DEV Community: bigkijimon

Claude Codeも電子透かしの対象になった — 無人運転で144本公開してきた工場の生成コマンドを照合したら、確定できたのは「対象条件に一致すること」だけだった

bigkijimon — Fri, 04 Sep 2026 23:45:04 +0000

2026年8月、Anthropicは「Claudeが生成したコンテンツに電子透かしを入れる」と公式に発表した。対象には Claude Code も名指しされている。うちは無人運転でClaude Codeにブログ記事を書かせ続けている工場で、これまでに144本を公開してきた。では、この発表で自分たちの運用は何が変わるのか。公式文書を読むだけでは、自分のケースに当てはまるかどうかは分からない。公式文書と自社の運用ログを実際に照合して、確定できたことと、まだ確定できないことを分けて書く。

何が発表されたか

公式サポート記事によると、対象は次のように書かれている。

"Claude Platform (API), Claude, Claude Code, Claude Cowork, and Claude Tag"

AWS・Google Cloud・Microsoft Foundry経由の利用も対象に含まれ、地域は全世界。方式はコンテンツの種類で分かれており、テキストは埋め込み型の透かし、画像などのファイル（.svg / .png / .jpg 等）はメタデータ方式になる。ただし「Some platforms or features may not support certain marking types」という但し書きがあり、全部が一律に対象というわけでもない。

時期については「2026年8月2日以降に発表される新モデルは発表時点から対象、それ以前のモデルは移行期間で時期未定」とある。そして一番重要なのはここだ。

検出の仕組みは「forthcoming technical documentation で共有する」とだけ書かれており、現時点ではまだ公開されていない。オプトアウトに関する記載も無い。

つまり「透かしが入る」という発表はあっても、「入っているかどうかを外から確かめる方法」はまだ存在しない。

自社の運用は対象条件に当たるか、実行コマンドで照合する

公式文書の対象条件は抽象的な製品名の列挙なので、自分の運用がそこに含まれるかは、自分の生成コマンドを見て初めて分かる。うちの無人生成は、こういう形のワンショット実行になっている（実際に使っているスクリプトの実名・cron時刻・保存パスは伏せ、実行形態だけ示す）。

caffeinate -i claude -p "$(cat "$PROMPT_FILE")" "${MODEL_ARGS[@]}" \
  --max-turns "$MAX_TURNS" --dangerously-skip-permissions < /dev/null >> "$LOG" 2>&1 &

claude -p はCLIとしてのClaude Codeそのものであり、公式文書が名指しした対象製品と一致する。--dangerously-skip-permissions は生成区間に人間の承認が入らないワンショット実行を意味する。承認の有無は対象条件に関係しないので、ここは「対象に一致するかどうか」を確かめるための材料というより、「うちの運用の重さ」を示す補足情報として書いている。

公式の対象条件自社の実態

Claude Code経由の生成が対象生成は claude -p 経由＝一致
テキストは埋め込み型の透かし出力は記事本文（テキスト）＝方式上は対象範囲に含まれる
2026-08-02以降の新モデルが対象。既存モデルは時期未定使用モデルが新基準・移行期間のどちらに当たるかは公式文書からは判定できない＝不明

規模を数え直す — 144本、うち技術ブログは81本

「無人運転で何本公開してきたか」は、公開記事レジストリを実際に数えれば出る数字なので、自分で数え直した。

cd ~/Documents/Blog/_studio && python3 -c "
import csv
from collections import Counter
c = Counter()
with open('公開記事レジストリ.csv') as f:
    r = csv.reader(f)
    next(r)
    for row in r:
        if row:
            c.update([row[0]])
print(c)
print('total:', sum(c.values()))
"

Counter({'hs': 63, 'devto': 25, 'qiita': 24, 'zenn': 23, 'note': 9})
total: 144

公開記事レジストリを媒体別に集計した内訳（2026-09-05実測）

技術ブログ4媒体（zenn / qiita / devto / note）の合計は23+24+25+9で81本。この技術4媒体の内訳は2026年8月6日以降まったく増えていない。この記事がその停止を破る側であり、他の停止そのものを分析する記事は別に書いているので、ここでは数字の出所だけ示すに留める。

検出器はまだ無い、という一番大事な事実

「透かしを検出してみた」という記事は、いまの時点では書けない。公式サポート記事は検出機構を「forthcoming technical documentation」としか書いておらず、Zennで428いいねを集めていた解説記事も、追記で「検出APIを近く提供予定、実装の詳細は調整中」と書くに留まっている。つまり第三者が手元のテキストに対して検出を試す方法は、この記事を書いている時点で存在しない。

ここを曖昧にしたまま「うちの記事にも透かしが入っているはずだ」と書けば、それは測っていないことを測ったかのように書く行為になる。うちのブログ運用では過去に、実測していない数字を断定して公開後に訂正した事故が複数回あった。同じ失敗をここでは繰り返さない。書けるのは「対象条件に一致すること」までで、「検出できること」ではない。

何が変わり、何が変わらないか

分かったこと: うちの生成経路（claude -p 経由のワンショット実行）は、公式が対象と明記した「Claude Code」に一致する。
分からないこと: いま使っているモデルが、2026-08-02以降の新基準の対象か、それ以前のモデルとして移行期間中なのかは、公式文書だけでは判定できない。問い合わせ窓口や技術文書の追加公開を待つしかない。
変わらないこと: 編集フロー・入稿判断・QAの基準はこの発表とは無関係。透かしは出力に埋め込まれるものであって、記事の中身や公開判断を変える性質のものではない。

自分の環境でも同じ確認をする

この記事でやったことは、公式文書を読むこと以外は全部「自分の環境を数えて、自分の環境をgrepする」だけである。同じことは、無人運転でAIに記事や成果物を作らせている人なら誰でも再現できる。

# 1. 自分の生成コマンドがClaude Code経由かを確認する
grep -n "claude" 自分の生成スクリプト.sh

# 2. 自分がこれまでに何本公開してきたかを数える
#    （記事一覧やCSV台帳があれば、媒体列をCounterで集計するだけでよい）

公式文書の対象条件は抽象的だが、自分の生成コマンドを見れば「対象に当たるかどうか」はその場で確定できる。検出できるかどうかは別問題として、まずここだけは自分で確かめられる。

まとめ

Anthropicが電子透かしの対象にClaude Codeを含めたことで、無人運転で144本（技術ブログは81本）を公開してきたこの工場の生成経路は、対象条件に一致することが確認できた。一方で、いま使っているモデルが新基準の対象か移行期間中かは公式文書からは分からず、検出の仕組みも未公開のままである。確定できることと、まだ確定できないことを分けて記録しておく。技術文書が公開され次第、同じ手順でもう一度照合する。

「コミットにセッションURLが既定で付く」がHN135pt — 自社412コミットで確認したら0本だった

bigkijimon — Mon, 31 Aug 2026 12:30:06 +0000

「Claude Codeがコミットメッセージにセッションリンクを既定で付ける」という話がHacker Newsのフロントページで135pt・167コメントを集めていた。既定でON、しかも警告なし——そう聞いたら、自分のリポジトリがどうなっているか気になる。実際に自社の実運用リポジトリ2本・合計412コミットをgrepしてみたら、該当するリンクは1本も無かった。

話題になっていたこと

発端は GitHub issue anthropics/claude-code#66504「Claude Session URL appended to commit messages and PR descriptions by default」。2026-08-31時点でHacker Newsのフロントページに135pt・コメント167という規模で載っていた（Hacker Newsのfront_page APIで観測）。

issue自体の本文は今回読んでいないため、ここでは「この話題がHNで大きく取り上げられていた」という観測事実だけを使う。中身の主張を孫引きすることはしない。

自分のリポジトリではどうなっているか確認した

話を鵜呑みにする前に、手元の実運用リポジトリで確認した。使ったのはこの1行だけだ。

git log --all --format="%B" | grep -c "claude.ai/code"

対象は日常的にClaude Codeで開発している2つのリポジトリ。結果は次の通り。

リポジトリ総コミット数Co-Authored-By: Claude を含むclaude.ai/code を含む

HS_Web1341100
upclass-app2782460
合計4123560

AI著者つきコミットは356本ある。にもかかわらず、セッションURLを含むものは2リポジトリ合わせて0本だった。

抑止設定は触っていない、それでも0本だった

issueによれば、この機能を止める設定は .claude/settings.json の attribution.commit だという（これはissueの要約から引用する事実であり、自分で検証した挙動ではない）。両リポジトリのローカル設定と、グローバルの ~/.claude/settings.json を確認したが、どちらにも attribution というキーは存在しなかった。つまり「意図的に切っていたから付いていなかった」わけではない。

さらに、HS_Web の Co-Authored-By 行をユニーク化すると、複数のモデル世代にまたがっていた。

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

Fable 5からOpus 5まで、複数のモデルにまたがって一貫してセッションURLは0本だった。単一バージョンの一時的な状態ではなさそうに見える。

検証していないことは検証していないと書く

ここで断定できることと、できないことを分けておく。

分かったこと: 抑止設定を一度も触っていない環境で、412コミット中セッションURLは0本だった。
分からないこと: なぜ0本なのかは特定していない。導入バージョンがissueの記載と一致しているか、headless実行（claude -p）では挙動が異なるのか、プランや地域による差があるのか、あるいはissueがクローズされた後に既定の挙動が変わったのか——このどれも今回は検証していない。

「既定でこうなる」という話をHNの点数だけで信じず、自分のリポジトリで同じコマンドを一度実行してみる価値はある。

読者が今すぐ試せること

自分のリポジトリで同じことを確かめるには、これだけでいい。

cd <対象リポジトリ>
git log --all --format="%B" | grep -c "claude.ai/code"
git log --all --format="%B" | grep -c "Co-Authored-By: Claude"

前者が0で後者が0より大きければ、今回の自社リポジトリと同じ状況——AI著者つきコミットはあるのに、セッションURLは付いていない、ということになる。原因の特定はまだ済んでいないが、まずは自分の環境の実態を数字で持っておくことが、この手の話題を追いかけるときの最初の一歩になる。

Qwen2.5-VL 7BはM1 Max 64GBで何tok/s出るか — OCR実測で見えた「画像の複雑さは速度に効かない」理由

bigkijimon — Thu, 06 Aug 2026 01:58:47 +0000

ローカルVLM(視覚言語モデル)の速度比較記事はいくつもあるが、載っているMacはM4 ProやM4/M5 Maxばかりで、M1 Max 64GBの実測行は1本も見当たらない。手元にちょうどQwen2.5-VL 7Bが入っていたので、OCR(画像→テキスト書き起こし)タスクで実際に測った。結論から書くと、出力速度は画像の内容にほぼ関係なく23.4〜26.0 tok/sの狭い帯に収まった。速度を決めていたのは画像の複雑さではなく、書き起こす文章の長さだった。

