📰 テックトレンドデイリー — 2026年11月8日 日曜日

データソース：Hacker News トップ 30 ＋ Lobsters トップ 25。HNトップおよび議論ページはブラウザレンダリング後にDOMを直接読み取り。ローカル環境から lobste.rs への直接接続は不通（TCP 443 タイムアウト）のため、Lobstersのトップと議論ページは r.jina.ai 経由で取得し、スコア、コメント数、/s/XXXXX 議論リンクを完全に保持。Lobstersトップの項目は数日掲載され続けるため、昨日のデイリーですでに収録されたものは重複して掲載しない。

🔥 本日のフォーカス

musl の crypt() は処理できない入力に対して "*" を返し、Unix は "*" を「アカウントロック」の意味として扱い、sshd はタイミング攻撃の差分を無くすためにロックされたアカウントに対しても同様にハッシュを計算する——それぞれ単体では筋の通った3つの前提が、Alpine 上で「パスワード不要でログインできる経路」として組み合わさってしまった。Apiiro が発見したのはまた別の連鎖だ：Claude Code の「Yes, and don’t ask again」がパスワード入りの完全なコマンドを .claude/settings.local.json に書き込み、公開リポジトリ上に 104,185 件のコピー、そのうち 1,122 件に本物の機密鍵が含まれ、63 の組織が対象となっている。2つの脆弱性の真の共通点は「デフォルト値」にある——利用者の代わりに信頼に関する決定を勝手に下してしまい、事後に誰も再検証を行わないのだ。

同日にはさらに2つの「回収」があった：Asahi Linux はリポジトリのライセンスを MIT から GPL-2.0-or-later へと変更した。アナウンスによれば、開発中の機能コードが個人のブランチから勝手にリリースされたり、LLM で書き直されて出典を消されたりしたことが原因だという。またマイクロソフトリサーチ（MSR）の AI Frontiers グループが閉鎖され、John Langford の振り返りでは、スケーリング則のみを盲信する組織の中では研究の出口が存在しないと語られた。寛容なライセンスがもたらすのは採用の広がりなのかそれとも単なる搾取なのか、研究予算と市場のナラティブのどちらが決定権を持つのか、本日はその双方に対して一つの回答が突きつけられた。

🔒 セキュリティと信頼境界

  • Claude Codeの「二度と確認しない」がパスワードをプロジェクト設定に書き込み、1,122件の公開ファイルに本物の鍵が露出 — Claude Code’s “Don’t Ask Again” exposes passwords in 1,122 public GitHub files。78/61（HN）。因果関係のチェーンは極めてシンプルだ：エージェントが提示したコマンドに設定から読み込んだパスワードが含まれており、ユーザーが「Yes, and don’t ask again」をクリックすると、そのコマンドがパスワードごと .claude/settings.local.json に書き込まれる。しかしこのファイルにはプライベートであることを示す目印が何もない。Apiiro が公開リポジトリを調査したところ、104,185 件のコピーが見つかり、うち 1,122 件に本物の機密鍵が含まれ、合計 2,539 個のキー、63 の組織が被害に遭っていた。サンプルにはあるデータベースベンダーのクラウド管理キー、本番 Azure Postgres のパスワード、Square の本番トークンなどが含まれていた。TruffleHog はそのうち 643 件しか検出できず、コマンド引数に隠されたパスワードの 5 分の 1 は主流のスキャナー2種とも検知できなかった。💬 Claude Code チームの bcherny がスレッドで説明：settings.local.json は本来ローカルに留めるべきものであり、Claude 自体が生成する際は自動で gitignore に追加されるが、問題となったケースは手動で作成・コミットされたものだという。これに対し markasoftware は反論し、ユーザーに auto モードを推奨しておきながら、その脅威モデルはいまだに明文化されていないと批判。gsnedders が公開設定を精査したところ、5% 以上が任意のシェルコマンドを無条件で許可しており、さらに 43% が Bash(python:*) のように全権限開放に等しいインタープリタルールを記述していた。

