海外 × 開発（175件）

Gergely Orosz(The Pragmatic Engineer)がOpenAI社内を取材した記事。OpenAI社内ではCodex(Macアプリは2月、Windows版は3月に提供開始)と、Codexのハーネスを土台にしたChatGPT Work(7月)が日常的に使われている。財務・採用・法務などの非エンジニア部門が、約4か月でCodex利用0%前後から90%に拡大した。Codexに「/goal」設定を追加した。エージェントに目標を与えると、完了まで動き続ける。IDEの利用は、Codex利用が急増した1月以降減少している。エンジニア1人あたりのPR数は「ホッケースティック状」(非常に高く、加速する伸び)で増えている。

開発速度が上がると、ビルド・テスト・デプロイのパイプライン全体の負荷が急増する。応用インフラ担当VPは「一部システムの負荷が約10倍」と述べ、通常なら2〜3年かかる伸びが約6か月で起きたとしている。コード生成だけでなく、検証・配信基盤の増強とPR・コードレビューの見直しが要る。非エンジニア部門への広がりは、長時間の複雑な作業をこなせるようになったこと(/goalやハーネスの改良)が一因とされる。

開発者 ferstar 氏が 9/18 に分析を公開。Z.ai のコーディング支援 ZCode のローカル checkpoints ディレクトリに、商用プロジェクトの暗号化スナップショット(313MB、42,411 ファイル、うち Git ディレクトリが 86.6%)が残っていた。ステータスログには 564 回のアップロード失敗が記録され、アーカイブ自体は端末外に出ず保留状態のまま。サーバーに届いたのは 538 ファイルの公開リポジトリ(圧縮後約 15KB)1 件のみ。取得のきっかけは「ユーザーがプロンプトを送るたび」と「Repo Wiki 更新タスク」の 2 つ。Z.ai は謝罪し、Repo Wiki 機能を削除、スナップショット生成・アップロードのワークフローを無効化して v3.14.0 で配布。ソースを GitHub に公開したが、公開リポジトリのコミットは 2 件のみで開発履歴は消えていた。CAICT は zcode-prod の Alibaba Cloud バケットが「zero-data state」と確認、NSFOCUS はバケットとオブジェクトが消えていたと報告。

コーディングエージェントが、利用者の知らないうちにリポジトリのスナップショットを作り送信しようとする機能を持っていた事例。今回は大容量の送信は失敗していたが、機能の存在自体が信頼を損ない、撤回と謝罪に至った。導入前に送信経路と無効化の手段を確認し、削除の主張が提供元の言い分だけに頼らないようにする必要がある。なお、313MB・564 回などの数値は ferstar 氏の分析によるもので、Z.ai の公式な影響範囲(取得したワークスペース総数、いつからか)は未公表。

Anthropic の Claude Code チーム(Addy Osmani ら)の工学ブログ。(1) PR 前に Claude がテスト・ビルド・lint を回し、サブエージェントが新しいコンテキストで差分をレビュー。(2) 全 PR で複数エージェントが並列にバグを探し、別の検証役グループが各指摘に投票して、十分な票を得たものだけを投稿。スタイル・診断・掃除のみの指摘は除外し、Important/Nit/Pre-existing に分類。(3) セキュリティレビューは別パスでマージをブロック可能。(4) 必須 CI。(5) 分類器がリスク階層を決め、低リスクは自動チェック通過で人の承認不要、中は1人、高は2人。エージェントの承認は人の承認に数えない。(6) マージキュー・フラグ・段階リリース、(7) フラグでデプロイなしに即ロールバック。Claude Code のコードの約90%は Claude が書いている。

エージェントでコード量が急増すると、ボトルネックは書くことから読むこと(レビュー)に移る。同チームは人間のレビュー時間を最小化しつつ、revert とインシデントを歯止め指標にして「人の時間を移しただけ」にならないよう測っている。機械レビュー層、リスク別の人間承認、素早いロールバックへの投資で、量と品質を両立した実例。 関連: overseas #691(Claude Code開発チームの社内利用)の続報。

