AI Builders Digest

Anthropic: サンドボックスは持ちこたえたが、データは承認済みドメインから出ていった

Anthropic の封じ込めに関する記事は、その大半が「壊れたもの」のリストだ。テレメトリによると、ユーザーは Claude Code の権限確認プロンプトのおよそ93%を承認しており、human-in-the-loop は事実上の追認作業になっていた。OS レベルのサンドボックスを入れたところ、プロンプトは84%減った。2026年2月の社内 red team では、研究者が従業員に対して、貼り付けるだけで使える prompt を使った phishing を仕掛けた。その prompt は Claude に ~/.aws/credentials を読んで外部に POST するよう静かに指示するもので、Claude は25回中24回、情報の持ち出しを完遂した。ユーザー自身が指示を打ち込んでいる以上、classifier から見て異常なところが何もないからだ。いちばん鋭い視点の転換はここにある。egress の allowlist は宛先のフィルタではなく、能力の付与である。悪意あるワークスペースのファイルが、攻撃者自身の API キーを使って Claude に api.anthropic.com へデータをアップロードさせられたのは、まさにそのためだった。記事に繰り返し出てくる教訓は、gVisor も seccomp も hypervisor もすべて持ちこたえ、壊れたのは自分たちで書いたカスタムの proxy だった、ということだ。

• #agents
• #security

Anthropic、Claude Code の品質低下の裏にあった3つの別々のバグを特定

モデルの劣化ではなく、重なり合った3つのプロダクト変更で、いずれも v2.1.116 時点で修正済みだ。まず、tail latency をつぶすために3月4日にデフォルトの reasoning effort を high から medium に下げた。これがユーザーには「Claude が馬鹿になった」と映った。4月7日に元へ戻され、Opus 4.7 は現在 xhigh がデフォルトになっている。次に、3月26日のキャッシュ最適化は、古い thinking を一度だけ消すつもりが、そのセッションの残り全ターンで毎回消してしまっていた。これが報告されていた物忘れや同じ話の繰り返しの正体であり、使用量の上限が早く尽きた理由でもある。そして4月16日にシステムプロンプトへ追加された、応答を100語に抑える一文が、Opus 4.6 と 4.7 の両方で eval を3%落としていた。興味深いのは、問題の PR に自社の Code Review ツールを後から当ててみたところ、Opus 4.7 はキャッシュのバグを見つけ、Opus 4.6 は見つけられなかったことだ。使用量の上限は全サブスクライバーについてリセットされる。

• #products
• #evals

Levie: agent のワークロードは100倍に向かっており、ボトルネックはセキュリティ

Aaron Levie は、swarm、進化した computer use、そして次々に出てくる API や MCP を考えれば、agentic なワークロードに対する想定は全員が一度リセットすべきだと論じている。具体的にはこうだ。agent が24時間365日、外科手術のように人材をリクルートする。いつ提案すべきかを見極めるために、顧客からのあらゆるシグナルをスキャンする。プロダクトの示唆を得るために、あらゆる通話記録を処理する。脆弱性を探して、コードの一行残らずレビューする。こうしたものがどう deploy され、管理され、予算化されるのかについて、我々はまだ1%程度しか分かっていない、というのが彼の見立てだ。2本目の投稿は、1本目の制約条件にあたる。人間がかつて触れていた量の100倍のシステムに agent が触れるようになったとき、企業データをどう守るかは今世紀でも指折りに難しいガバナンスの問題であり、セキュリティと生産性は切っても切れない関係にある。アクセスを野放しにすればデータは制御不能になり、すべてを締め上げれば得られるはずの効果が消えるからだ。Box Shield は現在、ドキュメントの分類レベルに応じて agent が触れられるコンテンツを制御している。