  • Alpineのopenssh-serverがパスワード検証なしでログイン可能、接続1回で成立 — Security advisory: openssh-server password authentication bypass。3/2（Lobsters）。パスワードフィールドが * になっているアカウントに対し、257〜1024 バイトのパスワードを送信すると検証をそのまま通過してしまう——musl において crypt() がこのような入力に対して "*" を返し、sshd が "*" を「パスワードなし」と解釈するため、双方のセマンティクスが完全に一致してしまった。前提条件は PAM が無効化された openssh-server、PasswordAuthentication yes、および他に $5$ や $6$ のハッシュを持つアカウントが存在すること。Alpine 3.16 から 3.24 および edge のすべてが影響対象（コンテナ環境は対象外）。アドバイザリ公開時点ではまだ CVE 番号は未割り当て。パッケージの更新だけでは不十分で、sshd の再起動が必須となる。

  • Forwardedヘッダーが無条件に信頼され、クライアントIPやHostの偽装が可能に — Forwarded Without Question: How Web Frameworks Overtrust the Forwarded Header。9/0（Lobsters）。Rails、Spring、Jetty は初期状態で Forwarded ヘッダーを読み取るが、大半のリバースプロキシや CDN、ミドルウェアはこれをサニタイズしない。著者は Envoy で X-Forwarded-For を追跡している際にこの脆弱性に遭遇し、最終的な対策としてインバウンドの X-Forwarded-* および Forwarded を一律で破棄する措置を取った。

  • すべてのMacでドキュメント化されていない親族関係分類器が動作している — Every Mac comes with an (undocumented) family member classifier。557/328（HN）。knowledgeconstructiond と intelligenceplatformd が ~/Library/IntelligencePlatform 配下に 51 個のプレーンテキスト SQLite データベースを書き出しており、graph.db 内には 181 種類の実体と 278 個の述語が存在する。XGBoost が 61 人の 17 種類の関係性列をスコアリングしており、mother/father/daughter は一律で 0.960、brother/son/sister は 0.500 となっている。著者はこのグラフを直接読み出して閲覧するツール iKnow を作成した。💬 議論は単なる「Appleによるデータ搾取」にとどまらない：一方は誕生日を覚えたり人間関係を把握する作業を機械に外注する自然な流れだと主張し、もう一方は親世代の利用実態を挙げ、彼らはファイルシステムのパスすら覚えられず、「パーソナルコンピュータ」はもはやユーザーのものではなくなったと指摘。「あなたが顧客でないなら、あなたが商品だ」という言葉の原典が 1973 年の Serra と Schoolman によるビデオ作品であることも掘り起こされた。

  • iPhoneの入力補完にはブラックリストが存在し、特定の語句は絶対に補完されない — Apple’s grey list: Words and phrases your iPhone won’t help you spell。296/202（HN）。ガーディアン紙がまとめたのは補完動作そのものだ：文字を途中まで打っても、候補欄が先を提示してくれない。その中には政治的にセンシティブな表現だけでなく、単に下品な言葉も含まれている。💬 一派はキーボードが人が話す内容を勝手に決めるべきではないと批判し、もう一派はローカルの小型モデルを動かす Futo などのオープンソースキーボードを引き合いに出し、システム標準の入力法を置き換えた結果、自由の代償として変換精度が落ちる現実に直面したと語る。

  • スーパーの冷蔵ショーケース制御装置に偽装したハニーポット — Show HN: Coldframe, a honeypot that poses as a supermarket fridge controller。172/37（HN）。標準ライブラリのみを用いた単一の Python ファイルで、Danfoss AK-SM 800A と Copeland/Dixell XWEB EVO の 2 台のデバイスを同時に模倣：nginx のレスポンスヘッダー順序、Danfoss StoreView のページタイトル、TLS 1.2 限定、CN=DanfossSM800A の自己署名証明書まで完全に模倣する。Supervisor/12345 や CVE-2025-41450 の当日公開コードでも「正常に」ログインでき、入った先には偽の除霜パネルが待ち構える。背景には今年、デフォルトパスワードや期限切れファームウェアを狙って欧州の冷凍冷蔵コントローラーをスキャンし、強制的に除霜をトリガーする攻撃が多発したことがある。

