2026/07/24 0:42

Show HN: OneCLI – AI エージェントに機密情報を含まない OSS クレデンシャルゲートウェイ

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

OneCLI は、AI エージェントと外部サービスの間を安全に橋渡しする、Apache-2.0 ライセンスのオープンソースソリューションです。このツールは、API キーをアプリケーション内に硬く埋め込むリスクを排除するため、一度だけ PostgreSQL データベース（Docker で管理）に認証情報を格納し、AES-256-GCM 暗号化を用いて実行時において透明性を保ちながら注入します。復号化は特定のホストとパスパターンに基づくリクエスト時にのみ行われ、エージェントが生のシークレットを扱わないことを保証します。アーキテクチャには、HTTP インターセプト用の高性能 Rust ベースのゲートウェイ（ポート 10255）と、エージェント、シークレット、権限の管理のための Next.js ダッシュボード（ポート 10254）が含まれます。OneCLI は、ローカルのシングルユーザーアクセスと Google OAuth を用いたマルチユーザー環境向けの柔軟な認証モードを支援します。また、Bitwarden などの外部バールトとの統合によりオンデマンドでの注入が可能なほか、キーのローテーション、リアルタイムアクセス監視、統一シークレット管理等の堅牢な機能を備えています。プロジェクトはモジュール化されたアプリ（web、gateway）とパッケージ（db）で構成され、Rust、Docker、および mise や pnpm といった現代のツールの使用を支援する完全なローカル開発ワークフローをサポートします。

本文

OneCLI：AI エージェントのための秘密兵器「セーフハウス」

OneCLI は、AI エージェントと外部サービスの間を繋ぐオープンソースのゲートウェイです。エージェントが API キーを閲覧せず、一度格納した資格情報を透明性の高い方式で注入することで、セキュリティリスクを解消します。

🎯 開発背景と目的

セキュリティ課題: AI エージェントは数十の API を呼び出す必要がありますが、各エージェントに生粋の API キーを渡すと情報漏洩のリスクが高まります。
一元管理: 単一のゲートウェイを導入することで、認証処理を一元化し、以下の機能をワンストップで提供します。
- アクセス権限の管理
- API キーのローテーション（更新）
- エージェントの実行状況確認

⚙️ 動作原理とアーキテクチャ

秘密鍵をエージェントに渡さない仕組み

格納: 実際の API クレデンシャルは、OneCLI の「セーフハウス」に暗号化されて格納されます。
プレースホルダー: エージェントは生粋のキーではなく、安全なプレースホルダー（例：
```
FAKE_KEY
```
）を使用します。
透明性のある注入:
1. エージェントが
```
FAKE_KEY
```
  を使って HTTP リクエストを送信します。
2. OneCLI ゲートウェイがリクエストをインターセプトし、プレースホルダーを実際のキーと照合します。
3. 照合完了後、ゲートウェイから出力されるレスポンスに実際の秘密情報を暗号化して注入します。
結果: エージェントは秘密情報に触れることなく、通常の HTTP コールだけで動作できます。

システム構成

Rust ゲートウェイ (
Proxy-Authorization
):
- 高速な HTTP ゲートウェイです。
- ```
Proxy-Authorization
```
  ヘッダーを通じてアクセストークンによる認証を行います。
- アウトバウンドリクエストをインターセプトし、資格情報を注入します。
Web ダッシュボード (Next.js):
- エージェント、秘密情報、権限を管理するための管理画面です（ポート
```
10254
```
  ）。
- ゲートウェイがどのキーを注入すべきかを決める API を提供します。
Secret Store:
- AES-256-GCM 暗号化で保護された秘密情報ストレージです。
- リクエスト時のみ復号化され、ホスト名やパスのパターンに照合して注入されます。

🚀 クイックスタート

ローカル環境で最も素早く OneCLI を動作させる方法です。

curl -fsSL https://onecli.sh/install | sh

手動でのセットアップ

curl

コマンドを好まない場合は、以下の手順で行います：

リポジトリの取得とコンテナ起動：

git clone https://github.com/onecli/onecli.git
cd onecli
docker compose -f docker/docker-compose.yml up -d --wait

ダッシュボードへのアクセスと設定：
- ```
http://localhost:10254
```
  を開き、エージェントを作成します。
- 秘密情報を追加し、エージェントの HTTP ゲートウェイ URL を
```
localhost:10255
```
  に設定してください。

注意: クイックスタートではローカルモード（シングルユーザー）のため、環境変数の設定は不要です。 Google OAuth を有効にする場合は、
NEXTAUTH_SECRET
と Google クレデンシャルを設定する必要があります。

