〜144件の差、npmトークンpublish、provenance欠落、age gateとallowScriptsで止まる範囲を確認する。

C++26に入る静的リフレクションの ^^ が何をする演算子なのか。std::meta::info、[: :] のスプライス、Kotlinのエルビス演算子やPythonのセイウチ演算子など変な名前の演算子と並べて見る。

Qwen3.7 Max/PlusのAPIで、BERT抽出した139候補を日本語小説校正の4分類で判定。両モデルともほとんど直さず、閉じ括弧の句点や固有名詞の解釈、思考モードのオンオフでMaxとPlusの判定が割れた。

3X-UIなどのパネルを使わず、Xray-coreのバイナリと2つの設定ファイルだけでVLESS + REALITYを立て、openssl s_clientで本物のサイト証明書が返るか＝偽装が効いているかまで実機で確認した記録。鍵生成の出力変更や非443ポート警告など詰まりどころも残した。