GitHub Actionsのworkflow lockfileがGA。更新漏れとオンボードし忘れを、CI・Dependabot・ポリシーでどう止めるか試す | DevelopersIO

GitHub ActionsのSHAピン留めを設定で強制する。何が止まるか、lockfileならタグのまま通せるかを試す | DevelopersIO

GitHub ActionsのSHAピン留めは設定で強制できます。タグ参照のほか、composite actionの中のタグ参照でも止まりました。GAになったworkflow lockfileならタグのまま通ることを確かめ、フルSHAへの書き換えとの使い分けを整理します。

Claude Code、承認ルールにパスワードが残る ApiiroとGitGuardianが公開GitHubで確認

Claude Codeで「Yes, and don’t ask again」を選ぶと、承認したルールがパスワードを含んだまま保存されることがある。Apiiroは公開GitHubで本物と判定した秘密情報を含む1,122ファイルを、GitGuardianは検出時に有効な5,343件を確認した。仕組みと確認手順を解説する。

新 GitHub Actions 入門 - 生産性向上ブログ

新バージョンの GitHub Actions についていろいろ調べたり動かしてみたりした内容をまとめます。

GitHub、オープンソースのコードを1000年以上にわたって保存する「GitHub Archive Program」発表。北極圏の非武装地帯永久凍土層地下250mに保管庫を設置

GitHubは、オープンソースは現在の文明の基盤であり人類の共有財産であるとして、このコードを次世代の人類に確実に残していくための「GitHub Archive Program」を発表しました。 「GitHub Archive Prog...

Microsoft、「Copilot harness」を発表 ～「GitHub Copilot」基盤を全社共通化、プレビュー提供／「GitHub Copilot SDK」は「Microsoft Copilot SDK」に

米Microsoftは10月28日（現地時間）、「Microsoft Copilot harness」を発表した。傘下のGitHubで開発が進められていた「GitHub Copilot」由来のエージェント実行基盤を全社共通化したもので、「Microsoft Foundry」にてパブリックプレビューとして提供される。

AI エージェントの並列開発で膨らんだ GitHub Actions の費用を、AWS Fargate のセルフホストランナーに移して約3割削減した話 | DevelopersIO

AI エージェントの並列開発でプルリクエストが1日90本ほどに増え、GitHub Actions の費用が膨らんで組織の上限で CI が止まりました。CI を AWS Fargate のセルフホストランナー（JIT ランナー）に移し、CI 1分あたりの費用を約3割下げた仕組みと実数値を紹介します。

Github AppのWebhookを使って使用できるOrganizationを制限する | DevelopersIO

複数のOrganizationで使用するGitHub Appを全公開で公開しつつ、特定のOrganization以外での利用を制限する方法を紹介します。Webhookとサスペンド機能を組み合わせた実装方法について解説します。

DependabotでAgent Package Manager（APM）の依存を更新する：apm.ymlの書き方ごとに何が書き換わるかを確かめた | DevelopersIO

DependabotがAgent Package Managerに対応しました。ローカルのDependabot CLIで、apm.ymlのタグ・コミットSHA・ブランチの各ピンとapm.lock.yamlがどう書き換わるか、更新されない書き方とあわせて確かめました。

Lock your GitHub Actions

Because GitHub Actions are fetched from Git, the previous advice was to pin to a full SHA instead of a tag. This is because tags are mutable and susceptible to supply-chain attacks where an attacker points a previously safe tag at malicious code.

Code Repository - Git Source Control | Harness

Host Git repositories in Harness, manage pull requests, and connect every commit to secure CI/CD workflows with source-to-deploy traceability.

A GitHub for maintainers

Giving dependencies the same treatment the fork got

GitHubが従来比180倍のスループット性能向上を実現へ、来年初頭に。AIエージェント時代に対応。GitHub Universe 2026

GitHubは、米サンフランシスコで10月28日と29日の2日間開催した年次イベント「GitHub Universe 2026」で、AIエージェント時代に対応した大幅な性能向上を実現することを明らかにしました。 性能向上はGitHubの基盤...

Humans approve intent, machines prove conformance

The pull request assumes a human wrote the diff. gittifacts is my attempt at a git platform for when agents write most of it.

Claude Code の回答完了を macOS の通知で受け取り、クリックで作業中のウィンドウに戻れるようにしてみた | DevelopersIO

Claude Code の作業完了を見落とさないように、フックと terminal-notifier を組み合わせて macOS 通知の仕組みを作ってみました。通知をクリックすればプロジェクトのウィンドウに戻れる工夫を紹介します。

A Categorical Theory of Patches

When working with distant collaborators on the same documents, one often uses a version control system, which is a program tracking the history of files and helping importing modifications brought by others as patches. The implementation of such a system requires to handle lots of situations depending on the operations performed by users on files, and it is thus difficult to ensure that all the corner cases have been correctly addressed. Here, instead of verifying the implementation of such a system, we adopt a complementary approach: we introduce a theoretical model, which is defined abstractly by the universal property that it should satisfy, and work out a concrete description of it. We begin by defining a category of files and patches, where the operation of merging the effect of two coinitial patches is defined by pushout. Since two patches can be incompatible, such a pushout does not necessarily exist in the category, which raises the question of which is the correct category to represent and manipulate files in conflicting state. We provide an answer by investigating the free completion of the category of files under finite colimits, and give an explicit description of this category: its objects are finite sets labeled by lines equipped with a transitive relation and morphisms are partial functions respecting labeling and relations.

Claude Codeの「次回から確認しない」に落とし穴、APIキーやパスワードがGitHubに流出

Claude Codeでコマンド実行の確認を省略すると、引数の平文トークンがローカル設定に保存され、Gitの除外破綻により公開リポジトリへ流出する問題が判明した。約1,100件の露出事例から、多層防御の課題と即時無効化の手順を解説する。