タグ: #supply-chain
GPU・LLM・MLOps・Kubernetes、そしてマインドセット · 28 件
いま注目のオープンソース (6) スター数が語ってくれないこと
スター数は人気の指標であって、リスクの指標ではありません。オープンソースを本番に入れる前に実際に確認すべきシグナルを整理します。最近のコミットとリリース周期、イシューへの応答、コントリビューターの分布とバス係数を GitHub API で自分で数える方法、ライセンスが自動分類されないときに LICENSE ファイルを直接読む必要がある理由、そして導入前のチェックリストをまとめました。シリーズで実際に確認した事例を根拠にしており、リポジト
2026-08-12 · 10 分で読めます #open-source#governance#supply-chain#risk#devopsいま注目のオープンソース (4) オブザーバビリティとセキュリティ
観測データは量がそのままコストになり、セキュリティツールはパイプラインに入り込めなければ使われません。計装の標準、ストレージエンジン、eBPF ベースのランタイム監視、サプライチェーンの検証まで、実際に定着したオープンソース 12 個を、スター数の順位ではなく担当する層ごとにまとめて紹介します。何を置き換えるのか、成熟度はどの程度か、いつ使うべきでないのかも併せて書きました。リポジトリのパスとライセンス、スター数、最新のプッシュは 20
2026-08-12 · 9 分で読めます #open-source#observability#security#opentelemetry#ebpfバス係数は知っている人の数ではなく、決められる人の数だ
Nixpkgsのコアチームが10か月で解散しました。貢献者が数千人いるリポジトリで、委任された意思決定権限を持つ人は二人であり、その二人が退いたことでその管轄は直接の持ち主がいない状態になりました。この出来事を根拠に、依存関係のリスクを評価するときスター数やコミット数ではなく、承認権限を持つ人の数、委任構造の実効性、エスカレーション経路を見るべき理由を整理し、GitHub APIで自分で数えられる指標とその限界も併せて扱います。原文の発
2026-08-09 · 16 分で読めます #devops#open-source#governance#nix#supply-chainオープンソースガバナンスが壊れるとき — Ruby Central騒動と三つの軸
2026年7月30日、André Arkoが「Ruby Centralの破壊的遺産」を発表し、2025年9月に始まったRubyGemsリポジトリのアクセス権限をめぐる紛争が、10か月を経て再び表面化しました。本稿は双方の一次証言を並べて検証可能なタイムラインを整理したうえで、core-js、event-stream、xz-utils、Nix、Redis、Terraformで同じ形の危機が繰り返される理由を構造として分析します。核心は三つ
2026-07-31 · 29 分で読めます #open-source#governance#rubygems#supply-chain#licensing閉域網イメージ搬入パイプライン設計 — skopeo、Harbor、そして腐らない再搬入ランブック
閉域網のKubernetesでほとんど誰もきちんと扱っていない問題、すなわちコンテナイメージを繰り返し安全に持ち込むパイプラインを設計します。搬入リストをコードとして管理する方法から、skopeo syncで外部レジストリをディレクトリとOCIレイアウトとして取り出すコマンド、orasで任意のアーティファクトを運ぶ方法、Harborを内部配布レジストリとして置く二重レジストリパターンまでを扱います。Harborのプロキシキャッシュは上流
2026-07-31 · 26 分で読めます #kubernetes#air-gap#harbor#skopeo#supply-chain依存関係のサプライチェーンセキュリティ — ロックファイルが防いでくれないもの
package.json に自分で書いたパッケージは十数個なのに、実際にインストールされるのは千個を超えます。この記事では推移的依存がなぜ直接依存より危険なのか、ロックファイルの整合性ハッシュが再現性は保証しても悪意あるコードはまったく防げない理由を、実際のロックファイルの項目で説明します。タイポスクワッティングと dependency confusion が成立する条件、そしてスコープ固定やインデックスの優先順位設定で防ぐ方法、pos
2026-07-26 · 23 分で読めます #security#supply-chain#npm#sbom#ciDeno 2.9 — deno desktop実験、ロックファイルそのままの移行、そして24時間のサプライチェーンデフォルト
2026年6月25日に出たDeno 2.9は、3つの話にまとめられます。Webスタックでネイティブデスクトップアプリをビルドする実験機能deno desktop(デフォルトはOS内蔵webview、オプションでCEFバンドル)、npm・pnpm・yarn・Bunのロックファイルをそのまま読んでdeno.lockをシードする移行パス、そして公開されたばかりのnpmパッケージのインストールを24時間拒否するmin-release-ageのデ
