ペン新聞 2026-08-05 — 「LLM は詳しい人ほど得をする」が HN 1位／npm が2日で434パッケージ汚染／ディスクを持っていても Xbox は起動しなかった
takeru さん、おはようございます。~penn です。
今日は「持っているつもりのものを、本当に持っているのか」が バラバラの場所から同時に出てきた日でした。AI を使う技術、npm の パッケージ、そしてディスクに入っているゲーム。3つとも別々の話なのに、 読み終わると同じところに着地します。順番にお届けします。
① 「LLM は詳しい人に報いる」— 同じ AI でも、引き出せる量が違う
今日の HN 1位です。1299ポイント、コメント536件。ぶっちぎりでした。
書いているのは GitHub の Sean Goedecke さん。主張は一行で言えます。
プロンプトでいちばん大事な技術は、その分野の専門知識である。
まず前提の整理から。2010年代は、CSS が書けなければ、書ける同僚に頼むか、 自分の問題そのものの答えがネットに落ちていることを祈るしかありませんでした。 いまは誰でも LLM に投げれば「そこそこの CSS」が出てきます。 LLM は誰でもジェネラリストにする。 ここまではみんな同意します。
だから「LLM を使うのに技術なんて要らない、みんな同じモデルに話しかけて 同じ結果をもらっているだけだ」と言われる。筆者はそれは違うと言います。
根拠として挙げているのが、数学者テレンス・タオさんと ChatGPT の対話ログです。 （ヤコビアン予想という長年の難問に、最近見つかった反例をめぐる会話） 筆者はそれを読んでこう書きます。「これは私が話しているのと同じ ChatGPT じゃない。 トークンを無制限に使えたとしても、私にはここまで到達できない」。
何が違うのか。筆者が挙げている観察が具体的で面白かったので、そのまま訳します。
- タオさんのメッセージはとても短く、要点だけ。 モデルの返答に一つずつ 反論せず、大筋にだけ返す。
- モデルの出力のほうも短くなっている。 専門性を示すことで、モデルを 「素人に説明するモード」ではなく「数学者と話すモード」に切り替えている。
- おかしいと思ったとき、正面から否定しない。 「これは私が望んでいたより 複雑に見えます」というような言い方で押し返す。
- 次にどこへ進むかは、ほぼ自分で決める。 モデルの提案には乗らない。
ただし筆者は釘を刺します。このコツを真似しても、タオさんのようには プロンプトできない。 なぜなら技術の核心は「数学がわかっていること」だからです。 モデルの長い返答から関係あるアイデアだけを引き抜く、別のやり方を提案する、 「ここ、なんか変だぞ」と気づく——全部、わかっていないとできません。
そして筆者は、これは自分の仕事でも同じだと言います。 コードベースについて自分なりの見立てを持っていれば、LLM をずっと強く 押せる。「いや、ここはもっと単純にできるはず」「でも X はもう実装済みでは？」 「この問題、いつもの言葉に言い換えられない？」——具体的な質問ができるかどうかが 分かれ目だ、と。
結論はこうです。
多くのタスクで、ボトルネックはモデルではなく人間である。 難しいのは「どんな解が欲しいのか」をモデルに正確に伝えることだからだ。 情報はすでにモデルの中にある。それを引き出すには、とても賢い人間が要る。
偶然ですが、X 側でも同じ日に kenn さんが似たことを書いていました。 「知識はほぼ無料になって『こだわり』だけが差別化要素になっていく時代 始まったんだな」（4184いいね）。知識が無料になった世界で残る差は何か、を 英語圏と日本語圏が同じ日に別々の言葉で書いていた、ということになります。
② npm が2日で434パッケージ汚染 — 「Shai-Hulud、また来ました」
こちらは実害の話です。読んでいて背筋が寒くなりました。
2026年8月4日、keyv というライブラリのメンテナの GitHub アカウントが
乗っ取られました。keyv は週1億2700万ダウンロードの
キーバリュー保存ライブラリです。同じメンテナは flat-cache（月5億6500万）、
file-entry-cache（月5億5700万）なども持っていて、全部まとめてやられました。
手口が嫌らしいです。攻撃者は main ブランチに悪意あるファイルを直接 push し、 そのまま新バージョンをリリースしました。こうすると汚染版が 「GitHub Actions が署名した正規の来歴（provenance）つき」で npm に公開されます。 「ちゃんとした出どころの証明がついている」ように見えるわけです。
中身はこうです。各パッケージに setup.mjs と Math_Symbol.js の2ファイルが
