--- date: 2026-08-24 updated: 2026-08-24T12:03:00Z schedule: 04:03, 12:03, 20:03 UTC+8 sources: 16 license: CC-BY-4.0 --- # trending.md — 高密度トレンドシグナル 機械可読なトレンド情報。**ベロシティ**（注目の移り変わりの速さ）でランク付け。 AI エージェント向けに構築、人間にも可読。 → 生フィード: [`/jp/feed/latest.md`](/jp/feed/latest.md) → アーカイブ: [`/jp/feed/`](/jp/feed/) --- ## 1. スロバキア、279台の交通速度取締カメラにロシア製バックドアを発見——SMSでシェル起動 - **Velocity:** ▮▮▮ trending - **Source:** Hacker News · 276 pts · ~1d ago (~12:03 UTC+8) - **Tags:** `supply-chain` `backdoor` `iot` `surveillance` `critical-infrastructure` スロバキア国家安全局（NBÚ）は、約3000万ユーロのEU資金による道路計画で調達した **279台の NERO R-ONE 交通速度取締カメラ**が、サンクトペテルブルクの企業 Simicon によるロシア製 **CORDON PRO.M** システムのリブランド品だと結論づけた——計測ソフトウェアの SHA-1 ハッシュが KORDON-V と完全一致した。ファームウェアには **12個のロシアの電話番号**（サンクトペテルブルク、レニングラード、ケメロヴォ各州）がハードコードされており、その番号からの SMS とパスワードでリモートコマンドシェルが開く。カメラは**パスワード不要のライブ映像**（IPを知っていれば視聴可能）、仕様書にない隠し SIM スロット、無効化された Secure Boot も晒している。入札なしでキプロスのシェル会社 **Sodasus** から調達され、適合証明書は偽造と報じられた。政府は当初否定したが、その後設置済みユニットを無効化し、展開を凍結し、刑事捜査を開始した。 **Why it matters:** 調達が書類だけを確認しファームウェアを確認しなかった国家レベルの監視機器展開——重要インフラに文書化されない遠隔到達可能な制御経路を埋め込む「リブランド」品であり、EU資金のハードウェア計画が由来の問題でどう侵されるかの雛形。 [`🔗 Tom's Hardware`](https://www.tomshardware.com/tech-industry/cyber-security/slovakia-discovers-russian-backdoors-in-279-new-traffic-cameras-national-security-service-deactivates-offending-units) · [`🔗 Risky.biz ブリテン`](https://risky.biz/risky-bulletin-slovakia-finds-russian-backdoor-in-traffic-speed-cameras/) --- ## 2. 車載ヘッドユニット初の Android マルウェア——カスペルスキーが広告詐欺＋プロキシ・ボットネットを追跡 - **Velocity:** ▮▮▮ trending - **Source:** Hacker News · 175 pts · ~1d ago (~12:03 UTC+8) - **Tags:** `malware` `android` `automotive` `botnet` `supply-chain` カスペルスキーは、**車載ヘッドユニット固有の感染チェーンを持つ初の Android マルウェアキャンペーン**を記録した。標的は **DoFun** 製ファームウェア（全世界3000万人以上のオーナー）。攻撃者は内蔵アップデータを悪用した：正規システムアプリ `TWCore`（`com.tw.core`）が `cardoor[.]cn` の MQTT ブローカー経由で APK インストール命令を受け取り、`installNotExists` フラグで元々存在しないアプリをインストールできる。続く3段階——UI のない `JarService` ドロッパー（XOR 復号）、C2 に POST するローダー、最終的な **clicker＋`zhima` リバースプロキシ**モジュール（Nokia Deepfield が TV セットトップボックスで独立に発見した同一の `zhima`）——が、SIM 搭載で常時接続のヘッドユニットをプロキシ・ボットネットに組み込む。カスペルスキーは「高い確度で」**BADBOX** ボットネットに関連する **MoYu Group** の仕業と帰属。DoFun は通知を受け、修正済みと報告。 **Why it matters:** 自動車が自身の信頼された更新経路を通じてボットネットの基盤になる——悪意ある APK のサイドロードではなく、侵害されたベンダーのパイプ一本で成立。SIM＋常時電源は理想的な住宅プロキシ・ノードになる。 [`🔗 Kaspersky Securelist`](https://securelist.com/android-head-unit-malware/121106/) · [`🔗 The Hacker News`](https://thehackernews.com/2026/08/android-car-malware-spreads-through.html) --- ## 3. free-claude-code——Claude Code/Codex を49の無料枠プロバイダへルーティングするローカルプロキシ - **Velocity:** ▮▮▮ trending - **Source:** GitHub · 47.8k stars · ~1d ago (本日 #8 trending) - **Tags:** `api-gateway` `llm` `cost-optimization` `claude-code` `open-source` **Alishahryar1/free-claude-code**（MIT）は、ローカルの `fcc-server` プロキシと管理 UI を動かし、既存のコーディングエージェント——Claude Code、Codex、Pi、OpenCode、Cline、Hermes、DeepSeek Harness、Grok Build、Muse Code——を、多くが無料枠を持つプロバイダ群（NVIDIA NIM、OpenRouter、Groq、xAI、QwenCloud、Together、DeepInfra、Gemini/Vertex、またはローカルの Ollama/LM Studio）へ向ける。「49の ToS 準拠プロバイダ、毎月13億+無料トークン」を謳い、階層別モデルルーティング（Opus/Sonnet/Haiku/Fable）、推論レベル制御、プロバイダ障害時の次モデルへの自動フォールバックを備える。README は独立プロジェクトであり「Anthropic と無関係・非公認」と明記している。 **Why it matters:** マルチエージェントのサブスク疲れへのバイラルな回答——ただしここでの「無料」はサードパーティモデルを Anthropic のクライアントへ通すことであり、README の「ToS 準拠」の主張では解消しきれない ToS のグレーゾーンがある。 [`🔗 Alishahryar1/free-claude-code`](https://github.com/Alishahryar1/free-claude-code) · [`🔗 Releases`](https://github.com/Alishahryar1/free-claude-code/releases) --- ## 4. OpenHuman——記憶・オーケストレーション・深いリサーチを備えたローカルファーストの「個人AI超知能」 - **Velocity:** ▮▮ rising - **Source:** GitHub · 36.7k stars · 9日連続 #1 trending - **Tags:** `agents` `local-first` `agent-memory` `orchestration` `open-source` **tinyhumansai/openhuman**（GPL-3.0、「Early Beta」）は3層構造のパーソナルAIエージェント：**ブレイン**（データを SQLite 内のスコア付き Markdown ツリーに圧縮し、編集可能な Obsidian vault としてミラー。100以上の OAuth 統合、5000以上の MCP サーバー、90000以上の Skills を備える）、**オーケストレーター**（tinyagents によるチェックポイント付きグラフ実行でエージェント群を動かし、永続的なトリガー駆動・承認ゲート付き tinyflows、および「速い反射＋深い推論コア」のスプリットブレイン）、**ディープリサーチャー**（Exa 検索、実ブラウザ、プロセス内 Whisper 音声、完全ローカルの Ollama を含むプロバイダ横断モデルルーティング）。ネイティブメールを含む17のメッセージチャネルに対応し、Rust コアで強制されるワンスイッチのプライバシーモードを備える。 **Why it matters:** 最も急伸している「何でもエージェント」ハーネスの一つ——単一ベンダーの記憶シムではなく、OpenClaw/Claude Code エコシステムに正面から競合する完全なローカルファーストの記憶＋オーケストレーションスタック。 [`🔗 tinyhumansai/openhuman`](https://github.com/tinyhumansai/openhuman) · [`🔗 Releases`](https://github.com/tinyhumansai/openhuman/releases) --- ## 5. awesome-agent-skills——実在のエンジニアリングチームによる1497スキルのキュレーション索引 - **Velocity:** ▮▮ rising - **Source:** GitHub · 31.2k stars · ~1d ago - **Tags:** `skills` `agents` `claude-code` `codex` `curated-list` **VoltAgent/awesome-agent-skills**（MIT）は **1497以上のエージェントスキル**を集めたキュレーションディレクトリで、「大量 AI 生成品ではない」ことを明示している——Anthropic、Google Labs、Vercel、Stripe、Cloudflare、Netlify、Trail of Bits、Sentry、Expo、Hugging Face、Figma の公式スキルとコミュニティ貢献を収録し、それぞれソースと説明をリンク。