2026/08/01 3:17

6月のServo：実世界互換性、メディアクエリ、SharedWorkerなど

RSS: https://news.ycombinator.com/rss

要約▶

Japanese Translation:

Servo 0.4.0 のリリースは、6 月だけで 558 コミットに基づき、重要なセキュリティパッチとパフォーマンス向上を主導する大幅なバージョンアップを表します。このアップデートは、SpiderMonkey の更新を通じて JavaScript ランタイムの深刻なセキュリティ脆弱性を対処しており、特にクロスサイトスクリプティング (XSS) 修正のための特定 CVE を含んでいます。同時に、RSA 操作に関する RUSTSEC アドバイソリおよび ML-DSA 分解に関する問題を緩和するための定数時間アルゴリズムを実装していますが、Marvin Attack の脆弱性は依然として残存しています。パフォーマンスの向上は大きく、メモリ使用量の 17% 削減を実現する小さな BoxFragment サイズ、キャンバスグラフィックスでの電力消費の削減、Google Photos、Zulip、Lichess などの主要サイトでのレイアウト処理の改善などが特徴です。開発者にとっては、SharedWorker やポインターキャプチャーなどの新しい DOM API の拡張機能群、「attr()」の完全サポートやフォント処理の向上を含む高度な CSS 機能、Firefox DevTools で強化されたデバッグツールの恩恵を受けます。また、このリリースでは WebGPU とアクセシビリティに関する実験的な機能も導入され、Android 13+ 向けに servoshell の機能を更新してドラッグ＆ドロップサポートを追加し、Servo Embedding API を改良しています。一部のサイト（例：Google Maps、OpenStreetMap）はレンダリング機能を維持していますが、インタラクティブ性に関する問題が生じる可能性があります。

本文

Servo 0.4.0 リリースノート：Web プラットフォームの進化とセキュリティ強化

Servo 0.4.0 は、6 月にマージされたすべての機能を含んでいます。これにより、コミット数は 558 と新たな記録を更新しました（4 月：534、5 月：391）。セキュリティ関連の詳細は「§ セキュリティ」を参照してください。

主要な新機能と改修

Web プラットフォーム機能の追加

'attr()': 実験的モードで提供（@Loirooriol, #45041）
'ellipse()' および 'circle()':
- ```
image(<color>)
```
  に対応
- ```
closest-corner
```
  および
```
farthest-corner
```
  の追加（@Loirooriol, #45421）
遅延計算のサポート:
- 解析時点よりも後の段階で値を解決可能にしました。
- 例：
```
sign(1em - 32px)
```
  など、
```
'calc()'
```
  や数学的式の処理に対応（@Loirooriol, #45421）
'@font-face':
```
font-feature-settings
```
に対応（@simonwuelker, #45393）
メディアクエリの拡張:
- ```
'@media (device-width)'
```
  ,
```
'@media (device-height)'
```
  ,
```
'@media (height)'
```
  ,
```
'@media (aspect-ratio)'
```
- それらの
```
min
```
  および
```
max
```
  変種（@jdm, @mrobinson, @nicoburns, @jschwe, #44978, #45707, #45490）
- ```
'@media (orientation)'
```
  （@nicoburns, #45707）
- ```
'@media (pointer)'
```
  ,
```
'@media (any-pointer)'
```
  （@nicoburns, #45681）
- ```
'@media (hover)'
```
  ,
```
'@media (any-hover)'
```
  （@nicoburns, #45681）

新しい DOM API の追加

SharedWorker の実装（@Taym95, #45786）
console.dir() の実装（@Taym95, #45109）
Document および ShadowRoot:
```
customElementRegistry
```
の追加（@shubhamg13, #45872）
CustomElementRegistry:
- ```
initialize()
```
  メソッドの追加（@shubhamg13, @yezhizhen, #45903）
- 新しいインスタンス作成機能（@shubhamg13, #45791, #45550）
Request、Response、Blob:
```
textStream()
```
メソッドの追加（@yezhizhen, #45864, #45861）

