サンリオピューロランドの体験と収録の近況
こんばんは、Replay.fm第95回です。
こんばんは。95回。
はい。
あと5週間ですか。
5週間ですね。
うん。
今日、7月1...2週目ぐらいのか。なんで。
7月...9月2週目ぐらいか。
まあ、だいぶ収録ずれ込んでるから、なんか1週ずれてるぐらいの感覚はあるかもしれないけど。
まあ、確かにね。今回は日曜日にちょっと収録してるんで。
いやー、実は今日まで東京にいたんですよ。
あ、そうなんだ。
うん。今日帰ってきたんですけど。
おかえりなさいませ。
はい。なんで、疲れて眠いって話したんですけど、あのー、あれですね。
生まれた赤ちゃんを親戚に見せるのと、上野娘をサンリオピューロランドに連れてくっていう。
お、すごい。
うん。サンリオピューロランド、よかったっすね。楽しかった。
いいっすねー。
おすすめしたね。
何がいた?
えっと、いや、グリーティングはね、ちょっとできなくて、でも、あのー、ビュッフェレストランみたいなとこがあって、そこでポムポムプリンとシナモンロールと、あと名前わかんない。
初めてなんかそこで知ったんだけど、なんかウサギの、なんて名前だっけあれ。可愛いウサギがいるんだよ。
えっと、ウサギ。
あ、ウィッシュメールだ。ウィッシュミーメルっていう。
画像貼っとくか。
Notionに画像貼っときますけど、ウィッシュ。
あのー、そうっすね。よかったっすね。
なんか、前からそうなのかもしんないけど、その、そのグリーティングの整理券とかは、その現地で、その現地でつなげられるWi-Fiからしか予約できないようになってたりしてて、へーって感じちゃって。
結構ね、システムが複雑で理解するのに時間かかったんで、ちょっとリベンジしたいなっていう気持ちはあるんですけど。
でもやっぱ、大人が多いっすね。なんかそれがちょっと新鮮でしたね。
キャラを仕掛けをしてる大人たち溢れてて。
なるほどね。
ケロケロケロっぴの帽子をかぶってる成人女性をすごいたくさん見かけました。
面白いでしょ、なんかその世界観。
フィルロランドって儲かってんのかな。
いやーでもめっちゃ似合ってたよ。
金曜日の平日に行ったんだけど、事前のリサーチでもやっぱ、平日でも全然混むみたいな感じだったし、実際行ってみてもね、めっちゃ混んでたから。
結構いい具合みたいっすね。
チケット代も、あれですけど、まあ安くないし、グッズがやっぱ魅力的なんじゃないかな。
その、ディズニーとかだと帰りにお土産屋混んでるイメージだけど、なんか初っ端からもうめっちゃ激込みでみんな買って。
だからみんな多分耳とか買って耳つけて、ケロケロケロっぴをかぶって、でグリーティングに行くんじゃないかな、自分のお式やらの。
なるほどね。
まあ興味ある方は是非。
いやー行ってみてください。
はい、東京、まあでも東京っぽいから東京しか行けないからね。
東京思い出話ですけど。
あれですかね、お便り引き続きGoogleフォームXハッシュタグでお待ちしております。
何でもどうぞ。
ただ今回はお便りを出すようなトピックがないというか、記事がめちゃくちゃ少ないんで、さらさらっと。
ステップセキュリティによるGitHub Actionsのメンテナンストピック
何ですか?