Anthropic Labs共同リードのMike Kriegerは、社内ツールのPythonコードを設計書型のルールブックに沿ってTypeScriptへ移植した。主要移植ではSonnetのサブエージェント12体に実装を任せ、レビューは上位モデルが担当した。8つのフェーズゲート、3回の敵対的レビュー、全コマンド出力を元のPython版と突き合わせる最終パリティ検証を通している。ルールを直して最初から実行し直す作業を繰り返し、3回目の実行の成果物を採用した。

コードを手で直さず、コードを生んだルールと検証ループを直す方式で、旧コードを仕様、テストやコンパイラを判定役にして並列化できる。契約を書かせる型付き言語への移植では、コンパイラをループ内に置くと秒単位で検証できる。ビルド時間の短縮とパイプライン廃止という具体的な運用上の利益が、移行の動機になった。

発見者は一次資料に記載がなく、AIが発見したことを示す記載もない(AI発見ではない。サブレーンB)。Oracle Critical Patch Update 2026-01(2026年1月20日公開)のFusion Middlewareのリスクマトリクスに、Oracle HTTP ServerとWeblogic Server Proxy Plug-in(Apache HTTP Server用・IIS用)の欠陥としてCVE-2026-21962が載り、HTTP経由・認証不要・CVSS 3.1基本スコア10.0と評価された(影響版は12.2.1.4.0 / 14.1.1.0.0 / 14.1.2.0.0、IIS版は12.2.1.4.0のみ、Linuxのみ該当の注記あり)。CISAは約7か月後の2026年8月24日にこれを既知悪用脆弱性カタログ(KEV)へ追加し、CWE-284(不適切なアクセス制御)として、重要データへの無許可の作成・削除・変更や全データへのアクセスにつながりうると説明、対応期限を2026年8月27日に設定した。

修正パッチが出てから半年以上たっても、公開済みの最高深刻度(CVSS 10.0)の欠陥が実際に悪用され、後からKEVに載る事例。CPUの定期適用が遅れたOracleミドルウェア(Webサーバ前段のプロキシプラグイン)は、四半期パッチを見送ると攻撃対象として残る。KEV収載日は修正日と別なので、運用側は過去のCPUもKEVと照合し直す必要がある。

発見者は人間の研究者(Milad Nasr、Luna Tong)としてクレジットされている。アドバイザリ上の所属はAnthropicだが、AIの関与は一次資料で確認できない(AI発見としては扱わない)。Erlang/OTPのsslアプリのTLS 1.3クライアントは、クライアントが提示していないpre_shared_key拡張がServerHelloに含まれると、サーバ証明書を検証しないままハンドシェイクを完了していた。既定の推奨設定(verify_peer、cacerts指定、TLS 1.3)でも、証明書も秘密鍵も持たない相手がssl:connect/4を成功させられ、証明書パス検証・ホスト名検証・CRL・OCSPがすべて素通りになる。TLS 1.2に限定したクライアントは影響を受けない。OTP 22.2以降が対象で、修正版はOTP 29.1.1 / 28.5.0.7 / 27.3.4.18(ssl 11.7.7 / 11.6.0.6 / 11.2.12.13)。TLS 1.3を維持したままの回避策はなく、暫定策はTLS 1.2への限定のみ。

サーバ認証の欠落は、httpcのHTTPS通信、DB・メッセージング用クライアントライブラリ、TLS分散クライアントなどssl:connectを使うすべてに及ぶ。接続後は攻撃者が全トラフィック鍵を握り、認証情報の読み取りと応答の偽造ができる。被害の有無はssl:peercert/1がno_peercertを返すこと、session_resumptionがtrueになることでしか見分けられず、アプリ側の検知は難しい。既定設定のまま安全だと思い込まず、ランタイムの修正版適用を優先する必要がある事例。

