技術

npmに2FA承認つきstaged publishingとinstall元制限が入った

npm CLI 11.15.0でstaged publishingがGAになり、CIからstage queueへ出したtarballをメンテナが2FA承認してから公開できる。--allow-remoteなどのinstall元制限と、age gateやallowScriptsとの違いも確認する。

Ghost CMSのCVE-2026-26980悪用で700サイト超がClickFix配布元になった

Ghost 3.24.0〜6.19.0のContent API SQLインジェクションが、Admin APIキー窃取と記事本文の一括改ざんに使われた。Ghost 6.19.1以降への更新だけでなく、記事末尾のJavaScript、APIキー、訪問者通知まで確認する。

TikZ EditorはLaTeX図の座標調整をブラウザのドラッグ操作で済ませる

既存のTikZコードを崩さず座標だけ更新するWYSIWYGエディタ。相対配置や未実装構文の扱いまで追うと、論文図の微調整に向く条件がはっきりする。

BacklogをAIエージェントの制御盤にして、課題処理を半自動化する

BacklogのステータスをAIエージェントの状態機械として使い、課題の一次読解からローカル確認、detached worktreeでの並列実装、patch統合まで半自動化した運用メモ。人間が握るのは着手・ローカルOK・本番反映の3点だけ。

CodexのSQLiteログがSSDに37TB書いた報告と6月22日の修正PR

Codexのlogs_2.sqliteが21日で37TB規模のSSD書き込みを起こしたGitHub Issueを確認した。TRACEログ、SQLite WAL、6月22日にマージされた修正PR、手元で確認するファイルを整理する。

Cloudflare Temporary Accountsで未ログインのままWorkerを出せる

Wrangler 4.102.0以降の --temporary で、Cloudflareアカウントなしに60分だけWorkerを公開できる。AIエージェントの検証ループ、claim後の扱い、D1やKVなどの制限を確認する。

PLaMo・LLM-jp・Sakana Fuguで国産LLMの作り方が三つに割れた

PLaMo 3.0 Prime・Sakana Fugu・LLM-jpの3つの作り方を比較。重みをゼロから作る/全部公開する/作らず司令塔で外部モデルを束ねる違いを、Fuguの仕組みとOpenRouterとの差まで技術的に整理した。

20年放置していたP/ECEをWindows 11で復活させ、自作ゲームをLLVMツールチェーンでビルドして実機で動かした

20年前に買って眠っていたアクアプラス製携帯機P/ECEを引っ張り出し、Windows 11でドライバを通し、自作のCゲームをLLVMツールチェーンでビルドして実機で動かすまでの記録。当時のドライバが使えない問題、SDK無しのコンパイラ、LLVMビルドのOOMまで込み。

npmアカウントaiの7パッケージは週964Mダウンロードでprovenance未設定

PostCSS、nanoid、browserslistなどを公開するnpmアカウントaiの集中リスクを見る。provenance未設定、staged releases移行中、TanStackやMastraとの違いから、依存側で確認する差分を絞る。

ModelScope経由のQwen3.7 Plusでfunction callingが通ったので対話型エージェントを自作した

ModelScope経由のQwen3.7 Plusでfunction callingが通るか検証し、フレームワークなしでツール往復と会話履歴のエージェントをopenai SDKだけで自作した。並列tool_calls、対話の記憶、履歴肥大の破綻点と記憶管理の選択肢まで実機ログ付きで。

Joomla JCE CVE-2026-48907がCISA KEV入り、更新後も不正プロファイルとPHPファイルを確認する

Joomla Content Editor 2.9.99.4以前の未認証プロファイル取り込みからPHPコード実行。CISA KEV追加で期限は2026年6月19日。JCE 2.9.99.7への更新と、侵害済みサイトの不正プロファイル・ウェブシェル確認まで必要。

Boogu-Image-0.1をM1 MaxのComfyUIで試す fp8はMPSで弾かれ、bf16なら回る

2026年6月16日公開のBoogu-Image-0.1をM1 Max 64GBのComfyUIで実機検証。公式はCUDA/fp8前提でMacの記載がゼロ。fp8はMPS非対応で弾かれbf16必須、Turboは1枚約70秒で回った。人物・アニメ・文字描画・NSFWの通り具合と、MacでComfyUIを上げるときの速度の注意まで。