わかんないっす。なんか夏バテじゃないですか、ひなさん。ひなさん夏バテなんじゃないですか。
そんなことある。
まあ攻撃周りは結構この週の記事じゃなかったね。
来週はなんかなんだっけ、僕はちょっとあんま知らないけど、わりとちょっと騒がれたやつ一個あったけど、そこも平和だったし。
平和のうちはみんなAIの話ばっかりしてるんで、ここで取り上げるようなものはそんなになかったなという感じはするんですけど。
まあ一番上から行きますかね。
ステップセキュリティの記事で、
ステップセキュリティメイティングアクションズアールナウフリーフォーパブリックリポスっていう記事ですね。
先週ちょっとちらっと触れちゃった記事でもあるんですけど、何かというと多分前にもちょっと紹介した気がするんだけど、
ステップセキュリティが主要なサードパーティアクションズ、GitHubアクションズで使えるサードパーティアクションのメンテをクローンしてやってますよっていう取り組みがもともと多分あって、
サイトに行くとアクションズの一覧があって、
それぞれのアクションズ見ると、
クローン元のほうのリスクスコアとステップセキュリティのほうでクローンした後のリスク評価みたいなのが見れるようになってて、
要するにみんなめっちゃ使ってるんだけど、
例えば中に見るとピンハッシュしてないよとかメンテあんまされてないよみたいなものを、
僕たちがクローンしてメンテしてセキュアに使えるようにしたから使ってねっていうものですね。
今雑にパッと開いたりしたんですけど、
メンテナンスされてないよねとか、
ブランチプロテクションとか前にちょっとここで頑張って検証したけど、
ステップセキュリティでしたほうがちゃんとやってるよとか、
そういう保守取り評が見れるような形であって、
これ多分元々ステップセキュリティの顧客しか使えなかったっぽいんですけど、
これをパブリックリポジトリであれば無料で使っていいですよっていうアナウンスメントの記事という感じですね。
言ってしまえばそれだけではあるんですけど、
個人的には使えるなら使ってもいいんじゃないかなという気はするんで、
興味ある方はぜひ使ってみてくださいって感じですね。
どのアクションを自分が使ってるのかを洗い出すのがちょっとめんどくさいから。
そこがちょっと。
僕はさっきクロードに雑にこのページで使って置き換えられるやつ探してって言って探してて、
今手元であれですけど、
PNPMアクションセットアップとかもあれだね、置き換えられるんだ。
PNPMセットアクションぐらいメンテされてたらわざわざ置き換えなくてもいいかなって思っちゃうけど、
ちょっと見てみよう。
あれ、ないじゃん。
アドバイザリー。
DartとかFVM系は全然ない感じかな。
あれか、PNPMセットアップ。
ないね。
PNPMアクションセットアップとかはあれだね、ブランチプロテクションがかかってないっていう風に言ってますね、本気は。
セキュリティ表示。
これをどう評価するかって感じかな。
脆弱性も一致。
これさ、完全一致じゃないとサーチできない?もしかして。
今サーチして気づいたけど、プレフィックスが全部ステップセキュリティになっちゃってるから、
プレフィックスのほうの単語で調べちゃうと引っかかんないかも。
だから今俺、ページ内検索で引っかけたわ。
ちなみにDartはなさそうに見えますね。
FVMフラッタDartで調べたことなかったんで、弊社はちょっとあやかれなさそうに。
ありそうなのはGitHubの操作系のユーティリティ、PRコメントとか、
今パッと目に入ったけど、Issue Closed Labeler Actionみたいなそれっぽいやつとか、
そういうのどうしても使いたいって人は、僕はもうそんな使わないと思うけど、
サッととりあえず置き換えるとかやっても良さそうとか、
あとはスラック通知系とかよくあるよね。
アクションスラック、8398A7スラッシュアクションスラックってやつ、
なぜかよく見るんだけど、こういうやつとかは、
元のやつはスコア4になってるけど、10段階中4ですね。
もうメンテされてないんだ。