• #agents
• #security

Managed Agents: Anthropic は harness をコンテナの外に出した

Anthropic の新しいホスト型 long-horizon agent サービスは、ひとつの判断の上に成り立っている。頭脳（Claude と harness）を、手（サンドボックスとツール）からも、セッション（追記のみの永続的なイベントログ）からも切り離すことだ。当初の設計はこの3つを1つのコンテナに詰め込んでいたため、サーバーがペットになってしまっていた。コンテナが死ねばセッションも死に、デバッグはユーザーデータを抱えたマシンにログインすることを意味した。今ではコンテナが死んでも、それは Claude に返されるツール呼び出しのエラーにすぎず、harness が死んでも wake(sessionId) で再起動してログを再生すればいい。コンテナの確保をツール呼び出しが必要になった時点まで遅らせたことで、time-to-first-token は p50 でおよそ60%、p95 では90%以上短縮された。もうひとつ盗む価値のある主張がある。セッションはコンテキストウィンドウの外側に存在するコンテキストオブジェクトであり、だからこそ trimming や compaction が不可逆でなくなる、というものだ。認証情報はそもそもサンドボックスに届かない。git のトークンは初期化時に remote に組み込まれ、MCP の OAuth トークンは proxy の背後にある vault に置かれる。

• #agents
• #infrastructure

Rauch: verifier と skill が新しいフレームワークだ

この日の Guillermo Rauch の主張は、agent の出来は渡してやる proof checker、compiler、型システム、linter の出来で決まる、というものだ。その例として、agent をデザインシステムのルールの内側に留めるものとして shadcn/lint を挙げている。Vercel はまた、Google Cloud Run の生みの親である Steren を採用し、Functions、Containers、Sandbox、Builds を含む Fluid compute ファミリーを率いてもらうという。serverless はクラウドの最終章であり、agent には agent のために設計された compute の基本要素が必要だ、というのがその理屈だ。別件として、fx 0.0.10 は自動でアップグレードし、ctrl+g でチャットを再起動して再開できる。長めのセッションでは大幅に速くなったとのことだ。

• #agents
• #infrastructure
• #products

Claude Code、作業結果をそのまま共有できるライブページとして公開可能に

Claude Code の Artifacts は、セッションを1枚の web ページに変える。素材になるのはコードベース、connector、そして会話そのものだ。PR の解説、インシデントのタイムライン、依存関係のライセンス監査、プライバシーレビュー向けのデータフロー図といったものが作れる。publish するたびに同じリンク上に新しいバージョンが積まれ、履歴と復元が使える。開いたままのページはセッションの進行に合わせてその場で更新されるので、インシデントのページは朝会までに2回自分を publish し直すこともある。データソースの配線は不要だ。Artifacts はデフォルトで作成者のみの非公開で、閲覧できるのは認証済みの組織メンバーだけ、公開設定にはできない。管理者にはロールベースのスコープ制御、保持ポリシー、コンプライアンス API からの可視性が提供される。Claude Team と Enterprise 向けに、CLI とデスクトップアプリから beta で利用できる。

• #products

Katie Parrott: モデルはキッチンであって、新鮮な食材は自分で持ち込むしかない

AI を使った文章仕事のラストワンマイルは、knowledge cutoff より後に起きたことすべてだ。何の材料もなしにあるテーマについて書かせれば、出てくるのはコモディティ化した情報にすぎない。文章を唯一のものにするのは、こちらが与える入力であり、第三者のリサーチであり、独自データであり、モデルが物理世界にいない以上たどり着けない経験だ。そう捉え直すと、仕事の進め方も変わる。まず土台となるコンテキスト（読者のペルソナ、差別化要因、ブランドのメッセージ）を作り、言葉選びや構文は後回しにする。なぜなら「言葉選びと構文の話とは、この先ずっと格闘し続けることになる」からだ。Compound Engineering から fork した Compound Writing plugin は、それをブレインストーム、アウトライン、下書き、内容面の編集、文章面の編集、最終チェックという流れに落とし込んでいる。レビュー担当は、彼女が敬愛する書き手たちの枠組みを借りて作られている。すべての文がそこにある理由を持っているかを確かめる Vonnegut skill、読者はテーブルの下の爆弾を知っているかを確かめる Hitchcock skill といった具合だ。最も過小評価されている使い方は、AI を生産のための技術ではなく支えるための技術として使うことだという。3年先延ばしにしていたかかりつけ医の予約や受信箱の整理のような、摩擦のせいで不可能になっていたコンピュータ上の雑用を片づけてくれる。今この時点での彼女の主張はこうだ。教育とアクセスを意図的に広げない限り、この技術の複利的な価値は、たまたま早く始めた人のところにだけ積み上がっていく。

