2026-03-31 トレンド情報収集

注目ピックアップ

【緊急】axiosがサプライチェーン攻撃 2026.03.31

npmの人気HTTPライブラリ「axios」のメンテナーアカウントが侵害され、マルウェア含む悪意あるバージョン（1.14.1、0.30.4）が公開された。攻撃者は依存パッケージ「plain-crypto-js」経由でクロスプラットフォーム対応のRAT（リモートアクセストロイの木馬）をドロップ。週間ダウンロード1億超の大規模な影響。安全なバージョン（1.14.0、0.30.3）への固定、lockfileを用いたインストール、npm ciやフローズンロックファイルの使用が推奨されている。

ソース: はてブ 307 users / HN 1185pt / Reddit r/webdev 1670 ups, r/programming 314 ups, r/cybersecurity 196 ups カテゴリ: セキュリティ / サプライチェーン攻撃

Claude Codeのソースコードがnpmレジストリのmapファイル経由で流出

Claude Codeのソースコードがnpmレジストリに残されたソースマップから露出。ユーザーの感情検出用regex、AI貢献をOSSで隠す「アンダーカバーモード」、3,167行の関数（ネスト12段）などが発見された。未公開機能「Buddy System」やアンチ蒸留防御も明らかに。コード品質に対する懸念の声が多数上がっている。

ソース: HN 616pt / Reddit r/LocalLLaMA 1344 ups, r/ClaudeCode 562 ups, r/programming 344 ups カテゴリ: AI / Claude Code / セキュリティ

axiosソフトウェアサプライチェーン攻撃の概要と対応指針

Flatt Securityによる技術的な詳細分析。悪性コードはaxiosのソースコードには直接含まれておらず、「plain-crypto-js」という依存パッケージが追加されていた。postinstallフックがRAT（リモートアクセストロイの木馬）をダウンロードし、プラットフォーム固有の永続化を実施。npm ls axiosでの検証とC2サーバsfrclak[.]com:8000への通信ログ確認が重要。

ソース: はてブ 191 users / HN 1185pt カテゴリ: セキュリティ / サプライチェーン攻撃

ハーネスエンジニアリング入門 -- CLAUDE.mdの次に来るAIエージェント制御パラダイム

CLAUDE.mdは単なる「お願い」でルール違反を検知・強制する仕組みがない。ハーネスエンジニアリングは5要素（ルール・スキル・フック・メモリ・フィードバックループ）を統合し、セッション間での文脈保持、自動検証、段階的な強度調整を実現。馬具が馬の全力疾走を可能にするように、AIエージェントの能力を制約ではなく活性化させる制御システムとして機能する。

ソース: はてブ 135 users カテゴリ: AI / Claude Code / 開発手法

Claude Code利用制限が予想以上に早く到達する問題を調査中

Anthropicが公式に「Claude Codeユーザーが予想以上に早くリミットに達する」問題を調査中と発表。HNでも42ptの注目記事に。r/ClaudeCodeでは803 upsと281コメントが付き、利用者間で活発な議論が行われている。v2.1.88で一部改善が試みられたが、2.1.87へのロールバックも報告されている。