こういうの使ってる人は、もう機械先であるよって人は1行ペロッと書き換えて、
メンテされてるものに乗り換えるとかやっても良いかなと思うんですけどね。
いいね。これAll Actionsの方で見ると、
多分メンテしてないのも含めて全部出てるんだけど、
これは通信先がこういうのがあってみたいなリストとか全部出てて、
面白いね。
本当だ。なるほどね。
これAll Actionsって、なるほどね。
ステップセキュリティはメンテしてないけど、ステップセキュリティがもうスコア付けしてるものが。
このワークのコンクリッションとかね。
一定情報を見ようと思ったらスタートフリートライアルって書いてあるから、
無料で見れる範囲は決まってそうですね。
面白い。これはいいかもね。スコアスタートフリートライアルって。
APIとか欲しくなるけど、あそこまで使いたいなら契約しろって話かな。
面白いね。
なんかチェーンガードもなんかでやってた気がするけど、
もしくは提唱してたか忘れたけど、
メンテされてないけどみんな使いたいやつを、
パワーのあるところが巻き取って、
そこに付加価値をつけていくみたいな。
ほんのり、ほんとにちょっとほんのりトレンドじゃないけど、
ムーブメントが見える感じがしますね。
まあ、ペイしなかったらやめるかもしれないんで、
その時は皆さん気をつけてくださいって感じですけど。
いやー、しかしめんどくせえなあ。
そうね。
スコーズ系は参考にはできるかもね。
普通に欲しいなって思ったわ。
会社によるんだろうけど、
オーガニゼーションレベルで使えるアクションの制限ができるじゃん。
あれをやってない場合は結構いろんなものが入ってくるんだけど、
そんなに変なもの使われない。
規模によるけど使われないよねみたいな話もある一方で、
いちいち一個一個パッと見た時に、
いやーめっちゃ個人っぽいけどこれ大丈夫なのかなみたいなのを
許容していいのかみたいな正直わからんことって結構あるから、
普通にありがたい。
オーガニゼーション系ではありますね。
なんかここに書いて、この欲しいというふうに書いてあるうちの
半分ぐらいは自動で評価するCLIとかサッと作れそうだけどね。
直近のコミットの日数とか、
あとバラエティビティはどうなんだろう、
セキュリティアラート取ればいいのかな。
ブランチプロテクションは前検証した方法でいけるのかどうかですけど、
やってもいいかもね。
そうですね。
あとはそうだな、
これきっかけに置き換えなきゃいけないなってやつは
大体なんかやっぱ時代が変わって
用がなくなってメンテされなくなった時も多くあると思うから、
普通に個人的には
いい見直しの機会としても
お勧めしたいなって気持ちに今ちょっとなったな。
いろいろ眺めてると、
2年3年前ぐらい、2年前かな。
社内のアクション全部見てもらった時に、
メンテ止まってるやつとか今だったらG1コマンド、
2行で済むやつとかをめっちゃ潰してもらったんだけど、
そういうものが結構ちょこちょこ見られるというか、
開いてみると何個のSSで使われてますみたいになってて、
やっぱなんか動いてるから
そのまま使ってるんだろうなと思うんだけど、
これをきっかけに
見直してほしいなとちょっと個人的には思ったりするな。
RTキャンペーン。
GHRepoReadファイルっていうサブコマンドが
ちょっと前に生えたけど、
あれでまた置き換えられるやつとか増えてるかもしれないね。
それ知らないかも。
GHRepoRead。
APIから取ってきたじゃん。
単一ファイルを読みたいっていう時に。
そもそもチェックアウトしちゃってるとかね。
そうそうそうそう。
確かにこれ便利かもね。
これは欲しかったなっていうのが。
いいですね。
RTキャンプアクション。
これとかめっちゃ評価低いやん。
RTキャンプアクションスラックノーティファイね。
これね。
これよく見るよね。
よく見るし、
何だっけ、
まあいいや。
あのー、
これまだバージョン切ってないよね、多分今。
えっと、
June5なんで、
いつですか?
割と最近に切ってるね。
なんか切ってほしいやつがあったんだ。
今月だよね。
そうだね。
いや、先月じゃない?