  • コードなし・権限不要のAPKをインストールするだけで端末が再起動ループに陥るバグ — GhostMap: The Android flaw that crashes your phone before you open the app。6/2（Lobsters）。APK 内の ZIP エントリの 2 つのフィールド（圧縮方式と宣言された解凍後サイズ）が不正な場合、Android はファイルを未割り当てのメモリ領域にマップしてしまい、これに触れたプロセスは即座に SIGBUS でクラッシュする。インストールするとシステムプロセスがクラッシュして再起動、再起動しても再びクラッシュし、セーフモードにも入れず工場出荷状態へのリセットしか復旧手段がなくなる。サンプルは 8 月 12 日にインザワイルドで採取されたもので、元々は動作しなかったバンキングマルウェアのドロッパーだった。問題はマルウェア側ではなくシステム側にある。

  • PDFのテキスト層に潜むプロンプトインジェクション、内部ツールが無警戒に実行 — Catching prompt injections hidden in PDFs。0/0（Lobsters）。デモは非常に素朴だ：一見通常の決算短信 PDF の本文にパーサーへの指示が紛れ込んでおり、著者の所属先にある社内データツールはそれを疑うことなく実行してしまった——「社内 PDF」を信頼できない入力とみなす人は誰もいなかったのだ。記事末尾で提示された検知手法はツールそのものより有用で、パース前にテキスト層にドキュメントの主題と無関係な命令文が含まれていないかを確認するというものだ。

🤖 AIとモデル

  • マイクロソフトリサーチのAI Frontiersグループが閉鎖、「スケーリング至上主義」が招いた末路 — The end of Microsoft Research’s AI Frontiers group。312/177（HN）。AI Frontiers（AIF）は 2023 年の ChatGPT 登場後に MSR 内部に設立された約 50 名のグループで、AutoGen やコンピューター操作エージェント Fara を生み出し、全 MSR 共通のモノレポを構築した実績を持つ。今年 9 月初旬に Microsoft AI へ統合され、John Langford が記録した対立点は、相手側が「研究にプロダクトへの産出パスがない」と判断したことにあり、AIF はここで幕を閉じ、インターンの採用も中止された。💬 議論で繰り返し引用されたのは歴史の対比だ：企業の研究所はトランジスタ、液晶、レーザーを生み出してきた一方で、「短期的には役に立たない」という判定で何度も切り捨てられてきた。逆に「近年の MSR が実際に実用に耐える成果をどれだけ出したのか」と問い直す声もある。

  • ベンチマークの89タスクから17行のコードを変更するだけで、2つの陣営の差が浮き彫りに — MaxxBench – “Nice DeepSWE score. But is it true?”。160/46（HN）。アプローチはシンプル：DeepSWE の 89 のタスクで指示と初期コードを少し改変し、モデルが新しい要件に従うかをテストする（例：Chrome.xml を chrome.xml に変更）。参照パッチの中央値はわずか 17 行（3.5%）。結果、Opus 5.5 は 74.2% から 76.4% に微増した一方、GPT-6 Astra は 74.1% から 71.9% に下落、GPT-5.6 Sol は 72.7% から 69.1% に、Fable 5 は 69.9% から 63.5% に下落。12 の設定間の格差は 20.9 ポイントから 48.3 ポイントへと拡大し、DeepSeek V4.1 Flash と Gemini 3.8 Flash はそれぞれ 18.6〜20.5 ポイント急落した。💬 antirez は 2 つの原因を推測——小型モデルはベンチマークの定石に対する強い事前分布が指示変更によって覆されたこと、仕様が曖昧な際に大型モデルだけが「自分はテストされている」と察知できること。druskacik は第3の要因として、蒸留された小型モデルほど崩壊が激しいと補足。Tade0 はモデルに「あなたは何者か」と数百回尋ねる実験を勧め、実測で Qwen3.8 Flash Next が「私はコーディングエージェントの Kilo Code です」と答えた例を挙げた。