ソース: HN 42pt / Reddit r/ClaudeCode 803 ups カテゴリ: AI / Claude Code

はてブIT（日本市場）

注目トピック

全エントリー

1. 不動産会社から出される契約書はすべて写真撮ってGeminiに投げる (570 users) - Geminiを使った契約書チェックの実践事例
2. お前らの正義の話をしよう (491 users) - エンジニア界隈の議論
3. よう若いの。Linuxってのはだな。 (406 users) - Linux入門・歴史解説
4. AnthropicがAI SREの限界を公式認定 (346 users) - QCon 2026でのAnthropic発表
5. 【緊急】axiosがサプライチェーン攻撃 (307 users) - npmサプライチェーン攻撃速報
6. ドコモの3G「FOMA」と「iモード」が本日31日終了 (258 users) - 3Gサービス終了
7. 高市総理がホワイトハウスでダブルピースしている写真は生成AIで作られた (233 users) - AIフェイク画像の検証
8. Prompt→Context→Harness、全部やった。整合性駆動開発CoDD爆誕 (240 users) - AIエージェント制御の新手法
9. ハーネスエンジニアリング、それGit Workflowをbashで書き直してるだけでは (212 users) - ハーネスエンジニアリング批判
10. X、日本語自動翻訳を開始「歴史上最大の文化交流」 (201 users) - X（旧Twitter）の自動翻訳機能
11. axiosソフトウェアサプライチェーン攻撃の概要と対応指針 (191 users) - Flatt Securityの詳細分析
12. 【図解】2層構造→MVC→アーキテクチャの進化を理解 (183 users) - アーキテクチャ進化の図解
13. 生成AIで誰でもオシャレなパワポを作る方法 (180 users) - AI活用のプレゼン作成
14. AI時代におけるタスク管理を考える (177 users) - AIエージェント時代のタスク管理論
15. 情報処理技術者試験及び情報処理安全確保支援士試験の見直し (170 users) - IPA試験制度の変更
16. 日本人を安売りしてる奴らへ (160 users) - 日本のエンジニア報酬問題提起
17. なぜステータスが混在するテーブル設計が生まれるのか (160 users) - DB設計のアンチパターン解説
18. ここんところのWeb界隈についての主観的記録 (151 users) - Web業界の動向記録
19. ハーネスエンジニアリング入門 (135 users) - CLAUDE.md次世代のAIエージェント制御
20. Claude Opus 4.6と同等のAIをローカルで動かすにはいくらかかるか？ (128 users) - ローカルLLM運用コスト試算（継続注目）
21. AIにロックマンエグゼになり切ってもらい一緒に開発してる話 (126 users) - AI活用のユニークな開発事例
22. 非エンジニアでもできる「OpenClaw」のセットアップ方法 (123 users) - AIツールのセットアップ解説
23. ハーネスエンジニアリングで人間のコードレビューをやめる (117 users) - AIによるコードレビュー自動化
24. 実証実験中のAIバス、赤字膨らみ廃止 (112 users) - AI自動運転バスの現実
25. 生成AIを使ったゲームボーイカラー用アドベンチャー「Daydream」 (99 users) - レトロゲーム×AI
26. Sakana AI、90年代検索システム「Namazu」との名称被り (97 users) - 名称問題
27. やさしいとこから始めるGitHubリポジトリのセキュリティ (96 users) - GitHub セキュリティ入門
28. パナソニックの電動工具、マキタに移管 (81 users) - 業界再編
29. BCE を意識して Go のコードを高速化する (73 users) - Go言語の最適化手法
30. git worktree を Worktrunk で管理したら手放せなくなった (70 users) - git worktree管理ツール
31. 自動翻訳がほぼ完璧になった。で、外国語を学ぶ理由は？ (64 users) - AI翻訳時代の外国語学習
32. ベクトルDB不要！Pythonで構築する軽量セマンティック検索 (63 users) - 軽量検索実装
33. コーディングエージェント向けのリモートサンドボックス (61 users) - エージェントサンドボックス技術
34. イラつくバルーンを滅ぼそう - Object.create(null) (61 users) - JavaScript Tips
35. axios Compromised on npm (55 users) - StepSecurityによる分析（英語）
36. コーディングエージェントのサンドボックス技術を理解する (49 users) - サンドボックス技術解説
37. SPFへのinclude追加、本当に必要ですか？ (49 users) - メール認証の深掘り
38. ソフトバンクキッズフォン2が契約できなかったのでハッキングした (46 users) - ハードウェアハッキング事例
39. PythonでもできるJavaベースの設計原則 (43 users) - 設計原則のPython適用
40. サーバーもネットワーク機器もEntra IDでログインする (44 users) - Entra ID統合認証
41. M365利用中の京都市が職員7000人に「NotebookLM」 (34 users) - 自治体のAI活用
42. 「これからのHTTP」は、どう進化する？「QUIC」 (40 users) - HTTP/QUIC解説
43. Claude Codeを「最小構成」で飼い慣らす (303 users) - Claude Code活用術
44. GitHub Copilotアップデートまとめ（2026年3月） (18 users) - GitHub Copilot最新情報
45. 「売上99.7％が架空取引」KDDI、ビッグローブら (37 users) - 不正取引発覚
46. MicrosoftのAI「Copilot」が勝手にプルリクエストに広告 (13 users) - Copilotの広告挿入問題
47. サプライチェーン攻撃から身を守るために最低限設定しておきたいこと (30 users) - サプライチェーン攻撃対策
48. 「Qwen3.5-Omni」が登場 (15 users) - Alibabaの新マルチモーダルモデル
49. npm v11.10.0の新機能 min-release-age (14 users) - npmセキュリティ新機能
50. Ollama is now powered by MLX on Apple Silicon (7 users) - OllamaのApple Silicon最適化