いや、あのね、
あ、先月か。
Juneだから、そうだね。
いや、なんか、あのー、
何だっけ、
えっと、
ピンしてくれてなかったんだよ、
アクションヤブルの中を。
ピンしてたんだけど、
メインの最新だとピンしてて、
で、
バージョン切ってくれてなかったんだよね。
はいはいはいはい。
うん。
なるほどね。
あ、これ助かるな。
ブラシでやるか。
ピンしてるかどうかチェックするワークフローはないから、
容易にピンしてないやつまたしれっと入ってきそうやけど。
あ、でも別にいいんだよ。
これなくなるわ。
これがあるから、
なんていうか、
シャーピンニングをエンフォースできないやつとかがあるときに。
いや、なんかその、
バージョン切ったときに、
その、
いや、なんかその、
このリポジトリ自体にその、
ピンしてないやつを防ぐガードレールがないから、
ああ、まあね。
新しいバージョンでまた動かなくなるとか普通にありそう。
うんうん。
まあまあないと思うけど。
いや、なんか、
もう、
LLMあるし、
こんぐらいだったら、
クローンして最初にそうしようぜって。
いや、スラックはね、
いやもうこれね、
もう話めっちゃずれちゃうけど、
スラックは公式アクションが生きてないのが悪い。
もうほんとそれに尽きると思うな。
まあしょうがないんだけど。
まあね。
置き換えちゃえばいいっちゃいいんだけどさ、
なんか、
その、
使ってる歌詞が多いときに、
だるいなって思っちゃうし。
まあ、
そうね。
黒人。
スラックにいる各、
各自の、
エアエージェント君に、
頼んでください。
これで鬼化してよーって。
まあ、
はい。
そんな感じなんで、
まあ、興味のある方はぜひ、
眺めてみてください。
まあ割と、
幅広ではあると思うんで。
はい。
プライベートリポはね、
おそらく有料なんで、
そこだけちょっと、
ご注意くださいって感じですね。
じゃあ、
Anthropic Claude 3の輸出規制解除とAIモデルのセキュリティ
次行きますか。
もう、
なんか、
今さら喋らなくてもいいかという気持ちも、
ありますけど、
アンソロピックのニュースで、
リデプロイングフェイブルファイブ、
っていう記事ですね。
で、
タイトル通り、
フェイブルファイブ、
トミトスファイブの、
米国政府による、
輸出差し止めが解除されましたよと。
で、
7月1日から、
みなさん元気に使って、
トークンが解けるだの、
これに使うといいだの、
いろんな声が聞こえてきますか。
はい。
みなさん手元に届きましたよと。
で、
この記事では、
それに合わせて、
何が起きてたんじゃいっていう部分を、
時系列でささっと解説しているのと、
あとはそこに対して、
いろいろコメントがあるという感じで、
ざっくり話すと、
タイムラインとしては、
概ね、
騒ぎが起きたときにみなさん、
過去認識、
ここで話した、
元オームネスを言わなくて、
AWSからフェーブル5の脱獄ができるんじゃないか、
みたいな例図が、
政府のほうに垂れ込みがあって、
で、止めましたよと。
そこに対して、
政府と一緒に、
ちゃんと検証して、
そもそもフェーブル5では、
検証しているやつはできないよ、
みたいな話と、
合わせて、
もっと、
もともとのガードレールよりもっと強化しましたよ、
という部分もあって、
それをもって、
多分、
解消OKが出たというような形っぽいですね。
いやー、
これ、
普通に言っても、
何て言うか、
仕事が仕事なので、
なんか、
マジで、
簡単に引っかかるから、
あー。
これはセキュリティのトピックですね、
オパスを4.8に下げました、
っていうのにめっちゃ引っかかるから、
なんか、
腹立ちますね。
いや、
もう、
そういう用途では、
もう使えないよね。
だから、
使えないようにしてるよ、
っていう話だと思うから、
まだ試してないけどさ、
なんか、
これこれ、
こういうセキュリティのあれを見て、
それに沿って、
この行動を評価してくださいとかも、
多分できないと思うんだよね、
あの感じだと。
できないと思う。
基本的には、
もう攻撃者がそう、
悪用し得るパスをひたすら潰すみたいな、
そういう交換条件出してるモデルだと思う。
そうすると、
もう使いようがないよね、
正直。
だって、
普通の開発でもさ、
セキュリティの面倒見させられないわけじゃん、
もはやこいつに。
だから、
その辺どうなってんだろうね、
その、
ガードレールのせいで、
でも、
基本的にはプロンプトに対して、
その辺よくわかんないな。
なんかその、
この記事にも書いてあるんだけど、
ガードレールも、
強度が4段階ぐらい分けられてるっぽくて、
図解ではなく、
4段階の幅みたいなのがあって、
無害なものと、