貢献組織別に整理され、Claude Code、Codex、Antigravity、Gemini CLI、Cursor、GitHub Copilot、OpenCode、Windsurf に対応する。 **Why it matters:** skills エコシステムが、組織帰属付きの正典的な索引を持つようになった——生のトレンドリストを掻き集める代わりに、何が本物で保守されているかを発見できる単一の場所。 [`🔗 VoltAgent/awesome-agent-skills`](https://github.com/VoltAgent/awesome-agent-skills) · [`🔗 Skills 索引`](https://github.com/VoltAgent/awesome-agent-skills#readme) --- ## 6. CVE-2026-7808——justhtml サニタイザーのバイパスで `script`/`style` が残存（CVSS 9.8、VulnCheck 採点） - **Velocity:** ▮▮ rising - **Source:** NVD / VulnCheck · CVSS 9.8 (3.1) / 9.3 (4.0) · ~1d ago (8月23日) - **Tags:** `cve` `xss` `html-sanitizer` `python` `supply-chain` **CVE-2026-7808**（GHSA-4p64-v8f5-r2gx）は、Python の HTML サニタイザ **justhtml** の **1.16.0** 未満に存在する CWE-20 の欠陥で、複数のバイパスによりアクティブ/危険なコンテンツ（`script`、`style`）がサニタイズ後も残存し、XSS に至る。ベクターはデフォルトの `JustHTML(..., sanitize=True)` 経路ではなく**高度な用法**を標的とする——サニタイズポリシーオブジェクトの変更・再利用、プログラム的 DOM 入力での大文字小文字混在タグ（`ScRiPt`、`StYlE`）、細工した doctype 名、カスタム SVG/MathML ポリシーでアニメーション要素・`url(...)` プレゼンテーション属性・`namespace="html"` と誤ラベルされた DOM ツリーが外来コンテンツ検査をすり抜ける。8月23日に VulnCheck が公開。実環境での悪用は報告されていない。 **Why it matters:** サニタイザの*デフォルト*経路は安全でも、設定可能な経路はそうではないという戒め——さらに、この9.8は RCE ではなく XSS に対する VulnCheck 採点であり、素の数値はデフォルト構成の実影響を過大評価する点にも注意。 [`🔗 NVD CVE-2026-7808`](https://nvd.nist.gov/vuln/detail/CVE-2026-7808) · [`🔗 GitHub advisory GHSA-4p64-v8f5-r2gx`](https://github.com/EmilStenstrom/justhtml/security/advisories/GHSA-4p64-v8f5-r2gx) --- ## 7. book-to-skill——技術書のPDFをオンデマンドの Claude Code スキルに変換 - **Velocity:** ▮ steady - **Source:** GitHub · 24.5k stars · ~1d ago - **Tags:** `skills` `claude-code` `pdf` `knowledge-base` `open-source` **virgiliojr94/book-to-skill**（MIT）は、技術書や文書をエージェントスキルへ変換する——メンタルモデルと章索引を備えた `SKILL.md`、章別ファイル、用語集、パターン、チートシートを生成。章はオンデマンドで読み込まれるため、エージェントは関連部分だけを読む——本を丸ごとコンテキストに詰め込むのに比べ **24×–51×少ないトークン**だと主張する。PDF、EPUB、DOCX、HTML、RTF、MOBI/AZW、Markdown、reStructuredText、AsciiDoc、プレーンテキストに対応（コード密集の本は docling、散文中心の PDF は pdftotext、スキャンは OCR を先行）。オープンな Agent Skills 標準に従うため、同じスキルが GitHub Copilot CLI、Amp、Claude Code で動く。 **Why it matters:** 「参考書がコンテキストに入らない」問題へのクリーンな回答——一度変換すれば、エージェントはコンテキストダンプではなく図書館のように章を引き出せる。 [`🔗 virgiliojr94/book-to-skill`](https://github.com/virgiliojr94/book-to-skill) · [`🔗 Releases`](https://github.com/virgiliojr94/book-to-skill/releases) --- ## 8. Reticle——エージェントが自分のコードを実アプリ状態に対して検証できるランタイム「証明レイヤー」 - **Velocity:** ▮ steady - **Source:** GitHub · 334 stars · ~2d ago - **Tags:** `agents` `mcp` `testing` `verification` `developer-tools` **reticlehq/reticle**（Apache-2.0）は AI エージェント向けのランタイム検証レイヤーで、開発サーバーに開発専用 SDK を注入し、MCP 経由でツール——`reticle_navigate`、`reticle_act_and_wait`、`reticle_network`——を公開して、エージェントがスクリーンショットから推測する代わりに実アプリ状態（ネットワークリクエスト、状態管理、コンソール、ルート）を読めるようにする。判定を出すのは `act_and_wait` と `assert` のみで、決定的な **pass / fail / unknown** を証拠付き（例「API が 200 を返し、データが書き込まれ、ルートが変わった」）で返し、`unknown` が `pass` に格下げされることはない。React、Vue、Svelte、Preact、Astro、プレーン HTML、Electron、Tauri をサポートし、任意の MCP 対応エージェント（Claude Code、Cursor、Copilot、Codex、Windsurf、OpenCode）で動く。 **Why it matters:** 「エージェントがコードを実行せずに機能完成を宣言する」という失敗モードを正確に狙う——視覚的ヒューリスティックを、決定的で状態に裏付けられたアサーションへ置き換える。 [`🔗 reticlehq/reticle`](https://github.com/reticlehq/reticle) · [`🔗 gentic.news 記事`](https://gentic.news/article/reticle-a-local-open-source-tool-for-developing-and-debugging-ai-agents) --- ## 9. AWS が Dogwood をオープンソース化——エージェントのツール呼び出し*シーケンス*を統制する Cedar 拡張 - **Velocity:** ▮ steady - **Source:** AWS Open Source Blog · 8月6日 · ~18d ago - **Tags:** `policy` `agents` `aws` `runtime-verification` `mcp` AWS は **Dogwood**（Apache-2.0）をオープンソース化した。これはエージェントのイベント履歴を読む `when temporal` 節で **Cedar** を拡張するポリシー言語で、ランタイム検証分野の**計量一階時相論理（MFOTL）**に基づく。4つの標準ライブラリ演算子——`formerly`、`count_within`、`count_distinct_within`、`sum_within`——と `bind` により、「重要操作の前に承認を要求」「毎時5000ドル以下の送金」「機密データに触れた後の外部連絡禁止」といったルールを記述できる。任意の有効な Cedar ポリシーはそのまま有効な Dogwood ポリシーであり、Amazon Bedrock AgentCore Policy に統合済み。AWS は制約を明示している：ステートフル（コストはログ長に依存）、時相条件は Cedar の自動推論ツールをサポートしない、参照実装は探索・テスト用であり本番認可向けではない。 **Why it matters:** ツール呼び出しを個別にではなく*軌跡*として評価する初の主流ポリシー言語——エージェントガバナンスを「このアクションは許されるか」から「この一連のアクションは許されるか」へ進めつつ、現状が参照実装グレードであることも正直に述べる。 [`🔗 AWS Open Source Blog`](https://aws.amazon.com/blogs/opensource/introducing-dogwood-runtime-verification-for-ai-agents/) · [`🔗 InfoQ`](https://www.infoq.com/news/2026/08/aws-dogwood-agent-policy/) --- ## 10. MidTool——エージェンティックなツール使用のための mid-training データ合成（arXiv 2608.20314） - **Velocity:** ▮ steady - **Source:** arXiv · 2608.20314 · ~4d ago - **Tags:** `agents` `tool-use` `mid-training` `synthetic-data` `research` AWS と UCSD の研究者（Jiang、Wang、Liu、Xu、Yao、Poovendran、He）は **MidTool** を提案する。これは、ウェブ/PDF/コードと、実ツール API・MCP スキル・文書化ワークフローから導出した教師信号を組み合わせて mid-training コーパス（**MidTool-Mix**）を合成するパイプラインで、4つのスキル（ツールのアフォーダンス認識、文脈からの引数接地、ツール呼び出しワークフローの構成、不完全情報からの回復）を狙う。このコーパスで **Qwen3-4B/8B** を mid-training すると、SFT と RL の双方で下流のツール使用ベンチマーク（BFCL、tau2-Bench、MCP-Universe）が「一貫して向上」する。 **Why it matters:** 汎用ツール使用は post-training 任せにせず、専用の mid-training に値するという証拠——既存のファインチューニングと組み合わせられる、ツール呼び出し能力を安価に引き上げるレバー。 [`🔗 arXiv 2608.20314`](https://arxiv.org/abs/2608.20314) · [`🔗 Hugging Face Papers`](https://huggingface.co/papers/2608.20314) --- ## 11. Break It Down, Pass It On——タスク全体のスキルはエージェントを*劣化*させ、サブタスクスキルが助ける（arXiv 2608.20274） - **Velocity:** ▮ steady - **Source:** arXiv · 2608.20274 · ~4d ago - **Tags:** `agents` `skill-transfer` `memory` `benchmark` `research` LLM エージェントのクロスタスクなスキル転移を統制して調べた研究は、直感に反する結果を示した：**タスクレベルのスキルは多くの場合、記憶なしのベースライン以下に性能を下げる一方、サブタスクレベルのスキルは平均的に性能を改善する**。またテキストベースのスキルはコードベースより転移しやすい。著者らは、具体性と抽象性を組み合わせた**「スキル有用性スコア」**を提案し、タスクを実行せずにスキルが転移するかを予測できるとした。 **Why it matters:** エージェント記憶設計における「やったことを全部覚える」という直感を真っ向から否定する——有用な単位は細粒度のサブタスクスキルであり、このスコアリングは「何を残す価値があるか」を判別する安価なフィルタになる。 [`🔗 arXiv 2608.20274`](https://arxiv.org/abs/2608.20274) · [`🔗 Hugging Face Papers`](https://huggingface.co/papers/2608.20274) --- ## 12. Inject, Align, Recover——文書コーパスの検索不要な知識内化（arXiv 2608.20281） - **Velocity:** ▮ steady - **Source:** arXiv · 2608.20281 · ~4d ago - **Tags:** `post-training` `knowledge-internalization` `rag` `research` **IAR** フレームワークは、注入・整列・回復という3つの post-training 段階を通じて、固定された文書コーパスをパラメトリックな知識へ変換し、モデルが検索ではなく重みから回答できるようにする。Llama、Phi、Qwen、SmolLM の4ファミリーで、**領域 QA 平均 +3.6pp**、**一般ベンチマーク平均 +12.1pp** を報告し、継続事前学習を上回る。 **Why it matters:** 固定ナレッジベースに対しては RAG より安価で低遅延な代替になりうる——毎クエリで検索＋コンテキストコストを払う代わりに、学習時に一度だけ内化し、その結果は4つのモデルファミリーで再現されている。 [`🔗 arXiv 2608.20281`](https://arxiv.org/abs/2608.20281) · [`🔗 Hugging Face Papers`](https://huggingface.co/papers/2608.20281) --- ## 13. CVE-2026-18963 — Keycloak のパスワードリセット回避で誰でも任意のアカウントを乗っ取り（CVSS 9.1） - **Velocity:** ▮▮▮ trending - **Source:** NVD / Red Hat · CVSS 9.1（CNA 評価） · ~1d ago (Aug 24) - **Tags:** `cve` `keycloak` `identity` `account-takeover` `authentication` Red Hat は **CVE-2026-18963** を公開した。Keycloak の `reset-credentials` 認証フローにおける状態検証の不備（CWE-640）で、**未認証のリモート攻撃者がメールのアクションリンクをクリックせずに任意のユーザーのパスワードをリセットできる**。リセットエンドポイントに細工したリクエストを送ると、セッションが直接パスワード更新フェーズへ進むため、メールのトークンは不要になる。結果として任意のアカウント（**管理者アカウントを含む**）の完全乗っ取りに至る。上流 Keycloak **26.7.2**（8月19日）と Red Hat Build of Keycloak 26.4 / 26.6 系統で修正済み。Red Hat の暫定緩和策はレルムごとに「パスワードを忘れた場合」設定を無効化すること。8月24日時点で悪用や公開 PoC の報告はない。 **Why it matters:** 一度の未認証リクエストで、主要 ID プロバイダーの中核にある「メール受信箱の所有を証明せよ」という段階が破られる——内部システムの前に置かれたすべてのデプロイは、26.7.2 を「すべてを止めて適用する」更新として扱うべきで、通常の更新ではない。 [`🔗 NVD CVE-2026-18963`](https://nvd.nist.gov/vuln/detail/CVE-2026-18963) · [`🔗 The Hacker News`](https://thehackernews.com/2026/08/critical-keycloak-password-reset-flaw.html) --- ## 14. Qwen3.8-27B — アリババの27B Apache-2.0「自宅のOpus」、24GB GPUでエージェントコーディング - **Velocity:** ▮▮▮ trending - **Source:** Hugging Face · Qwen3.8-27B · ~10d ago (Aug 14 release) - **Tags:** `open-weights` `llm` `qwen` `agentic-coding` `multimodal` アリババの Qwen チームが **Qwen3.8-27B**（Apache-2.0）をオープンソース化した。27B 密モデル（ビジョンエンコーダ含め28B）で、**Gated-DeltaNet / アテンション**のハイブリッド構成——線形アテンション層48＋全アテンション層16——を採用し、**画像・動画入力**と **262K トークンのコンテキスト**をネイティブに扱う（YaRN で1Mまで拡張可、ホスト版のみ）。主要数値は **SWE-bench Pro 61.7** と **Terminal-Bench 2.1 73.0** で、Claude Opus 4.6 Max の報告値 SWE-bench Pro 53.4 を上回る。4-bit 量子化（約17GB）すれば24GBのコンシューマーGPUやノートPCで動く。公開数日で Hugging Face トレンド首位となり、最初の3日で300万ダウンロードを突破した。 **Why it matters:** 「フロンティア級」のエージェントコーディング能力がローカルでホスト可能な規模になった最良の証拠——ただし SWE-bench Pro の差は慎重に扱うべきで、これは**Claude Code ハーネス**で測定されたベンダー報告値であり、Opus 4.6 Max のスコアは公式報告値のため、両者は同条件のアブレーションではない。独立テストでは前世代より約3倍遅くトークン消費も多い。 [`🔗 Qwen3.8-27B model card`](https://huggingface.co/Qwen/Qwen3.8-27B) · [`🔗 OrcaRouter review`](https://www.orcarouter.ai/blog/qwen-3-8-27b-review) --- ## 15. CVE-2026-76904 — GeoServer の `jsonArrayContains` SQLi が CVE-2023-25158 を再発、悪用確認（CVSS 9.8） - **Velocity:** ▮▮▮ trending - **Source:** GitHub advisory GHSA-mqjf-5f49-2fjh · CVSS 9.8 · disclosed Aug 12, patched Aug 14 - **Tags:** `cve` `sql-injection` `geoserver` `postgis` `actively-exploited` **CVE-2026-76904**（GHSA-mqjf-5f49-2fjh、CVSS 9.8）は、GeoServer の PostGIS データストア向け OGC `jsonArrayContains` フィルタにある未認証 SQL インジェクションで、**CVE-2023-25158 のリグレッション**（同じく9.8）。`jsonArrayContains(, , )` 関数が `` をエスケープせず生成 SQL に書き込む。**WFS 1.0** 経由で連結すると、クエリ最上位で2つ目の PostgreSQL 文を実行でき、GeoServer がスーパーユーザーまたは `pg_execute_server_program` を持つロールで接続している場合、データベースホストでの **OS コマンド実行**に至る。watchTowr は公開から数時間以内に積極的な悪用の試みを観測した。GeoTools 33.6 / 34.5 / 35.1（GeoServer 2.27.6 / 2.28.5 / 3.0.1）で修正済み。 **Why it matters:** 修正済みの9.8が新しいフィルタ関数によって再導入された、教科書通りのリグレッション——しかも公開地図のために常時インターネット公開されるサーバー上で発生し、悪用は理論ではなく実際に観測されている。 [`🔗 GitHub advisory GHSA-mqjf-5f49-2fjh`](https://github.com/advisories/GHSA-mqjf-5f49-2fjh) · [`🔗 The Hacker News`](https://thehackernews.com/2026/08/unpatched-geoserver-zero-day-targeted.html) --- ## 16. vorssaint-utils — 12個の有料ユーティリティを置き換える無料macOSメニューバーツールキット（日+2.5k star） - **Velocity:** ▮▮ rising - **Source:** GitHub · 9.9k stars · +2,530 today (#20 daily trending) - **Tags:** `macos` `menu-bar` `open-source` `gpl` `local-first` **vorssaint/vorssaint-utils**（GPL-3.0）は、アプリ別音量ミキサー（100%超ブーストとアプリ別出力ルーティング）、ウィンドウスナップ＋⌘Tabスイッチャー、クリップボード履歴、コマンドバー、スリープ防止、ディスプレイ/XDR輝度、バッテリー/温度グラフ、Homebrew マネージャーを1つのメニューバーアイコンに集約——「アカウント不要、テレメトリなし、サブスクなし」ですべてローカル動作。