AIエージェントの普及に伴い、APIキーを.envファイルに保存するといった従来の秘密情報管理方法ではセキュリティ上不十分になっているという指摘が出ています。Gartnerは2028年までに人間の承認とAIエージェントの連携の重要性が増すと予測し、90%以上の組織がAIエージェント運用でセキュリティ・コンプライアンス上の課題を抱えると見ています。同社は、AIエージェントに責任を持つ人間のID登録を必須にすべきだとも提言しています。

脅威としては、エージェントを騙して悪意あるツールを実行させるTool Poisoning(ツール中毒)やプロンプトインジェクションが挙げられており、APIキーが露出した場合は認証トークンが一時的に乱用されるリスクも指摘されています。

対策としては、Infisical・HashiCorp Vault・AWS Secrets Manager・1PasswordといったSecrets Manager系ツール、OAuth管理のNango、アクセス管理のArcade・WorkOS・Aembitなどが紹介されています。

Next.js 16で導入されたCache Componentsについて、従来のApp Router(Next.jsのファイルベースのルーティング機構)が抱えていた制約とその解決策を整理した記事です。従来はcookies()やheaders()といった動的APIをページ内で1箇所でも使うと、ルート全体が毎リクエストのサーバーレンダリングに切り替わる仕様でした。Cache Componentsでは、コンポーネント先頭に"use cache"という指示を書き、PPR(Partial Prerendering、静的部分と動的部分を組み合わせた事前レンダリング)を土台にすることで、静的な部分と動的な部分を単一レスポンス内でストリーミング配信できるようになりました。

具体的には、cacheLife("hours")でキャッシュの有効期間を、cacheTag("featured-posts")のようなタグで制御を指定でき、動的な部分は<Suspense>で明示的に囲みます。

著者はSWR(データ取得を行うためのReactライブラリ)を使ったCSR(クライアントサイドレンダリング)、Astro Server Islands、Cache Componentsの3手法を比較しています。SWR(CSR)方式はUIの組み立てをブラウザ側で行うため往復が発生し、クライアントJSはコンポーネント一式が必要です。Astro Server Islands方式はサーバー側(別リクエスト)で組み立てるため往復は残りますが、クライアントJSは差し替え用スクリプトのみで済みます。Next.js Cache Components方式はサーバー側(同一レスポンス)で組み立てるため往復がなく、クライアントJSも差し替え用スクリプトのみで足ります。動的要素が数個程度ならCSR+SWRで十分ですが、パーソナライズされた価格や在庫、レコメンドなど動的要素が多いページではCache Componentsが有益になり得ると述べています。

ゆめみのmpyw氏が、Goのフラットなパッケージ構造にファイル単位のprivateスコープを持ち込むLinter「declscope」を開発し、解説しています。Goの可視性はExported(全パッケージから可視)とUnexported(パッケージ内の全ファイルから可視)の2段階しかなく、「このヘルパーはこのファイル専用」といった暗黙の規約は人間の頭の中にしか存在しません。著者は、AIエージェントがコードを生成する際、こうした自然言語の規約は確率的にしか守られないため、機械的に検査できる仕組みが必要だと考えたと述べています。

declscopeはboundary・qualify・surplus・directiveという4つのルールで、private宣言への越境アクセスや不要な共有宣言を検出し、-fixフラグで自動修正もできます。ファイル名をlowerCamelCase化した名前がnamespaceとして自動付与されるほか、baselineコマンドで既存コードベースに段階的に導入することも可能です。

実証としてOSSのcobra(14ファイル対象)とurfave/cli(39ファイル対象)に適用したところ、違反件数はそれぞれ35/119件、112/114件から最終的に0/0件まで削減できたとしています。著者は「自然言語の規約は、守られたかどうかを決定論的に判定できない以上、どうしても確率的にしか効きません」と述べています。

Go言語のencoding/json/v2を高速化するツール「odjson」を、作者本人であるmazrean氏が紹介しています。encoding/json/v2の安定性を保ちながら、サードパーティ製JSONライブラリ並みの速度を実現することを目指したツールで、内部バッファへの直接読み書き、SWAR(SIMD within a Register)技術、16Byte単位の定数書き込み、フィールド名の決定木判定といった最適化技術を用いています。

Go 1.27.1・AMD Ryzen 9 7950X・Ubuntu 24.04の環境でのベンチマークでは、bytedance/sonicやgoccy/go-json、json-iterator/go、mailru/easyjson、sapphi-red/json-constantiaterと比較し、エンコードで4倍以上、デコードで2.69〜3.39倍の高速化を達成したとしています。著者は「自分もISUCONなどで重宝しています」と述べています。

SmartHRのプロダクトエンジニア・ani氏(入社3か月時点)が、Claude Codeを活用した独自の開発フレームワーク「ハーネス」の設計・実践を報告しています。オーケストレータ・実装エージェント・レビュアー・機械検査という4種類の役割分担と、スキルファイル・JSON状態管理・シェルスクリプト検証を組み合わせた仕組みにより、新機能開発の実質工数を2.5か月からほぼ1か月に短縮したといいます。

状態管理にはprogress.json(全体進捗)とstages.json(タスク別進捗)の2つのJSONファイルを使い、タスクが10個に達した時点でstages.jsonは118KBのサイズになったとのことです。レビュアーは4体を並列で動かし、「仕様突合」「並行性」「認可」「機能完結性」の4つの観点でチェックします。シェルスクリプトによる検査項目は12項目、開発手法はテスト駆動開発(TDD)に固定しています。

著者は「AIエージェントに大きな機能を任せるときは、モデルの良し悪しよりも周囲の環境を設計して成果を最大化することが大事」と述べ、細かくセッションを切っても「引き継ぎが壊れません」とも語っています。モデル性能そのものよりも、周辺環境の設計に力点を置く姿勢が印象的な体験談です。