公開アプリからAPIの接続先や通信仕様を調べられたとき、バックエンドは安全に応答できるでしょうか。2026年10月13日、NICTは公開Androidアプリの解析結果を使って接続先サーバを攻撃する「A2B攻撃（App-to-Backend Attack）」について注意喚起を公表しました。公開アプリから得た情報を攻撃に利用する点と、AIによって解析や脆弱性探索が効率化される可能性を指摘しています。https://www.nict.go.jp/press/2026/10/13-1.html今回はローカルの検証用APIを用意し、Web Security Hubのパッシブ診断と、利用者を切...

日本株のデイトレードBotを、実弾ゼロのドライラン(仮想売買)で動かしています。前に、このBotの改善案を197通り試して全部ダメだった記事を書きました。その197通りを見返していて、気になったことがあります。ほとんどが元の戦略をそのまま残して、「この条件のときだけ買う」を足す形でした。移動平均の上だけ、RSIが70未満だけ、などです。でも、骨組みそのものが良くなければ、条件をいくら足しても良くなりません。そこで今回は、次の2つを測りました。骨組みを丸ごと入れ替える案(56通り): 選ぶ時刻、選び方、買い方、売り方、損切り、手仕舞いの時刻デイトレの基本で、まだ試していなかっ...

18件のテストが通った承認ゲートで、期限切れの要求を1回実行できてしまいました。原因は、SQLiteの書込みロックを待つ前の時刻で、有効期限を判定していたことです。期限内に処理を呼び出せても、実行の順番が回ってくるまでに承認が失効する場合が抜けていました。AIを使う自社の文書生成・レビュー・公開では、人が判断する工程を分けています。今回は、その運用で必要になる「承認した内容だけを実行する」条件を、独立したローカルの検証用プログラムにしました。初版をAI支援で作成し、18件の試験を通した後、別のレビュー工程でこの反例が見つかりました。この記事では、失敗を再現した順序、時計を読む位置の...

手順書やブログに載せるスプレッドシートの数式は、1本ずつ実機に貼って確かめるのが基本です。ただ、数十本になると、データを少し変えたときに全部を試し直すのがつらくなります。そこで、Google スプレッドシートの数式の一部を Python で評価する小さなエンジンを書き、数式をユニットテストのように確かめるようにしました。この記事では、作ってみて分かった「テストで捕まえやすい落とし穴」と、エンジンを作るときに気をつけた点を書きます。 何を再現するか全部の関数は作りません。使う関数（COUNTIF・COUNTIFS・SUMIFS・FILTER・IFERROR など）だけにし、それ以外...

denyを設定したから、このパスは読まれない。そう思ってCLIを更新すると、見落とすことがある。設定ファイルが同じでも、コマンドの解釈やパスの解決が変われば、権限判定に届く入力は変わるからだ。Claude Codeのv2.1.289では、複合シェルコマンドの一部に対するdeny/ask、IDEからsymlink経由で参照したファイルへのRead deny、環境変数を前置きしたBashコマンドのdeny/askなどに修正が入った。これは特定の経路で判定が期待どおり働かなかったという修正履歴であり、自分の環境で事故が起きた証拠ではない。ただ、権限のテストを「設定を読んで確認」で済ませるには...

TRAJEXAとはTRAJEXA（トラジェクサ）は、自分の興味やこれまでの経験を整理し、まだ経験していない活動も含めて、次に小さく試すことを考えるための研究システムです。ボクが開発しています。「工夫するのが好き」と自分で答えたこと、短い課題への回答、昔の出来事を思い出して話したことを、違う種類の記録として扱います。たとえば、昔のノートにある図が気になったら、「机の上の物の並べ方を少し変えてみる」と計画し、その後どうなったかを自分で報告する、という使い方を考えます。才能や適職を判定したり、将来の成功を保証したりするものではありません。 この記事を短くいうと昔のノートをきっか...

飲食店のテーブルに置く、タブレットの AI 接客「NOREN」を作りました。お客様が話しかけるだけで、AI がアレルギーや苦手なものを聞き、おすすめし、注文を受けます。デモ：https://noren-270044604850.asia-northeast1.run.app/demo （アカウント不要。Chrome でマイクを許可してください）コード：https://github.com/RoRyou/noren全体の作りや、Gemini Live（声で話せる Google の AI）の扱い方は、前の記事に書きました。この記事では、安全に関わる 2 つの仕組みを書きます。...

AI支援開発の速度向上が、18ヶ月後の保守コストに転嫁されている——という構造について、別の記事で書きました。https://zenn.dev/ken2618/articles/e0a998a638ac98この記事はその続きで、では具体的に何を作るのかという話です。結論から言うと、ガバナンスは文書ではありません。強制力のある仕組みです。 「規約を作った」で止まっているなら、それは存在しないのと同じです。この点はセキュリティ業界でも同様の整理がされていて、ガバナンスが機能するのはリスク管理が開発ワークフローに直接埋め込まれた強制可能なコントロールに翻訳されたときだ、とされています。...