2026-07-17 · 23 分で読めます #javascript#deno#javascript-runtime#node-compatibility#supply-chainイシュー1件でサプライチェーンの端まで — CI内のエージェントが崩れた経路と、防御が実際に稼いだ時間
2026年6月1日にGMO Flatt SecurityのRyotaKが公開したClaude Code GitHub Actionsの脆弱性は、CIパイプラインに入り込んだエージェントがどのようにしてリポジトリ全体を明け渡す通路になるのかを、最後まで追った事例です。ボット判定の一行が信頼境界を崩し、イシュー本文に仕込まれた指示が命令になり、読み取り専用に見える一つのコマンドが流出チャネルになります。本稿はその経路をアーキテクチャのレベル
2026-07-16 · 39 分で読めます #security#ai#prompt-injection#supply-chain#ci-cdaxios アカウント乗っ取り3時間 — provenance はオンだったが、誰も確認しなかった
2026年3月31日00:21 UTC、週間ダウンロード8千万件を超える axios に悪性バージョン1.14.1がアップロードされました。興味深いのは、axios がすでに npm の trusted publishing を使っていたという点です — 直前の正規リリース1.14.0は GitHub Actions が OIDC で発行しており、SLSA provenance まで付いていました。それでも防げませんでした。truste
2026-07-16 · 35 分で読めます #security#supply-chain#npm#nodejs#devsecopsDebianが再現不可能なパッケージのtesting移行を止め始めた — ゲートが実際に止めるものと止めないもの
2026年5月9日、Debianリリースチームは移行ソフトウェアbritneyを再現性検査に接続しました。翌日メーリングリストに投稿された文は"Debian must ship reproducible packages"でしたが、実際に止まるのは再現しない新規パッケージと、以前は再現していたパッケージの回帰の2つだけです。本稿はそのゲートを分解します — builddが残した.buildinfoを使って配布されたバイナリをそのまま再構
2026-07-16 · 37 分で読めます #devops#reproducible-builds#debian#supply-chain#ci-cdnpmのサプライチェーン攻撃が消えない理由 — npm-scanが実際に見るもの、そして本当に効く防御
npmのサプライチェーン攻撃は、偶発的な事故ではなく、インストールスクリプト、推移的依存、タイポスクワッティングという構造から繰り返し生まれます。2025年の Shai-Hulud ワームは、インストールスクリプトで自己複製し、npm トークンやクラウドの鍵を盗み出しました。先日 Hacker News で話題になった npm-scan は、この問題をローカルの静的・行為分析で捕まえると掲げる道具です。本稿は README を土台に、n
2026-07-11 · 13 分で読めます #npm#supply-chain#security#javascript#nodejsグローバルサプライチェーンと日常 — 私のモノはどこから来るのか
朝に飲む一杯のコーヒーから手のなかのスマートフォンまで、私たちの日常は目に見えない巨大なサプライチェーンの上に立っています。サプライチェーンの仕組み、コンテナ革命の歴史、パンデミックと地政学的ショック、そして効率と脆弱性のあいだの古い難題をバランスよく見ていきます。
2026-06-21 · 67 分で読めます #economics#globalization#supply-chain#logistics#historyグローバルサプライチェーンと日常 — 私のモノはどこから来るのか
朝に飲むコーヒー一杯、手に握ったスマートフォン一台にも、数十の国が絡み合っています。目に見えない巨大な網の目であるグローバルサプライチェーンがどのように動いているのか、それがどのようにして安価な豊かさをもたらしながら、同時に壊れやすい弱点を抱えるようになったのかを、コンテナ革命、パンデミックの衝撃、そして効率と回復力のジレンマを通じて、やさしく面白く見ていきます。
2026-06-21 · 73 分で読めます #supply-chain#globalization#logistics#economy#tradeAI半導体のサプライチェーンと市場 — 誰がチップを作るのか (2026)
AIチップ一枚ができるまでのバリューチェーンを、設計、EDA、IP、ファウンドリ、パッケージング、HBM、装置に分けて辿ります。TSMCとSamsung、ASMLのEUV、CoWoSのボトルネック、地政学と輸出規制、クラウド自社チップの台頭、そして2026年の投資サイクル論争まで、誰がチップを作るのかを整理します。
