【緊急】GitHub/npmを汚染する「見えないコード」の脅威：GlassWormの全貌と対策を徹底解説 2026年3月、開発者コミュニティに激震が走りました。GitHub、npm、VSCode拡張機能など、私たちが日常的に信頼を置く400以上のリポジトリが「GlassWorm」と呼ばれるマルウェアによって汚染されたことが報じられています。 「公開されているパッケージだから安全」という前提は、もはや過去の遺物となりました。本記事では、GlassWormの技術的なメカニズムを整理し、エンジニアが今日から導入すべき正しい防御策を解説します。 1. GlassWormの脅威：なぜ「不可視」なのか GlassWorm攻撃の最大の脅威は、Unicodeの**「制御文字」や「ゼロ幅スペース（U+200B）」を悪用した不可視性**にあります。 これらは一般的なエディタ上では完全に透明に見えますが、特定の

2026年3月19日、Aqua Security が提供するOSSセキュリティスキャナ Trivy のエコシステムが、3週間以内に2度目のサプライチェーン攻撃を受けました。攻撃者は aquasecurity/setup-trivy および aquasecurity/trivy-action の2つのGitHub Actionsに悪意あるコードを注入し、これらを利用するCI/CDパイプラインからクレデンシャルを大規模に窃取するペイロードを配布しました。 本記事では、GitHub Events APIおよびGitHub上に残存するcommitデータから取得したエビデンスをもとに、何が起こっているかを記録します。その上で、取りうる対応指針を示します。 免責 本記事の目的は事態の把握と対応の促進であり、違法行為への加担・助長を意図するものではありません。ペイロードの動作は手法の理解に必要な範囲で要

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article? あなたのリポジトリは本当に安全ですか 2026年3月8日、数百のGitHub Pythonリポジトリが静かに改ざんされました。コミットメッセージも著者名も変わらず、Pull Requestも残りません。git log を見ても異常に気づけない。force-pushによって履歴ごと書き換えられたからです。 この攻撃は ForceMemo と呼ばれ、GlassWorm マルウェアキャンペーンとの関連が指摘されています。StepSecurity がこの一連の GitHub リポジトリ侵害を ForceMemo と命名しました。Django ア

# 論外 - uses: foo/action@v1 - uses: foo/action@main # 危ない - uses: foo/[email protected] # まぁ大丈夫 - uses: foo/action@a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8a9b0 # v1.0.0 なんで Git タグやブランチ指定ではダメなの？ 基本的に Git タグやブランチは書き換え可能だからです。 もしも万が一アクション側のリポジトリが侵害された場合などに、アクションの利用者側は自身の GitHub Actions ワークフロー定義を何も変更していないのに突然 CI が壊れたり、悪意のあるコードが実行されるなどのリスクがあります。 例えば以下のようにアクションを参照している場合、もしも攻撃者によって foo/action リポジトリの v1 タグが書き換えられた

はじめに こんにちは、データシステム部MA推薦ブロックの佐藤（@rayuron）です。私たちは、主にZOZOTOWNのメール配信のパーソナライズなど、マーケティングオートメーションに関するレコメンドシステムを開発・運用しています。本記事では、GitHub Projects、BigQuery、Looker Studioを組み合わせて作業工数を可視化し、改善サイクルを回すための仕組みを構築した取り組みについてご紹介します。 はじめに 背景と課題 1. ボトルネックの特定に手間がかかり改善に着手しにくい 2. 工数に対する事業価値を把握できていない 3. AI活用の効果測定とナレッジの蓄積ができていない 解決策 1. GitHub Projectsの運用整備 カスタムフィールドの作成 自動入力の仕組み 2. データ収集の自動化 BigQueryへのデータ保存 GitHub Actionsで日次エ

TLDR: We’re postponing the announced billing change for self-hosted GitHub Actions to take time to re-evaluate our approach. We are continuing to reduce hosted-runners prices by up to 39% on January 1, 2026. We’ve read your posts and heard your feedback. We’re postponing the announced billing change for self-hosted GitHub Actions to take time to re-evaluate our approach. We are continuing to reduc

