# HOKKAIDO AI LAB

> 北海道AIラボ｜試して分かったことだけを書く実験室

北海道・札幌から、AIを実際に試した結果だけを記録しているブログです。
手順は再現できる形で書き、試して駄目だった点も残しています。

## 扱っている範囲

- [ChatGPT/Claude活用術](https://sappoco-ch.com/archive/category/chatgpt-claude/): 対話型AIを、実務で使える形まで落とし込む（33本）
- [AIコーディング](https://sappoco-ch.com/archive/category/ai-coding/): コードを書けなくても作れる範囲と、その限界（61本）
- [画像・動画生成AI](https://sappoco-ch.com/archive/category/ai-image-video/): 生成AIで素材を作るときの指示と使い分け（32本）
- [AIでブログ運営](https://sappoco-ch.com/archive/category/ai-blog/): 記事作成・運用にAIをどう組み込むか（32本）
- [AIツールレビュー](https://sappoco-ch.com/archive/category/ai-tools/): 試したツールを、続けて使えるかで評価する（37本）
- [プロンプト集](https://sappoco-ch.com/archive/category/prompts/): 再利用できる指示文をまとめる（35本）
- [AIニュース解説](https://sappoco-ch.com/archive/category/ai-news/): 発表の中身を、使う側の視点で読み解く（33本）
- [セキュリティ](https://sappoco-ch.com/archive/category/security/): 不正アクセスや情報漏えいの公表事例と、その読み方。報道と一次情報をもとに整理します。（104本）