Hacker News（グローバル）

注目トピック

全エントリー

1. axiosがnpmで侵害 -- 悪意あるバージョンがRATをドロップ (1185pt) - 本日最大のセキュリティ事件
2. 何でもルーターにする方法 (712pt) - ルーター化ハック
3. 自分の文章を書こう (618pt) - AI時代の執筆論
4. Claude Codeのソースコードがnpmレジストリのmapファイルで流出 (616pt) - Anthropicのソースコード流出
5. Fedware: 政府アプリは禁止されたアプリより監視が強力 (600pt) - 政府監視アプリの実態
6. Artemis IIは飛行に安全ではない (495pt) - NASA安全性問題
7. OllamaがApple Silicon上でMLXにより動作 (405pt) - ローカルLLMの性能向上
8. GitHubがCopilot PR広告を撤回 (373pt) - 開発者コミュニティの反発で撤回
9. Universal Claude.md (366pt) - Claude Code出力最適化テクニック
10. MacBookを1ドルのハードウェアでタッチスクリーンに (351pt) - ハードウェアハック
11. 鳥の脳 (328pt) - 鳥類の知能研究
12. Android開発者認証 (290pt) - Android新制度
13. Clojure: ドキュメンタリー公式トレイラー (260pt) - プログラミング言語のドキュメンタリー
14. Googleの2億パラメータ時系列基盤モデル (186pt) - 時系列AI
15. OpenGridWorks: 電力インフラのマッピング (139pt) - インフラ可視化
16. 良いCTEと悪いCTE (91pt) - SQL CTE（共通テーブル式）のベストプラクティス
17. 米国株式、約4年ぶりの最悪の四半期に (86pt) - 経済ニュース
18. ミルグラム服従実験で大規模なルール違反が発覚 (58pt) - 心理学研究の再検証
19. Asimov Pressを一時停止 (60pt) - 科学メディアの休止
20. エリー湖の下に世界最大の岩塩鉱の一つが存在 (47pt) - 地質学
21. Anthropic: Claude Codeユーザーが予想以上に早く利用制限に到達 (42pt) - Claude Code制限問題
22. 7,655件のランサムウェア請求: グループ・セクター・国別分析 (34pt) - ランサムウェア統計
23. 85歳以降に書かれた文学作品は？75歳？65歳？ (31pt) - 文学
24. 30年前、ロボットは転ばずに歩くことを学んだ (19pt) - ロボティクス史
25. コンビネータ (11pt) - プログラミング理論
26. 誰もあなたのキャリアを救いに来ない (7pt) - キャリア論
27. 多発性硬化症 (7pt) - 医学
28. 膨張するド・ジッター空間で量子力学はより不確定に (5pt) - 物理学
29. Oscar Reutersvard（2021） (45pt) - アート/不可能図形

セキュリティブログ

Aikido Security

1. axios compromised on npm: maintainer account hijacked, RAT deployed (2026-03-30) - ★★★ axiosメンテナーアカウント乗っ取り、RAT配布の詳細分析
2. Popular telnyx package compromised on PyPI by TeamPCP (2026-03-27) - ★★★ PyPIでのサプライチェーン攻撃
3. Aikido x Lovable: Vibe, Fix, Ship (2026-03-24) - ★★ Lovableプラットフォームへのペンテスト統合

Wiz

1. Axios NPM Distribution Compromised in Supply Chain Attack (2026-03-31) - ★★★ axiosサプライチェーン攻撃の影響評価と検出方法
2. Tracking TeamPCP: Investigating Post-Compromise Attacks Seen in the Wild (2026-03-30) - ★★★ サプライチェーン攻撃後の侵害追跡
3. The Wiz Blue Agent, now Generally Available (2026-03-30) - ★★ AI脅威調査エージェントのGA