結論: Blacksmithのrunnerを使うといいよ！ サードパーティであるBlacksmith製のrunnerを利用した所、1分あたりの単価が半額になった上に、実行時間も減り、結果コストも約70%削減できました。 今回の結果は、正確には、Github Actions用yamlの各Jobのrunnerを変更（runs-onを修正）する前に、導入に向けての調査や、Blacksmith自体への登録という作業をしたことにより実現しております。 はじめに ご無沙汰しております。 去年に引き続き、あらためて自己紹介なのですが、株式会社カウンターワークスにて、テックリード的存在として、リーシングのDXを実現するクラウド管理システム「ショップカウンター エンタープライズ」を開発しておりますshimです。 11月上旬から、これめっちゃ良かったから導入記事を書こう！と思っていたら、気がついたら12月にな

こんにちは。PIVOTでソフトウェアエンジニア、スクラムマスターを務めて(いる|いた)@tawachanです。 この記事では、PIVOTのプロダクトチームがNotionからGitHub Projectsへタスク管理ツールを移行した経緯と、具体的な実装方法について紹介します。 背景：AIファーストチームへの変革 詳細な背景については、前回の記事「スクラムからカンバンへの移行——ソフトウェアエンジニアがマネージャーになる時代に」で、チームの思想やプロセスの変化について紹介しました。今回は、その思想を支える具体的なツールの変化に焦点を当てます。 前回の記事で紹介したように、私たちのチームはAI時代の開発に合わせてプロセスを見直し、スプリントベースからカンバン方式へ移行しました。しかし、プロセスを変えるだけでは不十分でした。 開発速度が上がると、次に見えてくるのはツール自体のボトルネックです。特に

GitHub⁠⁠、プルリクエストの新しいFiles changedページで未変更行へのコメントを可能に GitHubは2025年9月25日、プルリクエストの新しい「Files changed」ページにおいて、変更されたファイル内の未変更行を含む任意の行へコメントできる機能を追加したことを発表し、リポジトリ単位で段階的に展開していることを案内した。なお、新しい「Files changed」ページと今回追加した機能はいずれもパブリックプレビュー段階のもの。 Pull request “⁠Files changed⁠”⁠ public preview now supports commenting on unchanged lines - GitHub Changelog Been at GitHub for nearly 13 years and I'm pretty sure this re

こんにちは、SODAのSREチームのDucと申します。 GitHub Actionsのコストを削減しながらCIワークフローを高速化したの工夫をご紹介します。 背景 私たちのチームは、snkrdunk.comサイトとSNKRDUNKモバイルアプリの可用性とパフォーマンスの維持に注力しています。 それに加えて、クラウドインフラストラクチャやその他の監視・開発ツールのコスト管理も担当しています。 毎月、AWSやGitHubなどのインフラストラクチャとツールの請求書をチェックしています。 GitHubの請求額が非常に高いことに気づきました。特にGitHub Actionsの部分です。 参考までに、GitHub Actionの使用量とサーバーの本番ワークロード費用の比較をご紹介します。 Fargate: Savings Plan適用で月額約$7,000。私たちのサービスは平均約5000リクエスト/秒

はじめに 最近GitHubでプルリクのレビューアーにCopilotくんをアサインすると、AIがレビューしてくれるようになりました。 アサインしてしばらく待つとレビューを付けてくれます。 今回はCopilotくんの指摘はなかったようです。 さて、この機能は非常に便利なのですが、毎回アサインするの面倒くさいですしプルリクを出す人によってはアサインしなかったり忘れたりするのはイマイチなので、勝手にアサインして毎回レビューしてもらう設定にしちゃいましょう。という記事です。 GitHub Copilotは定額なのでなるべく使いまくったほうが得ですよね！ 結論を簡単に書くと ルールセットで [Request pull request review from Copilot]を有効化 すればOK これで完全に理解した方は以降は読まなくてもよいかと思います。 まずはCopilotくんにレビューしてもらおう

GitHub Container “R”egistryではなくGitHub Container “r”egistry が正しいと信じているのですが、誰か正解を知っている人がいたら教えて下さい。最初のブログ ではGitHub Container Registry と書いていましたが、その後はGitHub Container registryになりドキュメントでもContainer registryになっているので、やはりContainer registryなのかなと思ってますが、これが気になりすぎてGHCRについて触れるのがいつも憚られています。 Docker Hubのレート制限について 要約 背景 調査 回避策 GITHUB_TOKENについて 備考 余談 まとめ Docker Hubのレート制限について 2025年4月1日からDocker Hubの制限がいよいよ厳しくなり、未認証ユーザは