発見はAIではなく人間の研究者(Robert Ressl)による。WordPress Coreのget_page_template()によるページテンプレート解決で、未認証の攻撃者がテーマディレクトリ外の読み取り可能なローカル.phpファイルをincludeさせられる(CWE-98)。成立条件は2つで、(1)有効なテーマが「page-」で始まる最上位ディレクトリを持つこと(Twenty Twelve / Twenty Fourteen、Neve・Hestia・Sydneyなど)、(2)サーバ上に読み取り可能な標的.phpがあること。register_argc_argvがOnならpearcmd.php経由でRCEに至り、公式phpのDockerイメージとPHP 8.5未満のcPanel既定構成が該当する。開発元は7.1.2で修正し、4.7系まで全ブランチへバックポートした。

条件付きでも、未認証・ネットワーク経由でRCEに届くため重大度はCVSS v4 9.2のCritical。CISAのKEV(既知の悪用が確認された脆弱性カタログ)にも収載され、対応期限は2026年9月28日に設定された。影響はWordPress本体の脆弱性というより「本体×テーマ構造×PHP設定」の組み合わせで決まるため、サイト運営側は本体更新に加え、使用テーマにpage-*ディレクトリがあるか、register_argc_argvの設定は何かを点検する必要がある。AIが発見した脆弱性が目立つ中で、同じ主要CMSで人間の研究者による発見が引き続き重大事案になっている点も押さえておきたい。

約4,000人・10万件超の匿名化したCursorのメッセージを職種別に分析した。バグ修正はどの職種でも上位3位に入り、エンジニアとオペレーション/ビジネス職では活動の約39%を占めた。デザイナーはGitの基礎研修を受けたうえで、スタイリングやレイアウトの修正に会社平均の5.3倍Cursorを使い、デザインマネージャーのレビューを経て本番UI修正を数百件マージ(多くは当日中)。非エンジニア(CEO室、財務、運用、地域チーム)も自分の課題向けのツールを作り、ワークショップは5か国で数百人が受講した。

技術組織の約98%が月次、約75%が週次でCursorを使い、マージリクエストの3分の1超にCursorが関与、提案の受け入れ率は約50%。以前は数日かかった作業が数時間で終わるようになった。ヘビーユーザーはライトユーザーの18倍のメッセージを送り、高難度作業の比率も15.6%高い。義務化でなく、各自が実課題で使い始める形の浸透が定着の要因と記事は述べる。

半導体大手AMDが2万人超のエンジニアをGitHub Enterprise上に統合し、チップ設計の事前検証で毎晩実行される100万件超のシミュレーション結果のトリアージをGitHub Copilotのエージェント型ワークフローで自動化した。あわせてGitHub Advanced SecurityのCopilot Autofixで検出した脆弱性クラスの大半を自動解消する仕組みも導入した。

定型的な大量ログ解析(シミュレーションのtriage)はAIエージェントに任せることで、人手のボトルネックだった検証工程を週単位から日単位に圧縮できる。ハードウェア開発のような非Web領域でもエージェント型AIの効果が数値で裏付けられている点が示唆的。

会計士向けAIエージェントを開発するBasisは、月次決算やパートナーシップ税申告書、監査計画などの業務をエージェントに任せる際、Markdown形式の「behavior spec(行動仕様書)」をCursor上で作成・修正する運用をしている。エンジニアはCursorでモデルとの対話・Markdownプレビュー・実行結果を並行して確認し、エージェントの挙動が仕様通りになるまで文脈(コンテキスト)を検査・改訂する。この体制でパートナーシップ税申告書(Form 1065)の作成を人手30-40時間から6-7時間に短縮し、業界トップ25会計事務所の40%に導入されている。

AIエージェントの品質は「プロンプトの出来」ではなく「仕様書(spec)をコードと同じ規律で検証・改訂し続ける開発プロセス」で決まる。中小企業がAI導入を検討する際も、ツール選定より先に「何を仕様として固定し、どう検証するか」の運用設計が成否を分ける。