Claude Code / KIRO

Claude Code

• v2.1.88 (2026-03-30): フリッカーフリーレンダリング、PermissionDeniedフック追加、プロンプトキャッシュミス修正、Windows CRLF問題修正、メモリリーク修正、OOM対策など大規模アップデート
• v2.1.87 (2026-03-29): Cowork Dispatch修正
• v2.1.86 (2026-03-27): API改善、パフォーマンス最適化、プラットフォーム互換性修正
• Claude Codeソースコード流出事件（npmレジストリのmapファイル経由）が大きな話題に
• 利用制限の早期到達問題をAnthropicが公式に調査中

KIRO

• Bringing agentic AI to silicon development (2026-03-26) - 半導体開発へのエージェントAI適用
• From copilots to coworkers at AAAI (2026-03-24) - AAAIカンファレンスでのエージェント研究と本番環境のギャップ

Reddit（13サブレッド）

注目トピック

セキュリティ系

1. 1つのPOSTリクエスト、6つのAPIキー: 人気MCPサーバーへの侵入 (55 ups, 6 comments) - r/netsec - ★★★ MCPサーバーの脆弱性
2. Axiosのnpmパッケージがサプライチェーン攻撃で侵害 (50 ups, 7 comments) - r/netsec - axiosサプライチェーン攻撃
3. 脆弱性研究は終わった (30 ups, 14 comments) - r/netsec - 脆弱性研究の現状と課題
4. Flockカメラは大規模な国家安全保障上の脅威では？ (450 ups, 72 comments) - r/cybersecurity - 監視カメラの脅威
5. axios 1.14.1/0.30.4がnpmで侵害 (196 ups, 18 comments) - r/cybersecurity - サプライチェーン攻撃速報
6. 「AIペンテスト」ツールの90%はBurp Suiteでできる (57 ups, 24 comments) - r/cybersecurity - AIペンテストへの批判
7. AppleがmacOSターミナル警告でClickFix攻撃を阻止 (21 ups, 1 comments) - r/cybersecurity - macOSセキュリティ強化
8. LangDrained: LangChainにパストラバーサル、SQLインジェクション、安全でないデシリアライゼーション (15 ups, 2 comments) - r/netsec - LangChainの脆弱性
9. OpenAI Codex: ブランチ名によるGitHubトークン窃取 (2 ups, 1 comments) - r/netsec - AIツールのセキュリティ問題
10. Rootkitテクニックマトリックスの紹介とガイドの更新 (6 ups, 0 comments) - r/netsec - Rootkit研究

AI系

1. Claude Codeのソースコードがnpmレジストリのmapファイルで流出 (1344 ups, 263 comments) - r/LocalLLaMA - ★★★
2. llama.cppが10万スター到達 (926 ups, 45 comments) - r/LocalLLaMA - OSS LLMの金字塔
3. 利用制限が予想以上に早く到達する問題を調査中 (803 ups, 281 comments) - r/ClaudeCode - Anthropic公式
4. AIドキュメンタリーが公開、「エブエブ」クリエイターから (690 ups, 156 comments) - r/OpenAI - AIドキュメンタリー
5. Qwen 3.6が目撃された！ (574 ups, 147 comments) - r/LocalLLaMA - 次世代モデル
6. Claude Codeのソースコードが流出 (562 ups, 113 comments) - r/ClaudeCode
7. スタンフォードとハーバードが今年最も不穏なAI論文 (499 ups, 192 comments) - r/LocalLLaMA - AI安全性
8. 新年、新モデル (430 ups, 30 comments) - r/OpenAI - OpenAI新モデル
9. Qwen3.5-Omniの結果がAlibabaから公開 (308 ups, 44 comments) - r/LocalLLaMA - マルチモーダルモデル
10. Claude Codeの利用制限についての厳しい真実 (229 ups, 134 comments) - r/ClaudeCode - 利用制限の議論
11. Claude Code 2.1.88がリリース (214 ups, 60 comments) - r/ClaudeCode - 新バージョン
12. Claude Code + Google StitchでUI設計を自動化 (19 ups, 14 comments) - r/ClaudeCode - UI設計ワークフロー
13. PSA: nohurry/Opus-4.6-Reasoning-3000x-filteredの使用をやめて (46 ups, 8 comments) - r/LocalLLaMA - 品質問題のあるモデル
14. Claude Codeセッション制限の改善方法 (38 ups, 12 comments) - r/ClaudeCode - Tips