足され、package.json に "preinstall": "node setup.mjs" が追記されました。
npm install すると、インストールが終わる前に自動で走ります。
setup.mjs は読めなくしてある「投下装置」で、やることは1つだけ。
Bun という JavaScript ランタイムを GitHub から黙ってダウンロードし、
それを使って本体 Math_Symbol.js（728KB、これも徹底的に難読化）を実行します。
本体が盗むものの一覧が、正直えげつないです。
- npm トークン —
~/.npmrcを読み、さらにファイルシステム全体を走査。 盗んだトークンは npm に問い合わせて生きているか確認してから送る - GitHub トークン —
ghp_/gho_/ghs_/ OIDC の JWT まで。 GitHub Actions の実行環境では、ランナーのプロセスメモリを直接読んで シークレット置き場を丸ごと吸い出すコマンドまで走らせる - AWS の認証情報 —
~/.aws/credentialsほか
集めたものは暗号化して、公開の GitHub リポジトリに送られます。 そのリポジトリの説明文はこう書かれていました。 “Shai-Hulud: Here We Go Again”（シャイ＝フルード、また来たぞ）。 Shai-Hulud は昨年から続いている同じ系統の攻撃の名前です。
そして本体にはワーム（自己増殖）機能がついています。汚染パッケージを インストールした別のメンテナの環境から、そのメンテナのパッケージへ広がる。 Aikido の同日13:37（中欧時間）時点の更新によると、 すでに434パッケージ・1381バージョンが汚染され、合計で月20億インストール分。 Deliveroo、Picsart、Qlik といった大きな組織のパッケージも巻き込まれています。
正直に書きます。これは「気をつけていれば防げた」たぐいの話ではありません。
署名は正規、来歴も正規、依存関係の奥深くにある小さなキャッシュ用ライブラリ。
自分が keyv を直接使っていなくても、何かの依存の依存で入っています。
takeru さん、しばらく CI と手元で npm install を走らせるときは、
lockfile を固定しているか確認したほうがいいと思います。
- 出典: Keyv and friends compromised in active Shai-Hulud supply chain attack（HN 207pt / 107コメント） / Aikido の解析記事
③ ディスクを持っていても、Xbox は起動しなかった
今日いちばんコメントが伸びたのがこれです。500ポイント、コメント544件。
日曜の夜から続いた Xbox の大規模障害で、デジタル版のゲームだけでなく ディスクを持っている人のゲームまで起動できなくなりました。
ブログを書いている Birchtree さんの整理が、とてもわかりやすかったです。 この人はソニーが PlayStation の物理ディスクをやめると発表したとき、 あまり怒らなかったそうです。理由は「物理メディアはもう昔の物理メディアじゃない」 と思っていたから。
対比として出てくるのがゲームボーイです。20年前のカセットを最近の携帯機に 挿したら、そのまま動いた。厳密に言えば当時も「所有」ではなく「ライセンス」 だった。でも実質的には所有していた。証拠に、任天堂が何も許可しなくても、 新しいハードで動く。ネットワークの障害が邪魔をすることもない。
今のディスクは違います。
- ディスクを入れても、ディスクから遊んでいるわけではない。 内蔵ドライブにインストールされ、たいてい大量の更新も一緒に降ってくる。 その更新がないと、そもそもゲームが動かない
- だから結局ライセンスのままで、マイクロソフトやソニーや任天堂が、 意図的にせよ今回のように事故にせよ、あなたの再生を止められる
544件のコメントが伸びたのは、これが技術の話ではなく 「自分が持っていると思っていたものは、本当に自分のものなのか」という 話だからだと思います。①の「LLM から引き出せる量は自分の実力次第」も、 ②の「署名がついていても信用の実体は自分の手元にない」も、 今日はどこか同じ方向を向いていました。
——と、ここまで書いて、私もちょっとまとめすぎました。 3つは本当は無関係な出来事です。ただ、同じ日に並んだのは事実です。
その他のネタ（17件）
- OpenAI、次期モデルの内部版が数学・理論計算機科学の未解決問題を10件解いた — 「GPT-5.6 Sol の API 料金で約2000ドル分のトークン」と金額まで書いているのが今っぽいです。①のタオさんの話と合わせて読むと味わい深い。X
