技術

Chainguardのグレーウェアスキャナ発表を、npmの公開経過時間ゲートやnpm v12 allowScriptsの範囲外として読む。5万2,000件超の遮断、npmの公開例、開発端末とCIで確認する差分まで。

Mastraの@mastra/*侵害は、正規パッケージ本体ではなくeasy-day-js依存のpostinstallが入口。公式116件・外部143〜144件の差、npmトークンpublish、provenance欠落、age gateとallowScriptsで止まる範囲を確認する。

C++26に入る静的リフレクションの ^^ が何をする演算子なのか。std::meta::info、[: :] のスプライス、Kotlinのエルビス演算子やPythonのセイウチ演算子など変な名前の演算子と並べて見る。

Qwen3.7 Max/PlusのAPIで、BERT抽出した139候補を日本語小説校正の4分類で判定。両モデルともほとんど直さず、閉じ括弧の句点や固有名詞の解釈、思考モードのオンオフでMaxとPlusの判定が割れた。

3X-UIなどのパネルを使わず、Xray-coreのバイナリと2つの設定ファイルだけでVLESS + REALITYを立て、openssl s_clientで本物のサイト証明書が返るか＝偽装が効いているかまで実機で確認した記録。鍵生成の出力変更や非443ポート警告など詰まりどころも残した。

depthfirstのAIセキュリティエージェントがFFmpegで21件のゼロデイを発見。CVE付き9件、RTSP URLからAV1 over RTPへ届く経路、同梱FFmpegの確認まで整理する。

2026年6月16日時点で、Claude Fable 5停止後の代替候補を中華系AIの最新リリースから見る。Kimi K2.7 Code、Qwen3.7 Max、DeepSeek V4、GLM-5.1の差分と、Claude Code互換ハーネスで使うときの制約を整理した。

AWS WAFのAIトラフィック収益化はAIボットにx402で課金できるが、個人ブログではCloudFront移行、Bot Control料金、x402対応ボットの少なさが先に来る。Vercel運用の小規模サイト目線で黒字条件を計算する。

2026年7月予定のnpm v12でpreinstall、postinstall、binding.gypの暗黙node-gypが未許可なら停止。npm 11.16.0でapprove-scriptsを実行し、allowScripts、--allow-git、--allow-remoteをCI前に確認する。

WAI-illustrious-HSWQ v17.0 baseをM1 MaxのComfyUIでWAI v17と比較。10step fastは約28〜34秒、20step qualityは約64秒で、Kana LoRAと背景の発色も試した。

ZyphraのZONOS2を、VRAM 8GBのRTX 4060 Laptop（WSL2）でローカル実行した記録。システムメモリフォールバック＋KVキャッシュ手動指定＋CUDAツールキットで日本語音声の生成まで到達したが、速度は実時間の約1/20。人名「かな」が「仮名」アクセントになる問題と表記での回避も、聞き比べ音声つきで検証した。

AMIXA - Async's MIX ANIMAをanima-base-v1.0/JANIMAと同一プロンプトで比較。M1 MaxのComfyUIでAnima LoRA、2キャラ、Turbo/native背景を試し、base寄りの描画に明るい発色が乗るかを見た。