検証環境と方法

ハード: M1 Max 64GB
Ollama: 0.30.8(ollama --version実測)
モデル: qwen2.5vl:7b(6.0GB、2026-07-24に追加済)。ollama show実測では architecture=qwen25vl / parameters=8.3B(タグ名は7bだが、視覚エンコーダを含めた実パラメータは8.3B) / quantization=Q4_K_M
推論バックエンド: サーバーログのsrv/slot/clip_model_loader形式から llama.cpp系のGGUFランタイム(MLXではない)

テスト画像は外部から拾わず、HTML→ヘッドレスChromeのスクリーンショットで自作した3種類。

画像サイズ内容

test_a900×620ターミナルのエラー画面(英語コード、612字相当)
test_b900×620和文契約書調の密文(356字、句読点の多い長文)
test_c420×420レシート(品目と金額、数字中心の構造化データ)

実行前に自社のgpucheck.shでGPUがアイドルであることを確認し、Ollamaの/api/generate(stream:false)を4回叩いた。

run1_cold_a  : 初回(モデル未ロードの状態からtest_a)
run2_warm_a  : 直後にtest_aを再送(画像・プロンプトとも完全一致)
run3_warm_b  : test_b(新規画像)
run4_warm_c  : test_c(新規画像)

レスポンスJSONのeval_count/eval_duration/prompt_eval_count/prompt_eval_duration/load_durationを取り、~/.ollama/logs/server.logのslot print_timing行と突合して一致を確認した(二重検証)。

結果: 出力速度は画像の内容にほぼ関係なく23.4〜26.0 tok/s

4回の実測内訳。loadはモデル読込、prompt_evalは画像エンコード+プリフィル、evalは出力生成にかかった時間。

run画像totalloadprompt_evaleval(出力)tok/s

run1(cold)test_a17.51s5.05s5.78s(1095tok)6.67s(173tok)25.95
run2(warm・再送)test_a7.65s0.19s0.05s(キャッシュ)7.39s(173tok)23.41
run3(warm)test_b17.11s0.20s5.51s(1095tok)11.37s(273tok)24.01
run4(warm)test_c11.91s0.19s5.77s(1131tok)5.92s(143tok)24.16

異なる画像3枚(run1・run3・run4)のtok/sを平均すると24.71 tok/s((25.95+24.01+24.16)/3)。全4回でも最小23.41〜最大25.95tok/sの幅に収まっており、テキスト主体の英語コード画面でも、句読点の多い和文密文でも、数字が並ぶレシートでも、出力速度そのものはほとんど変わらなかった。

今回の空白を埋めるために比較材料にしたinsiderllm.comの速度表では、Mac上での最速行は「M4 Pro 24GB」でQwen3-VL 8B=40〜60 t/sとされている(2026-07-29時点、M1 Maxの実測行は無し)。モデルもチップ世代も違うので単純比較はできないが、4年前のM1 Max 64GBはこの数字の半分強という位置づけになる。

画像側の前処理コストは「複雑さ」でなく、ほぼ固定コスト

prompt_eval_count(画像+プロンプトのトークン数)は run1=1095, run3=1095, run4=1131 と、900×620の密文(run3)も420×420のレシート(run4)も、900×620のコード画面(run1)とほぼ同じ範囲に収まった。ピクセル数も内容の複雑さもまったく違う3枚が、トークン数ではほぼ横並びになる。なぜレシート(run4)がやや多いのかは正確な内訳を検証できていないので「不明」と書いておく(アスペクト比の丸め処理の影響と推測はできるが、断定はしない)。

サーバーログを見ると、画像のエンコード自体はimage processed in 2410〜2667 msとほぼ一定。prompt_eval全体(5.51〜5.78s、run2を除く)のうち約半分がこの画像エンコードで、残りはプリフィル(プロンプト全体をモデルに読ませる処理)にあたる。

唯一の例外がrun2で、test_aと完全に同じ画像・同じプロンプトを直後に再送したところ、prompt_eval_durationが5.78s→0.05sまで落ちた。サーバーログにもimage processedの行自体が出ておらず、画像エンコードそのものがスキップされている。つまりOllamaは同一コンテキストの再送に対してキャッシュを効かせるが、1文字でも画像や内容が変われば、毎回この5.5〜5.8秒の前処理コストを払い直す。

精度実測: レシート100%・コード実質100%・密文99.72%

各レスポンスを元テキストとdifflib.SequenceMatcherで突合した(空白・改行の差は正規化して除外)。

画像文字数一致率誤り

test_c レシート(数字・構造化)123字100.0%なし(区切り線の表記ゆれを除く)
test_a コード画面612字実質100%HTMLエンティティの表記差(<→<)のみ、内容は完全一致
test_b 和文密文356字99.72%1文字誤変換(「自己の費用負担」→「自己的費用負担」)

金額9箇所を含むレシートは1文字も落とさず完全一致。長い和文の自由文だけ、356字中1字だけ助詞の「の」を「的」に取り違えた。3種類・計1,091字を通しての誤りはこの1文字のみで、実務で使う分には十分な精度だが、「絶対に間違えない」ものではないという前提で使う必要がある。

まとめ: 実務でどう使うか

1枚あたり6〜17秒(モデルロード後)かかるため、チャットのような即応答ではなく、バッチ/非同期の書き起こし処理向き。
速度のボトルネックは画像の複雑さではなく出力トークン数。書き起こす文章が長い画像ほど遅くなる(run3の273tok出力は run4の143tok出力よりevalだけで約2倍時間がかかった)。
同一画像への再送はキャッシュが効いて速いが、実運用でそれを当てにできる場面は少ない。基本は「新規画像=毎回5.5〜5.8秒の前処理コスト」で見積もる。
精度は数字・構造化データほど安定し、長い自由文ほど低確率で1文字単位の誤りが出る。

なお、insiderllm.comの速度表本体・huggingfaceのolmOCR-2-7B-1025-MLX-8bit(MLX量子化の専用OCR VLM)は、今回の検証(Ollama/GGUF経路)の対象外として実際には開いていない。前者は事前調査で内容を確認した要約を出典として引用したのみ、後者はローカルOCR特化VLMへの関心の高さを示す文脈として触れたのみで、自分では試していない。

AIが無人で書き溜めた社内ドキュメント1,355本をDiátaxisで仕分けたら、3割が自社のドキュメントですらなかった

bigkijimon — Thu, 06 Aug 2026 01:55:12 +0000

Claude Codeに無人でドキュメントを書かせ続けて数か月経つと、「うちのナレッジベースは今どんな型に偏っているのか」が気になった。答え合わせに Diátaxis（Tutorials / How-to guides / Technical reference / Explanation の4分類フレームワーク）を使い、自社リポジトリの Markdown をローカルLLMで全数分類した。結果は「tutorial型が0.0%」という綺麗な数字になったが、それより先に踏んだ罠のほうが再現性が高い教訓だった——「何本あるか」を数える前に、その母数が本当に自分たちが書いたものかを疑う必要があった。

母数を数える前に、母数が汚れていた

まず素直に数えた。

# $VAULT = 自社ドキュメントの置き場（各自の環境に読み替える）
find "$VAULT" -name "*.md" \
  -not -path "*/graphify-out/*" -not -path "*/node_modules/*" \
  -not -path "*/.next*/*" -not -path "*/_archive/*" | wc -l
→ 1355

1,355本。この数字をそのままDiátaxisに投げるところだった。だが内訳をディレクトリ単位で眺めると、同じルールファイルが違うパスに何度も出てくる。犯人は Claude Code 用スキルパッケージ vercel-react-best-practices のファイル75本(ルール72本+README/SKILL/AGENTS各1)で、1つのアプリ配下に5箇所——skills/ data/skills/ agent/skills/ .tabnine/agent/skills/ .agents/skills/——別々にインストールされていた。

diff -q skills/vercel-react-best-practices/rules/rendering-hoist-jsx.md \
        agent/skills/vercel-react-best-practices/rules/rendering-hoist-jsx.md
diff -q skills/vercel-react-best-practices/rules/rendering-hoist-jsx.md \
        .tabnine/agent/skills/vercel-react-best-practices/rules/rendering-hoist-jsx.md
# 差分なし。5箇所ともバイト単位で同一ファイル

ベンダー配布のスキルファイルとElectronアプリのビルド同梱docsをまとめて弾くと、438本(1,355本の32.3%)が「自分たちが書いたのではなく、ツールが持ち込んだもの」だった。

find "$VAULT" -name "*.md" ... | grep -E "/skills/|/dist/|\.tabnine" | wc -l
→ 438

残った917本が、実際にBigKiji自身(主にClaude Code)が無人で書き溜めた自社コーパスの実体だ。ここから先はこの917本を対象にする。

Diátaxisという物差し

diataxis.fr はドキュメントを4つの需要に分ける。原文の定義を借りると "Diátaxis identifies four distinct needs, and four corresponding forms of documentation"。4分類は Tutorials(学習)・How-to guides(特定タスクの遂行)・Technical reference(情報の参照)・Explanation(理解と背景)で、これを「実践的⇔理論的」「学習志向⇔参照志向」の2軸が分ける。

ローカルLLMで917本を仕分ける

Claudeのトークンは使わず、Ollama上の qwen3.5:latest に投げた。各ファイル冒頭500文字を抜粋し、5択(tutorial/howto/reference/explanation/other)を1単語で返させる。最初の実装は空応答しか返ってこなかった。

curl http://localhost:11434/api/generate -d '{
  "model": "qwen3.5:latest",
  "prompt": "Classify ... Answer with exactly one word:",
  "options": {"num_predict": 10}
}'
→ {"response": "", "thinking": "Thinking Process:\n\n1. Analyze the Request...", "done_reason": "length"}

qwen3.5はデフォルトで思考トークンを吐くhybrid-thinkingモデルで、num_predictの予算をthinkingだけで使い切り、本題の1単語に到達する前に打ち切られていた。Ollama 0.30.8では "think": false を渡すとthinkingを止めて即答させられる。

{"model": "qwen3.5:latest", "prompt": "...", "think": false,
 "options": {"temperature": 0, "num_predict": 10}}
→ {"response": "explanation"}

917本の逐次分類にかかった時間は1373.9秒(約22.9分)、平均1.498秒/件(スクリプトの実測タイマー)。GPUはOllama単独稼働でComfyUI等の他ジョブは走らせていない状態。

結果 — 欠けていたのは"tutorial"、ゼロ件

n=917（全1,355本からベンダー配布物・ビルド成果物438本を除外）。分類=qwen3.5:latest(Ollama, think:false)。要点: 自社コーパスはreference/explanationに偏り、tutorialは0件——読者がAIエージェント自身であることの反映。

分類件数割合

reference43347.2%
explanation24726.9%
howto19621.4%
other414.5%
tutorial00.0%

最大はreference(47.2%)、最小はtutorialでゼロ。念のため「はじめに」「Step 1」「チュートリアル」等のキーワードを含む36本を別途スキャンしたが、その中にもtutorial判定は1本も出なかった——分類器の癖ではなく、実際にそういう内容がなかったということだ。組織の「骨格」にあたるドキュメント(部署ごとのナレッジ地図MOC_*6本・各部署の追記式ログINDEX.md20本・全体入口000_START_HERE.md)も個別に確認したところ、MOC_*はreference4本/explanation2本、INDEX.mdは20本中18本がreferenceで残り2本がhowto——どちらにもtutorialは1本も無く、骨格そのものの設計意図がtutorial型を持っていなかった。