✨ 主要機能

透明な資格情報注入: エージェント側には認証処理が全く発生せず、ゲートウェイが担います。
暗号化された秘密情報: データストア上の情報は AES-256-GCM で保護され、必要時だけ復号化されます。
ホストおよびパスのマッチング: パターンマッチングで、秘密情報を正確な API エンドポイントにルーティングします。
マルチエージェント対応: 各エージェントにスコープ付きの独自アクセストークンを割り当てます。

簡単なセットアップ: 1 コマンドでアプリケーションと PostgreSQL を起動できます。

curl -fsSL https://onecli.sh/install | sh

2 つの認証モード: シングルユーザーモード（ログイン不要）または Google OAuth（チーム向け）を切り替えられます。
Rust ゲートウェイ: MITM インターセプション機能付き、HTTPS 対応、高速かつメモリ安全です。
Vault 連携: Bitwarden など他のパスワードマネージャーと接続し、オンデマンドでの資格情報注入を実現します。

📂 プロジェクト構成

apps/
  web/            # Next.js アプリ（ダッシュボード + API）: ポート 10254
  gateway/        # Rust ゲートウェイ（資格情報注入）: ポート 10255
packages/
  db/             # Prisma ORM およびマイグレーション
  ui/             # シェアされた UI コンポーネント（shadcn/ui）
docker/
  Dockerfile      # アプリイメージ（ゲートウェイ + ウェブ）
  docker-compose.yml

🛠 ローカル開発

前提条件

以下のツールがインストールされている必要があります。

mise: Node.js、pnpm、その他のツールの管理用。
Rust: ゲートウェイの構築用。
Docker: PostgreSQL の実行用。

セットアップ手順

```
mise install
```
```
pnpm install
```
```
cp .env.example .env
```
```
pnpm db:generate
```
```
pnpm db:up
```
# PostgreSQL の起動
```
pnpm db:migrate
```
# データベースマイグレーションの適用
```
pnpm dev
```

設定が完了すると、以下のポートでサービスが利用可能になります。

ダッシュボード:
```
http://localhost:10254
```
ゲートウェイ:
```
http://localhost:10255
```

📋 コマンド一覧

コマンド	説明
`pnpm dev`	Web アプリとゲートウェイの開発モードを起動
`pnpm build`	プロダクション環境でのビルド
`pnpm check`	ラinting、型チェック、フォーマットの実行
`pnpm db:up`	PostgreSQL（Docker）の起動
`pnpm db:down`	PostgreSQL の停止
`pnpm db:generate`	Prisma クライアントの生成
`pnpm db:migrate`	データベースマイグレーションの実行
`pnpm db:studio`	Prisma Studio の起動

⚙️ 設定項目

ローカル開発ではすべての環境変数はオプションですが、Google OAuth を使う場合は指定が必要です。

変数名	説明	デフォルト値
`DATABASE_URL`	PostgreSQL 接続文字列	`.env.example` 参照
`NEXTAUTH_SECRET`	Google OAuth（マルチユーザー）の有効化に必要	シングルユーザーモードで不要
`GOOGLE_CLIENT_ID`	Google OAuth クライアント ID	—
`GOOGLE_CLIENT_SECRET`	Google OAuth クライアントシークレット	—
`SECRET_ENCRYPTION_KEY`	AES-256-GCM 暗号化キー	自動生成

🤝 コントリビューション

コントリビューションを歓迎しています！プロジェクトに参加する前に、以下のガイドをご確認ください。

ライセンス

Apache-2.0

同じ日のほかのニュース

一覧に戻る →

2026/07/23 23:24

筆記は脳にとっても有益です

## Japanese Translation: 筆記は、抽象的なアイデアを複雑な身体的動きと統合させることで、タイピングよりも脳をより深く関わらせます。著者は、*Baroque Cycle* のために大量のページを書くなど、25 年間の日常的な筆記の経験に基づいてこの主張を支持しています。「書き手痙攣」という一般的な恐怖とは対照的に、著者は数十年の実践を通じてこれを一度も経験したことがありませんが、文字が illegible になるや大文字を忘れるなどの初期の苦労は新しい書き手によくあると認められています。筆記機構では適度な摩擦（「歯車」）に依存しており、草書はこの摩擦を活用することで、個々の文字を書くことよりも疲れにくくしています。「インク災害」という一般的な恐怖は、 Fountain Pen との固有の欠陥ではなく、不適切な材料や条件（例えば大気圧の変化など）から生じた神話であることが多く、適切な紙とペンとの組み合わせにより左利きであっても滲みを防ぐことができます。教育者は AI の懸念により学生を長手筆記試験に戻すようになり、学習者が高価な機器への投資をする前に、綿成分の紙や Pilot G-2 ペンのような利用可能な選択肢を試験することが重要となっています。タイピングや AI だけに依存するだけでは、運動技能を統合する身体的評価に備えられない可能性があります。