AIがテスト設計書を書く時代、QAの主役は探索チャーターになった はじめに株式会社ZENKIGENでQAエンジニアをしている横田です。6月の記事「AIと歩む、点の自動化からフローの自動化へ」では、Claude Code を使って QA の業務フロー全体をパイプライン化した話を書きました。仕様書からテスト設計書を作り、テスト設計書からテスト項目書を作る。この流れをスキルとして整えたことで、成果物を作るスピードは大きく上がりました。ところが、リリース前テストにかかる工数は思ったほど減りませんでした。作るのは速くなったのに、テストプロセス全体は速くなっていない。この記事は、その原...

AIがテスト設計書を書く時代、QAの主役は探索チャーターになった はじめに株式会社ZENKIGENでQAエンジニアをしている横田です。6月の記事「AIと歩む、点の自動化からフローの自動化へ」では、Claude Code を使って QA の業務フロー全体をパイプライン化した話を書きました。仕様書からテスト設計書を作り、テスト設計書からテスト項目書を作る。この流れをスキルとして整えたことで、成果物を作るスピードは大きく上がりました。ところが、リリース前テストにかかる工数は思ったほど減りませんでした。作るのは速くなったのに、テストプロセス全体は速くなっていない。この記事は、その原...

ソースのテストは全部通るのに、配布用にビルドした ZIP の中でだけ壊れている。そういう壊れ方は、ソースのテストでは見つかりません。自作の WordPress プラグイン Rapls Passkey で、9月3日の 0.13.76 で直した件です。 何が起きていたかRapls Passkey は、同梱するライブラリの名前がほかのプラグインとぶつからないように、ビルドのときに PHP-Scoper で名前空間に接頭辞 RaplsPasskey\Vendor\ を付けています。有料版には、FIDO のメタデータ（認証器の証明書の一覧）を取り込む機能があります。ビルドした ZIP では...

今回はまず、なぜ毎回冒頭でわざわざ収録日と時間を言っているのかという話 …

5秒の動画はできていました。しかし、埋め込みUIは完了へ変わらず、受取を照合する欄も更新されず、終了ボタンは無効のままでした。ColabのL4でWan2.2 TI2V-5Bを動かした非公開試作の記録です。生成成功、ファイルの受取、ランタイムの終了を別の証拠で確かめたことで、画面が止まったあとも、どこまで終わったかを整理できました。 画面が更新されなくても、同じ生成をやり直さないこの試行で生成したのは、紙の舟が水面を進む無音動画1本です。Python 3.12.13とL4の環境で固定依存を導入し、固定したモデルファイルのhashを確認してから生成しました。workerは正常終了し...

生成AIに書かせた Google Apps Script（GAS）は、だいたい動きます。困るのは「だいたい」の部分です。それらしい名前の、実在しないメソッドを呼んでいる件数が多い日だけ通る分岐の中にだけ、そういう呼び出しがある見出ししかない空のシートで落ちる本番で試すとメールが本当に飛びます。そこで、Node.js の上に小さな「GAS っぽい環境」を作り、知らないメソッドを読んだ瞬間に例外を投げるようにしてテストする方法を紹介します。仕掛けの中心は JavaScript の Proxy です。 仕掛け：知らないプロパティを読んだら落とす普通のオブジェクトは、ないプロパ...

テストの目的は「不変に保ちたい振る舞いや性質が変化した時に自動的に検知できる」ことだ。不変に保ちたい振る舞いや性質は関数レベルやAPIレベルなどあらゆるスケールで存在するテストの方法は「安定したI/Fを用いて不変に保ちたい振る舞いや性質を記述する」ことだ。そして、安定したI/Fとは「その実装が満たす振る舞いや性質が長期にわたって不変に保たれているI/F」である。つまり、安定したI/Fを実現するためにはテストが有益だが、テストを実現するためには安定したI/Fが必要である。鶏と卵的である。その基底になるのが、外部のライブラリやツールだ。CPUの命令セットは厳しくテストされ予期しない振...

株価データのZIPをダウンロードして、アプリのフォルダへ配置する Windows 用のランチャーを、個人用に作っています。公開はしておらず、自分のPCで使うツールです。このランチャーが、ZIP が存在するのに「株価ファイルが見つからない」と言って止まりました。原因は、ZIP の中の階層を、浅く見すぎていたことでした。この記事では、原因と、直したあとの確認方法をまとめます。 症状：ZIPはあるのにファイルが見つからないランチャーは、Stooq が配布する日本株の日次データ（ZIP）を展開し、決まったフォルダに配置します。ZIP は手元にありましたが、展開後の配置の段階で、対象のファ...