一番右がめっちゃ有害なもの、
多分攻撃コード生成しろだの、
あるいは作れだの、
たぶんそういうことも、
とかなんだけど、
その間のものみたいなのがいくつかあって、
だから、
どこにどう収まるのかみたいなのが、
ちょっとわかんないなって感じがするね。
でも結構その、
なんだっけ、
クロードのプラグインのオフィシャルのさ、
セキュリティガイダンスっていうのがあったじゃん。
うんうんうん。
あれとかは動くのかな、
フェーブルでも。
動かない気がするな。
仕組み上は動かないよね。
あれも結局中身って、
なんか、
基本的にはだから、
どうだろうね、
書いたコードがセキュアとかどうか、
だからもうそれこそオーパスに見させるとか、
そういう風になっちゃうんじゃないかなって気がするね。
オーパスに見させるも、
いや、そうね、
全渡しだったらできるのかなって。
だから僕らが触れるモデルで、
制限のないモデルでやるしかないというか、
それでも一定成果が出るって話は、
アンソロピックは主張はしている。
コーディックスとかでもいいのかな。
今言ったようなグラデーションの脱獄で、
ジェールブレイク対策と、
またそのジェールブレイク対策自体を、
アンソロピックじゃなくて、
Amazon、MS、Googleあたりの、
大きめのパートナーと一緒にやりますよとか、
それは政府と連携してやりますよみたいな話があって、
今後頑張っていきますよっていう。
ちょっとめっちゃざっくり言っちゃったけど、
そういうような話があるって感じですね。
なので、一旦今後は、
ポンって出して、
ガッて制限されることはないと思ってもいいかな、
という気はしてますって感じですけどね。
多分政府的なサプライズで止めてみたいな話だから、
サプライズないようにしますよっていう、
合意を取ったと思うんで。
フェーブルファイブ。
何かで試したな。
何かでめっちゃ、
プランニングさせたんだ。
実装のプランだけさせて、
実装はオーパスにさせたんだよな。
コード読んでないからまだ。
使いどころ。
ノット驚き、
使い込んでる人の話を聞きたいところですね。
確かにストレスは減るんだよな。
でも別にソネットファイブも十分いいけどな。
そうだよね。
フェーブルファイブいつまで使うんだっけ?
7月12日?
12日。
今日じゃん。
結構日本時間だと割と遅くまでいけた気がする。
普通に明日の何時までみたいな感じだった気がするけど。
じゃあ駆け込みだって感じやな。
残り少ないフェーブルタイムを謳歌しましょう。
じゃあ最後、
AI画像生成におけるAPIキー漏洩のリスク
ちょっと小ネタって感じですけど、
さらっとなんですけど、
久々のTriff Securityのブログで
API Keys Leaking in Ping Metadata of AI Images
っていう記事ですね。
本当小ネタでくすっときたんで
さらっと紹介なんですけど、
Triff Securityはトリフォグ、
マリアのほうで有名になっちゃった
トリフォグの作ってる会社ですけど、
結構世に漏えいしてるキーを探しますって
そういう記事をいっぱい書いてるんですけど、
そのうちの一つという感じで、
何のPing Metadataにキーが入ってたのか
何の話かっていうと、
Configだったかな?
そうだね、Config UIっていう
画像とか動画生成、
AIで画像とか動画生成をするときに使える
フレームワークみたいなのがあるらしくて、
画像を見るとノードで繋いで
多分いろいろいい感じにチューニングできる
みたいなものっぽいんですけど、
ここのノードの途中でこのモデルを叩いて
みたいなときにAPI Keyを設定したりとかが
できるらしいんですよね。
このConfig UIは多分ローカルでも動くし
ホスティングもできるみたいなものっぽいんですけど、
そういうものがあって、
API Keyも設定できるんだけど、
そのConfig上でポチッと押すと
繋いだノードを基に画像とか動画が生成される
という感じですけど、
生成した画像のメタデータに
その画像を生成するときに使ったノードとか
情報とかがメタデータとして全部入る
という仕様がConfig UIにあるらしくて、
そのメタデータにノードでAPI Keyを使って
通信したのであればそれも含まれちゃう
というのがありますよ。
世の中の画像とかをいろいろスキャンしてみると、
その人たちがローカルで使ったであろうAPI Keyが
めっちゃ見つかっちゃいましたよ
というような話の記事ですね。
罠すぎないかというか、
このConfig UIをどういうリテーションの人が
使うかわかんないけど、
Pingのメタデータに思いを馳せて
使うとは思えないから、