  • 31Bの動画＋音声拡散モデルを14B・6ステップ・INT8に圧縮 — Show HN: We compressed a 31B video+audio diffusion model to 14B, 6 steps, INT8。52/11（HN）。MiniMax-H3 の少数ステップ蒸留版で、動画とステレオ音声を同時に生成：13.7B（fl2va）/ 13.9B（ref2va）、元モデルは約 31B。Q4_K_M で 9.1 GB、Q8_0 で 14.9 GB となり、24 GB または 32 GB の GPU と 16 GB の RAM で動作可能。5.2 秒のクリップを 6 ステップで生成：B200×4 で 8.7 秒、H200 単体で 36 秒、RTX 5090 単体で 92 秒。

  • AI登場以前からウェブは壊れ始めており、AIはその崩壊を加速させたに過ぎない — How are you dealing with all the negative side effects of AI on the web?。56/52（Lobsters）。質問者が指摘した不条理は極めて具体的だ：検索上位が粗悪な AI スロップ（slop）で埋め尽くされた結果、逆説的に LLM による要約が許容されるようになってしまった——要約の質が上がったわけではなく、ページの最底辺に埋もれた良質なリンクを少なくとも読み上げてくれるからだ。同時に Google や DuckDuckGo は一般ユーザーへのレートリミットを強め、GitHub のログインウォールは高くなる一方だ。💬 Marginalia Search のメンテナがコメントでさらに一段深い懸念を述べた：AI 以前からウェブは腐敗しており、次の段階として危惧されるのは「人間であることの証明」がデバイス証明に帰着し、デジタルアイデンティティが物理的な個人の身元に完全に縛り付けられる未来である。

🛠️ ツールとエンジニアリング

  • libghostty 1.0：ターミナルエミュレータがひとつのCライブラリへ — Libghostty 1.0。145/7（Lobsters）。libghostty-vt の 1.0 リリースにより、端末エミュレーション機能全体が Ghostty 本体から切り離され、C ABI が確定した。作者によればすでに数百万の端末がこの上で動作しているという。JetBrains の 10 月の発表でも、全 IDE の内蔵ターミナルがこれに置き換えられた。💬 Lobsters での実体験として、この C ABI レイヤーが Zig の急激なバージョン変更をうまく遮蔽してくれる一方、ビルド自体は依然として特定の Zig バージョンを必要とする点が指摘されている。

  • DiscordのRustクライアントがすでにフレンドリストに到達する中、Electron版はいまだ起動画面 — Every Windows 11 app should kill Electron, and Discord just showed why。180/179（HN）。CTO が公開した 15 秒の画面録画が発端：両者を同時に起動すると、新クライアントが先にフレンドリストを表示し、動画は 200 万回以上再生された。💬 最も的を射た反論はこうだ：Electron のセールスポイントは一貫して「1つのチーム、1つのコードベースでデスクトップとモバイルを展開できる」点にあり、パフォーマンスは最初からその契約に含まれていなかった——Rust に置き換えることで実際に削ぎ落とされたものが何なのか、記事はその点に答えていない。

  • Text.js：React 19をブラウザのDevToolsコンソール内にレンダリング — Text.js: Build full-stack React apps that render inside console.log。78/44（HN）。<Box className="flex-col gap-1 p-2"> といったレイアウトをそのまま使用でき、ASCII フォントと useInput によるキー入力処理を備え、Suspense、Error Boundary、コンカレントレンダリングにも対応。app/ 以下のディレクトリがルート（Route）となり、進む・戻るやディープリンクも機能し、グリッドは DevTools パネルの幅に自動適応する。Ctrl+Shift+J を押すだけで自分のアプリがコンソール内に広がる。

