記事
DX・Web開発・生成AIに関する知見をお届けします。
パストラバーサルとは？起きるパターンと対策法
パストラバーサル（ディレクトリトラバーサル）の仕組みと起きるパターン、正規化後の範囲チェックと許可リストを軸にした対策を整理します。Railsで send_file にファイル名パラメータをそのまま渡してしまう危険例と、File.expand_path による正規化＋前方一致の検証、入力を「パス」ではなく「ID」にする設計まで具体的なコードで示します。
#セキュリティ#Web開発#脆弱性対策
OSコマンドインジェクションとは？起きるパターンと対策法
OSコマンドインジェクションの仕組みと起きるパターン、シェルを介さず多引数形式でコマンドと引数を分離して渡す対策を整理します。Railsで system にユーザー入力を連結した文字列を渡してしまう危険例と、多引数形式での安全な実装、オプション解釈の残余リスクや Shellwords.escape の位置づけまで具体的なコードで示します。
#セキュリティ#Web開発#脆弱性対策
AIコーディングエージェント週次アップデート：2026年7月第4週（7/20〜7/24）
2026年7月第4週（7/20〜7/24）のClaude Code・Codex・Gemini・Cursorの公式アップデートを、各社のチェンジログ・リリースノートなど一次情報にあたって検証したリサーチ記事です。Claude Codeの/verify・/code-review自動実行停止とサブエージェント同時実行上限、Codex 0.145.0の/import拡張とマルチエージェントV2、Gemini CLIのセキュリティ修正とAntigravity CLIの週3リリース、CursorのCursor Router投入を出典リンク付きで整理し、横断的に見える4つの傾向をまとめます。
#ai#開発組織
SSRF（サーバサイドリクエストフォージェリ）とは？起きるパターンと対策法
SSRF（サーバサイドリクエストフォージェリ）の仕組みと起きるパターン、宛先ホストの許可リストとクラウドメタデータ保護（IMDSv2）を軸にした対策を整理します。Railsで URI.open にユーザー指定URLをそのまま渡してしまう危険例と、許可リスト＋内部IP検証を組み込んだ安全な実装、DNSリバインディングまで含めた検証の勘所を具体的なコードで示します。
#セキュリティ#Web開発#脆弱性対策
IDOR（安全でない直接オブジェクト参照）とは？起きるパターンと対策法
IDOR（安全でない直接オブジェクト参照）の仕組みと起きるパターン、所有者チェックを軸にした対策を整理します。RailsのOrder.find(params[:id])がそのまま穴になる理由と、current_user起点の取得への直し方を具体的なコード例で示します。OWASP API Security Top 10で1位のBOLAに相当する脆弱性です。
#セキュリティ#Web開発#脆弱性対策
CSRF（クロスサイトリクエストフォージェリ）とは？起きるパターンと対策法
CSRF（クロスサイトリクエストフォージェリ）の仕組みと起きるパターン、CSRFトークンとSameSite Cookieを軸にした対策を整理します。Railsで検証を外してしまう skip_before_action の罠と、React（TypeScript）からのトークン送信ヘッダの組み込み方を、危険なコードと安全な書き方の具体例で示します。
#セキュリティ#Web開発#脆弱性対策
SQLインジェクションとは？起きるパターンと対策法
SQLインジェクションの仕組みと起きるパターン、そしてプレースホルダ（パラメータ化クエリ）を軸にした対策を整理します。Rails（Active Record）で穴が開く where の文字列展開と order のカラム名、その安全な書き方を具体的なコード例で示します。
#セキュリティ#Web開発#脆弱性対策
XSS（クロスサイトスクリプティング）とは？起きるパターンと対策法
XSS（クロスサイトスクリプティング）の仕組みと3つの型、混入しやすいパターン、そして出力時のエスケープを軸にした対策を整理します。React（TypeScript）の dangerouslySetInnerHTML と Rails（ERB）の raw / html_safe を題材に、危険なコードと安全な書き方を具体的なコード例で示します。
#セキュリティ#Web開発#脆弱性対策
Claude Codeの料金はいくら？プラン別価格と「月200ドルでAPI換算20万円分」の実測データで解説
Claude Codeの料金はいくらか。Pro（月20ドル）からMax（月100〜200ドル）、Team、API従量課金まで2026年7月時点の価格を整理し、月200ドルのMax 20xプランでAPI換算1,400〜1,500ドル分を使っている自社の実測データを公開します。プラン選びの落とし穴と、料金表に載らない「運用設計」のコストまで、導入を検討する経営層・開発責任者向けに解説します。
#ai#経営#開発組織