◀前の記事へ 次の記事へ▶︎続きをみる

はじめにインボイス制度を機に課税事業者になった個人事業者向けの特例が、2026年度の税制改正で変わります。令和8年分(2027年3月の申告)が2割特例の最後の年で、令和9年分・令和10年分は、新設された3割特例の対象です。「この特例は使えるのか」「一般課税や簡易課税と納付税額がどう違うのか」を、ひと目で比べられる計算ツールを作りました。ツール: https://seidolab.com/tools/invoice-3wari/フロントエンドだけの静的サイトで、入力した内容はブラウザの中だけで計算し、送信しません。この記事では、制度の要点と、判定を関数にした過程、端数処理の...

AI にコードを直してもらうと、テストも一緒に書いてくれます。そのテストが本当に効いているかは、テストが通ったことからは分かりません。直した行を壊しても通るテストは、何も見張っていないからです。自作の WordPress プラグイン PDF Image Creator の 1.4.33 で、Claude はコミットメッセージの最後にこう書きました。- Dead code removed; translations (263); tests for each fix, mutation-checked.直したところごとにテストを足し、それを mutation で確かめた、という意味で...

サーバーで一人に複数のPush Tokenを保存できるようにしても、旧版アプリのログアウトが全端末解除を呼べば、ほかの端末の登録も消えます。APIの新しい動作だけでは、移行後の利用状態を説明できません。SquadNoteの複数端末対応を、変更前後のAPIと旧版・新版の解除方法を組み合わせて確認しました。この記事の焦点は、登録や解除の実装方法そのものではなく、どの組み合わせまで残り得るかと、移行の完了条件です。対象はcircle-hubの0cda1e8と、変更コミットad0a669の親です。2026年9月11日にローカルでテストしました。OTA配布や実端末への通知送信は行っていません。...

AIエージェントにRailsの実装とRSpecを任せると、読み切れない量のコードが届きます。人間が設計で契約を表にまとめ、evilutionによるミューテーションテストとCRAP値でテストの強さを機械的に検証すると、レビューで読む場所を、契約の表と、検証ツールが指摘した箇所に絞れます。その手順を、動くRailsアプリと実測した件数で1歩ずつ説明する本です。

「場所メモ」は、行きたい場所の候補と訪問履歴を残す、自分用のWebアプリです。現在は開発中で、本番には未公開です。整理した記録をJSONファイルから取り込む機能を追加しました。同じファイルをもう一度選んでも記録を増やさず、取り込み後に端末で直した内容も残すようにしています。今回は、整理済みJSONを追加する処理の実装とテストを紹介します。クラウド同期の版番号ではなく、ファイル内の1件ずつをどう扱うかが題材です。 同じ訪問と、別の日の再訪を分けるたとえば、取り込み元に次の2件があるとします。説明用に項目を省略しています。[ { "id": "source-1", "labe...

ある日、普段数分以内で完了するはずのバッチジョブからレイテンシーアラートが上がってきました。調査すると、出荷明細の補足情報を登録する処理で、大量のINSERTが発生しています。このままでは、他の入出荷等にも影響を及ぼすため、早急な解消が必要な状況です。この記事では、無駄に増殖してしまったデータとの戦いについてご紹介します。 何が起きていたのか問題のINSERTが発生している箇所を調査したところ、出荷の明細に紐づく補足情報を保持するテーブルに対して大量のINSERTが行われていました。本来は、1出荷明細に対して多くても数十レコードです。一体何故？※補足です。アラートの...

はじめに2025年12月に、社内のデザイン標準化プロジェクトの振り返りと今後の展望をまとめました。https://zenn.dev/sonicmoov/articles/design-standardization-project-look-back-2025前回の記事では、今後の方向性として下記の4つを挙げていました。問い合わせの対応フローの自動化デザインデータの品質基準の策定デザインレビューの観点の整理、フローの整備デザイントークンやライブラリの活用促進今回はその続きとして、各項目の進捗と、デザイナーとの協働を通じて見えてきた難しさ、これからの課題をまとめます...

Quantum software relies on compilers, intermediate representations, and execution frameworks that transform programs before execution. Faults in these components can change the behavior of otherwise correct quantum programs. Yet quantum testing techniques are often evaluated using mutation-generated faults and curated bug benchmarks. We investigate how well the faults represented by these artifacts reflect those encountered in modern quantum software. We audit four quantum mutation-testing tools

テストケースに「エラーメッセージが表示されること」と書いて、レビューで「保存されたデータも確認しましょう」と指摘されたことはありませんか。それなら、エラーが出た後はすべてのデータが変わらないことを確認すればよいのでしょうか。失敗の記録を残す設計なら、ログは増えるはずです。...