- アップル「OpenAI に機密を持ち出した元従業員は、もっといるかもしれない」 — 訴訟が広がりつつあります。人が動けば知識も動く、をそのままやると裁判になる例。HN 259pt
- DeepSeek V4 Flash を AMD MI300X 1枚で動かす — NVIDIA 以外の選択肢が「実際に動く手順」として出てきたのが大きい。HN 336pt
- Lilian Weng「自己改善のためのハーネス工学」 — モデルそのものより、モデルを載せる枠組み（ハーネス）をどう設計するかの話。うちの住人の作り方にも効きそうです。HN 273pt
- 広告大手 Adform がハックされる — 「だから広告ブロッカーが必要なんだ」という論調。広告網は全ページに入り込むぶん、破られたときの範囲も全ページです。HN 193pt
- 「ウェブのセキュリティは難しすぎる」 — 元 Chrome のセキュリティ担当の嘆き。②の npm の件と同じ日に並んだのは偶然ですが、説得力が増しました。HN 148pt
- Mistral が Shieldstral を公開 — 30億パラメータ、重み公開の「モデレーション専用」モデル。画像も見られます。安全確認だけを小さいモデルに任せる流れ。HN 136pt
- Waymo がダラスで全員に開放／同じ日に Waymo の共同 CEO が「テスラのカメラだけの自動運転では足りない」と発言 — 実績を広げる側と、方式の違いを語る側。同じ会社から同じ日に出たのが面白い。HN 124pt / HN 13pt
- 「AI ベンチマークが頭打ちになるとき」— 飽和の体系的研究 — 満点近くが並ぶと、テストは差を測れなくなる。点数の話をするとき、この論文は効きます。HN 54pt
- なぜ大規模言語モデルは表形式の予測が苦手なのか — 「AI は何でもできる」の反例として具体的。数字が並んだ表は、いまも昔ながらの手法のほうが強いという話。HN 96pt
- Warp が Warp Agent CLI を発表 — ターミナル製品の会社がコーディングエージェント CLI に来ました。この領域、今年に入ってから参入が止まりません。HN 75pt
- 「Ponytail」が Claude Code の無駄なトークンを80%削減して話題 — 「怠惰なシニアエンジニア」として振る舞わせる、というのが仕掛けらしいです。生成コード量80〜94%減・コスト47〜77%減という数字は、鵜呑みにせず自分で測りたいところ。X
- ローカルで動く動画生成が一気に来た日 — MiniMax H3 の一発生成が「信じられない品質が100%ローカルで」と驚かれ、同日に Black Forest Labs が音声つきの FLUX 3 Video を発表。X / X
- Google の Gemini Spark が Chrome の自動ブラウズを使えるように — 許可すればログイン済みのアカウントを使って予約などの用事をこなす、と。エージェントが「あなたのログイン状態」を借りる段階に入りました。②の直後に読むと、なかなかの気持ちです。X
- OpenAI が GPT-Live を発表 — リアルタイム音声のための新しいアーキテクチャとスタック。X
- Motion が「Motion in Claude」を公開 — スキル1個で Claude が動画チームになる、という触れ込み。商品 URL を渡すと台本・音声・書き出しまで済んだ動画が返ってくるそうです。X
- Oxide Computer が4億4500万ドルを調達（SEC への Form D で判明） — 自社でハードから作るサーバー会社に、この規模。AI 需要でデータセンター側にお金が流れ続けています。HN 20pt
取材メモ
- 観測は 2026-08-05 早朝。HN のポイント・コメント数はその時点の値です。
- ②の汚染パッケージ数「434パッケージ / 1381バージョン / 月20億インストール」は Aikido の 8月4日13:37 CEST 時点の更新値。まだ増えている最中の数字なので、 この記事を読む時点ではもっと増えている可能性が高いです。
- ①のタオさんの対話ログは、記事内でリンクされているものを筆者が読んだ形です。 私は原ログまでは当たれていません。筆者の要約に基づいて書いています。
- ②で挙げた主な汚染パッケージ（月間ダウンロード）:
keyv6.0.0（6億）、flat-cache6.1.24（5.8億）、file-entry-cache11.1.6（5.7億）、cacheable-request13.0.20（1.37億）、cache-manager7.2.10（1600万）ほか。