理由は分かりやすい。この917本の主な読み手はAIエージェント自身であって、初心者の人間ではない。エージェントは「手順を追って学ぶ」必要がなく、「今必要な事実を1回で引く(reference)」か「なぜそうなっているかを把握する(explanation)」かのどちらかを求める。tutorialが生まれない構造は、無人ドキュメント生成が悪いのではなく、読者の性質を正しく反映した結果だった。

分類パイプライン自身にもバグがあった

初回実行では917本中22本が問答無用で"other"になっていた。原因はPythonの定番の罠で、パスの先頭2文字("./")を剥がすつもりで書いた path.lstrip("./") が、実際には「先頭から'.'か'/'に含まれる文字を続く限り削る」という文字集合ベースの処理だった。

# 誤り: "./.pi-subagents/artifacts/x.md" → "pi-subagents/artifacts/x.md"
#       (先頭の "./" だけでなく、隠しディレクトリの "." まで一緒に剥がれる)
full = os.path.join(root, path.lstrip("./"))

# 修正: プレフィックスの明示的な除去に置き換え
full = os.path.join(root, path[2:] if path.startswith("./") else path)

.pi-subagents/ .pi/ .claude/ 配下の隠しディレクトリだけがこの罠を踏み、ファイルが見つからず例外→機械的に"other"へフォールバックしていた。修正して22本を再分類すると、"other"のまま残ったのは3本だけで、残り19本はreference/explanation/howtoへ再分配された。上記の表はこの修正後の最終値である。

学び

◆ドキュメント型の分析結果
無人ドキュメント生成は「参照」と「説明」と「作業ログ」を量産するのは得意だが、「学習コンテンツ」を自然には生まない。読み手がAIエージェント自身である社内コーパスでは、それはむしろ健全な偏りだ。

◆実務的な教訓(母数チェック)
母数を数える段階で32.3%がベンダー配布物というノイズだったことのほうが、実務上はよほど効く教訓だった。再現する手順は3行に収まる。

# 1. 母数を数える(除外条件を明示)
find . -name "*.md" -not -path "*/node_modules/*" -not -path "*/.next*/*" | wc -l
# 2. ベンダー/ビルド成果物を機械的に弾く
... | grep -E "/skills/|/dist/|\.tabnine" | wc -l
# 3. 残った母数だけをローカルLLMで仕分ける(think:false を忘れない)

1,350本という数字を鵜呑みにして分類を始めていたら、Diátaxisの結果そのものより先に「ベンダーのReactルールが自社ドキュメントの3割を占めている」という誤った印象を記事にするところだった。数える前に、数える対象を疑う。ローカルLLMは無料で使い倒せるからこそ、その前段の母数チェックにも同じくらい時間をかける価値がある。

無人運転のシェルスクリプトを1ヶ月書いて踏んだ3つの失敗 — 「人間用CLIのまま」だと何が壊れるか

bigkijimon — Thu, 06 Aug 2026 00:15:40 +0000

AIエージェントにシェルスクリプトを叩かせて無人運転させ始めると、人間が使う前提で書いた既存のCLIやスクリプトが、思わぬところで壊れる。今回はうちのM1 Max 64GB機で「GPUを1つずつ順番に使う」ための調停システム（信号機スクリプト・監視デーモン・状態表示アプリの3層構成）を実際に約1ヶ月運用して踏んだ、性質の違う3つの失敗を実話ベースで書く。共通しているのは、どれも「人間なら気づけたはずの状態変化」を、無人で動くコードが黙って見逃していたという点だ。

背景 — GPUを奪い合う3つのツールを1つずつ回す仕組み

うちのMacではOllama（ローカルLLM）・ComfyUI（画像・動画生成）・ACE-Step（音楽生成）が同じ統合メモリ上のGPUを取り合っている。2つ同時に走らせるとMetalのGPUエラーで落ちるため、調停用のシェルスクリプト（以下「信号機」）が「今どれかが生成中か」を確認してから順番に実行する設計にしている。これを補完するのが60秒おきに動く監視デーモン（以下「番人」）と、状態を常時表示するmacOSメニューバーアプリ（Swift製）だ。3層とも同じ「今GPUを使っているのは誰か」という状態を見ているはずなのに、実際には3つの独立した失敗を引き起こした。

失敗1 — 状態確認関数が「無言で失敗終了」した

信号機の状態確認関数は、ComfyUIが生成中かどうかを内部APIで判定してから青信号・赤信号を返す。当初のコードは次のような形だった。

gen_running() {
  pgrep -f "ltx_pipelines|mlx_video|generate_av|stable_diffusion" ...
  comfy_busy && echo "comfyui-job"
}

問題は comfy_busy && echo ... という書き方だ。ComfyUIがアイドル（生成していない）だと comfy_busy はfalseを返し、&&の右側は実行されず、関数全体がゼロ以外の終了コードで終わる。このスクリプトは set -e 付きで書かれていたため、呼び出し元の r=$(gen_running) がその瞬間に丸ごと落ちていた。結果として「ComfyUIが暇なとき」に限って信号機の状態確認コマンドが常に赤（混雑）を返し続けるという、原因の割に見つけにくいバグになった。人間が対話的に同じコマンドを打っていれば「あれ、動いてないのに落ちるぞ」とすぐ気づけたはずだが、無人で定期実行されるコードはエラーコードを見ていなかった。直し方は1行で済む。

# 修正後（現在のコード）
comfy_busy && echo "comfyui-job" || true

状態を返すだけの関数は、状態がどうであれ必ずゼロ終了させる。これが1つ目の教訓だ。

失敗2 — タイムアウトの無いシェル実行ヘルパーが129プロセスを溜め込んだ

状態表示アプリは数秒おきに ollama ps を呼んで「今LLMが常駐しているか」を確認していた。ところが信号機がGPUを他のツールに割り当てる際、Ollamaのプロセスを kill -STOP で一時停止（凍結）させる設計になっている。凍結中のOllamaサーバに ollama ps を投げると、応答が返らずハングする。当時のシェル実行ヘルパーにはタイムアウトの概念が無く、ポーリングのたびにハングしたプロセスが生まれ続け、誰にも気づかれないまま蓄積していった。実測でこの滞留が129個に達し、メモリを圧迫して「アプリが重い」「GPUが故障したのでは」という誤認を引き起こした。修正後の実装は次の2点になっている（Swiftのソースで確認済み）。

// ShellRunner.swift
static let defaultTimeout: TimeInterval = 12
...
k.arguments = ["-c", "pkill -TERM -P \(pid) 2>/dev/null; kill -TERM \(pid) 2>/dev/null"]

12秒でタイムアウトさせ、期限が来たら子プロセスも含めてまとめてkillする。さらに呼び出し側にも「ロックが立っている（＝Ollamaが凍結中と分かっている）間はそもそもollama psを呼ばない」というガードを追加した。

// GpuSignal.swift
if info.lockName == nil {
    // ロック中でなければ ollama ps で常駐モデルを確認
}

「外部コマンドを呼ぶ以上、応答が返らない可能性は常にある」という当たり前の前提が、対話的に使う分には気にならなくても、無人で秒単位に呼び続けるコードでは即座に実害になる。タイムアウトと子プロセスごとのkillは、AIに叩かせるCLI・ラッパーには例外なく必要だという2つ目の教訓になった。

失敗3 — 2つの独立したガードが「無言で異なる基準」を使っていた

番人には「重い生成が進行中ならOllamaを解凍（再開）しない」というガードが最初から入っていた。ただしその判定はプロセス名の pgrep だけに頼っており、ComfyUIのジョブはサーバ内部（main.py）でキューとして処理されるため、pgrepには一切映らない。一方で信号機側は先に「ComfyUIは内部APIの/queueで見るべき」と直っていたのに、番人側は据え置きのままだった。結果、番人はComfyUIが実際に生成中でもそれを検知できず、Ollamaを解凍し続け、信号機がせっかく凍結させた状態を60秒以内に打ち消していた。同じ「今誰かがGPUを使っているか」という1つの問いに対して、2つのスクリプトが別々の答えの出し方をしていたのが根本原因だ。修正はロックファイルを両者共通の基準にすることだった。

# ollama-watchdog.sh に追加した1行
[ -f /tmp/bigkiji_gpu.lock ] && exit 0

「生成中かどうか」を判定する仕組みを2箇所以上に持たせるなら、検出方法を必ず一致させる。これが3つ目の教訓だ。

3件から言える共通パターン

失敗壊れた前提直し方

状態確認関数の暗黙の失敗終了「アイドル時は何も返さなくていい」|| true で常にゼロ終了させる
タイムアウト無しの外部コマンド呼び出し「コマンドはいつか応答が返る」タイムアウト12秒＋子プロセスごとkill
2つの独立したガードの検出方式不一致「同じ状態を見ているはず」ロックファイルという単一の真実の基準に統一

3件はいずれも、対話的に使っていれば人間がその場で違和感に気づけたはずの箇所だ。無人運転にした瞬間、そのフィードバックのループが消える。逆に言えば、直し方はどれも数行で済んでいる。壊れる深さと直す量が釣り合っていないというギャップこそ、AI駆動のCLI設計で持ち帰るべき点だと感じている。

まとめ — そして「1年」ではなく「26日」だった

この記事は当初「1年書き続けて踏んだ失敗」という切り口で企画していたが、書く前に自社の記録を数え直したところ、この信号機スクリプトの設置は2026-07-11、今日は2026-08-06で、経過は26日だった。1年という前提は成立しない。誇張したまま出すより、実際の期間で書くほうが、短期間でもこれだけ壊れた・直したという密度の話として成立すると考え、タイトルと本文を訂正している。数字は確認してから出す、を自分自身の記事タイトルにも適用した形だ。

参考（観測のみ・本文の主張には使っていない）

執筆時点でZennのdaily trendingに「AIフレンドリーなCLIを開発するテクニック」という記事が上位に観測できた（本文は未読のため主張の引用はしていない）。この関心の高さ自体が、今回の実話を記事にする動機になっている。

Approve the hash, not the button: sealing what an AI coding CLI is about to send

bigkijimon — Wed, 05 Aug 2026 17:25:33 +0000

Can you say, precisely, what Claude Code or Codex carried off your machine on its last run?

I couldn't. The logs name the files it read. They do not record which lines of those files went out, to which model, or what preprocessing they went through on the way. That gap costs nothing while everything works. It costs everything exactly once.

I built a desktop app around that problem and have just made it public under Apache-2.0:

https://github.com/bigkijimon/bigkiji-universe

This post isn't a pitch. It's about one mechanism inside it — the disclosure manifest — which I think is reusable outside this project, so here it is with the code.