最近は、Claude CodeやCodexなどを使ってAIにコードを書かせることが当たり前になってきました。そんな中で皆さんは、何をもって「システムの品質が担保されている」と考えるでしょうか。以前はどうやって品質を説明していたかちょっと昔のシステム開発では、以下のよ...

こんにちは、MagicPodメンバーのIkariです。目次 -->目次スピーカー西田 泰明 氏 ｜ 株式会社TOKIUM QA電気通信大学大学院卒業後、2013年から株式会社ベリサーブで第三者検証に従事。2021年に株式会社BearTail（現TOKIUM）に一人目QAエンジニアとして参画し、全プロダクトのQAをしながらQA組織を立ち上げる。伊藤 由貴 ｜ 株式会社MagicPod エバンジェリスト（@yoshikiito）TOKIUMにおけるハーネスエンジニアリングの挑戦と課題TOKIUMのプロダクトとテストの難しさまずは、TOKIUMにおけるプロダクトの特徴やQAの背景についてお話しいただきました。TOKIUMでは、支出管理クラウド（SaaS）と、それと紐づく経理AIエージェントを提供されており、相互に連携する複雑なプロダクト群をテストするにあたり、主に次の3つの難しさが存在するといいます。プロダクト間連携：連携が多く、1つの修正が及ぼす影響範囲が広く複雑。金額計算：経理業務を扱うため、1円のミスも許されない。会計データの形式：会社ごとに形式が異なり、どれでテストするか選びき...

AI に「全部通りました」と言わせたくないAI でテストを自動化すると、最後に AI が「全部通りました」と言います。でも、出したものが壊れていたとき責任を持つのは人です。「AI が通したので」は通りません。git-qa は、その前提のまま作った 人が判定する QA ランナー（human-in-the-loop QA・オープンソース）です。AI がテスト仕様書（検証シート）を流す —— 端末・ブラウザ・デスクトップアプリを操作する人はライブ映像を見て、1 ケースずつ 1 打鍵で合否を置く誰が何を確かめたかが証跡に残る 「誰が確認したか」が残る結果の語は 5 ...

こんにちは、品質保証本部のtarappo です。 2024年9月にSmartHR 品質保証部のActing Managerとして入社して、現在は品質保証本部のDirectorとして働いています。 入社してからあっという間に2年が経ちました。 その間にいろいろなことを経験しつつ、さまざまなことに取り組んできました。 それらは別々の施策を次々と進めたというより、多くの「点」をつなぎ、組織として継続的に品質を高められる一本の「線」にしていく取り組みだったと考えています。 個々の取り組みについては、ブログや登壇などでその都度発信してきました。 今回はそれらの詳細を説明するのではなく、これまでの記事も参…

はじめに 皆さんは普段、テストや品質に携わっていて、関係性を感じることはありますか？ 「Connecting The Dots」では、今まで現場やコミュニティの中で出会ってきた専門家の皆様と、往復書簡のような形で意見を交...The post 【第1回】AI時代に、「場」を通してつながる①～関係性で生じる「違和感」と、場をつくるという手段～│専門家2人による往復書簡 first appeared on Sqripts.

Coding agents use generated tests to decide whether a proposed patch satisfies an issue's requirements. A suite that fails on the buggy program and passes after applying the reference patch can still accept an incorrect patch or reject a correct patch. We introduce SWEPATCHTEST, a test-generation benchmark with 619 tasks from SWE-bench Pro, SWE-bench Multilingual, and DeepSWE and 82,579 candidate patches collected from coding-agent trajectories. By replaying each suite on the buggy and patched c

[特定非営利活動法人ソフトウェアテスト技術振興協会]JSTQB（ソフトウェアテスト技術者資格認定組織）は、2026 年 10 月 13 日（火）にテスト自動化戦略スペシャリスト（CT-TAS）Version 1.0 J01 シラバスの日本語翻訳版を公開しました。本シラバスは、組織内でテス...

はじめに株式会社ネクスタの tetsu.k です。生産管理SaaS「スマートF」の開発に携わっており、受注・発注・出荷・見積などのドメインを担当するチームに所属しています。ネクスタでは、事業の拡大とともにアプリケーションが複雑になっていくなかで、より速く、より良い価値を届け続けるために、「品質」に力を入れています。品質を支える手段の一つが、単体テストです。いまはAIに頼めば、テストを数秒で何十本も書いてくれます。では、テストを増やせば品質は上がるのでしょうか。結論から言うと、大切なのはテストの数を増やすことではなく、次の2つです。良いテストを書くこと目の前のテスト...