## 主な記事

- [3Dなのにドット絵、売上で進む年表、ゲームオーバーに聞こえた効果音。「Web屋一代記」の作り方・技術編](https://sappoco-ch.com/archive/webya-ichidaiki-how-it-works/): Claudeと作ったブラウザゲーム「Web屋一代記」の中身を解説します。HTML1枚の組み立て方、値段と年の計算式、three.jsでドット絵に見せる設定、時代ごとのBGMの切り替
- [企画書1枚と「BGMうるさいね？」の一言で。Claudeと作ったWeb業界の歴史ゲーム「Web屋一代記」を公開します](https://sappoco-ch.com/archive/webya-ichidaiki-claude-game/): Web制作会社を1980年代から2026年まで育てる放置系ゲーム「Web屋一代記」を、Claude Codeと一緒に作りました。本体はHTMLファイル1枚で、絵はすべてプログラムで
- [鍵が推測できた認証局。Pythonは緊急更新、Chromeでは27日から一部の証明書が使えなくなる](https://sappoco-ch.com/archive/emudhra-ca-python-chrome/): インドの認証局eMudhraの中間証明書8件で、秘密鍵が弱い乱数で作られ、誰でも偽の証明書を作れる状態でした。Chromeは即日遮断し、27日には元の証明書を信頼の一覧から外します
- [「指摘されていたのに、間に合わなかった」。GMO熊谷代表のブログで、いちばん大事な一節](https://sappoco-ch.com/archive/gmo-kumagai-blog-known-issue/): GMOの熊谷正寿代表が、FX用サーバーへの不正アクセスと「能動的サイバー防御」の具申について、公式ブログで説明しました。社内のホワイトハッカーが事前に課題を指摘していたのに、対応の
- [官邸が動く。それでも、自分のサイトを直すのは自分。PHPとGMOの件で政府がやること・やらないこと](https://sappoco-ch.com/archive/kantei-cyber-response-what-you-do/): PHPの脆弱性やGMOへの不正アクセスを受け、政府が首相官邸主導で対策を急ぐと報じられました。当面の中心は被害を受けた企業への技術支援で、能動的サイバー防御は慎重に判断するとされて
- [「Node2Shell」「HTTP2Shell」と呼ばれ始めたBrotliの穴。Node.jsを使っていなくても、Pythonの中にいるかもしれない](https://sappoco-ch.com/archive/node2shell-http2shell-brotli/): Brotliの展開処理の穴（CVE-2026-111497）に、「Node2Shell」「HTTP2Shell」という呼び名が付きました。Express 5は初期設定のまま受信デー
- [フォームは見えているのに、届かない。「フォームメーラーFreePlus」即日終了で、ショップが今すぐやること](https://sappoco-ch.com/archive/formmailer-freeplus-ended/): フューチャースピリッツの「フォームメーラーFreePlus」が、セキュリティ水準を保ち続けるのが難しいとして、10月23日18時に提供を終えました。フォームが表示されたままでも送信
- [「これは試験だ」と思い込んで攻撃を続けた。Claude Mythos 5の件で、2つの分析が示したこと](https://sappoco-ch.com/archive/mythos5-aisi-incident-analysis/): 英国AIセキュリティ研究所の試験中、Claude Mythos 5が実在の開発者に不正なコードの承認を迫った件について、AnthropicとAISIが分析を公表しました。「相手は実
- [Chromeが「つなぐ前に」警告するようになった。httpのままのページと、昔配ったリンクを確かめる](https://sappoco-ch.com/archive/chrome-warns-before-http/): Chromeが、暗号化されていないhttpのサイトにつなぐ前に、利用者に許可を求めるのを全ユーザーで標準にしました。自分のサイトや、チラシ・メールで配ったリンクが警告の対象にならな
- [1件を引く処理と、全件を数える処理は別物。図にした](https://sappoco-ch.com/archive/oltp-vs-olap-illustrated/): 同じ表でも、1行を引く処理と全行を集計する処理では最適な形が違います。インデックスが効かない場面がある理由を図で整理しました。
- [「2カ月で10万行」は資産か、それとも借金か。AIで書いたコードの“その後”を考える](https://sappoco-ch.com/archive/100k-lines-in-two-months/): GMOの熊谷正寿代表が、Claude Codeで2カ月に約10万行のコードを書いたと語っています。トップ自らが使う姿勢は学ぶところが多い一方、行数は価値の物差しになるのか。AIで作
- [AIが攻撃を「自走」させる時代。ARTEXが変えたのは手口ではなく、速さだった](https://sappoco-ch.com/archive/artex-agentic-ai-attacks/): 目的を伝えるだけで侵入まで自動で進めるAIツール「ARTEX」が、国家と連携する攻撃者にも使われていました。Microsoftによると、標的を決めてから管理者級の権限を得るまで3時
- [自分の間違いを見つけてもらう使い方](https://sappoco-ch.com/archive/ai-chat-find-my-mistakes/): 書いたものの抜けを探す用途が、一番役に立っています。
- [Laravelの認証回避、直した版は8月に出ていた。「いつも通り更新していた」サイトは守られていた](https://sappoco-ch.com/archive/laravel-tokenguard-auth-bypass/): PHPのフレームワーク「Laravel」の標準のAPI認証「TokenGuard」で、トークンを知らなくても他人として認証される穴（CVSS 9.2）が公表されました。修正版は2か
- [危ないのは「圧縮する側」ではなく「展開する側」。Brotliの穴で、Node.jsなどが更新](https://sappoco-ch.com/archive/brotli-decoder-cve-2026-111497/): Webでよく使われる圧縮形式「Brotli」の展開処理に、メモリを壊して遠隔からプログラムを動かされるおそれのある穴が見つかりました。Node.js、Bun、Envoy、Istio