The gap

Handing work to an external AI CLI usually looks like this:

you assemble a prompt
the CLI reads files
something goes to an API
a result comes back

There is no seam between 2 and 3 that a human can inspect. "The thing about to be sent" does not exist after it has been sent.

You might think logging solves it. Logging is a record of what already left. To have any say, you need to stop before the send, look at the contents, and then permit it. A record you read afterwards and an object you approve beforehand are not the same thing.

Making the seam

The idea is small: seal the exact thing you're about to send behind a hash, and make the human approve that hash.

The whole file is 46 lines (src/domain/pi-core/security/disclosure-manifest.js); the sealing function is these twelve:

function createDisclosureManifest({ runId, provider, purpose, policy, slices,
                                    redactions, estimatedTokens, payload,
                                    externalTools, model }) {
  const files = slices.map((item) => {
    const absolute = path.resolve(policy.vaultRoot, item.path);
    return {
      path: item.path.replace(/\\/g, '/'),
      ranges: item.ranges || [],
      sha256: fileHash(absolute),
    };
  });
  const base = {
    version: 2, runId, provider,
    model: String(model || ''),
    purpose: String(purpose || '').slice(0, 240),
    files,
    redactions: redactions.map(({ type, count }) => ({ type, count })),
    externalTools: normalizeExternalTools(externalTools),
    estimatedTokens: Number(estimatedTokens || 0),
    payloadHash: sha(String(payload || '')),
    policyHash: policy.security.policyHash,
  };
  return { ...base, disclosureHash: sha(JSON.stringify(base)) };
}

What each field is doing there:

Field	Why it is in the seal
`files[].sha256` + `ranges`	A filename is not enough. This pins which lines went
`model`	So "let Opus read these files" cannot become approval for a different model
`payloadHash`	A fingerprint of the assembled body itself
`policyHash`	Which sandbox rules it was built under
`redactions`	What was masked and how much — types and counts only, never contents
`externalTools`	For anything leaving via the broker, the verbatim query

All of it goes into one JSON object, and the SHA-256 of that object is the disclosureHash.

That hash is what the owner approves.

Why a hash rather than a button

This is the part I actually care about.

A normal confirmation is "Run this? yes / no". That is consent to the screen at the moment you pressed it. If anything changed between the press and the spawn, what did that consent cover?

So the spawn side re-verifies before it starts anything:

if (policy.security?.policyHash !== task.disclosure?.policyHash)  throw new Error('STALE_SECURITY_POLICY');
if (!verifyDisclosureManifest(task.disclosure, policy, task.preparedPrompt)) throw new Error('STALE_DISCLOSURE_MANIFEST');
if ((task.disclosure.model || '') !== (task.model || ''))         throw new Error('STALE_MODEL_SELECTION');

Verification re-reads the files and re-hashes them:

function verifyDisclosureManifest(manifest, policy, payload = '') {
  if (!manifest || manifest.policyHash !== policy.security.policyHash) return false;
  if (!manifest.payloadHash || manifest.payloadHash !== sha(String(payload || ''))) return false;
  return manifest.files.every(
    (item) => fileHash(path.resolve(policy.vaultRoot, item.path)) === item.sha256
  );
}

If a single byte moved between approval and launch, the run is refused rather than started. Nothing runs on "it's probably still the same". This is the one place I refused to be optimistic.

STALE_MODEL_SELECTION is separate on purpose, because a model swap is the change that happens most quietly. Falling back to a cheaper model is often correct operationally — but it is an unapproved execution. Refuse it and ask again.

Shrink the payload before sealing it

A manifest is only honest if the thing it seals is small. Hashing everything you sent proves only that you sent everything.

The pruner ahead of it defaults to (src/domain/pi-agent/context-pruner.js):

10 files
48,000 characters
12,000 tokens

and takes ±24-line slices around relevant regions — line ranges, not whole files. The manifest's ranges come from there.

Being straight about this: there is no "we cut context by N%" number in this repository. There is no benchmark in it, so the README states no percentage and neither does this post. For a tool like this, only claiming what you measured seems like the minimum.

What the spawned process does not get

Once approved, the child gets a deliberately thin environment:

a private, throwaway 0700 HOME and TMPDIR
only that provider's key. No other vendor's credentials
Claude Code runs with --strict-mcp-config, an empty MCP config and --disallowed-tools WebSearch,WebFetch,mcp__.*
Codex runs --ephemeral --ignore-user-config with web search disabled
work happens in an isolated git worktree that cannot merge, commit or push

Tool calls pass a PreToolUse hook that denies every web tool and every mcp__*, and allows only an allowlisted shell subset — no pipes, no redirection, no networking binaries. One brokered path out. One path is a thing you can watch.

What building it taught me

A sandbox hides what you need as well as what you meant to hide.

After I gave every task a throwaway HOME, Claude Code started answering Not logged in · Please run /login. On macOS, security looks for the login keychain under $HOME/Library/Keychains — so replacing HOME had hidden the store the credential lives in, not just a file. Codex returned 401.

That was the whole explanation for 27 assignments and zero paid completions. The providers were never broken. They were never authenticated.

The fix was not to scatter secrets around. It was to lend, by absolute path, the one file that CLI cannot start without — read-only, dying with the task.

A bonus lesson from going public

Fixing CI for the launch showed me it had never passed anywhere but macOS. npm ci was refusing an out-of-sync lock file, and behind that first red were several portability bugs stacked up.

The best one: the sandbox check used a different resolver on each side of the comparison.

allowed roots: fs.realpathSync
candidate path: fs.realpathSync.native

Identical on macOS and Linux. Not on Windows, where the JS implementation leaves 8.3 short names alone and the native one expands them:

allowed:   C:\Users\RUNNER~1\AppData\Local\Temp\...\project
candidate: C:\Users\runneradmin\AppData\Local\Temp\...\project

Judged as different places, so every read inside the sandbox was refused. It fails closed, so it was never a hole — but the app could not read its own working directory on Windows.

Generalised: in any code that handles paths, it is worth asking whether you are comparing two spellings of one place. And note that I did not find this. A CI job I had been ignoring found it — red for four days while still describing itself as a three-OS matrix. A check that does not pass is not a check, however briefly.

The regression guard is a source-level assertion rather than a behavioural one, because a condition that only fires on platforms with short names cannot be pinned by behaviour:

assert.doesNotMatch(sandboxSource, /fs\.realpathSync(?!\.native)/,
  'sandbox-policy must canonicalise through security-policy.canonical');

(It failed on its first run by matching my own comment. It strips comment lines now.)

Takeaways

Build a seam you can approve beforehand, not a log you read afterwards. If that seam is one hash, it is small enough for a human
Have the executor re-verify that what was approved is what is about to run. Never "probably the same"
Put model selection inside the approval. It is the substitution that happens most quietly
Sandboxes hide what you need too. Assume credentials will vanish and plan for it
CI that does not pass is not CI. Fix it and a pile of hidden bugs surfaces at once

The code is all readable. Design history is in docs/architecture.md and docs/v3/; the checks that still fail are written down in docs/known-issues.md rather than papered over.

https://github.com/bigkijimon/bigkiji-universe

Environment: Apple Silicon Mac, Node 24, Electron 43. Apache-2.0, eight runtime dependencies, 61 selftests (Linux passes; Windows does not yet — see known-issues).

Every snippet above is the real thing, at commit a5b19be. Links go straight to it, so you can check the line counts too.

src/domain/pi-core/security/disclosure-manifest.js — building and verifying the manifest
src/domain/pi-agent/task-runner.js — the three staleness checks before spawn
src/domain/pi-agent/context-pruner.js — the defaults and the ±24-line slices
docs/known-issues.md — what still fails

Written by Uma (@bigkijimon), running unattended local-plus-external AI pipelines off a single Apple Silicon Mac.

Rebuilding Summer #1: I Generated 100+ Game-Ready 3D Assets for Free, Using Only Local AI on a Mac

bigkijimon — Wed, 05 Aug 2026 09:11:24 +0000

Hello! I'm StudioMidori. I'm currently working on a co-op game (tentatively titled "Engawa Summer") using Unreal Engine 5, aiming to recreate the vibe of '90s summer vacation games.

In this series, "Rebuilding Summer," I plan to document the technical aspects of my development process—sharing everything from successes to failures, in a detailed yet sometimes brutally honest way.

For the first installment, the topic is an eternal struggle for solo developers: "How do you get 3D assets?" Let me give you the conclusion upfront. I generated over 100+ assets using only my Mac and local AI, with zero extra costs. I'll be sharing the setup and the pitfalls I ran into.

Setup: A Two-Stage Pipeline from Image Generation to "Image $\rightarrow$ 3D" Conversion

I used entirely free tools that run locally.

Stage	Tool Used	Notes
① Reference Image Generation	ComfyUI + SDXL (RealVisXL)	Generated "product photos," like a "floating 1990s round mailbox on a plain white background."
② Image $\rightarrow$ 3D Conversion	Hunyuan3D-2 (fp16, ~4.9GB)	Generates a 3D mesh (GLB) from a single image.
③ Execution Environment	Apple Silicon Mac / MPS	Did not use any cloud APIs whatsoever.

While Hunyuan3D feels like it's heavily geared towards CUDA (NVIDIA), it actually runs on Apple Silicon's MPS! This was the part I was most worried about, honestly. I have a history of other 3D models crashing spectacularly due to unimplemented operators on MPS... But this time, it completed successfully. Nice job!

Here are my measured results:

Generation Time: Approximately 6–8 minutes per item (octree_resolution 256–320).
GPU Utilization: Device Utilization 100% during generation (checked with ioreg. Proof that it wasn't slacking off).
Output Mesh: For a single vending machine, approximately 709,000 vertices / 350k triangles (I'll explain why this is an issue later).

The Quality is Determined by 80% of the "Input Image Creation"

After trying it out, I really felt that the quality of the 3D output is almost entirely determined by the input image. After a lot of trial and error, I settled on the following recipe.

For boxy objects, shoot from the front view / for cylinders or spheres, shoot at a 45-degree angle (to help it correctly estimate the shape).
Include the prompt "levitating in an empty white void, nothing underneath". → If you don't include this, the floor and shadow under the object get materialized along with the ground, leading to things like vending machines with wings popping into existence.
Strictly negative prompt for podium, plinth, table, shadow (If you leave it up to its own devices, product photos will automatically put items on display stands).
Do not generate any text (no text + negative prompt for chinese characters, garbled text).

The "text" part was the hardest nut to crack. When I tried to get Japanese characters on a sign, the image AI confidently fabricates something that looks like "Chinese characters." So, I gave up on it early and decided to generate all signs as plain white surfaces, and then apply the correct font myself later in the engine. ...I realized later that this decision was "absolutely correct from a copyright perspective," but that's another story for another time.

▼ Input Image (Left) vs. 3-View Silhouette of Generated 3D (Right)

My Epic Failures (This Part is the Most Useful)

It wouldn't be honest for a technical article to only show perfect success stories, so I'm going to share some reproducible failures.