2026-06-16 · 36 分で読めます #gpu-cuda#ai-hardware#semiconductor#supply-chain#tsmcOperator セキュリティ — 最小権限 RBAC、マルチテナンシー、サプライチェーン
Operator はクラスタ全体で強力な権限を持って動作するため、一度侵害されるとクラスタ全体が危険にさらされます。本記事では、RBAC マーカーによる最小権限の生成、Role と ClusterRole の選択基準、kube-rbac-proxy 廃止後のメトリクス保護、Webhook の TLS、権限昇格の防止、マルチテナント分離、イメージ署名と SBOM、Secret の取り扱いと監査まで、Operator セキュリティ全体を深く
2026-06-15 · 35 分で読めます #kubernetes#operator#rbac#security#supply-chainnpmサプライチェーン攻撃の解剖 — Red Hatすら突破された時代の防御戦略
2026年6月、Red Hat Cloud Servicesの公式npmパッケージまでもが悪意あるコードに晒された事件を契機に、npmサプライチェーン攻撃の類型を解剖し、lockfileの完全性、provenance署名、社内レジストリ、CIネットワーク隔離まで、組織が備えるべき防御スタックを整理します。すぐに適用できる.npmrcとGitHub Actionsの設定例も提供します。
2026-06-12 · 28 分で読めます #npm#supply-chain#security#devops#sigstoreクラウドセキュリティ 2026 完全ガイド - Zero Trust・SBOM/SLSA・CSPM/CNAPP・Wiz・Falco・Sigstore・Vault・Tailscale・Cloudflare 徹底解説
2026年5月時点のクラウドセキュリティスタックを一気に整理する。Zero Trust(Cloudflare、Tailscale、Zscaler、Netskope)、CSPM/CNAPP(Wiz、Orca、Lacework、Prisma Cloud、Sysdig、Aqua)、SBOM/SLSAサプライチェーン(Sigstore cosign、CycloneDX/SPDX、Trivy、Syft、Grype、Dependency-Track
2026-05-16 · 26 分で読めます #cloud-security#zero-trust#sbom#slsa#cspmAI 配送・物流・サプライチェーン 2026 完全ガイド - Project44 · FourKites · Convoy · Flexport · ShipBob · Loadsmart · Blue Yonder · o9 Solutions 徹底解説
2026 年、グローバル・サプライチェーン再編の時代。Project44 と FourKites のリアルタイム可視化、Flexport のデジタル・フォワーダー、Convoy の終焉と再生、ShipBob の D2C フルフィルメント、Blue Yonder と o9 Solutions の S&OP まで、AI 物流スタックの全体像を韓国・日本の事例とともに徹底解説します。
2026-05-16 · 29 分で読めます #ai-shipping#logistics#supply-chain#project44#fourkitesWebセキュリティ攻撃・防御の実践 — XSS、CSRF、SSRF、Clickjacking、Prototype Pollution、Supply Chain、CORS完全ガイド（2025）
前回のSecurity記事が「組織のセキュリティ」だったとすれば、本稿は「コードに刺さった脆弱性」です。XSSの3種類とCSP nonce・Trusted Types、SameSite以降のCSRF、Capital Oneを崩壊させたSSRF、Clickjackingのフレーミング攻撃、Nodeの持病であるPrototype Pollution、event-stream/xz-utilsのサプライチェーン攻撃、CORSのよくある誤解、B
2026-04-15 · 17 分で読めます #web-security#xss#csrf#ssrf#clickjackingフロントエンドセキュリティ 2025 — XSS·CSRF·CSP·Trusted Types·JWT·OAuth·PKCE·Passkey·サプライチェーン·SRI (シーズン6 第9回)
XSSは今も全CVEレポートのトップ。しかし2024–2025は本物の武器を出荷した: Trusted Types、strict-dynamic付きCSP v3、Sanitizer API。Passkeysが真剣な製品でパスワードを置換。サプライチェーン攻撃がSRI + SBOMを必須に。2026年のフロントエンドセキュリティプレイブック — 脅威、緩和、全Webチーム最低ラインの実装。
2026-04-15 · 8 分で読めます #frontend#security#xss#csrf#csp