著者Giuliano氏が、Go言語でLAN内のP2Pマルチノードサービスを実装した自作コードをZennで紹介しています。単一ファイル・外部依存なしという構成で、ノードの自動発見にUDPマルチキャスト、ノード間の実データ転送にTCPを組み合わせる、学習教材的な記事です。

ノード発見はマルチキャストアドレス239.255.42.99のポート9999を使い、各ノードが2秒間隔で「HELLO:<id>:<tcp-port>」形式のビーコンメッセージを配信します。6秒以上応答がないピアは自動的にリストから削除される仕組みです。実装はbroadcastPresence()、listenForPeers()、reapStalePeers()という3つの並行ゴルーチンで構成されており、「peers」コマンドで接続中のピア一覧を確認したり、テキスト入力で全ピアへブロードキャスト送信したりできます。コードはGitHubで公開されています。

Claude Codeの新機能「スキル(Agent Skills)」の入門記事です。毎回同じ指示を貼り付ける手間を、SKILL.mdという1ファイルにまとめることで解消できる仕組みを、公式ドキュメントと実機検証をもとに解説しています。

スキルは「SKILL.md」というMarkdownファイルを含むフォルダとして構成され、名前と説明(フロントマター)は常時読み込まれ、本文は使用時にのみ読み込まれます。記事では「release-notes」というスキルを例に、「.claude/skills/release-notes/」フォルダを作成し、フロントマターと本文を含むSKILL.mdを作成する手順を紹介。「claude plugin validate .claude/skills」というコマンドで構文検証もできます。

作成したスキルは「/release-notes」というコマンド、または自然言語での呼び出しで起動可能です。本文内で「!git log --oneline -20」のように記述すると、コマンド実行結果を動的に差し込めるほか、「allowed-tools」設定でツール使用を事前承認し確認プロンプトをスキップすることもできます。配置場所は個人用「~/.claude/skills/」とプロジェクト用「.claude/skills/」があり、個人用が優先されます。Anthropic、Vercel、Microsoft、Hugging Faceなどが公開スキル集を配布しており、プラグインまたはCLI経由で導入できます。

chot株式会社のエンジニアhirayama氏が、WebMCPを実際に試した感想をZennに投稿しています。WebMCPは、Webページ側がAI向けの操作(ツール)を直接ブラウザ上に提供する仕組みで、従来のMCP(AIとツールをつなぐ標準プロトコル)と異なりフロントエンドにツールを登録するため、ブラウザのログイン状態を活かせ、未保存データもJavaScript経由で操作できる点が特徴です。

著者はデザインエディターのページで、AIに同じデザインを再現させる検証をWebMCPなし・ありで比較しました。なしの場合はAIが人間用のGUIを自力で操作し完了まで5分52秒。ありの場合はlist_blocksやget_block_catalogなどのツールを経由して直接状態変更を行い、3分9秒で完了しました。著者は「複雑なUI操作が発生する画面においては強力な効果を発揮」と評価し、「フロントエンドの実装として必須になりそうな予感」と結んでいます。

Next.js App RouterにおけるServer Components/Client Componentsの設計術を解説する記事です。App RouterのコンポーネントはデフォルトではServer Componentとして扱われる仕組みを踏まえ、'use client'は必要最小限、つまりインタラクティブ性が必要な「葉(リーフ)」の部分だけに留めるべきだと主張しています。

最上位のコンポーネントで'use client'を記述すると、配下のすべてのコンポーネントがクライアントバンドルに含まれてしまい、バンドルサイズが膨らむ問題が指摘されています。対策として、可能な限りServer Components側でデータフェッチを行うこと、フォーム処理にはServer Actionsを活用してAPI Routesの作成を減らすことが推奨されています。

パスキーは暗号学的には破られていないのに、認証セッションを乗っ取られてしまう攻撃手法が紹介されています。パスキーには複数デバイス間で同期される「同期パスキー」と、特定デバイスに紐づく「デバイスバインドパスキー」の2種類があります。

悪用されるのは、入力機器のないデバイス向けのOAuth 2.0認証方式であるデバイスコードフローです。攻撃者は被害者に本物のMicrosoftサインイン画面を提示して認証を開始させ、被害者がそこでパスキーによる正規の認証を完了すると、裏で攻撃者側のセッションが認証されてしまいます。記事は「”本物の画面だから安全”という直感が、そのまま裏切られてしまう点が、この攻撃の巧妙なところ」と指摘しています。

Microsoft Entra IDでの対策としては、条件付きアクセスの「認証フロー」設定でデバイスコードフローをブロックする方法が紹介されています。適用時はまずレポート専用モードで影響を確認してから本適用することが推奨されており、緊急アクセスアカウントやTeams Rooms、Azure CLI/PowerShell、Device Registration Serviceは除外が必要です。Entra ID P2ライセンスがあれば、ID Protectionによるリスクベースの条件付きアクセスも設定できます。なお2026年9月1日にSMS・音声認証がパスキーに置き換わり、2027年2月1日にMicrosoft提供のSMS/音声配信が廃止される予定とのことです。