はじめに GitHub Actions (GHA)、便利ですよね。 便利なんですが、たまに「え、そんな仕様だっけ？」みたいなワナに遭遇します。そして毎回忘れてワナにハマってしまいます。 今後そんなワナにハマって時間を無駄にしないよう、ワナ仕様について網羅していきます。 対象読者 GitHub Actions を使い倒したい方 割と大きめな規模の GitHub Actions を構成している方 初級編 run を複数行で書くときの記法 GHA というか YAML の記法です。いきなり GHA から外れてすみません 💦 が、よく忘れるので覚えておくと助かります。以下の 2 種類を覚えておけば、ほとんどの場合事足りると思います。 | は改行を改行として実行する

Author Thomas Dohmke GitHub Copilotの新機能を発表：VS Code向けのエージェントモードを導入、Copilot Editsの一般提供を開始、SWEエージェントの初公開 2021年にGitHub Copilotを発表した際、私たちの目標は明確でした。それは、AIペアプログラマーがより良いコードを書く手助けとなり、開発者の生活をより快適にすることでした。GitHub Copilotの名前には、人工知能（AI）は開発者に取って代わるものではないという私たちの信念が反映されています。そしてAIは常に開発者の味方で、優秀な副操縦士のように、一人で操縦することもできます。例えば、プルリクエストのフィードバック、セキュリティ脆弱性の自動修正、課題の実装方法に関するブレインストーミングをしたりすることができます。 今日、私たちはGitHub Copilotをさらに強化、

GitHub Copilot WorkspaceのTechnical PreviewがGitHub有償ユーザ向けに公開されました。GitHub Copilotを有償で利用している方は、すぐに使える状況になっていると思います。 僕も少しだけ使ってみたのですが、今後の開発プロセスを大きく変えていくだろうなという感触を持ったので、ではその「変わった先」というのがどういうものになると思っているのかを書いてみます。 GitHub Copilot Workspaceとは GitHub Copilot Workspaceの苦手なところ 僕たちのプロセスをどう変えるのか 課題はプロンプト生成 設計仕様とテスト工程の連携 では開発フローは？ 設計との向き合い方 GitHub Copilot Workspaceとは GitHub Copilot Workspaceを一言で言うと、AIを活用したコーディング支援

GitHub Actionsで定期実行（cron）のワークフローを組んだユーザーが退職すると、ワークフローは無効化される 大事なことなので、見出しでも同じことを書いてしまいました。 何を言っているんだという感じですが、とにかくそういうことらしいです。 厳密には最後にワークフローにコミットしたユーザーが組織から削除されると、無効になるようです。 GitHub Actionsの定期実行でPR作成を自動化*1している会社もそれなりにあるかと思うのですが、その場合はそれらが全部停まります。 さらに、1度無効化されてしまった場合はcron式を変更しないといけないというのも罠ポイントですね。 最後にワークフローの Cron スケジュールにコミットしたユーザーが組織から削除されると、スケジュールされたワークフローは無効になります。 リポジトリへの write アクセス許可を持つユーザーが Cron スケ

複数のGitHubアカウントを保持していいの？GitHubサポートに問い合わせてみた #git#GitHub 2022年 10月 25日 t_oikawa 「社内標準のソースコード管理サービスとしてGitHubを使いたい。」 ある社員の一言がきっかけとなり、社内でGitHubの利用に対する賛否に関するアンケートを実施したところ、賛成の意見が多かったため、GitHubの社内利用開始に向けて準備を開始しました。 しかし、GitHubの利用規約に記載されているある一文の解釈が論点になり、社内利用を開始するまでに結構な時間を費やしてしまいました。 One person or legal entity may maintain no more than one free Account (if you choose to control a machine account as well, that

$ brew install act ==> Downloading https://ghcr.io/v2/homebrew/core/act/manifests/0.2.60 ############################################################################################################################################################################# 100.0% ==> Fetching act ==> Downloading https://ghcr.io/v2/homebrew/core/act/blobs/sha256:5533293b8efc5d003e2f607626ac2a487c7f92202775f95