豪州の鉱業技術企業IMDEXは、既存エンジニアチームのままCursorを使い、断片化していた地質データシステムを統合するプラットフォームを8ヶ月で構築した（従来見積では新規20人採用・数百万ドル・2〜3年）。同社は既存のAngularアプリをReactへ6ヶ月で移行し（従来見積3〜5年）、開発責任者は「Cursorがなければこれらのワークフロー構築には20人の新規採用、数百万ドル、2〜3年かかっていただろう」と述べている。同社はさらに顧客向けアプリを30日未満、営業トレーニングツールを2週間弱で構築した。

開発ボトルネックが技術力ではなく人員数だと思い込んでいる組織ほど、既存チーム+AIコーディングツールの組み合わせで「増員なしの開発力拡張」が実現しうる。従来は外注か長期の社内開発が前提だった小規模な社内ツール（顧客向けアプリ、営業トレーニング等）も、数週間〜1ヶ月未満で内製化できる可能性がある。

Nokia ではエンジニア2人が Cursor を使い、5,000万行を超えるコードベースを2週間で解析した。従来は12人超の専門家が数ヶ月かける想定の作業だった。別のエンジニア1人は、課題定義から PRD 作成、プロジェクト管理ツールの実装までを1週間未満で仕上げ、本来6〜10人の PM が調整していた業務の約80%を自動化した。

大規模で複雑な既存コードベース(レガシー資産)の把握や、複数人の調整が前提だった管理業務は、AIコーディングツールで少人数・短期間に圧縮できる可能性がある。ただし本事例はベンダー(Cursor)公式のカスタマーストーリーであり、効果測定の方法や再現性は第三者検証されていない点は留意が必要。

法務SaaS Spellbook(法律事務所・企業法務向け、顧客数5,000社/80カ国)は、Microsoft Word上で動くアドインとしてClaude搭載エージェントが契約書のリスク検出・条項交渉・条文修正を行う。レビュー面だけで約15種類のClaudeエージェント構成を用途の複雑さに応じて使い分け(単純作業はSonnet、複雑な判断はOpus系)。各法務チーム独自のレビュー基準を「プレイブック」として코드化し、以降の契約に自動適用。新モデルの採用判断は、最上位モデル(Fable)を基準(oracle)にして評価基準を作り、法務専門家がレビューして他モデルの挙動をFableに近づける形で選定している。自社のエンジニアリングもClaude Code上で完結させ、大きいモデルが計画を書き、小さいモデルが実行し、大きいモデルが結果をレビューするという分業を行っている。

契約レビューのように「大量・高頻度・専門判断が絡む」業務でも、単一モデルで全部処理するのではなく、タスクの複雑さに応じて複数のモデル構成を使い分け、さらに提案の採用率という実利用データで効果測定する設計が有効という点。加えて「大モデルが計画・小モデルが実行・大モデルがレビュー」という3層分業パターンは、社内の開発生産性向上にもそのまま横展開できる考え方。

Square/Cash App/Afterpayを運営するBlockが、社内製のオープンソースAIエージェント「codename goose」にClaude(Databricks経由)をデフォルトモデルとして組み込み、全社に展開した。gooseはMCP経由で社内DB・データ基盤(Beaconなど)や業務システムに接続し、非エンジニアでもSQL生成やデータ分析、業務チケット対応などを自然言語で行えるようにした。OAuthの短期認証でAPIキー管理なしに全従業員へのアクセスを実現し、タスクに応じてClaude 3.5 SonnetとClaude 3.7 Sonnetを使い分けている。

社内のコーディング支援ツールとして始まったgooseが、Claudeとの組み合わせで「非技術者がデータ課題を自力で解決する」全社基盤へと役割を拡張した点が示唆。セキュリティ(OAuth短期認証でAPIキー配布不要)とモデル切替の柔軟性が全社展開のボトルネックを外した。