コア技術系

1. Claude Codeのソースがnpmレジストリのmapファイルで流出 (344 ups, 55 comments) - r/programming - ★★★
2. axios 1.14.1/0.30.4がnpmで侵害 (314 ups, 45 comments) - r/programming - サプライチェーン攻撃
3. Shopify CEOのPull Requestはマージもクローズもされないだろう (289 ups, 84 comments) - r/programming - テック業界の話題
4. JOINは高コストではない (222 ups, 103 comments) - r/programming - SQL/DB最適化
5. なぜサプライチェーン攻撃がほぼ毎日発生するようになったのか (202 ups, 66 comments) - r/programming - セキュリティ動向
6. 数百万行のHaskell: Mercuryでの本番エンジニアリング (137 ups, 26 comments) - r/programming - Haskell本番運用
7. メールの仕組み (34 ups, 0 comments) - r/programming - メール技術解説
8. YouTubeチャットログ: 従業員が「視聴者の中毒」を目指し安全ツールを廃止 (15482 ups, 514 comments) - r/technology - YouTube内部告発
9. AIが医療保険請求を拒否している (16340 ups, 1160 comments) - r/technology - AIの社会的影響
10. Microsoftが100%ネイティブWindows 11アプリへ移行 (4581 ups, 472 comments) - r/technology - Microsoft戦略転換

OSS/個人開発系

1. AV1のオープン・ロイヤリティフリーの約束に疑問符、DolbyがSnapchatを提訴 (133 ups, 24 comments) - r/opensource - OSSライセンス問題
2. FleshNote - オープンソースの小説執筆・世界観構築ソフトウェア (69 ups, 11 comments) - r/opensource - 創作支援ツール
3. border-shape: 非矩形Webの未来 (90 ups, 7 comments) - r/webdev - CSS新機能
4. Three.jsの人気が爆発中？1年で3倍の成長 (395 ups, 183 comments) - r/webdev - 3D Webの成長
5. Oxlint & Oxfmt互換性概要 (55 ups, 15 comments) - r/javascript - Rust製JS linter
6. HuggingfaceがTransformer.js v4をWebGPUサポート付きでリリース (25 ups, 8 comments) - r/javascript - ブラウザでのAI推論
7. Railway（Webアプリホスト）が「誤ってCDNを有効化」し大規模データ漏洩 (249 ups, 42 comments) - r/webdev - インフラ事故
8. 「実際にビルドしている」創業者コミュニティはどこ？ (22 ups, 45 comments) - r/indiehackers - コミュニティ探し
9. パーソナルブランディングで停滞していたローカルアプリが過去最高の月に (24 ups, 75 comments) - r/indiehackers - グロースハック事例

キャリア/実践系

1. 同僚の90%がLLMの前で空虚な顔をしている (343 ups, 270 comments) - r/cscareerquestions - AI依存問題
2. レイオフされた (599 ups, 111 comments) - r/cscareerquestions - レイオフ経験談
3. 11,000件の開発者求人を分析: 今雇用者が求めるスキル (72 ups, 35 comments) - r/cscareerquestions - 求人市場分析
4. エンジニアの数より仕事が少ないとしたら？ (48 ups, 37 comments) - r/cscareerquestions - 雇用問題
5. あなたは「最大AI効率」で働いていますか？ (21 ups, 33 comments) - r/cscareerquestions - AI活用効率
6. 夜の方が違う雰囲気？ (82 ups, 32 comments) - r/productivity - 生産性のリズム
7. 4-6時間集中力を保つ方法 (16 ups, 18 comments) - r/productivity - 集中力維持
8. 長い複雑なオンライン記事をどう読む？ (18 ups, 32 comments) - r/productivity - 読書法

用語集

読書メモ

（記事を読んだ後に追記）