  • Meridian：GPUIをシェル、Servoをエンジンに採用した実験的ブラウザ — Meridian — an experimental web browser built on Servo and GPUI。43/6（Lobsters）。macOS 上で動作し、アドレスバー補完、縦横 2 種類のタブ配置、ブックマーク履歴、サイトごとの拡大縮小、リーダーモードを完備し、nix run 一発で起動可能。💬 これを使って nytimes.com を開くと Cloudflare に「ボットの疑いあり」とブロックされる——エンジンが変わることでフィンガープリントや JS の挙動が変化し、サイト側が即座に反応してしまうためだ。

  • OpenBSDのtop(1)に-Qフラグが追加、chroot/pledge/unveilの状態を直接一覧表示 — OpenBSD top(1) adds flag to show chroot, pledge and unveil status。14/1（Lobsters）。コミットログは非常に実直だ：どのプログラムが自身の権限を把握できていないかを素早く見つけ出すため、非 root ユーザーでも 1 回実行するだけで確認でき、ps -o state,pledge を組み合わせたりラッパーを被せたりする手間を省くことができる。

  • Route 53がプログラマブルロジックに対応しないため、GeoDNSをbunny.netへ移管 — Scriptable GeoDNS: leaving AWS for Bunny。24/11（Lobsters）。パリ、ニュルンベルク、アッシュバーン、シンガポール、サンノゼ、サンパウロ、シドニーの 7 か所に自前の NixOS 小型サーバーを配置し、地理的位置に応じて異なるオリジンを返す構成を構築。💬 viraptor が「静的ブログなら自前構築せず、素直に Bunny のキャッシュに任せればよいのでは」と問うと、著者は「いじるのが楽しいからだ」と答え、HTML を自前マシンに残す理由を説明——CSS や JS には SRI ハッシュがあり外部ホスト可能だが、HTML にはそれがなく、コンテンツの完全性は自分で守るしかないためだ。

  • 2次元バージョン管理：横軸は作者の改変、縦軸は読者の章立て — Two Dimensional Version Control。27/1（Lobsters）。Amit Patel は毎年 Roguelike チュートリアルを通じて新たな技術を学んでおり、今年の課題はこのニーズだった：全 14 章のチュートリアルで、作者が任意の章でコードを変更した際、読者の進度もそれに追従させたい。Git でも各章ごとに前章を指すブランチを切れば実現可能だが、マージは手動管理になる。Jujutsu なら変更が自動的に後続へ伝播するため、自身は編集に専念できる。

  • PostgresのFOR UPDATE SKIP LOCKEDキューはどの層で破綻するか — Just how far can the FOR UPDATE SKIP LOCKED Postgres queue go?。1/1（Lobsters）。共有された 20 接続のプールから 128 のワーカーに供給する負荷をかけたところ、650 jobs/s に達した時点で最初に枯渇したのはロックでも I/O でもなく、接続スロットだった。この種のベンチマーク実測は一般的なベストプラクティス解説よりもはるかに実用的だ。

  • GitHubがActionsのワークフロー依存関係にロックファイルを導入 — Workflow dependency lockfiles。3/0（Lobsters）。サプライチェーンセキュリティの強化がワークフロー定義そのものにも波及：再利用可能なワークフローやアクションの参照もロックファイルに記録され、実行前にバージョンが固定される。

  • Janetとhttpfで書くWebサービス — Exploring Janet and the httpf web framework。11/1（Lobsters）。Lisp 方言と最小限のプリミティブを組み合わせ、ルーティング、テンプレート、リクエスト処理を階層化。著者の焦点は「コンパイル時にどれだけの人為的エラーを検出できるか」に置かれている。