スイスのプライベートバンクPictet(運用資産CHF約8000億、従業員1500名の技術部門を中心に展開)がAnthropicパートナーのArtefactと組み、Claude CodeとClaude Cowork(非エンジニア向け)を段階的に導入。ハッカソンを起点に半日ワークショップを25回開催し500名超が受講。リスク・情報セキュリティ・データ保護チームと3年かけて築いた関係のもと、ペルソナ・ユースケース別のロールアウトでリスク承認を得た。ビジネス用途のデータ処理はEU/スイス域内に限定し、モデル学習へのデータ利用も禁止。

大手金融機関がコンプライアンス・インフラ・プロダクト管理など非エンジニア職を含む700名規模でClaude Codeを展開し、従来数週間かかっていた規制ギャップ分析や社内ツール開発を数時間〜数分に短縮した実例。ライセンス配布だけでなく研修(ワークショップ25回・500名超)とペルソナ別ロールアウトでリスク部門との合意を作った点が、規制の厳しい業界での展開モデルとして参考になる。

エンジニアのMartin Prins氏(magarcia.io)が、本番障害の原因究明にClaude CodeのAgent Teams機能を使用。Datadog・Slack・SentryをMCP連携した上で「原因究明のためのagentチームを作って」という一文のプロンプトのみを渡すと、Claude Codeがインフラ指標調査・エラートラッキング調査・コード変更調査・チームコミュニケーション調査を担当する4体のagentを自ら設計・生成し、並列で調査を実行した。

並列agent調査は壁時計時間で約10分に完了し、人力での同種調査(30〜45分)より大幅に速い一方、コストは並列agent調査が8〜10ドル相当のAPIクレジットで単一セッション調査(2〜3ドル)の3〜4倍かかる。著者は「複雑で仮説が複数絡む障害でなければ割に合わない」と費用対効果の線引きを明示しており、単なる高速化事例ではなく並列化のコストとリターンを定量で語っている点に実務的価値がある。

Deepgram's engineering team wove Claude Code into their agentic engineering workflow for building voice AI infrastructure, using it for both feature development and incident response/triage rather than treating it as a one-off code generator.

The clearest gain came from process speed and code robustness compounding together: incident triage that used to take days now takes minutes, and engineers who lean heavily into Claude ship code that holds up 4-10x better (fewer regressions/breakages) than before.

curl -sL (UA偽装) で生HTMLを取得、<title>/canonical/og:urlで対象記事一致を確認後、全<p>タグをpython正規表現で抽出してタグ除去・本文を全文実測(28段落)。「20%増」「15%減」「13.9%」の3数値は本文・grep結果に一切出現せず(前回reject理由を追試再確認)。

Goldman Sachsは2025年にCognition社の自律型コーディングエージェントDevinを技術部門全体に本番導入し、12,000人のエンジニアと並走させた。2026年にはAnthropicのClaudeも取引・クライアント審査業務向けに追加導入。ただしGoldman固有の生産性数値は非公開で、報じられている数値の大半はCIOの自己申告(3-4倍)か、Cognition社が自社の顧客基盤全体を対象に行った(Goldman固有ではない)性能レビューの数値。Cognition自身のレビューでも「Devinはコード理解ではシニア級だが、目的が曖昧な場面での実行力はジュニア級」との限界も認めている。Bloomberg Intelligenceは米銀行セクターで最大20万人(主にジュニア職)の雇用喪失リスクを指摘しており、記事全体としてはメリットと労働市場への懸念が併記された「mixed」なトーン。

OpenAIが自社ブログ記事/論文で公開したデータをThe Register(記者Thomas Claburn)が報道。社内でCodexを使う従業員が2025年8月の約40%から97.9%へ増加。法務・採用など非技術部門もCodexを主要AIツールとして使用するようになったと説明。非開発者による利用は2025年8月比で個人137倍・組織ユーザー189倍・社内12倍に増加。