基本的には。
結構知らずにAPI Keyを漏えいしちゃってる人とか
いそうだなと思って。
何か警告ぐらい出してもくれると思うんですよね。
罠探しする側は何か普通に探すし見つけるだろうけど、
使う側視点では普通に抜け落ちるね、
頭からすっぽり。
それはきついね。
結構ちょっと不親切な仕様だなっていう。
何か理由、ちょっと待って、
ちゃんと読んでないんだけどこの記事。
まともな理由があってそういうことをしてるの、これは。
記事読んだ感じはそこの言及はなかったかな。
バグとかじゃなくて、
使用っていう整理になってるっぽい。
API Keyを載せてるっていうか、
多分画像生成に必要なメタデータを
全部突っ込んでるって感じなんじゃないかな。
API Key、
ファイルシステムの情報とかはまだ
ギリわからんでもないなって思うんだけど、
API Keyはまじ意味わかんないな。
どういうことじゃって感じだけど。
通信ノブとかに入っちゃうのかな。
何かいろいろ入っちゃうみたいですね。
ウェブサイト、例えばウェブサービスを作るときに
そこで使えるような画像を作るものでは
コンフィグアイはねえよって、
もしかしたらこの界隈の専門家が言うのかな。
わからんけどね。
普通に再確保してから使いましょうっていう話で
別にいいと思うんだけど。
これ自体の良し悪しはどうなのかわからないけど。
どうしてもこれ使いたいんだったらね。
どっちかというと、あらゆる画像ファイルは
本来はそうすべきみたいな話であるのかもしれないけど。
確かにな。
最近そういう系の記事見かけないけど、
そういうのあったよね。
AIで生成されたっていう。
このモデルでとか。
一回Googleが見かけないから
自然消滅したのかもしれないけど、
何かの画像があったときにそれがAIかどうかを
署名か何かつけて証明するみたいな。
そういうこと?
いや、それじゃなくって、
どっちかというとあらゆる画像は
一回リフォーマト通してあげて、
メタネットとか全部消えた状態にしてから使おうぜっていう話。
なるほどね。
全然ごめん。文明誤魔違いました。
そりゃそうね、確かに。
もしこのUIでお仕事とか趣味をやってる人がいたら
受け付けくださいって感じですね。
どんぐらいメジャーなんだろう?
ちょっと納得ですけども。
スターは120系なんでぼちぼちな。
120でぼちぼちなのかな?
わかんないけど。
適当だったかもしれない。
人気のあれですね。
そんな感じですかね。
最近の技術動向と夏の健康
3つお送りしましたが、
コンパクトに。
平和でしたね。
平和、平和、平和ですね。
意外とサプライチェーンどうなんでしょうって感じですけど。
ランサムとかもあんま起きないし、
起きてるんだけど、
テレビのニュースを賑わかすようなレベルのものがなかったりするし。
健康に夏を過ごしていきたいですね。
今日とか過ぎてだいぶしんどかったな。
昨日今日ぐらいから始まった感じあるよね。
始まった感じするね。
マジで気をつけましょう。
じゃあそんな感じで、大丈夫ですか?
大丈夫です。
じゃあ来週も皆さんお楽しみにしててください。
おやすみなさい。
おやすみなさい。
![[1月20日:速報回]AIに話した秘密、漏れます。元刑事が警告するGemini/Anthropicのプライバシー問題(ep.35)](https://image.listen.style/img/6U4cpZKDDYpW-irzyAGmmbrGbjYDHN99Qs91Ee4_sJM/resize:fill:80:80/aHR0cHM6Ly9kM3Qzb3pmdG1kbWgzaS5jbG91ZGZyb250Lm5ldC9zdGFnaW5nL3BvZGNhc3RfdXBsb2FkZWRfZXBpc29kZS80NDQ2NDQzNy80NDQ2NDQzNy0xNzY4ODYyNDgxNTg1LWMxMWFkY2Y5Y2IwNzEuanBn.avif)
![[4月14日:速報回]危険すぎて公開停止!? 最新AI"Claude Mythos"の衝撃と、日本企業連合の国産AI開発の行方(ep.60)](https://image.listen.style/img/DusbpP_mJ5rEYJQRH_Thza4U5Rmq2727jfjQWFNZpB4/resize:fill:80:80/aHR0cHM6Ly9kM3Qzb3pmdG1kbWgzaS5jbG91ZGZyb250Lm5ldC9zdGFnaW5nL3BvZGNhc3RfdXBsb2FkZWRfZXBpc29kZS80NDQ2NDQzNy80NDQ2NDQzNy0xNzc2MTEyNDIyMjAwLTc2MzllYzlmMzRhMmUuanBn.avif)