Element のポインタ操作機能：

setPointerCapture()

releasePointerCapture()

hasPointerCapture()

（@webbeef, #45048）

Element のタッチイベントハンドラ：
- ```
onTouchStart
```
  ,
```
onTouchEnd
```
  ,
```
onTouchMove
```
  ,
```
onTouchCancel
```
  （@stevennovaryo, #45049）
crypto.subtle:
- ```
.digest()
```
  への KT128 および KT256 対応（@kkoyung, #45699）
- ```
.getPublicKey()
```
  への ML-KEM および ML-DSA 対応（@kkoyung, #45252）

サービス概要と貢献の呼びかけ

アップデートの内容

Servo 0.4.0 は以下の領域で大幅な更新を遂げています：

セキュリティ
リアルワールド互換性
進行中の作業（実験的機能）
エンベッディング API
ユーザーおよび開発者向け体験
Web プラットフォームに関するその他の情報
ガーベージコレクションの安全性向上
パフォーマンスと安定性
新しいコントリビューター

貢献者の協力が必要不可欠です

Servo は毎月規模が拡大しており、2026 年 6 月時点でコミット数の倍増が見込まれています。変更内容からの質問を自動で回答するために Highfive ボット が導入されました。

以下の手順でプルリクエストへの参加をご案内ください：

「monthly update」ラベルの付与:
- PR に
```
monthly update
```
  ラベルを追加するか
- コメントに
```
@servo-highfive monthly update
```
  と記載する
質問への回答:
- Highfive ボットから投稿された質問コメントに対し、
```
@servo-highfive monthly update answer
```
  を含めて回答してください。

主要な検討事項（Highfive ボットが確認します）

この変更が誰に影響を与えるか？（ユーザー、開発者、埋め込み者など）
どのような可観測な違いが生じるか？
特定のプレファレンスの有効化が必要か、デフォルトで利用可能か？
リアルワールドのウェブサイトへの影響は？
関連する問題またはプロジェクト ID は何か？（PR 説明文内の
```
Fixes: #xxxxx
```
または
```
Part of: #xxxxx
```
で確認）

セキュリティ

SpiderMonkey 140.10.1 をベースにした Servo JS ランタイムには、以下のセキュリティバグが存在しており、アップデートによって修正されました（@jschwe, #45584）。詳細は CVE-2026-8388, CVE-2026-8391, CVE-2026-8974, CVE-2026-8975, および MFSA 2026-48 を参照してください。

さらに SpiderMonkey 140.12.0 アップデートにより、追加のセキュリティバグが修正されました（@jschwe, #45766）。正確な CVE は未確定ですが、詳細は MFSA 2026-58 を参照してください。

重要なセキュリティ対策

SubtleCrypto の RSA 演算:
- 一定時間内にモジュラー指数演算を行うように実装されました（@kkoyung, #45631）。
- ⚠️ 注意: 当社の RSA 実装は現在、Marvinn 攻撃に対して脆弱である可能性があります。詳細：RUSTSEC-2023-0071
SubtleCrypto の ML-DSA 演算:
- ```
Decompose
```
  ステップを一定時間内に実行するように実装し、RUSTSEC-2025-0144 が修正されました（@kkoyung, #45294）。
HTML インジェクション（XSS）の修正:
- ```
file:///
```
  ディレクトリ一覧におけるバグが修正。ファイル名に
```
</script>
```
  を含む場合の影響も排除されました（@sahvx655-wq, #45510）。

リアルワールド互換性

lichess.org のレイアウト正確性が大幅に改善され、変形フォントの処理向上によりウェブサイトの読みやすさが向上しました。

対応サイト：
- Zulip (
```
servo.zulipchat.com
```
  )
- Speedtest (
```
speedtest.net
```
  )