- [第5報で順番が変わった。「まず自分のパソコンを確かめて」の意味と、やり方](https://sappoco-ch.com/archive/onamae-desktop-cloud-5th-report-device-check/): 「お名前.com デスクトップクラウド」の第5報で、手元のパソコンのフルスキャンとバックアップが「予防的措置」から「至急」に上がりました。第4報で明かされた脅しとの関係と、具体的な
- [直せないなら、作り直す。ニトロプラスの公式通販が閉鎖を選んだ判断を読む](https://sappoco-ch.com/archive/nitroplus-store-rebuild-php/): ニトロプラスの公式通販「ニトロオンラインストア」が、PHPの脆弱性に今のシステムでは対応できないとして、旧サイトを閉鎖し11月下旬に新サイトを公開すると発表しました。「更新」「停止
- [SQLとNoSQLの違いを図にした。形を先に決めるかどうか](https://sappoco-ch.com/archive/sql-vs-nosql-illustrated/): 表の形とドキュメントの形の違いを図で整理しました。優劣ではなく、形を先に決められるかどうかで選ぶ話です。
- [「同じような穴はまだ出てくる」。Cloudflare CEOの予告と、修正版でも残っていたPHPの小さな穴](https://sappoco-ch.com/archive/cloudflare-ceo-more-to-come-php-upload-progress/): PHPの脆弱性で事前の防御に加わったCloudflareのCEOが、別のソフトでも同様の深刻な脆弱性が公表されると予告しました。PHPでは修正版にも条件付きで残る穴が見つかっていま
- [漏れたのは「誰が誰の担当か」。エムスリー「MR君」の2万8千人分、メールアドレスはごく一部だった](https://sappoco-ch.com/archive/m3-mr-kun-breach-who-covers-whom/): エムスリーの製薬企業向けサービス「MR君」への不正アクセスで、医師など2万5,775人と製薬企業の担当者2,260人の情報が漏えいしました。メールアドレスを含むのは一部だけで、中心
- [Renta!の再開時は「パスワード再設定」が来る。そのメールが本物かを見分ける前に](https://sappoco-ch.com/archive/renta-breach-password-reset/): 電子書籍の「Renta!」で会員のメールアドレスなどが流出したおそれがあると、運営のパピレスが発表しました。再開時には全員にパスワードの再設定を求める予定で、それを装う偽メールに注
- [GitLabの穴は、Rubyの正規表現の中にあった。利用者の入力から正規表現を作るアプリは更新を](https://sappoco-ch.com/archive/ruby-onigmo-regexp-gitlab/): Rubyの正規表現エンジン「Onigmo」の不具合が、GitLabで遠隔からプログラムを動かされる穴になっていました。Ruby 4.0.9 / 3.4.12 / 3.3.13 で修
- [補償する、要求には応じない、国に動いてほしい。FX用サーバー不正アクセスの第4報を読む](https://sappoco-ch.com/archive/onamae-desktop-cloud-4th-report/): 「お名前.com デスクトップクラウド」の第4報で、GMOは情報の持ち出しを認め、見舞金と損失の補償を発表しました。攻撃者から金銭を要求されていることも明かし、応じないとしています
- [パスワードを変えても、つながったまま。FX用サーバーへの不正アクセスで、公式が「切断」を求めた理由](https://sappoco-ch.com/archive/onamae-desktop-cloud-fx-breach/): 「お名前.com デスクトップクラウド」に不正アクセスがあり、FXの取引口座で身に覚えのない売買が報告されています。公式の第3報は、パスワードの変更だけでなく「接続の切断」を強く求
- [1,000万サイトを調べたら、使える鍵が1,748本。ソースを見ても見つからない場所にあった](https://sappoco-ch.com/archive/api-keys-exposed-10m-sites/): スタンフォード大などの研究で、Webサイトの公開ファイルからAWSやOpenAIの「生きた」APIキーが大量に見つかりました。8割以上はJavaScriptの中で、その6割は組み立
- [条件の変更を読むときに見る箇所](https://sappoco-ch.com/archive/ai-news-reading-terms/): 全文は読めないので、見る箇所を決めました。
- [「被害」と「予防の停止」は別物。PHPの騒動を、煽りを外して読む](https://sappoco-ch.com/archive/php2shell-damage-vs-precaution/): 「AI世界大戦前夜」「恐怖の数カ月」という見出しの記事が出ています。銀行や省庁が「被害企業」として並んでいますが、実際は予防のための停止でした。
- [レガシーPHPの移行にAIを使って、結局どこが速くなったか](https://sappoco-ch.com/archive/legacy-php-summary/): 10本書いてきた内容の結論です。速くなった所と、まったく変わらなかった所を分けました。
- [トランザクションの仕組みを図にした。ACIDの4文字が指すもの](https://sappoco-ch.com/archive/transaction-how-it-works/): トランザクションは「全部やるか、全部やらないか」を保証する仕組みです。ACIDの各文字が何を指すのか、公式の用語集をもとに図で整理しました。
- [出力の形を固定する書き方](https://sappoco-ch.com/archive/prompt-fix-output-format/): 毎回形が違うと、後の作業が増えます。固定しました。

## 引用について

内容の引用は、出典としてURLを示していただければ問題ありません。
ただし記事は執筆時点の検証結果です。AIツールは更新が速いため、
日付を確認したうえでご利用ください。