仕事テーマ別ハイライト（2026-11-11）

AIコーディングエージェント

• Claude Code 2.1.321で、Claude Fable 5.2がFableの既定モデルになり、 に が追加されました。あわせて、MCP OAuthがリダイレクト先の別ホストへリフレッシュトークンなどの秘密を送っていた問題と、読み取り専用のBashコマンドが確認なしでサンドボックス外で動くケースが直っているので、早めの更新がおすすめです。（@oikon48さんの投稿）

• Murookaさんの検証記事「悪意なきインジェクション」によると、リポジトリの外の事情を根拠に「既知」「指摘不要」と書かれただけで、AIのコードレビューが実バグを格下げしたのは62回中19回でした。推論量をhigh・maxに上げても防げず、「注記があっても欠陥はレビューから外れない」といった防御の文を依頼文に入れるとSonnet・Opusでは0になったので、CLAUDE.mdやレビュー用コマンドに入れておく価値がありそうです（@kgsiさん紹介）。（Zenn記事）

生成AI・LLM

• Gemini 4 Carbonが一般提供になり、有料のGemini API（AI Studio・Android Studio）とGemini for businessで使えるようになりました。料金は11/30までの導入価格が$2／$10（100万トークンあたり、入力／出力）で、その後は$4／$20です。Google AI Ultraの加入者はAntigravityやGeminiアプリでも使えます。（Google）

• ClaudeにWhiteboardsとSheets（ベータ）が追加され、Claude Dashboardsは認定クエリやライブ共有の付いたClaude Dataとして一般提供になりました。interactive connectorsを使うと、Adobe・Atlassian・Box・Notionを会話の横でフルアプリとして開けます。（Claude）

Go・バックエンド

• Go 17周年の公式ブログで、この1年の成果（ と goroutineleak プロファイラのGA、 のmodernizer、AIエージェントからも使えるpkg.go.dev API）がまとめられています。Go 1.28では、文脈から型が分かる複合リテラルの型を省略できるようになり、 パッケージの多くを正式版にすることも目指しています。（Go Blog）

フロントエンド

• ExpoのExactは、UIを宣言的なContract言語で書き、ロジックをTypeScriptかRustで書くクロスプラットフォームのランタイムです。Web・macOS・iOS・LinuxにWebViewなしのネイティブ描画で出せて、AIエージェントが各プラットフォームでビルドからテストまでできる前提で作られています。まだpre-1.0です（@azu_reさん紹介）。（GitHub）

UIデザイン×AI

• 10年近く動いている業務SaaSからデザインシステムを抽出する記録です。全画面を で実測し、本番CSSでコンポーネント集を仮組みして、デザインの揺れを「裁定ボード」に並べ、根拠に順位を付けて決めた内容をDDRに残していく流れで、デザインをClaude Codeで扱える形にするための下地づくりとして参考になります（@kgsiさん紹介）。（note記事）

セキュリティ

• React Server ComponentsのRCE（GHSA-xqc2-xf4c-x3h3、CVSS 9.5）は、react-server-dom-webpack／parcel／turbopackの19.0.9／19.1.10／19.2.9／19.3.1で修正されています。発生条件は「極めてまれ」とされていますが、RSCを使っているなら上げておきたいところです。（GitHub Advisory）

• Railwayの事後報告によると、攻撃者はAIエージェントを使ってビルド隔離の穴とOIDCの設定ミスを突き、最大で約10万ワークスペースの環境変数を復号しました。盗まれたAIプロバイダーのキーで約74万ドル分が不正に使われていて、AIキーの置き場所と権限の絞り方を見直す材料になります。（Railway Blog）

• Notionは、Fireworks AIの侵害によってNotion AIのチャット履歴（Insights機能用、1%未満のワークスペース）が流出したと公表しました。Insightsは停止中で、該当するワークスペースでは、期間中にNotion AIへ貼ったパスワードやAPIキーをローテーションするよう推奨されています。（Notion）