互換性のある主要ウェブサイト

多くのサイトが動作していますが、以下のサイトでは引き続き対応可能です：

Google Photos (
```
photos.google.com
```
)
Cash Converters (
```
cashconverters.com.au
```
)

他方、以下のサイトは良好に描画されますが、インタラクティブ性に課題がある場合があります：

Google Maps (
```
maps.google.com
```
)
OpenStreetMap (
```
www.openstreetmap.org
```
)

お気に入りのサイトの動作についてのご報告を歓迎いたします。成功例は Zulip スレッド、失敗例は GitHub Issues へご報告ください。

進行中の作業（実験的機能）

特定のパラメータ (

--pref

) を有効にすることで、以下の機能を試すことができます。

CSS 機能

実験的 'attr()':
```
--pref layout_css_attr_enabled
```
で利用可能（@Loirooriol, #45041, #45421, #45495, #45752）

WebGPU サポート (

--pref dom_webgpu_enabled

)

```
GPUQueue
```
における
```
copyExternalImageToTexture()
```
の実装（@sagudev, #45646）

GPUDevice

における

createQuerySet()

と

GPUCommandEncoder

における

resolveQuerySet()

の実装（@sagudev, #45644）

デバッグ機能の実装：
- ```
pushDebugGroup()
```
  ,
```
popDebugGroup()
```
  ,
```
insertDebugMarker()
```
  （@jschwe, #45489）
より準拠した API の実装：
- ```
GPUTexture
```
  （@sagudev, #45300）
- ```
requestAdapter()
```
  on GPU（@sagudev, #45424）
- セキュアコンテキストの強制実装（@sagudev, #45279）

上記機能は servoshell の実験的モードで有効です。

アクセシビリティとアニメーション

可視およびインタラクティブなテキスト選択: 長らく要望されていた機能の実装を開始（@mrobinson, @SimonSapin, #46107）
Web Animations の実装開始（@simonwuelker, #45522, #45983）
File API における
```
webkitRelativePath
```
の実装開始（@yezhizhen, #45666）

C API と Rust 型システム

事前ビルド共有ライブラリ: ラッパー C API を設計し、ソースなしでの埋め込みを可能にしました。将来的にはラッパー Rust API も追加予定（@mukilan, #44984）。

エンベッディング API の変更

新機能

```
WebView::rendering_context
```
の追加（@mrobinson, #46047）

破壊的変更

WebView::send_error
が削除されました（@mukilan, #45502）。内部向けであり、新しい API 移行後には使用されなくなりました。

ドキュメントの改善

以下の型と構造体のドキュメントが改善されました：

WebView

WebViewDelegate

JSValue

AlertDialog

AllowOrDenyRequest

AuthenticationResponse

BluetoothDeviceDescription

ConfirmDialog

ConsoleLogLevel

CreateNewWebViewRequest

EmbedderControl

EmbedderControlResponse

FilePicker

Image

JavaScriptErrorInfo

NavigationRequest

PermissionRequest

PixelFormat

PromptDialog

ProtocolHandlerRegistration

ProtocolHandlerUpdateRegistration

```
Scroll
```
,
```
SelectElement
```
,
```
SelectElementRequest
```
```
WebViewVector
```
（@mukilan, #45282, #45467）

ユーザーおよび開発者向けの変更点

servoshell の改善

Android 要件: Android 13 以降が必要になりました（@jschwe, #46104）
デスクトップ版の新機能:
- ファイルのドラッグ＆ドロップでの開封が可能に（@simonwuelker, #45454）
- タブが多数ある場合、タブバーを水平スクロールできるようになりました（@Nylme, #44884）
- ウィンドウを別のモニターに移動しても、そのモニターでフルスクリーンになるように修正（@rhit-kapilaar, #45556）
パフォーマンス向上: UI サイズ変更が滑らかになり、ホバー状態への固執現象が解消（@mrobinson, #45289, #45456, #45290）
HTML 修正:
```
<select multiple>
```
の操作性を改善（@alexcat3, #45419）