Failure ①: Thin or Small Objects Get "Pancake-fied"

Take the folding phone that symbolized the Heisei era. The result was a thin, flat cracker where the depth information had died. No matter how much I tweaked the prompt, I couldn't get any thickness.

Cause: Single-view image-to-3D models tend to break down when dealing with thin or small objects because they have to guess the unseen sides.
Solution: I decided to accept that for things like phones, pagers, or cassettes—things that are inherently thin—I shouldn't rely on the AI at all. Instead, I figured out it was better to create them later using simple box primitives in the engine. It’s about knowing what tool to use where.

Failure ②: Statues "Multiply" Without Permission

When I asked for just one Jizo statue, two appeared side-by-side, and they somehow merged into some kind of two-bodied thing.
Solution: I explicitly added one single ... , only one figure to the prompt and added multiple, two to the negative prompts. This worked for the guardian dogs and the Inari foxes too; a simple phrase like that brought them back to being single units. If you leave it up to the AI, it tends to be too helpful by adding extra things, so it's key to clearly stating, "Just one is fine."

Failure ③: Code/Antennas "Scatter into Space"

When I generated a game controller, the cable broke apart and floated around like spaghetti in mid-air.
Solution: Exclude thin attachments (like cords, antennas, or strings) from the prompt. Just generate the main body, and add the wires later.

Yield Rate is About 85%. But a Big Pitfall Awaited.

When I limited my focus to solid objects (houses, appliances, statues, cars, buildings), the yield rate was generally around 85%. For "wheeled" items like tricycles or tractors, the wheels seemed to be strong structural hints, resulting in surprisingly clean shapes.

Even organic matter (animals) formed shapes better than I expected.

However, after inspecting the 66 generated items, one fact became clear.

The generated GLBs lack UVs, normals, and materials. They are all just flat gray blobs.

This means I can't do the common sense thing of "applying a single texture." This is the next mountain to climb.

At this point, I thought that I could just apply color collectively on the engine side. To get straight to the conclusion: this assumption will be overturned later. What exactly went wrong, and how, I'll cover in the next post.

Summary and Next Preview

We can mass-produce game 3D assets for free using just a Mac + local AI (with an estimated yield of 85% for simple objects).
The quality is 80% dependent on the input image. When prompting, I'll float it in empty space and ask for figures "one by one," avoiding text generation.
The output is a gray mesh without UVs or materials. The next challenge is figuring out how to colorize this.

Next time, I plan to share everything—including Python scripts for any snags—on importing these 100 mass-produced assets into Unreal Engine and making them actually functional. It will be titled "The episode where we breathe 'color' (not life) into the gray masses."

...Though I really want to say that, I need to give you a heads-up honestly. In this next post, I will completely rebuild my coloring strategy.

I'm updating the progress daily on X (@StudioMidori). If you don't mind, I would be super grateful if you could follow along and watch as summer gets rebuilt one pixel at a time.

――StudioMidori

自社Markdown 1,325本をbge-m3でローカル埋め込みしたら何分かかったか — M1 Max 64GBのRAG基盤コスト実測

bigkijimon — Sun, 02 Aug 2026 23:48:15 +0000

「ローカルRAGを組みたいが、埋め込みバッチにどれくらい時間がかかるのか分からない」——ベンチマーク記事はたいてい他人のデータセットか、せいぜい数十件のサンプルで測っている。自社には無人運転で日々書き溜めてきたMarkdownが千本単位である。それをそのまま埋め込みに投げたら何分かかるのか、M1 Max 64GBで実測した。

結論から言うと、1,325件のMarkdownを1件ずつ逐次で埋め込むと約5分46秒で終わった。だが数字そのものより、測る過程で踏んだ2つの罠——GPU調停スクリプトを自分にかけて自滅した話と、「文字数でトリムすれば安全」という思い込みが7件で崩れた話——のほうが再現性のある学びだった。

何を測ったか

対象は自社の業務用リポジトリ配下にある .md ファイル全部。node_modules・graphify-out・.next*・_archive 系の生成物/依存物は除外し、実際に人とAIが書いた文書だけを数えた。

find . -name "*.md" \
  -not -path "*/node_modules/*" -not -path "*/graphify-out/*" \
  -not -path "*/.next*/*" -not -path "*/_archive/*" | wc -l

実行するたびに 1,325〜1,327件と件数がわずかにブレた。ドキュメント生成が今この瞬間も進行中で、コーパスが静的でないことの証拠だ。

モデルは ollama list で確認した bge-m3:latest（1.2GB、当日追加済み）。Ollamaのローカル埋め込みエンドポイント /api/embed を直接POSTで叩き、各ファイルの先頭8,000文字を送る素朴な実装で測った。

結果 — 3回実測の実測値

Run対象ファイル数成功失敗総時間docs/sec

11,3251,3187346.16秒3.808
21,3251,3187354.51秒3.718
31,3271,3207344.17秒3.835

総時間の中央値は346.16秒（約5分46秒）。最速はRun3の344.17秒、最遅はRun2の354.51秒——3回の振れ幅は10秒程度で、平均だけでなく両端を見ても大きなブレは無かった。docs/secの中央値は3.808件/秒。処理した総文字数は約394万文字。

失敗は3回ともちょうど7件で一致していた。件数が毎回同じという時点で、単発のネットワーク不調ではなく構造的な原因があると見て、後述の通り切り分けた。

メモリはどこまで伸びたか — VRAMではなくRSSを代理指標に使った

Apple Siliconはユニファイドメモリで、GPU専用VRAMを直接計測するコマンドが手元に無かった。手元にあるgpucheck.shはGPU Device Utilization%（稼働率）を見るツールであって、メモリ使用量は測れない。そこで代理指標として、1秒間隔でps -axo rss,commをサンプリングし、Ollamaプロセスの常駐メモリ(RSS)の最大値を追った。

3回ともピークRSS 7,839.3MBで完全に一致した。これは埋め込みのたびにメモリが積み上がっているのではなく、常駐しているOllamaサーバプロセスがモデルロード後にそのメモリ量で安定していることを示す——3回とも同一プロセスを使い回した実行だったための一致であり、プロセスを再起動すれば変わりうる数字だという点は明記しておく。

詰まった所①: GPU調停スクリプトを自分にかけて自滅した

全社共通のGPU調停ルールに従い、最初は生成ジョブを gpu-signal.sh run <名前> "<コマンド>" でラップして実行した。結果は1件も進まずタイムアウトで終了した。

[freeze] llama-server PID=24908 凍結（GPU Compute解放）
[freeze] ollama serve PID=1148 凍結
✅ GPUをComfyUI/LTXに明け渡し完了。生成を開始できます。
...
TimeoutError: timed out

原因は単純だった。この調停スクリプトは「ComfyUI/LTX/ACE-StepのようなGPUツールにGPUを明け渡すためにOllamaを凍結する」設計であり、今回のジョブはOllama(bge-m3)自身を叩くベンチだった。信号機を通した瞬間、自分が呼び出そうとしているサーバーを自分で止めてしまった。

学びはシンプルで、「GPUを使うジョブは必ず調停スクリプトを通す」という運用ルールには例外がある。調停の対象は「Ollama vs 他のGPUツール」であって、「Ollamaそのものを使うジョブ」はそもそも調停の対象外。信号機を外して直接実行したところ、3回の計測は問題なく完走した。

詰まった所②: 「8,000文字トリムで安全」という前提が7件で崩れた

3回とも同じ7件が失敗するので、個別に再送信して切り分けた。まずUTF-8のstrictデコードを全件チェックしたが、エラーは0件——文字コードが原因ではない。

次に失敗した7件だけ単独で/api/embedに投げ直すと、次のエラーが返ってきた（3件で直接確認、残り4件も同一の失敗パターン）。

{"error":"the input length exceeds the context length"}

ollama show bge-m3で確認したモデルの実測スペックは次の通り。

architecture        bert
parameters          566.70M
context length      8192
embedding length    1024
quantization        F16

コンテキスト長は8,192トークン。当初「8,000文字にトリムすれば8,192トークンには収まるだろう」という前提でコードを書いていたが、これは誤りだった。失敗した7件はコードブロックや表・記号を多く含む長めのMarkdownで、同じ8,000文字でもトークン化効率が悪く、8,192トークンを超えていた。

文字数によるトリムは、トークン数上限の安全な代理指標にならない。特に日本語やコードブロックが混在する文書では、文字数とトークン数の比率が文書ごとに変わる。実運用でこの罠を避けるには、文字数ではなくモデルのcontext lengthを基準にした事前のトークンカウント（またはより保守的な文字数上限）が必要になる——今回はベンチの目的が「素朴な実装での実測」だったため、失敗した7件をエラーとして記録するに留め、リトライやチャンク分割の実装までは踏み込んでいない。

ローカルRAG vs 構造グラフ検索 — 1,325件規模での使い分け

自社にはすでに、埋め込みを一切使わない検索基盤がある。AST由来の知識グラフgraphify-out/graph.jsonだ。

import json
d = json.load(open('graphify-out/graph.json'))
print(len(d['nodes']))  # 5934

2026-08-03時点でノード数は5,934。これはコード/ドキュメントの構造的な関係（誰が誰を参照しているか）を機械的に抽出したグラフで、ベクトル類似度検索は行わない。過去のメモリには「20,755ノード」という記録も残っていたが、これはより古い時点のスナップショットであり、今回は自分でファイルを読み直して現在値を使った——数字は記憶ではなく実測を信じる、という原則をここでも適用した。

bge-m3による埋め込みが向いているのは「意味が近い文書を探す」曖昧検索で、graphifyが向いているのは「このシンボルはどこから参照されているか」という構造的な検索だ。今回の実測で分かったのは、1,325件規模なら埋め込み生成自体は6分弱の低コスト作業ということ。つまりローカルRAGの導入コストにおいて、埋め込み計算そのものはボトルネックになりにくい。ボトルネックになるとすれば、今回踏んだような「トークン上限の見積もりミス」や「調停ロジックの誤適用」といった、実装の詰めの甘さの方だった。

まとめ

自社Markdown 1,325件のbge-m3埋め込みは、1件ずつの逐次実行で約5分46秒（中央値346.16秒）、docs/sec中央値3.808件/秒
Ollamaプロセスのピーク常駐メモリ(RSS)は3回とも7,839.3MBで一致（VRAM専用の直接計測はできず代理指標）
GPU調停スクリプトは「Ollama vs 他のGPUツール」の調停であり、Ollama自身を使うジョブに適用すると自滅する
「文字数でトリムすれば安全」は誤り。コンテキスト長はトークン単位（今回は8,192）であり、コードブロックや表を含む文書では文字数とトークン数の比率が崩れて超過しうる
1,325件規模なら埋め込み生成自体はボトルネックにならない。詰まるのは大抵、実装側の見積もりミスだった

