７月２０日に行ってきた、PHPカンファレンス２０２６で、
AIっぽい話もいくつかでてたので、シェア
------------------------------------
●AIコード生成Xサプライチェーン攻撃
PHPが直面する二重の信頼問題
・自己紹介
・なぞのQRコード
→フィッシングサイトへ誘導
なぞの充電ケーブル
→中身違う
・信頼した対象が差し変わっている
・AIを使ってコーディング
中身観てますか？
理由聴きました？
2つのことを無意志にに同時に信頼
そのパッケージ
すすめてきたAI
・その１：サプライチェーン攻撃
攻撃者は直接あなたを狙わない
ライブラリ、CDNなど供給者の側を狙う
そこを通って、あなただけでなく、ユーザーまで影響
→中間点を１つ則るだけで、数万に影響
・今なぜ増えている？
OSSの利用者多い→攻撃者から見たら、コスパいい
・実際の例
xz_utilsバックドア 2024/3
コードレビューで見抜けなかった
polyfile.ioの乗っ取り
CDNが突然変わってた
ドメインのオーナー変わっても、だれも気付かない
laravel-Lang乗っ取り（２か月前）
タグはある
intercom/intercom-php乗っ取り
自己増殖型
typosquat（そっくりさん詐欺）
・ほかの脆弱性との違い
自分の書いたコードは変わっていない。
→いぜんからずっとある問題
・その２。AI提案の過り（ハルシネーション）
古い脆弱性のあるバージョンを進めてくる
存在しないパッケージ
・合わさると問題
slopsquatting
１．AIが存在しないパッケージを進める
２．攻撃者が先回りして。存在しないパッケージを登録しておく
なぜ成立する？
ハルシネーションは反復する可能性高い
・研究者が実験
ないものをダウンろーそ、３か月で３万ダウンロード
現実に起こっている
・ツールで検証できる
Composerのバージョンをあげる
パッケージの腐敗を止める
定期健診
・依存検査の自動化
・ハルシネーション対策：プロンプトに現行バージョン明記
・AIを疑う
・AI提案のrequire前4項目
１．名前
２．班
３．ステータスチェック
４．本当に必要？
・人間の脳は、一度信頼した対象の変化を処理しない
・AI提案→未検証とする
-----------------------------------------
●AI時代のPHPer生存戦略 〜「言語、もうなんでもよくない？」に本気で向き合う〜
・自己紹介
ゆうぎり高校のヘルプちゃん推し
AIに働いてもらって暮らすことを考えている
・これからのプログラミング言語どうしますか
AIがあれば言語何でもよくない？
開発の中心AI
どの言語もそれっぽく出る
流行るのはAIが得意な言語
PHP
枯れている言語
・世界は今でもPHPで動いている→70.8％
AIはPHPをたっぷり学習している；
・じゃあ、今まで通りでいいんじゃね？
ただし、開発の軸はAIになる
各速さと量では、もう人間はAIに勝負できない
・でも検証は楽になっていない
人間がボトルネックになることが多い
・われらPHPerの価値は
人間に残る価値を積み上げる→ユーザーに感動体験を届ける
・ＰＨＰという武器を持ちつつ。、新しい武器を磨く
実装するのがなくなる、開発者がいなくなるわけではない
・感動体験は、今のＡＩにはわからない
平均的なものは出てくる→平均的なものはかんどうしない。期待を超えたところ
・感動体験とは何か：狩野モデル→魅力的品質
・ユーザー価値を理解する武器が必要
・感動が本物かは人間にしかわからない、だから人間がいる。
【おまけ】感動体験の考え方
・自分の好きなもの・体験を考える
・なんでで深堀
・自分の作っているものに入れられないか
・作っているものを触る
・感動を伝える
・ユーザー行動の分析
・視点を変えて考える
・自分の感動体験を分解して言語化して、感動する観点をためていこう
------------------------------
●Laravel Boostに学ぶ、AIにPHPを書かせる技術 〜OSSの実装から蒸留するエージェント制御の王道〜
Laravel Boostに学ぶ、AIにPHPを書かせる技術 〜OSSの実装から蒸留するエージェント制御の王道〜 - Speaker Deck
・ＡＩ生成は早くなたが事故も多くなった→設計の問題
Ｌａｒａｖｅｌ Ｂｏｏｓｔ
・アジェンダ
ＡＩ基礎
Ｌａｒａｖｅｌ Ｂｏｏｓｔの内部設計
ＡＩに良いコードを書かせる方法
段：動的に読み込むか、静的か
ＡＧＥＮＴＳ．ｍｄ
ＳＫＩＬＬ．ｍｄ
ＭＣＰツール
層：ガードレール
狭く即時
広く機械的
大きく判断
段と層のマトリクス
→正解はプロジェクトによって違う
「何を渡すか」だけでなく「いつ渡すか」も設計
・Ｌａｒａｖｅｌ Ｂｏｏｓｔデモ
Ｌａｒａｂｅｌ Ｄｅｂｕｇ Ｂａｒ
・段と層ーシート２８
Ｌａｌａｂｅｌによる設計
・ＡＩ時代、従来の道具は
あるとよいから
ないと事故る
・ＡＩに良いコードを書かせる技術
ベストプラクティスをＡＩ向けに配布する時代
フレームワークはドメインを守らない
----------------------------------------------------
【おまけ】受付でもらった戦利品のご紹介