死なないSaaSの作り方｜機能がコモディティ化する時代に、何を蓄積すべきか
「AIエージェントでSaaSは内製できるから死ぬ」という議論は半分正しく、半分間違っています。内製の脅威は「持ち続けるコスト」まで見積もると小さいこと、機能はコピーできても顧客の行動ログはコピーできないこと、データ蓄積とAI駆動開発による高速検証の好循環がSaaSの寿命を決めることを、現場でAI駆動開発を回している立場から解説します。
#ai#saas#経営
CTOが今期決めるべきサプライチェーン攻撃対策——発見・抑制・ダメージコントロールの3層設計
npmのサプライチェーン攻撃は2025年以降、毎月の定常イベントになりました。悪意あるコードはCVEが付く前に正規の新バージョンとして配布されるため、脆弱性スキャンやDependabotでは防げません。抑制・発見・ダメージコントロールの3層の防衛線を、ツール購買ではなく開発標準の設計問題として、CTO・開発責任者向けに解説します。
#セキュリティ#開発組織#経営
SDD（仕様駆動開発）とは？AIコーディングを仕様で制御する開発手法を解説
SDD（Spec-Driven Development、仕様駆動開発）とは、AIにコードを書かせる前に仕様を文書として確定させ、その文書を基準に実装と検証を進める開発手法です。vibe codingとの違い、Spec KitとKiroの使い分け、TDDやウォーターフォールとの違い、導入判断の考え方までを、現場でAI駆動開発を回している立場から解説します。
#ai#開発組織#経営
AIコーディングエージェント週次アップデート：2026年7月第3週（7/13〜7/17）
2026年7月第3週（7/13〜7/17）のClaude Code・Codex・Gemini・Cursorの公式アップデートを、各社のチェンジログ・リリースノートなど一次情報にあたって検証したリサーチ記事です。Claude CodeのWeb検索・サブエージェント生成へのセッション上限導入と/forkのバックグラウンドセッション化、CodexのGuardianロールバックと危険コマンド検知強化、Gemini CLI安定版v0.51.0へのセキュリティ修正収録、Cursor 3.11のSide Chatsを出典リンク付きで整理し、横断的に見える4つの傾向をまとめます。
#ai#開発組織
AIを入れても開発が速くならない現場、3つの共通点
Stripeが5,000万行の移行を1日で終える一方、「AIを入れたのに開発が速くならない」という相談は増え続けています。DORA 2025レポートの「AIは増幅器」という結論を踏まえ、AIがワークしない現場に共通する3つの欠落——食わせる情報がない・動ける足場がない・出力を検証する仕組みがない——と、見落とされがちな「モデル調達（稟議）」の構造問題、そして何から着手すべきかの順序を、現場でAI駆動開発を回している立場から整理します。
#ai#開発組織#経営
「AIで内製できますよ」と言われた経営者が、最初に決めるべきこと
AIで業務ツールを作れる範囲は広がりましたが、「社内で作れた」と「会社として内製できた」は別です。AI内製化の前に決めるべき運用責任者の役割、社内に残す判断、90日で引き継げる体制を作るロードマップを整理します。
#ai#内製化#経営
AIコーディングエージェント週次アップデート：2026年7月第2週（7/6〜7/10）
2026年7月第2週（7/6〜7/10）のClaude Code・Codex・Gemini・Cursorの公式アップデートを、各社のチェンジログ・リリースノートなど一次情報にあたって検証したリサーチ記事です。SpaceXAIとCursorの共同モデルGrok 4.5、OpenAIのGPT-5.6発表とCodexのChatGPTデスクトップアプリ統合、Claude Codeの安全ガードレール強化、Gemini CLI安定版のセキュリティ修正未収録問題を出典リンク付きで整理し、横断的に見える4つの傾向をまとめます。
#ai#開発組織
Claude Fable 5とは何か——リリース3日で米政府に規制された"Mythos級"モデルの、停止から復活までの全記録
2026年6月9日にリリースされたAnthropicの最上位モデル「Claude Fable 5」は、わずか3日後に米政府の輸出管理指令で提供停止となり、19日後の7月1日に復活しました。停止から復活までの経緯、価格とAPIの変更点、安全設計をめぐる論争、Opus 4.8やSonnet 5との使い分けまで、公式情報と報道を突き合わせて総まとめします。サブスクリプションでの無償利用は日本時間7月13日15時59分までです。
#ai#経営#開発組織
顧客の声を聞く方法大全 — 既存・見込み別 14 の施策と、売上に効かせる 6 ステップ
顧客の声を聞く施策を既存顧客・見込み顧客別に14個整理し、集めた声を売上・KPIに効かせる6ステップにまとめました。SlackやDropbox、Superhumanの実例と、深く学ぶためのおすすめ書籍6冊も紹介。「要望対応の積み上げ」で終わらせず、顧客の声を事業成長のエンジンに変える設計を解説します。
#saas#経営