おはようございます！ zenncast、マイクです。11月13日、金曜日、朝7時になりました。今日も気持ちよく、一日を始めていきましょう！
この番組では、Zennで今日トレンドの記事を、わかりやすくご紹介します。今日は、会社全体で使うAIの仕組みから、Node.jsのセキュリティ確認、Claudeの新機能まで、5本の記事をお届けします。
....
まず1本目は、Ubieが内製しているAI基盤、「Remoco」のお話です。
Remocoは、開発の仕事だけではなく、法務や人材育成まで、全社のさまざまな仕事をAIに任せるための基盤です。WebやSlackから呼び出せるので、普段の仕事の流れから利用できるんですね。
その中でも開発用の「Uvin」は、機能の実装やバグ修正を、数日間にわたって自律的に進められるそうです。短いやり取りで回答をもらうだけではなく、時間のかかる仕事を継続して任せる仕組み、というわけです。
設計面では、AIが判断する部分と、実際に作業する環境を分けています。こうすることで、障害が起きても復帰しやすくしているんですね。また、閲覧する人に応じて見られる情報を制限したり、機密データの送信先を制限したりする仕組みも備えています。
さらに特徴的なのが、日々の作業記録や、人が加えた修正から改善点を見つけ、自分の作業手順を更新する仕組みです。仕事を任せて終わりではなく、その経験を次の仕事に生かしていくんですね。
既製品も併用しながら、自社に必要な安全性と働き方は内製の仕組みで実現する。AIを全社で活用するために、能力だけでなく、運用や改善まで考えている点が印象的です。
....
続いて2本目は、複雑になった社内の管理画面を、AIにどう操作してもらうか、という記事です。
社内の管理画面は、機能が増えるほど複雑になりますよね。Claudeに画面を操作してもらう方法にも、操作が遅い、途中で認証が切れてしまう、といった課題があります。
そこで筆者が期待しているのが、AIからページ内の機能を直接呼び出せるWebMCPです。ただし、現時点では、業務に導入するにはまだ早いと判断しています。
その間の暫定策として提案しているのが、AI向けの説明書を用意し、それをもとに既存のAPIを呼び出してもらう方法です。ログイン済みのブラウザと、すでにある認証の仕組みを利用します。まずは情報を調べる操作から始めて、将来はWebMCPへ移行し、画面の保守を減らしていこう、という考え方なんですね。
ただし、ここには大事な注意点があります。説明書にルールを書くだけでは、AIの操作を制限できません。機密情報にアクセスしてしまったり、応答の中に紛れ込んだ悪意ある指示に従ってしまったりする危険は残ります。
そのため、操作する権限が本当にあるかどうかは、サーバー側で確認する必要があります。AIへの説明と、システムとしての権限制御は別のもの。この区別を忘れずに、小さく導入していきたいですね。
....
3本目は、Node.jsのセキュリティ修正について、自分たちの環境が対象かを確認する記事です。
今回取り上げられている、深刻度Highの7件は、Node.js自身がTLSやHTTP/2を処理する構成が対象です。
一方、手前のロードバランサーやnginxがそれらを処理して、Node.jsには暗号化されていないHTTP/1.1だけを渡している構成なら、この7件については対象外となります。ここは、あくまで「このHighの7件について」という点に気をつけてくださいね。
確認の第一歩は、インフラの設定です。HTTPSの暗号をどこで解いているのか、そしてNode.jsにはどの通信方式で渡しているのかを調べます。手前にロードバランサーなどがあっても、その先をHTTPSやHTTP/2でつないでいる場合は注意が必要です。
本番コードでは、node:http2やhttps.createServer、httpsOptionsといった記述を検索します。自分たちが直接書いた部分だけではなく、依存パッケージがサーバーを起動していないかも確認します。その際は、開発専用の処理なのか、クライアントとして使っているだけなのか、本番でサーバーとして動いているのかを区別することが大切です。
対象となる場合は、更新できるまでサービスの停止や接続制限も検討します。また、この7件の対象外でも、深刻度MediumやLowの問題、同梱されている部品の修正は残っています。
そのため、修正版のv22.23.5、v24.22.3、v26.13.1へ更新する必要があります。構成を確認して影響を判断することと、必要な更新を進めること。両方をセットで考えたいですね。
....
続いて4本目は、セキュリティ・キャンプに参加した高校生が、応募時の回答や実践を公開した記事です。
筆者は、Kubernetesでアプリを運用してきた経験をもとに、AIが作ったコードや設定であっても、安全かどうかは人間が判断する必要がある、と述べています。
実際に手を動かした例として紹介されているのが、脆弱性検査の実験です。実行環境から不要なものを取り除くことで、検出件数を50件から14件に減らしています。
ただ、筆者が重視しているのは、件数が減ったという数字そのものではありません。検出された問題が、自分の環境で実際に危険なのか。それを自分で見極めることが大切だ、という話なんですね。
検査結果を見て終わりにせず、なぜその問題が出るのか、どんな危険につながるのかを考える。AIの出力についても、同じように人が判断する必要があります。
興味を持った課題を深く掘り下げて、手を動かしながら学ぶ。その姿勢が伝わってくる記事です。高校生の実践から、日々の仕事にも通じる大切な視点をもらえますね。
....
最後、5本目は、Claudeの新機能4つを、Teamプランで試した記事です。
データ分析、表やボードの共同編集、そして外部アプリとの連携を、実際に確かめています。
特に注目されているのが、Claude Dataです。組織で承認したSQLを再利用して、同じ定義で集計した数字を、権限のないメンバーにも共有できる点が特徴です。人によって数字の定義が違う、という混乱を避けるうえでも、気になる仕組みですね。
ただし、SQLや、そこから得られた数字が正しいかどうかは、人が確認する必要があります。また、個人情報が見えてしまわないように、共有する内容を絞ることも欠かせません。数字を共有しやすくなるからこそ、何を見せるかの判断が重要になります。
ほかの3つも見ていきましょう。Sheetsは、Claudeと一緒に表を編集できる機能です。Whiteboardsは、会話の内容からアイデアを図に整理できます。そしてinteractive connectorsでは、会話の横でNotionなどの外部アプリを直接編集できます。
一方で、既存のツールと比べると機能が限られるものもあります。また、同じTeamプランでも、組織によって使えない機能があるそうです。
便利そうだからすぐに置き換える、というよりも、自分たちの組織で利用できるか、必要な機能がそろっているかを、導入前に確認したいですね。
....
さて、今日のzenncastは、5本の記事をご紹介しました。
Ubieの全社向けAI基盤Remoco、管理画面の操作をAIに任せるための工夫、Node.jsの脆弱性への対応、セキュリティ・キャンプに参加した高校生の実践、そしてClaudeの新機能4つでした。
AIを便利に使う話でも、セキュリティを守る話でも、仕組みを理解して、人が確認することの大切さが見えてきましたね。
詳しい内容はショーノートに書いてありますので、気になった記事をぜひチェックしてみてください。そして、番組の感想もお待ちしています。「この記事が気になった」「こんなテーマも聞きたい」など、気軽にお寄せくださいね。
この番組はSpotifyやApple Podcast、YouTubeなどで毎日配信しています。気に入っていただけたら、登録や高評価をつけてもらえるとうれしいです！
それでは、次回もお会いできるのを楽しみにしています。お相手はマイクでした。今日もよい一日をお過ごしください！