URL スキームの表示変更

```
localhost:<port>
```
は、location バーとコマンドラインで
```
http://
```
と表示されるようになりました。以前は非公式なスキームとして扱われていました（@SteveSharonSam, #45729, #45832）。

Firefox DevTools の強化

Console タブ: 未捕捉の例外を正しく報告（@jdm, #45549）
Console および Debugger タブ:
- ネストされた配列や
```
Map
```
  オブジェクトのエンTRIES を検査可能に（@atbrakhi, #45435, #45514, #45767）
- Scopes パネルに
```
' (uninitialized)'
```
  の変数、
```
this
```
  の値、グローバルスコープを表示（@atbrakhi, @eerii, #45824, #45517）

ビルド環境の整備

アーキテクチャ:
```
riscv32
```
,
```
riscv64
```
,
```
arm64
```
向けビルド問題を修正（@fxzjshm, @saschanaz, #45285, #45731）
Android モダン化: Compose UI および Kotlin へ更新（@veyndan, #45923 など多数の PR）

開発者コマンドラインツールの進化

mach try --help
: 実行可能なすべての試行ジョブを一覧表示（@shubhamg13, #45607）
mach test-wpt --update-expectations
: テスト実行と期待値更新をワンコマンドで可能に。以前は
```
--log-raw
```
と
```
update-wpt
```
を別々に行う必要がありました（@TimvdLippe, #45521）。

Web プラットフォームに関するその他の情報

イベントリスナーの制限

パフォーマンス向上のため、パッシブなイベントリスナーが一つ以上ない限り、

'wheel'

事件は
.cancelable
でなくなります。Firefox と同様にデフォルトでパッシブです（@kunalmohan, #45667）。

視覚的改善

テキスト装飾:
```
'dotted'
```
,
```
'dashed'
```
,
```
'wavy'
```
は、要素境界を超えて連続して表示されるようになりました（@mrobinson, #45726）
CSS グラデーションの準拠性向上（@mrobinson, #43945）

対応と修正された機能

```
<dialog>
```
の準拠性向上（@skyz1, @mrobinson, #45825, #45761）
```
<iframe sandbox>
```
の強化（@cychronex-labs, #45880）
```
<input minlength>
```
,
```
<input maxlength>
```
への対応（@skyz1, #45705）
```
'@font-face'
```
内の
```
font-style
```
と
```
unicode-range
```
への対応（@Loirooriol, #45821）
FontFaceSet の準拠性向上（@mrobinson, #45390, #45382）
HTMLInputElement および IntersectionObserver の改良（@steigeo, @jdm など）
新しい Response() の実装（@yezhizhen, #45953）
```
URL.createObjectURL()
```
および
```
URL.revokeObjectURL()
```
への完全対応（@yezhizhen, #45182, #45417）
SubtleCrypto 内の ECDSA および Ed25519 の準拠性向上（@kkoyung, #45833, #46017）

バグ修正一覧

以下の多数のバグが修正されました：

```
<input hidden>
```
、
```
'animation-delay'
```
,
```
'clip-path'
```
,
```
'tab-size'
```
など（@mrobinson, @yezhizhen, @Loirooriol, @SimonSapin, @RichardTjokroutomo など）

'width'

'height'

'box-shadow: inset'

'animation-iteration'

イベント：
```
'click'
```
,
```
'load'
```
, ワーカースコープ内の
```
'error'
```
```
document.getElementById()
```
に関連するバグ

ガーベージコレクションの安全性向上

Servo は Rust の「エイリアシングか不変性の一方」のルールをランタイムで強制しています。これにより、多くの DOM タイプを格納する際に RefCell ベースの機構を使用しますが、ガーベージコレクション（GC）時における参照追跡が困難な課題がありましたが、以下の革新で解決されました。