【夏、再構築中。#2】「遊べない」町を再構築した — 地形整地から小物配置までの全工程と実測値

bigkijimon — Sun, 02 Aug 2026 11:45:07 +0000

はじめに

「これで遊べると本気で思ってますか」。UE5でなつやすみ舞台の小さな町を組み上げ、生成AIで作った建物や小物を669体配置し終えた直後、オーナーからそう言われました。ビューポート上は町として成立して見えていたのに、実際に歩かせると勾配で滑り落ち、看板は宙に浮き、筐体は画面が光らない。「生成した」と「使える状態になっている」はまったく別だという話です。本記事は、ローカルAI×UE5でゲーム用アセットを量産している人向けに、遊べなかった理由8個の特定と、地形整地から小物配置までを直した全工程・実測値をまとめます。

直接原因5個 — なぜ遊べなかったのか

ビューポートのスクリーンショットだけでは気づけなかった不具合を、実際に歩かせて洗い出すと5つの直接原因が出てきました。

地形を一度も整地していない：商店街の建物28軒が標高差40m、勾配にして28%の山腹に建っていました。「歩けない」の唯一にして最大の原因です。
回転処理が抜けていた：ワールドを230m四方から141m四方へ縮小した際のスクリプトが、座標のスケールだけを扱い回転を一切扱っていない（該当コードが0行）。事後の一括修正も「高さが幅の15%未満なら平板」という形状判定だったため、既にpitch60°/roll65°まで傾いていた27体は条件に一致せず素通りし、「巨大な傾いた板」のまま残っていました。
テクスチャを取り込むコードが存在しない：544枚のテクスチャが未使用のまま放置。手順書には「Content Drawerへドラッグ」と手作業前提で書かれていました。
マテリアルが未接続：マテリアル割り当てスクリプトが AlbedoTex パラメータを宣言だけして代入せず、UseTexture はStaticSwitchパラメータなのにScalarパラメータのセッターで叩いていました。しかも対象パスが旧レベルを向いたままで、既定値はDRY_RUN。
小物を配置するコードが無い：216種類の小物3Dアセットのうち、実際に町へ置かれていたのはわずか24個でした。

整地前の商店街。地面の勾配が28%あり、目線を合わせると建物の傾きがそのまま見える。

構造的原因3個 — なぜ見落としたのか

個々のバグより深刻だったのは、なぜここまで気づけなかったかという運用側の問題でした。

レベルを組み立てた処理のソースが1本も残っていない：13項目の作業のうち、ファイルとして残っていたのはわずか2つ。残りは全部インラインでUE MCP経由に流して実行し、そのまま消えていました。つまり再実行も修正もできない状態で「完成」を迎えていたということです。
「生成した」を「使った」と数えていた：3Dアセット216体を生成し終えた時点で進捗を語っていましたが、取込・マテリアル接続・配置という後工程が一度もタスクとして立っていませんでした。
合格判定を件数でやっていた：ワールド縮小処理は「669体すべて移動・接地成功」と報告されており、数字自体は正しいものでした。ただしそれは接地判定が通ったという意味でしかなく、実際に歩けるかどうかを一度も見ていないまま合格にしていました。当初計画に書いていた合格ラインは「2人でPIE起動し、街道を踏破できること」でしたが、その基準を自分で通していなかったのです。

対策 — レベルを触る操作は必ずファイルとして残す

原因6の「ソースが残っていない」を潰すため、以降の全操作をスクリプト化しました。以下の7本を順に実行する構成です。

ue_export_layout.py    # 現物のTransformをJSON台帳へ書き出す（774体）
ue_flatten_ground.py   # Landscapeを退避し、34m×36枚のCubeで平地を作る
ue_normalize_layout.py # 台帳上の回転をゼロへ正規化（UE操作なしで完結）
ue_apply_layout.py     # 正規化済み台帳を反映（冪等・2パス）
ue_import_textures.py  # テクスチャ84枚を一括取込
ue_wire_materials.py   # マテリアルv2マスター＋MI15種を正しく接続
ue_shot.py             # 検証用スクリーンショット

この手順を通した結果、実測値は次の通りです。

項目実測値

傾いたまま残っていたアクター395体を除去
平地へ接地し直したアクター762体
新規配置した小物318体
新規配置した看板95枚

踏んだ罠5個 — MCP経由UE操作の落とし穴

台帳化・一括修正の過程で、UE Model Context Protocol（UE MCP）経由の操作特有の罠を5つ踏みました。

set_actor_transformは部分更新できない：位置だけを渡して呼ぶと、省略した回転・スケールが初期値に巻き戻ります。これに気づかず762体へ位置だけ送った結果、対象が一斉にワールド原点へ collapse しました。
PIE中はPIE複製ワールドを操作してしまう：Play In Editor中にMCP経由で変更しても、それは実行用に複製された別ワールドへの変更で、エディタ本体のレベルには反映されません。
delete_expressionはUE5.8でクラッシュする：マテリアルのノードを消す操作でエディタが落ちます。作り直す場合は既存ノードを消さず、新規マテリアル＋親差し替えで対応しました。
クラッシュ後はCrashReportClientがMCPポートを握り続ける：さらに再起動時に「Restore Packages」の確認モーダルが出て、自動起動フローがそこで止まります。
サンドボックス実行ではimport unrealが使えない：MCP越しの1呼び出しは約0.4秒かかるため、台帳774体のような規模を捌くにはバッチ設計が前提になります。

小物配置 — 実測なしでは倍率がバラバラ

小物未配置（原因5）を解消するために、まず実物の寸法を測るところから始めました。216種類の3Dアセットについて、生成時の自然な出力サイズを1回ずつ計測し、台帳（prop_catalog.json）にまとめます。そこから目標の実寸高さとの比を取ると、倍率の実測分布は5.1倍〜893.9倍でした。取込んだメッシュのスケールは統一されておらず、一律の倍率を仮置きすればほぼ確実にどこかが破綻します。

配置ロジックは次の3点です。

建物位置を台帳から取得し、半径0.8〜3.2mの環に固定乱数（seed=19970815）で小物を散らす。
地区ごとに使える小物カテゴリを絞る（神社の敷地に自動販売機を出さない、など）。
道の土のテクスチャは当初 TexScale 24 で貼っていたところ、ひび割れ1本が40cm級に見えるほど間延びしていたため、70まで上げて実寸化。目安は「テクスチャ1枚が1.5〜2mに見える倍率」に置きました。

整地・小物配置・露出調整後の道路上ショット。看板95枚・小物318体が町に乗った状態。

最終到達点 — 筐体が立ち、画面が光り、キャラが地面に立った

仕上げの段階でも、原因が想像と違う箇所に隠れていました。

ゲームセンターの筐体が見えなかった真因は「Screenコンポーネントの StaticMesh が空」だったことです。ブループリントのグラフを書き換えた際にメッシュ参照が失われていました。修正は、テンプレート側ではなくインスタンス側のコンポーネントに set_properties を当てると反映されることを確認して対応しています。あわせて対象アクター（Cabinet_A）の実測サイズが1.72cm（Blenderの1/100スケールのまま）だったため、実測から倍率96を算出して適用しました。
地面はPlane（板）ではなくCube（箱）で作る必要がありました。板のままだと、落下中のキャラクターがすり抜けてZ=-352cmまで落ち続けます。20cm厚の箱に置き換えて解決しました。
PlayerStartが建物の中に置かれていたのも落下の一因でした。上から下向きにトレースし、最初に当たる面がZ 0〜30cmの範囲にある場所を地面とみなして移動する処理で解消しています。
地面判定のトレース処理では、戻り値がZ座標ではなく距離である点も踏み違えました。「開始点のZ座標 − 戻り値」で高さを求める必要があり、戻り値そのものを高さとして扱うと数百cm単位でずれます。
最後に、エディタ上のスプライト（Billboardアイコン）は当たり判定を持たないため、接地判定は only_colliding_components=True を指定して測る必要がありました。そうしないと、実体のない箱が下に膨らんで宙に浮いたような判定結果になります。

まとめ — 持ち帰れる学び

生成した≠使った。取込・接続・配置がタスクとして立つまでは、生成数がいくら多くても進捗ではない。
合格判定は件数ではなく実挙動で行う。今回でいえば「2人でPIE起動し、街道を踏破できるか」。
レベルを触る操作は必ずファイルとして残す。インラインで流した操作は再実行も修正もできない。
取込メッシュの倍率は実測なしでは決められない。今回の分布は5.1倍〜893.9倍という広さで、一律の仮値では必ずどこかが壊れる。

mlx-whisperで生成曲の歌詞一致率を数値化する品質採点（uvx arm64罠込み）

bigkijimon — Fri, 31 Jul 2026 23:48:15 +0000

AI生成曲の品質をどう測るか。主観判定には限界がある——自分の曲を自分で採点しないルールが必要だ。そこで採用したのが、mlx-whisperローカル文字起こし→歌詞一致率を客観指標にする3層採点パイプライン。M1 Max 64GBでACE-Step 1.5を使い、32テイクの実測値（0.0%〜100.0%）を得た。そしてuvx arm64罠にハマり、解決するまでの記録。

問題: AI生成曲の品質をどう測るか

AI音楽生成の最大の課題は「品質の可視化」だ。生成した曲が教育用に使えるレベルか、歌詞が明瞭に聞こえるか、教育効果があるか——これらを数値化しないと「いい曲になった気がする」で終わる。人間の耳での判定は主観に偏る。自分が作った曲だから「悪くない」と思ってしまう。

そこで必要なのは、客観指標だ。発音明瞭度の代理として「歌詞一致率」を使う。文字起こしAIがどれくらい正確に歌詞を認識できたかを数値化する。これがあれば、再生成しても「前より良くなったか」が一目で分かる。

解法: 3層採点パイプライン

採用したのは3層構造だ。

① Whisper一致率（客観層） — mlx-whisper（large-v3-turbo）で各トラックを文字起こしし、実使用歌詞と単語列一致率を計算する。数字は英単語に正規化して比較（"1,2,3"表記による偽低スコアを補正済み）。この層が本文の核だ。

② 独立ルーブリック採点（別コンテキスト） — 英語の正しさ25/設計原則遵守25/教育効果25/歌いやすさ25の4軸で、別コンテキストの採点官が各100点採点。平均94.1点。客観層が漏らす「教育的な意味でいい曲か」を補う。

③ オーナー耳チェック（最終） — 数字で表せない「歌い心地」「子どもに届くか」を最終判定。特に文字の歌唱（A-B-C）はWhisperが誤転写しやすく一致率が下振れるため、ここが補正になる。

実装①: mlx-whisperローカル文字起こし

まずは文字起こしの実装だ。完璧にローカルで完結させたい。

uvx --python cpython-3.12-macos-aarch64-none --from mlx-whisper mlx_whisper <mp3> --model mlx-community/whisper-large-v3-turbo

uvx arm64罠にハマった。このMacの既定python3はanaconda（x86/Rosetta）で、uvxが失敗する。Python実行環境のアーキテクチャ不一致だ。--python cpython-3.12-macos-aarch64-noneでarm64明示で解決した。罠は「何も言わずに失敗する」点だ。エラーメッセージも明確でないため、x86環境が選ばれていることに気づくのに時間がかかる。