💻 システムとハードウェア

  • Asahi Linux 7.3：macaudioとavdがアップストリーム合流、Thunderboltは道半ば — Asahi Linux Progress Linux 7.3。294/239（HN）、43/3（Lobsters）。Fedora 45 のリリース当日に Fedora Asahi Remix が同時公開され、同日リリースは初となった。2 つのドライバがアップストリームにマージされ、macaudio は Devicetree の変更を含め約 3,100 行、avd は約 13,000 行でダウンストリームでの運用は 3 か月にとどまった。Thunderbolt のパッチはダウンストリームカーネルに取り込まれ、USB3、XDomain、Thunderbolt Networking をカバーしているが、PCIe は未対応で、外付け USB-C ディスプレイの完全動作にはまだ課題が残る。同週、プロジェクトはリポジトリのライセンスを MIT から GPL-2.0-or-later へ変更することを発表：開発中の機能コードが個人のブランチからそのままリリースされたり、LLM で書き直されて出典が抹消される事態に対処するための措置だ。

  • Amutable Foundations：Linuxをパッケージ管理からイメージの世界へ移行する構想 — Amutable Foundations: A Technical Overview。7/0（Lobsters）。Lennart Poettering、Michael Vogt、Joaquim Rocha の 3 名が執筆。2 つのコンポーネントからなり、AOS は完全性が保護されたイメージベースの Linux でドリフトの排除と再現性の回復を掲げ、ACP は環境全体の一括追跡・更新・検証を担う。システムとその上で動くアプリケーションの境界線が、今回はイメージという単位で引き直されている。

  • Inform：自然言語でインタラクティブフィクションを記述するプログラミング言語 — Inform is a programming language for creating interactive fiction。13/2（Lobsters）。2006 年に誕生し 2022 年にオープンソース化。英語に極めて近い構文を持ち、正規表現ではなく言語学的な文法規則に基づいて構文解析を行う。文学的執筆、ゲーム業界のプロトタイピング、デジタルストーリーテリングの講義などで活用され、TIOBE の影響力ランキングで上位 100 位に何度か顔を出している。

  • MeccanicOS：独自の主張を持つLinuxデスクトップ、インストール説明書はPDFで提供 — MeccanicOS。8/3（HN）。USB ドライブ書き込みには 16GB 以上の容量と Ventoy の使用が求められ、プラットフォームごとに書き込みバイナリ（mos-usb-windows.exe、mos-usb-macos-arm64、mos-usb-linux-x86_64 など）が配布される。リポジトリは unofficialtools 配下に置かれ、README は PDF のみ。機能の充実度以上に、「独自の割り切りと美学を優先し、互換性は二の次とする」プロジェクトのスタンスが明確に表れている。

  • 10ドルのOpenStick：512MB RAMでDebian、systemd、Podmanを動かす — What I run on my $10 USD OpenStick homelab。260/63（HN）。送料込み 10 ドルの MSM8916 搭載ドングルモジュール：512MB メモリ（実効約 450MB）、1GHz 駆動の Cortex-A53 4 コア、4GB eMMC、150Mbit/s Wi-Fi に加え、4G LTE と GPS を搭載し、ファンレスパッシブ冷却とプログラマブル LED 1 個を備える。著者は自宅の軽量サーバー群を丸ごとこれに移設した。

  • 8ドルのRISC-V Linuxマシン（2022） — The $8 Linux Computer (2022)。191/83（HN）。Ox64 ボード上に 3 つの異なるコアを搭載。著者が記事を書いた時点では、有線 LAN、Wi-Fi、SD カードスロットがいずれも未開通だった——安価なハードウェアの代償は、ドライバ整備にかかる 1 年越しの開発時間だった。

  • あらゆる無線通信機をレーダーに変える技術 — Turning Every Radio into a Radar。9/1（HN）。パッシブレーダーのアプローチ：電波を自ら発信せず、環境内の既存電波の反射のみを受信することで、既設の送受信リンクをそのままセンサーとして再利用する。