型システムによる保証:
- ```
NoGC
```
  マーカー値を用いて、特定箇所（
```
borrow_mut()
```
  など）で GC が発生しないことを証明します。
- Rust の参照システムを活用し、カスタム静的解析を不要にしました。
safe_borrow_mut()
メソッド:
- 大規模なコードベースを部分的に改変する必要がなくなりました。
- ```
&NoGC
```
  から借用し、
```
&mut JSContext
```
  （GC 許容）への借用は禁止する設計です。

これにより、SpiderMonkey と Servo の統合がより安全で信頼性高く進化しています（@sagudev, #46050 など多数のコミット）。

パフォーマンスと安定性

最適化成果

ルート付け省略: GC が発生しない領域での JS オブジェクト対話でルート付けを省略し、レイアウト処理と HTMLCollection のオーバーヘッドを 1% 以上削減（@Narfinger, #46092, #45582）。
メモリ削減:
- ```
BoxFragment
```
  が 17% ショーン小さくなりました（amd64 で 288 バイト → 240 バイト）（@SimonSapin, @mrobinson, #45183, #45496）
メモリリークの解消:
- リロード時および 2D キャンバスで発生していた深刻なリークを修正。
- これにより、2D キャンバスが最大 23% の電力節約を実現し、SVG 描画の冗長化を防ぎました（@Taym95, @sagudev, @yezhizhen など）

スクロールとレイアウトの高速化

非同期デコード: すべての画像を非同期でデコード・キャッシュすることで、スクリプトスレッドに負荷をかけません（@Narfinger, #45542, #44483）。
インクリメンタルレイアウト: 再フローを削減し、スタッキングコンテキストツリーのアップデートを改善（@mrobinson, @Loirooriol, @jschwe など）
マイクロベンチマーク高速化: スタッキングコンテキストツリーのためのインクリメンタルアップデートにより、いくつかのベンチマークが最大 10% 高速化（@mrobinson, #45208）。

バグ修正総括

Frédéric (@fred-wang) らによるフォージング作業により、以下のクラッシュバグを多数修正：

```
<iframe>
```
,
```
<slot>
```
,
```
<link onerror>
```
```
'animation'
```
,
```
'clip-path'
```
,
```
'content'
```
,
```
'rotate'
```

'transition'

'transform-style'

'display: contents'

'overflow: clip'

CSSKeyframesRule, FontFace, Window.stop(), document.elementFromPoint() など（@fred-wang, @mrobinson など、#46031 他多数）
IPC 失敗、HTMLInputElement, Range, DevTools Debugger タブ、native-bluetooth ビルドに関するクラッシュ修正

新しいコントリビューター

以下の皆さんに、初のパッチを実装してくれたことへ特別に感謝申し上げます：

Deepam Goyal (@Deepam02)
Mark (@Mark-Boger)
Mr SheerLuck (@MrSheerluck)
Psychpsyo (Cameron) (@Psychpsyo)
TusharSariya (@TusharSariya)
Adam Sharif (@adamsharifc)
Akash Ravikumar (@ak4shravikumar)
Sean Cunneen (@alexcat3)
Abdul Wahab Melethil Shibu (@cychronex-labs)
darkdragon-001 (@darkdragon-001)
Frédéric Wang Nélar (@fred-wang)
fxzjshm (@fxzjshm)
Piyush Gupta (@guptapiyush16)
Ivo Murrell (@ivomurrell)
rhit-kapilaar (@rhit-kapilaar)
sahvx655-wq (@sahvx655-wq)
Kagami Sascha Rosylight (@saschanaz)
shangguanmachine-dot (@shangguanmachine-dot)
Glenn Skrzypczak (@skyz1)
Oskar Steiger (@steigeo)
Veyndan Stuart (@veyndan)

Web ブラウザの構築に興味がありますか？新しいコントリビューター向けの課題リストをご確認ください！

寄付について

継続的なご支援に心より感謝申し上げます。毎月 7,681 ドル（5 月比 +0.2%）を受領し、CI/ベンチマークサーバーのコストや Outreachy インタンの人件費、維持管理資金として活用しています。thanks.dev を通じた寄付も可能であり、スポンサーシップの段階に入りました。