エンジニア以外の職能(特に法務)への展開速度が定量化されている点が示唆的。2026年6月時点で法務担当者の月間出力トークン数が2025年11月比13倍に増加しており、コーディングツールが非エンジニア部門の定型作業(自動化・データ変換・データ分析)へ染み出す過程のロールモデルになる。ただし記事自体はOpenAIの自己申告データの紹介であり、The Register記者は「法務チームの13倍のトークン増加の割に、OpenAIへの連邦訴訟件数は同期間で11%increase(35→39件)にとどまる」と皮肉交じりに指摘しており、生産性向上が実際の訴訟対応成果に直結したかは記事内で検証されていない。

VercelのDistinguished Engineer Joe Haddadが、新しいイベントストリーミング基盤「Vercel Queues」をCursorだけで構築。社内ドッグフーディングで得た知見をもとに、アーキテクチャを3回作り直しながら仕上げた。

作り切ってから直すのではなく、Cursorで素早く3回書き直す前提で使うことで、PRのスループットとサイクルタイムの両方が改善した。作り直しコストの低さが速度に直結している。

AIコーディング企業AugmentがGoogle Cloud上でClaude Platform(Sonnetモデル)を統合。共同創業者Scott Dietzenは「Building an AI that's a novice with your software isn't valuable」と述べ、コードベースへの専門家レベルの理解を目指す設計思想を説明。Sonnetは他のコードモデルにない能力を持つとして、週末のうちに本番をClaudeへ切り替えた。Chief Scientist Guy Gur-Ariは「Everything stays inside Google Cloud」とセキュリティ面を、CTO Igor Ostrovskyは「Google's core cloud services are stable—no networking or DNS issues」と信頼性を評価。Claudeに加え5-6の追加AIモデルを組み合わせ、コンテキスト理解・影響分析・コード再利用・ドキュメント生成・変更伝播を行う。

エンタープライズの大規模コードベースを深く理解するAIコーディングツールは、単なるコード補完を超えてプロジェクト期間そのものを月単位から週単位へ圧縮できる。開発者オンボーディングの短縮(数週間→1-2日)は、新規参画者の生産性立ち上げコスト削減という採用・スケール面でのROIを示す好例。

Claude CodeをテストフレームワークにCLI経由で接続し、テスト失敗を分析→コード修正→再実行を自動化。コードベース全体のドキュメント自動生成。同一コードベースで複数のClaude Codeセッションを並列実行し開発ボトルネックを解消。Datadog/Sentryなど観測基盤にMCP経由で接続し、インシデント時にログ・エラーレポート・メトリクスを自律的に集約するインシデント対応ツールを構築。プロジェクト管理システムと直結しチケットからコード実装まで自動化。非エンジニアがSnowflakeデータウェアハウスを自然言語で照会。

フィンテック企業でのClaude Code全社展開事例。開発フェーズ(テスト自動化・並列セッション)だけでなく、インシデント対応(MCP経由でDatadog/Sentry接続)やデータ分析(非エンジニアのSnowflake自然言語照会)までAIが横断適用されている点が特徴。

元Instagram/Metaのエンジニアが創業したAIコードレビュープラットフォームcubicが、Claude Sonnet 4をAPI経由で組み込み、プルリクエストへの自動レビューコメント生成を実装。コードベースを探索・問題発見できるツール群を与える設計で多言語対応する。

人間のレビュアーがラップトップでコードを見るのと同様、ナビゲーションツール一式を与えて自律的にコードベースを探索させる設計により、初回レビューの高速化と高いポジティブ評価率を両立した。

35万行超の本番コードベース(PHP/TypeScript/React/Terraform/Python)の唯一のメンテナである著者が、2025年8月からClaude Codeを主要な実装エンジンとし、週次のコミット・LOC・デプロイ数を計測した。

1人のエンジニアが全変更をレビューする体制でも、AIエージェントが大規模本番コードベースの変更の大半を書きながら、出荷ペースは劣化せずむしろ向上できることを示す。