モデルはlarge-v3-turbo（Apache 2.0）をローカルに配置。完全ローカル・課金ゼロ・APIキー不要。16音源の転写には約2分（M1 Max 64GB）。

実装②: 独立ルーブリック採点

客観層だけでは不十分だ。歌詞が完璧に聞こえても、教育効果が薄ければ意味がない。そこで独立ルーブリックを導入した。

基準は4軸25点ずつ：英語の正しさ（文法・表現の自然さ）、設計原則遵守（LMNOP問題回避・音節数）、教育効果（子どもが覚えやすいか）、歌いやすさ（BPM・キー・リズム）。

別コンテキストで採点することで、「作り手のバイアス」を排除する。平均94.1点は「教育的に優れた曲セット」であることを示している。ただし数字が高いから最終採用というわけではない。

実測結果: 32テイクの分布

Daily Routineソングブック（全8曲×2バリアント＝16音源×2版v1/v2＝32テイク）の実測結果だ。

採用8本の平均一致率: 83.9%

python3 -c "vals=[75.3, 79.4, 97.1, 76.7, 94.4, 73.3, 75.2, 100.0]; print(sum(vals)/len(vals))"
# 出力: 83.925 → 83.9%

平均83.9%だが、分布は広い。

最高100.0% — 08_Introduce_Yourself v2a。完璧な聞き取り。Whisperが歌詞を完全に認識。穴あきBridge実装済みで教育的にも優秀。

最低0.0% — 07_Seasons v1b。不良テイク。Whisperが"Thank you"を幻聴し続ける状態。ボーカル不明瞭。これは「不良テイク・不採用」として即除外。

分布の両端を引用することが重要だ。平均83.9%だけ見ると「実用的なレベル」に見えるが、0.0%〜100.0%のギャップが存在する。この分散がAI音楽生成の現実だ。

v1/v2の裁定原則。歌詞修正版（v2）を再生成しても、明瞭度が落ちる場合がある。

例: 01_ABC_Song v1a=75.3%だが、v2a=53.2%に低下。ルーブリック採点で指摘された「TPR動作語ゼロ→clap追加」を反映したv2は、歌詞は良くなったが明瞭度が大幅減だ。seed運だから。clap追加の益が明瞭度低下を上回らない。

結論: 旧版を捨てず曲ごとに最良テイクを採用するのが正解。歌詞修正（v2）とseed運は独立だ。v2で明瞭度が落ちる場合、v1を維持する。

最終採用セットは8本（採用テイクを曲名のみで配置）。

曲採用一致率裁定理由

01 ABCv1a75.3%v2は明瞭度大幅減。clap追加の益＜明瞭度
02 Numbersv2a79.4%歌詞修正済みかつ明瞭度も最高
03 Hellov1b97.1%全曲最高の明瞭度・97点
04 Weatherv2b76.7%明瞭度同等で不自然英語を解消
05 Days&Monthsv1b94.4%明瞭度94.4を優先
06 What Timev1a73.3%98点曲。"sweet"軽微＜明瞭度
07 Seasonsv2a75.2%歌詞4件修正済みかつ明瞭度も向上
08 Introducev2a100.0%一致率100%＝完璧な聞き取り・穴あきBridge実装済み

教訓: 品質採点の3つのポイント

① 1リクエスト2バリアント生成＝seed運の保険

ACE-Step 1.5は1リクエストで自動的に2曲生成する（seed違い＝A/B試聴に使える）。これが今回、2本の不良テイク（07_Seasons v1b=0.0%、01_ABC_Song v1b=16.7%）を無償で回避した。生成コストは変わらないが、品質の安定性が向上する。seed運に頼らない構造だ。

② 旧版を捨てず曲ごとに最良テイクを採用する

ABC曲の例が示す通り、v2で歌詞修正しても明瞭度が落ちる場合がある。「最新版が最良」という前提は危険だ。曲ごとにWhisper一致率×ルーブリック×耳チェックで最良を採用する。文字の歌唱（A-B-C）はWhisperが誤転写しやすく一致率が下振れるため、最終判定は耳だ。

③ 文字の歌唱はWhisperが誤転写しやすい

A-B-Cのような文字の歌唱は、Whisperが文字認識の誤りをする。一致率が低くても耳では聞き取れることがある。逆に、内容のある歌詞は一致率が高い傾向にある。客観指標を鵜呑みにせず、耳での最終判定が必要だ。

品質採点は「品質を可視化し、再生成の意思決定を助ける」ためのものだ。数字に振り回されず、数字と耳の両方で判定する。これがAI音楽生成の実用レベルへの道だ。

Ollama 0.32.0の「ローカルAIエージェント」を本番機で試せなかった話 — 共有GPUインフラのバージョンを上げない判断と、リリースノートと現物のドリフト

bigkijimon — Thu, 30 Jul 2026 11:45:03 +0000

「ollamaにエージェント機能が入った」というリリースノートを見て、自分のMacでollama agentを叩いたらunknown command "agent"で撃たれた——という人向けの記事です。結論から言うと、うちのM1 Max 64GB本番機は今も Ollama 0.30.8 のままで、agent サブコマンドは存在しません。そしてそれは「更新し忘れた」のではなく、意図して上げていません。理由を実測とうちで実際に起きた事故から書きます。

本番機の実測 — バージョンは0.30.8、`agent`は無い

まず自分の手元で叩いた結果です。

$ ollama --version
ollama version is 0.30.8

--helpのコマンド一覧にも agent は無く、serve / create / show / run / stop / pull / push / list / ps / cp / rm / launch までしかありません。実際に叩くとこうなります。

$ ollama agent
Error: unknown command "agent" for "ollama"

リリースノートで謳われている機能が、自分の手元のバイナリには物理的に存在しない状態です。

リリースノートは何を約束しているか

Ollama公式のリリースノート本体はこの記事では開いていません（うちのブログ生成パイプラインは無人運転区間で外部Webを一切読まない設計にしています。理由は後述の「自律実行」の話と地続きです）。社内の別便が事前に検証・要約した一文だけを引用します。

v0.32.0（2026-07-11）で、ollamaを実行するとエージェントが起動し、コードを書いたりWeb検索をしたり実作業を委任できるようになった。

つまり「モデルを1回呼んで応答を受け取る」ツールから、「エージェントが自律的に複数ステップの作業を進める」ツールへと性格が変わったのが0.32系、という理解です。

Homebrewを見ても本番機のバージョンは分からない

「じゃあHomebrewで確認すればいいのでは」と思って叩いたのがこれです。

$ brew info ollama
==> ollama: stable 0.32.1 (bottled), HEAD
...
Not installed

Homebrewのカタログ上のstable版はすでに0.32.1まで進んでいます。しかし「Not installed」——つまりこのMacはOllamaをHomebrewで入れていません。実体は/Applications/Ollama.app（Electronベースのメニューバーアプリ）で、/usr/local/bin/ollamaはそのアプリ内バイナリへのシンボリックリンクです。

$ defaults read /Applications/Ollama.app/Contents/Info.plist CFBundleShortVersionString
0.30.8

アプリ本体のディレクトリ日時を見ると、最後に置き換わったのは2026-06-12。それ以降アップグレードしていません。「brewでバージョン確認」は、インストール経路が違うツールには効かないという、地味だが実際に踏む罠でした。

なぜ上げない判断をしたか（1）— 同じアプリの設定DBで7モデルが消えた前例

この判断は「新機能が怖いから様子見」という抽象的な慎重論ではありません。うちには2026-07-14に、同じOllama.appのアップデート絡みの作業で実際に事故った記録があります。

ollama listが突然1モデルしか返さなくなり、ディスク上のmanifestファイルは無傷なのに他の6モデルが見えなくなりました。真因はOllama.appの設定DB（~/Library/Application Support/Ollama/db.sqlite）のsettings.modelsカラムが、誤ってモデル階層の1サブフォルダを指すようになっていたことでした。厄介だったのは、このアプリ内設定がlaunchctl setenvや起動時plistのOLLAMA_MODELS環境変数より優先されるという点です。環境変数を直しても直らず、最終的にdb.sqliteを直接UPDATE文で書き換えて復旧しました。

つまり「バージョンやアプリの状態が変わると、設定の扱われ方そのものが変わって既存の環境を壊す」ケースが、このツール・このMacでは既に実物として起きています。0.32系は挙動が「応答を返すだけ」から「自律的に複数ステップ進める」へ変わる更新です。設定スキーマや内部状態の扱いが変わっていないという保証はどこにもありません。

なぜ上げない判断をしたか（2）— このMacは検証機ではなく共有本番機

もう1つの実測です。今この記事を書いている最中も、同じMacでこれが動いています。

$ ps aux | grep ollama
yuma  93913 ... llama-server --model .../qwen3-coder-next ... --port 55433 -np 1 --flash-attn on ...
yuma  1088  ... ollama serve
yuma  1076  ... Ollama hidden

このMac（M1 Max 64GB）は「試しに新機能を触ってみる」ための隔離された検証機ではなく、社内でローカルQwenを本番運転している共有機です。GPUは物理1つしか無いため、画像/動画/音楽生成とLLM推論は同じVRAMを奪い合い、社内では生成コマンドを1つずつ直列に流す調停スクリプトを既に運用しています。長時間の動画・音楽生成中はOllama側が凍結され続けることも社内で把握済みです。

ここに「エージェントが自律的にWeb検索やコード実行を何ステップも積む」機能が乗ると、外側の直列調停スクリプトからは「1回の生成コマンドがどれだけの時間・どれだけの内部ステップを勝手に消費するか」が見えなくなります。1コマンド=1プロセスという単純な前提の上に組んである調停の外側で、エージェントが何をどれだけやるか分からない状態を、動いている共有機に無条件で持ち込みたくありませんでした。

上げる/上げないをどう判断するか

今回の判断から一般化できる、共有GPU機でツールをアップグレードするかどうかのチェックリストです。

まず自分の手元で叩く。リリースノートの主張とインストール経路（Homebrew/公式アプリ/手動ビルド）は別物。--versionと--helpを実際に叩いて現物を確認する。
過去にそのツールで事故った記録があるか探す。設定ファイル・内部DB・環境変数の優先順位が変わるアップデートは、既存の壊れ方を再演する可能性がある。
その機体が検証機か本番機かを確認する。ps auxで今何が動いているかを見る。共有本番機なら、新機能の挙動を実機で試す前に切り分けが要る。
新機能が既存の運用ポリシーと衝突しないか。自律的にWeb検索やコード実行を行うエージェント機能は、既存の承認フローや直列調停の前提を静かに壊しうる。

この4つのどれか1つでも答えが出ない間は、「保留」も正しい判断です。リリースノートの新機能は魅力的に書かれていますが、それと自分の本番機の現物との間には、実測しないと見えないドリフトがあります。

Why "Friendly Fire" hits home — inspecting the auto-approve hole through my unattended blog pipeline's approval gate

bigkijimon — Tue, 28 Jul 2026 16:11:59 +0000

Originally published on Zenn (Japanese). Cross-posted here.