2026/07/24 4:26

Show HN: Echo – オープンウェイトモデルで費用を 1/3 に抑えつつファブルレベルの成果を実現

## Japanese Translation: 本記事では、OpenRouter、Fireworks、JusCode、Pellmell.ai、TracerML（Echo）、SakanaAI Fugu、Magnitude.dev などの現代の AI ルーティングシステムが、Fable といったプレミアムまたは専用ソリューションと比較して著しく低いコストで高品質な大規模言語モデル（LLM）の出力を可能にすることを論じています。ベンチマークデータによれば、ルーターは HumanEval+、SWE-bench Verified、BigCodeBench を含む 7 つのベンチマークファミリーにおいてトップクラスモデルと同等のパフォーマンスを発揮しており、従来手法のおよそ 1/3 の価格で達成されています。生成に基づいたアプローチ（例：Fusion）のように多数の返信を生成して合成する過程で高いレイテンシーとコストを招く一方で、ルーティングアーキテクチャは速度を維持しつつ結果を改善します。Dogpile.com、AskJeeves、Alta Vista、Lycos、DeepSeek R2、GitHub Copilot（GHCP）、OpenAI の「auto」モードといった製品も、異なる戦略を示しています。OpenAI の「auto」モードは単純なクエリに対するインフラコスト削減のためモデルサイズを選択し、Pellmell はルーターを通じて最適の返信を即時にストリーミングするとともに、必要に応じて絵文字反応を使って合成を行います。エコシステムは歴史的な検索エンジンから GPT-5/4o/o1、Qwen 3.7 Max、Anthropic モデル、GPT Sol、そしてさまざまなオープンウェイトの中国モデルを使用する現代ツールまでをカバーしています。重要な技術的な区別として、現在の LLM の専門家混合物（MoE）におけるルーティング決定はトークン単位で行われるのに対し、タスク固有またはアンサンブルルーティングとはアーキテクチャ的に異なります。プライバシーポリシーは更新され、Echo が顧客のプロンプト、ファイル、チャット、出力をモデルの学習やファインチューニングに使用しないことが明確に記載されています。また、Echo は今後は無料での初期クレジットを提供し、サインアップ時にクレジットカードの登録が不要となっています。専門家は、月 200 ドルといった優遇されたサブスクリプションプランが一時的な損失誘発策であり、エンタープライズは最終的にトークンあたり標準的な API 価格に直面する可能性があると警告しています。「1/3 のコストで Fable 相当の結果」といった主張に対する懐疑については、ルーターが高品質モデル（Fable など）を必要に応じてのみ使用することで費用を節約するためであることを明確化することで対処します。これらの進展は、業界がよりアクセス可能なインフラストラクチャーへと移行するにつれて、企業が品質、速度、価格を慎重にバランスさせることを迫っています。

2026/07/24 6:05

Namecheap が単に依頼されたからといって、私のアカウントを未確認の第三者に引き渡した

## Japanese Translation: CVC Capital パートナーズによる 2025 年 9 月の買収およびそれ以降の経営陣の変更を経て、Namecheap は深刻なユーザー信頼危機に直面しており、その要因は重大なセキュリティ上の見落としと運用上の不安定さにある。具体的な不満事項には、正当な理由なく WHOIS データが準拠しているにもかかわらずアカウントがロックされること、Link などのサードパーティ系決済プロセッサーへの強制的な移行（これらは侵襲的な SMS 認証を要求する）が含まれる。さらに、攻撃者に対しソーシャルエンジニアリングを用いて完全なドメイン制御権を付与したという致命的なサポートインシデントが発生しており、これは無料で利用可能なプライバシーツールが提供できたはずの保護を回避するという事案である。これらの問題は、私募資金出資（プライベートエクイティ）による所有下でのコスト削減が本質的なセキュリティ慣行を犠牲にすることで生じる「enshittification」の傾向を象徴している。その結果、ユーザーは Cloudflare、Porkbun、Gandi といった低価格かつより安全な代替手段へ急激に移りつつあり、これは従来の高マージン型のドメインレジスターからの市場シフトではなく、堅牢なセキュリティを優先するレジスターへの転換を示している。 ## Text to translate: Following its September 2025 acquisition by CVC Capital Partners and subsequent leadership changes, Namecheap is facing a critical crisis of user trust due to severe security lapses and operational instability. Specific grievances include accounts being locked without valid reason despite compliant WHOIS data, forced migration to third-party payment processors like Link that demand invasive SMS verification, and catastrophic support incidents where agents granted attackers full domain control through social engineering—bypassing protections that free privacy tools could have provided. These issues exemplify the "enshittification" trend where cost-cutting under private equity ownership sacrifices essential security practices. Consequently, users are rapidly migrating to cheaper, more secure alternatives like Cloudflare, Porkbun, and Gandi, signaling a market shift away from traditional high-markup registrars toward those prioritizing robust security.