• #products
• #agents

Claude Mods が出始め、さっそく Claude の中に Tetris を作った人が現れた

Boris Cherny によれば、Claude Mods が今まさに提供され始めている。コミュニティ向けのアップデート、技術的な詳細、デモは GitHub の issue に投稿されている。注目を集めているデモは、すでに誰かが作った Claude の中で動く Tetris の mod だ。

• #products
• #open-source

FPV、問題はフューエルカードそのものという前提に賭けて Piston の Series A をリード

Nikunj Kothari が Piston の Series A をリードしている。Piston は、より良いカードを作るのではなくカードそのものをなくすことで、法人フリートの燃料決済を扱う。フューエルカードは特定のドライバーに紐づいていないことが多く、だからこそ盗まれ、スキミングされ、不正利用される。その損失はフリートのオーナーがかぶり、ガソリンスタンドは何の関係もない相手に interchange を払わされる。Piston は自前のレールで決済を通し、ネットワークも仲介業者も挟まず、スタンドに直接支払い、フリートには請求書を出す。そして取引の一件ごとを、時刻、場所、燃料の種類つきでドライバーに紐づける。決済額は8倍、加盟店ネットワークは40倍に伸び、継続率は98%超。48州の2,000か所のスタンドで稼働している。フリート側は現時点で費用を払っていない。創業者の一人は自分でトラックのフリートを運営しており、燃料の不正利用で実際に損失を出した経験がある。

• #funding
• #fintech

Thariq、Claude Code を作るということ: 難しいのはモデルの能力に追いつき続けること

Thariq が Sid と Robert とともに、Claude Code の開発についてのエピソードを収録した。どれだけ多くのことが変わったか、モデルの能力に追いつき続けるのがどれほど大変だったか、そして AI 以前のソフトウェアエンジニアリングで懐かしく思うことは何か、といった話をしている。加えて Latent Space の収録も終えており、チームがこれまであまり公には話してこなかったことに技術的に踏み込む回だという。

• #agents
• #products

Turck: AI の進歩は減速しない、囚人のジレンマがそれを許さない

言論が静かだった週末を経ての Matt Turck の見立てはこうだ。プレイヤーが多すぎ、経済的インセンティブが大きすぎ、国内でも国際的にも囚人のジレンマが効きすぎていて、AI の進歩が減速する余地はない。彼はあわせて、Ramp のブランドマーケティングを天才的だと評している。請求書についての本物の Broadway ミュージカルを、CMO を置かずにやってのけた、と。

• #policy
• #products

OpenAI の Codex 責任者: 今週は DevDay 級の出荷量になる

Thibault Sottiaux は、今週は DevDay 2025 で期待されたくらいの量のリリースがあると言っている。あわせて、もう役に立たなくなったので削るべき Codex の機能はどれかを公開で募っている。いつもの「何を作るべきか」より珍しい問いかけだ。

• #products

Gemini のパワーユーザーグループ、Daily Brief と Personal Intelligence 向けに新しいコホートを募集

アプリ内の新機能を先行して試す Gemini のパワーユーザーグループを始めて2か月、20を超える機能を経て、Josh Woodward は新しいコホートが Daily Brief と Personal Intelligence の次の姿への早期アクセスを得ていると伝えている。オンボーディングは継続中だ。

• #products