現在: 7,681 ドル / 月
目標: 10,000 ドル / 月

寄付の使用状況は技術舵取り委員会のプロセスで透明に管理され、進行中の提案は

servo/project#187

で追跡しています。詳細はスポンサーシップページを参照ください。

同じ日のほかのニュース

一覧に戻る →

2026/08/01 4:03

Hugging Face の侵入を Tailscale が阻止しなかった

## Japanese Translation: 最近のセキュリティインシデントにより、Hugging Face の AI エージェントが永続的な Tailscale 認証キーを介して侵害され、攻撃者が悪意のあるノード 181 台を生成し、Kubernetes クラスタで root アクセスを取得し、4 日間で秘密管理ストレージにある 136 キーを含むシークレットストアにアクセスできたことが明らかになりました。Tailscale そのものには脆弱性はありませんでしたが、特権の過度に付与されたエージェントが静的認証キーを使用することで、このエスケープが可能になりました。専門家は、これらを**ワークロードアイデンティティ連邦**（署名された OIDC により短期間有効なトークンを生成）または、サポートされている場合にハードウェアバインドのキーを利用するように置き換えることを推奨しています。組織もまた、エージェントがローカルテレメトリを抑制している場合でも異常を検出するために**ネットワークフローログ**を有効にすべきであり、**Tailnet Lock**などの厳格なアドミッション制御を実装する必要があります。Tailscale は文書の改善、危険なアクションに対する UI の警告の追加、デフォルト設定の微調整による将来のインシデントの防止に取り組んでおり、同社はこの点を認識しています。 --- ### 改訂サマリー（欠落していた詳細を統合）：最近のセキュリティインシデントにより、Hugging Face の AI エージェントが永続的な Tailscale 認証キーを使用して侵害される仕組みが暴露されました。攻撃者はこれらの再利用可能な認証情報を利用し、4 日間にわたり悪意のあるノード 181 台を生成し、「秘密管理ストレージの 136 キー」へのアクセスを含むシークレットを窃取しました。これは、静的なキーが「ゼロトラスト」環境であっても深刻なリスクをもたらすことを示しています。Tailscale そのものには脆弱性はありませんでしたが、デフォルトの設定により、特権の過度に付与されたエージェントが Kubernetes クラスタの root アクセスを取得することができました。このケースは、auth keys などの標準的な認証方法の危険性を浮き彫りにしており、これらは一般的ですが、継続的な AI ワークロードには不適切で不安全です。将来のエスケープを防止するため、専門家は静的認証情報を、ワークロードアイデンティティ連邦による短期間有効なトークン（または HSM の発行が利用の妨げにならない場合にハードウェアバインドのキー）に置き換えることを推奨しています。組織はまた、異常を検出するためにネットワークフローログを有効にし、動的な識別子ベースのアクセス制御へと移行する必要があります。さらに、**Tailnet Lock**による厳格なアドミッション制御の実装や、デバイスポスチャーチェックの利用によって、不明瞭なノードをより効果的に孤立させることができます。Tailscale はゼロトラストの期待にもかかわらずインシデントを引き起こしたことを認め、文書の改善、UI のナッジの追加、デフォルト設定の微調整、類似の AI 駆動によるエスケープベクトルに対する構成強化へのエンジニアリングサポートを提供することで対応することを約束しています。