📖 文化と歴史

  • 英国の法律事務所が日常業務の基盤をすべてオープンソースソフトウェアで運用 — Running a law firm on Free software。221/102（HN）。文書作成、工数記録、会計、クライアントポータルにいたるまで具体的なソフトウェアを 1 つずつ紐づけ、どこを商用ソリューションに頼らざるを得ないかも明記。「オープンソースは本番で使えるか」という抽象的な議論よりもはるかに実用価値の高いチェックリストとなっている。

  • 数百年にわたり口伝されてきた部族の起源神話が、古代DNA解析で実証される — A barbarian tribe’s mythic origin story is true, ancient DNA reveals。197/182（HN）。ある部族の「我らはどこから来たか」という伝承がゲノムシークエンスによって裏付けられ、神話が歴史史料として持つ信頼性の境界が再定義された。

  • 生命はどれほどの期間「停止」し続けられるのか — How Long Can Life Wait?。112/70（HN）。胞子の休眠から DNA の自発的分解速度までを考察。限界を決めるのは生物学的な意志ではなく、分子レベルの化学時計だ：長期間待ちすぎれば、情報そのものが先に崩壊してしまう。

  • テリー・プラチェットの書斎 — Terry Pratchett’s Study。81/19（HN）。天井まで積み上げられた本、年代物のタイプライター、無造作に置かれた小物たち。執筆が行われていた現場がそのまま撮影されており、環境そのものが作家の遺産の一部であることを示している。

  • 2008年の記憶に残るプログラミング書籍5冊 — Five memorable books about programming (2008)。72/44（HN）。現代の視点から振り返る：今なお引用され続ける本、ツールチェーンの進化によって埋もれてしまった本、そして当時からすでに間違っていた本。

  • タイポ修正ジェネレーションが文学を損なっている — The typo generation is damaging literature。54/73（HN）。生成 AI によるテキストリライトに対する強い苛立ち：誤字、略語、口語表現といった文章のざらつきが一律に平滑化され、読者は著者の生の心理状態を推し量る手がかりを失ってしまう——均質に整えられていること自体が、ひとつの編集的介入なのだ。

  • GeoWorks：90年代、Windowsよりも確実に軽快だったもうひとつのデスクトップ — GeoWorks, Microsoft Windows’ Upstart ’90s Competitor (2016)。35/11（HN）。GEOS/Ensemble は低スペックなマシンにおいて Windows 3.0 を圧倒する応答性を誇っていた。敗因はバンドル戦略とエコシステムの差であり、体験そのものではなかった。この歴史は読み返すたびに、現代の技術覇権争いのどこかと重なり合う。

  • ウランキューブが解き明かしたドイツ核開発計画の頓挫要因 — Uranium cubes reveal why the German nuclear project failed。30/4（HN）。遺留燃料の同位体組成を分析することで、当時の原子炉の稼働実態を科学的に復元。エンジニアリングの失敗理由は、素材の中に刻み込まれていた。

  • コモドールのインダストリアルデザイナー、アイラ・ヴェリンスキー — IRA Velinsky – Commodore’s Industrial Designer。3/議論（HN）。PET 世代の筐体デザインやエルゴノミクス配置を手がけた人物。ハードウェア史において見落とされがちだが、マシンの外見を決定づけたのは往々にしてエンジニアではなかった。

🎮 ライトとおもしろ

  • 『ニード・フォー・スピード アンダーグラウンド2』のオンライン対戦がブラウザへ移植される — Need for Speed Underground 2 online in the browser。756/215（HN）。2004 年の名作レースゲームが WebGL/WASM 上で動作し、マルチプレイ機能まで復活を遂げた。💬 コメント欄ではこの歴史の結末が共有された：2004 年 11 月に発売され 1,100 万本を売り上げたが、EA は 2006 年 8 月に公式オンライン対戦を終了した。これを受け、レトロゲームの実質的な商業寿命は著作権保護期間よりはるかに短いことを根拠に、「発売から 20 年が経過した作品は非営利目的での自由な共有を認めるべきだ」というフェアユース拡張論が提起された。