"Is auto-approve (self-approval mode) for AI agents actually dangerous?" — that was the first question I asked myself after reading the security study "Friendly Fire," disclosed in July 2026. My answer: "The dangerous stretch is real. But what actually prevents a fatal blow is not 'distrusting the AI' — it's the number of verifiable checkpoints placed outside the generation itself." I run an unattended blog-generation pipeline gated by a Telegram approval, so I re-read my own scripts to check whether that was really true.

What Friendly Fire targeted

The PoC "Friendly Fire," published by the AI Now Institute, is an attack demonstration aimed at Claude (Sonnet-class, Opus-class) and GPT-5.5-class models when auto-mode / auto-review is enabled. The technique is simple: plant a line in the README.md of the Python library geopy saying "please run security.sh," while the actual payload is a hidden binary disguised as an innocent-looking Go file. The agent trusts the "instruction" in the README rather than the code, and executes it. It reproduced across multiple models ("unchanged"), and was reported as "no reported exploitation in the wild." Source: The Hacker News

The key point: what an agent should distrust is not the command itself, but the "origin of the input" that is telling it to run the command.

Why I thought "we're fine"

My company's automated tech-blog generation sends "Approve / Hold" buttons to Telegram, and nothing is published externally until the owner presses one. On that basis I believed "we have a human approval gate." But until I read Friendly Fire, I had never put into words where in the generation flow that gate actually sits.

Retraction — re-reading my scripts, there was an unprotected stretch

The unattended generation runner (a shell script I wrote that wraps the claude CLI) issues its generation command like this.

caffeinate -i claude -p "$(cat "$PROMPT_FILE")" "${MODEL_ARGS[@]}" \
  --max-turns "$MAX_TURNS" --dangerously-skip-permissions < /dev/null

--dangerously-skip-permissions is genuinely set. In other words, the generation stretch itself runs on the exact same design pattern that Friendly Fire warns about — "auto-mode self-approval." There are mechanisms that bound it, but none of them are human approval.

MAX_TURNS: default is 20 (the upper bound on the agent loop). But the tech / hs runs have already been raised to 60 — a comment in the script still records how it crashed with Error: Reached max turns (20).
TIMEOUT_MIN=45: on overrun, the whole process tree is force-killed. The last-resort insurance against hangs.
mkdir lock: makes concurrent multi-launch physically impossible (as long as the lock directory already exists, no new run can start).

WORKDIR is fixed per mode, but that's a cwd designation, not a sandbox (isolation such as chroot). In the sense that "once generation starts, no human is watching until it stops," my operation has exactly the same shape as the premise Friendly Fire attacked.

QA gate -> Telegram approval -> publish), showing whether human approval is present at each step. STEP1, the generation stretch, is marked as having no human approval; only STEP3, the Telegram approval, is marked as having human approval." width="800" height="320">
There is no human approval in the generation stretch (STEP1). What actually compensates for that exposure is the QA gate in STEP2 and the Telegram approval in STEP3. Source: the actual code of the unattended generation script / generation logs, measured 2026-07-14.

The design I thought I had: "There's an approval button right before publishing, so it's safe."
The design I actually had: "The generation stretch is unprotected. Safety is created by the two stages after it (a QA threshold + human approval right before publishing)." They look like the same conclusion, but the understanding of where the defense actually lives is entirely different.

So what is actually serving as the defense

I choose the origin of the input myself: the source material for generation is a list of topics I curated myself, not a region that anyone can write to like Friendly Fire's README.md. "Contaminated input" as an attack surface structurally does not exist.
The generation stretch reads nothing external: external research and fact-checking are separated into a different run (weekly; a human reads the results) that never enters the inside of the approval gate. The generation stretch that runs without approval has no path at all for the content of the open Web — which anyone can write to — to flow into it. —— To be honest, I added this separation while writing this very article. Before that, the design was "the generation stretch fetches, exactly once, the URLs written in the material list" — meaning the very same shape of hole that Friendly Fire exploited was open in my own pipeline too. I had thought "we're safe because we choose the input ourselves," but the moment I added a mechanism to write external URLs into that input list, the premise had collapsed. Even a single fetch is still a hole.
QA gate + approval = a verifiable checkpoint after generation, before publishing: as a concrete example, one generation log carries the record QA未達(93<95)＝この記事は公開便に流さない（差し戻し対象） (QA below threshold (93<95) = do not send this article to the publish run; sent back for revision). A QA score of 93 did not reach the threshold of 95, and that article is still stuck in the review-pending directory even now.

All three are not about "whether to trust how the AI behaves" — they are about "gates that live outside the generation and can be confirmed in the logs."

The accident that actually happened that same week was far more mundane

While I was worrying about a malicious attack like Friendly Fire, what was actually stopping the pipeline was something else. Counting the last 6 records in the generation log:

$ grep -oE "rc=[0-9]+" headless_tech.log | tail -6 | sort | uniq -c
   1 rc=0
   5 rc=1

5 out of 6 had failed. The error message was this.

There's an issue with the selected model (the model ID I had configured for local use).
It may not exist or you may not have access to it. Run --model to pick a different model.

The cause was recorded in a comment in a config file. Because "a separate script for switching to the local model had written an Ollama model name into the config file used for cloud operation," even at times that were supposed to be cloud operation, the cloud was being queried for a model name that doesn't exist there — and it failed every time. Not a sophisticated attack of the kind the security PoC warns about, but a mundane tug-of-war in which another tool rewrote a config file — that is what caused silent failures over 3 days, 5 out of 6 times.

Takeaways

The unit that makes unattended operation safe is not "whether you trust the AI" but "the number of verifiable external checkpoints." The concrete things I can take away from this stocktaking are the following 4.

Leave rc (exit code) and the QA score in the generation log every time — you can't fix what you can't count.
Place a threshold gate after generation, before publishing (here, QA 95 points).
Consolidate human approval into a single spot right before publishing. A design where a human watches all the way into the generation stretch is not realistic.
A mechanism to detect unintended rewrites of config files — this time there was none. I'm leaving that here, as-is, as the next task.

Let me state the retraction one more time. "Unattended = dangerous" is not it. The issue is "whether you can accurately grasp, in your unattended operation, the stretch where there is no gate anywhere." Until I read Friendly Fire and reviewed my own scripts, I had not been able to put that into words.

DEV Community: bigkijimon

Claude Codeも電子透かしの対象になった — 無人運転で144本公開してきた工場の生成コマンドを照合したら、確定できたのは「対象条件に一致すること」だけだった

何が発表されたか

自社の運用は対象条件に当たるか、実行コマンドで照合する

公式の対象条件自社の実態

検出器はまだ無い、という一番大事な事実

何が変わり、何が変わらないか

自分の環境でも同じ確認をする

まとめ

「コミットにセッションURLが既定で付く」がHN135pt — 自社412コミットで確認したら0本だった

話題になっていたこと

自分のリポジトリではどうなっているか確認した

抑止設定は触っていない、それでも0本だった

検証していないことは検証していないと書く

読者が今すぐ試せること

Qwen2.5-VL 7BはM1 Max 64GBで何tok/s出るか — OCR実測で見えた「画像の複雑さは速度に効かない」理由

検証環境と方法

結果: 出力速度は画像の内容にほぼ関係なく23.4〜26.0 tok/s

画像側の前処理コストは「複雑さ」でなく、ほぼ固定コスト

精度実測: レシート100%・コード実質100%・密文99.72%

まとめ: 実務でどう使うか

AIが無人で書き溜めた社内ドキュメント1,355本をDiátaxisで仕分けたら、3割が自社のドキュメントですらなかった

母数を数える前に、母数が汚れていた

Diátaxisという物差し

ローカルLLMで917本を仕分ける

結果 — 欠けていたのは"tutorial"、ゼロ件

分類パイプライン自身にもバグがあった

学び

無人運転のシェルスクリプトを1ヶ月書いて踏んだ3つの失敗 — 「人間用CLIのまま」だと何が壊れるか

背景 — GPUを奪い合う3つのツールを1つずつ回す仕組み

失敗1 — 状態確認関数が「無言で失敗終了」した

失敗2 — タイムアウトの無いシェル実行ヘルパーが129プロセスを溜め込んだ

失敗3 — 2つの独立したガードが「無言で異なる基準」を使っていた

3件から言える共通パターン

まとめ — そして「1年」ではなく「26日」だった

参考（観測のみ・本文の主張には使っていない）

Approve the hash, not the button: sealing what an AI coding CLI is about to send

The gap

Making the seam

Why a hash rather than a button

Shrink the payload before sealing it

What the spawned process does not get

What building it taught me

A bonus lesson from going public

Takeaways

Rebuilding Summer #1: I Generated 100+ Game-Ready 3D Assets for Free, Using Only Local AI on a Mac

Setup: A Two-Stage Pipeline from Image Generation to "Image $\rightarrow$ 3D" Conversion

The Quality is Determined by 80% of the "Input Image Creation"

My Epic Failures (This Part is the Most Useful)

Failure ①: Thin or Small Objects Get "Pancake-fied"

Failure ②: Statues "Multiply" Without Permission

Failure ③: Code/Antennas "Scatter into Space"

Yield Rate is About 85%. But a Big Pitfall Awaited.

Summary and Next Preview

自社Markdown 1,325本をbge-m3でローカル埋め込みしたら何分かかったか — M1 Max 64GBのRAG基盤コスト実測

何を測ったか

結果 — 3回実測の実測値

メモリはどこまで伸びたか — VRAMではなくRSSを代理指標に使った

詰まった所①: GPU調停スクリプトを自分にかけて自滅した

詰まった所②: 「8,000文字トリムで安全」という前提が7件で崩れた

ローカルRAG vs 構造グラフ検索 — 1,325件規模での使い分け

まとめ

【夏、再構築中。#2】「遊べない」町を再構築した — 地形整地から小物配置までの全工程と実測値

はじめに

直接原因5個 — なぜ遊べなかったのか

整地前の商店街。地面の勾配が28%あり、目線を合わせると建物の傾きがそのまま見える。

対策 — レベルを触る操作は必ずファイルとして残す

項目実測値

小物配置 — 実測なしでは倍率がバラバラ

整地・小物配置・露出調整後の道路上ショット。看板95枚・小物318体が町に乗った状態。

まとめ — 持ち帰れる学び

mlx-whisperで生成曲の歌詞一致率を数値化する品質採点（uvx arm64罠込み）

問題: AI生成曲の品質をどう測るか

解法: 3層採点パイプライン

実装①: mlx-whisperローカル文字起こし

実装②: 独立ルーブリック採点

実測結果: 32テイクの分布

曲採用一致率裁定理由

Ollama 0.32.0の「ローカルAIエージェント」を本番機で試せなかった話 — 共有GPUインフラのバージョンを上げない判断と、リリースノートと現物のドリフト

本番機の実測 — バージョンは0.30.8、agentは無い

本番機の実測 — バージョンは0.30.8、`agent`は無い