技術

ModelScope経由のQwen3.7 Plusでfunction callingが通ったので対話型エージェントを自作した

ModelScope経由のQwen3.7 Plusでfunction callingが通るか検証し、フレームワークなしでツール往復と会話履歴のエージェントをopenai SDKだけで自作した。並列tool_calls、対話の記憶、履歴肥大の破綻点と記憶管理の選択肢まで実機ログ付きで。

Joomla JCE CVE-2026-48907がCISA KEV入り、更新後も不正プロファイルとPHPファイルを確認する

Joomla Content Editor 2.9.99.4以前の未認証プロファイル取り込みからPHPコード実行。CISA KEV追加で期限は2026年6月19日。JCE 2.9.99.7への更新と、侵害済みサイトの不正プロファイル・ウェブシェル確認まで必要。

Boogu-Image-0.1をM1 MaxのComfyUIで試す fp8はMPSで弾かれ、bf16なら回る

2026年6月16日公開のBoogu-Image-0.1をM1 Max 64GBのComfyUIで実機検証。公式はCUDA/fp8前提でMacの記載がゼロ。fp8はMPS非対応で弾かれbf16必須、Turboは1枚約70秒で回った。人物・アニメ・文字描画・NSFWの通り具合と、MacでComfyUIを上げるときの速度の注意まで。

Vertex AI SDKのModel.uploadが予測可能なGCSバケット経由でモデル差し替えRCEにつながった

Unit 42が確認したgoogle-cloud-aiplatform 1.139.0/1.140.0で、Model.uploadのデフォルトステージングバケットが予測可能だった。1.148.0以降への更新、明示的なstaging_bucket、ノートブック・CI・学習パイプライン側のSDK版確認まで見る。

DNSの切り分けはAレコードから権威サーバーとキャッシュへ進む

Aレコードを変えたのに反映しない、メールだけ届かない、証明書が発行できない。digで権威DNS・再帰リゾルバ・TTL・ネガティブキャッシュ・CNAME・MX・CAA・DNSSECをどの順で切り分けるかを実例コマンド付きでまとめた。

Chainguardがnpmグレーウェアを検知し5万2,000件超を遮断

Chainguardのグレーウェアスキャナ発表を、npmの公開経過時間ゲートやnpm v12 allowScriptsの範囲外として読む。5万2,000件超の遮断、npmの公開例、開発端末とCIで確認する差分まで。

Mastraのnpm侵害はeasy-day-js依存でpostinstall発火、公式116件・外部143〜144件

Mastraの@mastra/*侵害は、正規パッケージ本体ではなくeasy-day-js依存のpostinstallが入口。公式116件・外部143〜144件の差、npmトークンpublish、provenance欠落、age gateとallowScriptsで止まる範囲を確認する。

C++26の猫耳演算子 ^^ は静的リフレクションで型やメンバーを値として扱うための記号

C++26に入る静的リフレクションの ^^ が何をする演算子なのか。std::meta::info、[: :] のスプライス、Kotlinのエルビス演算子やPythonのセイウチ演算子など変な名前の演算子と並べて見る。

Qwen3.7 Max/PlusのAPIで日本語小説を校正、4分類判定でMaxとPlusの性格差が出た

Qwen3.7 Max/PlusのAPIで、BERT抽出した139候補を日本語小説校正の4分類で判定。両モデルともほとんど直さず、閉じ括弧の句点や固有名詞の解釈、思考モードのオンオフでMaxとPlusの判定が割れた。

VLESS + REALITY を Xray-core だけで立てて偽装まで確認した（パネルなし・root不要の最小構成）

3X-UIなどのパネルを使わず、Xray-coreのバイナリと2つの設定ファイルだけでVLESS + REALITYを立て、openssl s_clientで本物のサイト証明書が返るか＝偽装が効いているかまで実機で確認した記録。鍵生成の出力変更や非443ポート警告など詰まりどころも残した。

FFmpeg 21件のゼロデイ、183バイトのAV1 RTP PoC

depthfirstのAIセキュリティエージェントがFFmpegで21件のゼロデイを発見。CVE付き9件、RTSP URLからAV1 over RTPへ届く経路、同梱FFmpegの確認まで整理する。

Claude Fable停止後にKimi K2.7 CodeとQwen3.7 Maxがエージェント枠を取りに来ている

2026年6月16日時点で、Claude Fable 5停止後の代替候補を中華系AIの最新リリースから見る。Kimi K2.7 Code、Qwen3.7 Max、DeepSeek V4、GLM-5.1の差分と、Claude Code互換ハーネスで使うときの制約を整理した。