  • 1972年から2024年まで、撮影・公開された356個のプロセッサダイ — Every processor die anyone has photographed and given away。63/14（HN）。有志 4 名の顕微鏡写真がスプレッドシートに集約され、「実寸比率」ビューにはサイズが判明している 114 個のチップが並ぶ——半世紀にわたる半導体微細化の歴史が面積という物理単位で一望できる。

  • Retro Song Bird：任意のゲームボーイカートリッジを挿すだけでBGMを再生 — Retro Song Bird: Plug in any Game Boy cartridge to hear the soundtrack。23/3（HN）。エミュレータによる録音データではなく、カートリッジ内のオーディオデータをハードウェアレベルで直接読み取って演奏する。

  • 瞬きを促すオフラインデスクトップコンパニオン — Show HN: An offline desktop companion to help maintain a healthy blink rhythm。11/4（HN）。画面を凝視して瞬きを忘れる問題に対し、常駐するローカルアニメーションで解決を図る。ネット通信やデータ送信は一切行わない。

  • UploadYourRam.org：メモリを差し出してAIクローラーに対抗する試み — UploadYourRam.org。48/4（Lobsters）。訪問者に実際にブラウザのメモリを大量確保させ、スクレイパーにリソース消費コストを押し付ける抗議サイト。💬 コードを読んだユーザーから、実際には約 0.5GB 程度と若干のオブジェクト管理しか行っておらず、iframe の使い方も不自然で、new Uint8Array(1e9) は実際にアクセスされるまで遅延評価（lazy）されるため負荷テストとしては不十分だとの冷静な指摘が入った。

  • CHIMERA：音響管モデルで有機的な音色を物理シミュレート — CHIMERA simulates organic sound with acoustic tubes。1/2（Lobsters）。ブラウザ上で動く物理モデリングシンセサイザー。サンプリングの切り貼りではなく、管の共鳴現象を計算して発音する。

  • 4つの「2」を使って任意の整数を作る — Making any integer with four 2s (2025)。11/3（HN）。使える数字は 4 つの「2」と基本演算のみという制約の中、階乗や平方根といった境界破りのツールを巧みに組み込んでいくパズル。構造問題の核心は、常にルールの限界をいかに理解しているかにある。

📝 まとめ

本日の最も実践的な教訓は、「デフォルト値はユーザーの代わりに勝手に契約を結んでしまう」ということだ：shadow 内の "*" は「ロック」を意味し、musl の crypt() においては「失敗」を意味する。文脈の異なるこの 2 つが接続された瞬間、パスワード不要のシェルが誕生した。「二度と確認しない」ボタンが押された瞬間、パスワードは設定からリポジトリへと移されたが、誰もそれを書き込み操作だとは認識しなかった。MIT ライセンスには「自由に使ってよい」と書かれていたため、誰かがそれを「自由に持ち去り、出典を消して書き換えてよい」と解釈した。必読の 3 本は：Alpine のセキュリティアドバイザリ（手元に musl 搭載マシンがあるなら、直ちに sshd を再起動すべきだ）、Apiiro のシークレット漏洩統計（エージェントがプロジェクトディレクトリに生成するファイルには独立した ignore ルールが必要だ）、そして Asahi Linux のライセンス変更アナウンス（AI 時代におけるパーミッシブ・ライセンスの隠れた代償を余すところなく明文化している）。横断して見れば、MaxxBench と AIF の閉鎖は同一の現象の表裏である：モデルの能力を評価する尺度と、研究を生み出す生産様式の双方が再値決めを迫られている。わずか 17 行のコード変更で 2 つの陣営の順位が分断された事実は、私たちが信じていた「実力差」の一部が、単にベンチマークの定石を丸暗記していただけだった可能性を如実に物語っている。