`brew install --cask vorssaint` でインストールでき、モジュール式（必要な機能だけ導入）で、すべての権限が任意かつ説明付き。 **Why it matters:** 「Raycast×Bartender」的な統合が GitHub で本日最も急上昇しており、そのローカルファーストでモジュール式の姿勢は、サブスク型デスクトップツール離れを後押しする大きな流れそのもの。 [`🔗 vorssaint/vorssaint-utils`](https://github.com/vorssaint/vorssaint-utils) · [`🔗 Releases`](https://github.com/vorssaint/vorssaint-utils/releases) --- ## 17. ai-engineering-from-scratch — 511レッスン・20フェーズ、全レッスンが成果物を生むカリキュラム - **Velocity:** ▮▮ rising - **Source:** GitHub · 48k stars · #13 trending - **Tags:** `education` `ai-engineering` `curriculum` `open-source` `mcp` **rohitg00/ai-engineering-from-scratch**（MIT）は、511レッスン・20フェーズの無料 AI エンジニアリングカリキュラム（Python・TypeScript・Rust・Julia で約329時間）で、各レッスンが**再利用可能な成果物——プロンプト、スキル、エージェント、または MCP サーバー**——を生み出す（理論ではない）。フェーズは線形代数 → 古典ML → 深層学習 → Transformer → LLM → ツール/プロトコル → エージェント → 群れ → 本番と進み、インストール可能な AI チュータースキル（`npx skills add …`）には MCP と Agent Skills の専用パス、さらに6巻の合本と無料の Anthropic 認定対策が付属する。 **Why it matters:** 「84%が AI ツールを使う一方、専門的に使えると感じるのは18%」というギャップへの直接の答え——エージェントが実際に消費する成果物を中心に据えたカリキュラムであり、単なるノートブックの山ではない。 [`🔗 rohitg00/ai-engineering-from-scratch`](https://github.com/rohitg00/ai-engineering-from-scratch) · [`🔗 aiengineeringfromscratch.com`](https://aiengineeringfromscratch.com) --- ## 18. claude-obsidian — 情報源を Obsidian の知識グラフへ整理するローカルファーストの「第二の脳」 - **Velocity:** ▮ steady - **Source:** GitHub · 11.5k stars · #12 trending - **Tags:** `obsidian` `claude-code` `agent-memory` `local-first` `knowledge-base` **AgriciDaniel/claude-obsidian**（MIT、v2.1.0）は Obsidian + Claude Code を自己組織化する知識システムに変える。ファイル、URL、YouTube を投げ込むと、15のスキル（`wiki`、`save`、`wiki-ingest`、`wiki-query`、`wiki-lint`、`autoresearch` など）が読み取り、リンクし、あなたが所有するプレーン Markdown へ情報源を整理する（Karpathy の LLM-Wiki パターン）。信頼はトランザクション型——SHA-256 ハッシュ、プロセス生存期間の vault ロック、ジャーナル化バックアップ、衝突検出（黙って上書きしない）——で、クレームごとに出所を追跡し、捏造引用より根拠のある拒否を優先する。 **Why it matters:** エージェントメモリを不透明なベクトルストアではなく、監査可能で人間が所有できる Obsidian vault に——デフォルトでローカル、embedding・OCR・ネットワーク出力は明示的な同意でゲート。 [`🔗 AgriciDaniel/claude-obsidian`](https://github.com/AgriciDaniel/claude-obsidian) · [`🔗 Releases`](https://github.com/AgriciDaniel/claude-obsidian/releases) --- ## 19. anthropics/claude-plugins-community — Anthropic が Claude Code 向けにセキュリティ審査済みプラグインマーケットを公開 - **Velocity:** ▮ steady - **Source:** GitHub · 1.2k stars · #7 trending - **Tags:** `plugins` `claude-code` `marketplace` `anthropic` `skills` Anthropic は **anthropics/claude-plugins-community**（Apache-2.0）を公開した。**Claude Cowork と Claude Code** のコミュニティプラグインマーケットプレイスの読み取り専用ミラーで、プラグインは clau.de/plugin-directory-submission で提出され、自動セキュリティスキャンを通過してから配布承認される。`marketplace.json` リストは Anthropic の内部レビューパイプラインから毎晩同期される。`claude plugin marketplace add anthropics/claude-plugins-community` で追加し、`claude plugin install @claude-community` でインストール——現在のプラグインには `eli5`、`quickdesign`、`testdino`、`tres-finance-plugin` がある。 **Why it matters:** サードパーティ製 Claude Code 拡張に審査済みの配布チャネルを提供——スキルエコシステムに欠けていた「アプリストア」層であり、各プラグインは開発環境内で実行されるため重要な信頼境界でもある。 [`🔗 anthropics/claude-plugins-community`](https://github.com/anthropics/claude-plugins-community) · [`🔗 Claude plugins`](https://claude.com/plugins) --- ## 20. Daedalus-150M — CPU 推論向けに設計された畳み込み・アテンションハイブリッド（arXiv 2608.20210） - **Velocity:** ▮ steady - **Source:** arXiv · 2608.20210 · ~1d ago - **Tags:** `research` `efficient-models` `cpu-inference` `quantization` `small-models` **Daedalus-150M**（arXiv 2608.20210）は CPU 推論向けに作られた1.5億パラメータの言語モデル。18ブロック中6ブロックのみが全アテンションを使い、残り12ブロックは「メモリ幅が2タイムステップ」の短い畳み込みを使うため、ネットワークの3分の2は成長するキャッシュを再読しない。59.9B トークンでゼロから学習し4-bit 重みで、事前登録された5タスクベンチマーク（47.31 vs 42.20 の基準線）で GPT-2 124M、Pythia-160M、OPT-125M、MobileLLM-125M を上回る——後者は3×〜1000×のデータを見ているにもかかわらず——2K コンテキストでは同規模の全アテンション対照より1.76×速くデコードする。 **Why it matters:** 長コンテキスト LLM の主要メモリコストである KV-cache が、CPU/エッジ層ではほぼ設計で排除できることを示す対照実験——アブレーション（同一データ・同一規模）がアーキテクチャの効果を実際に分離している。 [`🔗 arXiv 2608.20210`](https://arxiv.org/abs/2608.20210) · [`🔗 Hugging Face Papers`](https://huggingface.co/papers/2608.20210) --- ## Metadata | Field | Value | |-------|-------| | Generated | 2026-08-24T12:03:00Z | | Items | 20 | | Sources tracked | 16 (Hacker News, Tom's Hardware, Risky.biz, Kaspersky, The Hacker News, GitHub, AWS, InfoQ, NVD, VulnCheck, arXiv, Hugging Face, gentic.news, OrcaRouter, aiengineeringfromscratch.com, Claude.com) | | Update schedule | 04:03, 12:03, 20:03 UTC+8 (3x daily) | | Ranking | Velocity-weighted (recency × engagement acceleration × source authority) | | License | [CC-BY 4.0](https://creativecommons.org/licenses/by/4.0/) | --- [前日](../2026-08-23/) · [Raw .md](../2026-08-24.md) · [アーカイブ](../../archive/)