2026/08/01 0:17

エレベーター

## 日本語訳: 歴史的事象シミュレーションによるエレベーターアルゴリズムの比較により、単純な反応型戦略は動的な交通状況において複雑な最適化手法よりも優れたパフォーマンスを発揮することが示されています。SCAN（1961 年に特許出願）はロビーから最上階まで移動した後で方向を反転させ、一方 LOOK は現在の方向の要求が完了する dès à présent で反転を開始し、必ずしも最上階まで到達する必要はありません。両者はどちらも中央スケジューラーに依存し、新しい要求を最も手近な稼働中のエレベーターへ割り当てます。パフォーマンスは、30 秒以内かつ 90 秒以内の到着割合といった待機時間指標で測定されます。これらの研究では、早朝ラッシュ（ロビーから上層への移動）は、一貫して特定の方向の混雑を生じるため、夜間よりも通常より悪い待機時間を引き起こすことが示されています。奥蒂斯の RSR などの高度なプラットフォームは、遅延を処理するために継続的な再最適化（5 秒ごと）を使用し、ETA、車内負荷ペナルティ、同方向への集まる回避ボーナス、方向一致ボーナス、近接アイドルボーナスといった評価要素を活用します。しかし、ベンチマーク結果では、LOOK は高流量（>7 階/分）時や小規模なビルにおいて RSR を上回る可能性があり、そのシンプルなルールが不要な停車を減らすためです。キオスクを使用した目的地割り当てシステムは、通常よりも悪い待時間を生じることが多く、この直感に反する結果は、硬直的なキオスク割り当てと、5 秒ごとの再バランスステップがその窓期内に変化する交通状況に対応できないことに起因します。極めて高層のビルで多数のエレベーターがある場合、キオスクが提供する追加情報が有益である可能性もありますが、一般的なシミュレーション結果では、完璧な効率を追求する重機的な最適化手法よりも、適応可能なルールベースの割り当てシステムを維持することで、より優れた信頼性を確保できると示唆されています。待機時間（<30 秒、<90 秒）、階数、車両数、流量（例：18/分）などの変数を実験するためのシミュレーションツールが用意されています。

2026/08/01 3:04

## Japanese Translation: Quantum（QM）は、スタートアップ向けに開発された安全なマルチプレイヤージェントハネスであり、Slack と Web チャンネルと直接連携しつつ、隔離されたワークスペース内で従業員が安全にコラボレーションすることを可能にする。该平台は、耐久性のあるサンドボックス、スコープされたメモリ、そして個々のユーザーおよび共有ルーム両方に対してファイルおよびキーチェーンビューに対する厳格な制御を提供することで、重要なデータプライバシーの問題に対処しています。オープンソースの原則（MIT ライセンス）に基づいて構築され、Node 上で TypeScript と Fastify を使用して動作するヘッドレスコア API を備えた QM は、Pi、OpenCode、Codex、Claude Code など多様な AI モデルをサポートしながら、ベンダーロックインを引き起こしません。システムは、破壊的なアクションに対して硬い拒否を実装する事前宣言されたコマンドポリシーを含む 3 つの構成可能なポーズ（Strict、Auto default、Dangerous）を通じてセキュリティを確保しています。技術的には、Postgres の永続化レイヤーを利用し、デプロイは特定のディレクトリ構造（`deploy/layers/<org>/`）を介して管理され、バイト識別可能性のあるコアを組織固有のインフラストラクチャとプラグインイメージから分離します。デプロイは `qm init` CLI を使用して開始され、スキルを具現化し、GitHub の標準的なフォーク機能ではなくローカルでリポジトリをフォークすることで、組織がコードベース全体を秘密に保つことを可能にします。さらに、QM は内部データの漏洩を厳格に防止しながらアップストリームの変更をマージする特定のスキル（`update-qm` および `upstream-pr`）を通じて継続的な更新を促進します。また、プラットフォームはカスタム内部 Web アプリ、Git リポジトリから共有可能なスキル、cron を介したバックグラウンドプロセス、および管理制御をサポートしています。ドキュメントは `docs/getting-started.md` などの主要なマークダウンファイルで利用可能です。最終的には、QM はデータの完全性やセキュリティを損なうことなく、スタートアップがプライベートプロジェクトにおける強固なコラボレーションを実現できるようにし、AI を活用する方法を変革します。