OSS

概要 GitHubは10月20日、パッケージインストール時を狙うサプライチェーン攻撃に対抗する新機能「GitHub package firewall」を公開プレビューとして発表した。コーディングエージェントやCI/CDホストといったエンドポイントと、npmなどの上流パッケージレジストリとの間に位置し、メタデータリクエストとパッケージのダウンロード内容の両方を検査する仕組みだ。GitHubは発表の背景として、パッケージのインストール時点を狙うマルウェア攻撃が近年急増しており、特にコーディングエージェントやCIランナーの環境が脆弱になりがちだと指摘している。 仕組みとポリシーコントロール package firewallは、組織の管理者がポリシーを設定できる点が特徴だ。具体的には、パッケージの公開から一定期間を置いて取り込みを遅らせる「クールダウン期間」の設定、GitHub Advisory Databaseを活用した脆弱性・マルウェアアドバイザリの事前確認、アテステーション(証明)の欠落や低下といったサプライチェーン上の異常を検知するチェックなどが可能になる。これにより、新規公開直後のパッケージに潜むマルウェアや、既知の脆弱性を含む依存関係が組織内のビルド・デプロイ環境に取り込まれるリスクを、インストール時点で遮断できる。 対応範囲と料金 現時点での対応エコシステムはnpmパッケージのみで、他言語のパッケージマネージャーへの対応は今後の課題として残る。利用対象はGitHub Enterprise Cloudの顧客で、データレジデンシー対応版の環境でも利用可能だ。料金についてはプレビュー期間中は無料で提供されるが、一般提供(GA)段階ではGitHub Actionsの課金体系と同様、使用量に応じたメータリング課金が適用される予定となっている。 背景と今後の展望 近年、npmエコシステムを狙った攻撃は、公開直後のパッケージにマルウェアを混入させたり、人気パッケージのメンテナーアカウントを乗っ取って悪意あるバージョンを配布したりする手口が相次いで報告されている。エージェントによる自動化されたコード生成やCI/CDパイプラインの普及により、人間の目によるレビューを経ずにパッケージが取り込まれる場面が増えていることも、こうした攻撃の温床となっている。GitHubは今後、インフラのスケーリングや顧客からのフィードバックを踏まえて機能を拡充していく方針を示しており、対応エコシステムの拡大や検査ルールの強化が注目される。

概要 Vite作成者のEvan Youが創設したVoidZeroが開発する統合JavaScriptツールチェーン「Vite+」が、正式版1.0に到達した。VoidZeroはCloudflareに買収されており、Vite+はその傘下でMITライセンスのもと開発が継続されている。単一のvpコマンドからNode.js本体、パッケージマネージャー、Vite 8、Vitest、Oxlint、Oxfmt、Rolldown、tsdownといった複数のツールを一元管理できる点が特徴で、プレビュー版から本番運用に向けた機能拡充を経て今回の安定版リリースに至った。 1.0での新機能 今回の1.0では、CI/CD環境への対応が大きく拡張された。GitLab CI/CD向けにsetup-vpアクションが新たに利用可能になり、GitHub Actionsに限らず主要なCIパイプラインに組み込めるようになった。配布面でもHomebrewとDockerイメージが追加され、導入のハードルが下がっている。 既存プロジェクトからの移行を助けるvp migrateコマンドは、tsupプロジェクトへの対応を追加した。実行前に変更内容をプレビュー表示する仕組みも備えており、ビルド設定を壊さずに段階的な移行を進められる。診断系のサブコマンドも充実し、vp toolchainで各ツールの正確なバージョンを確認でき、vp env doctorはランタイムの解決過程を詳細に説明する。さらにvp hooksによってGitフックの管理もvpから一元的に行えるようになった。パフォーマンス面では、OxcのネイティブReact Compiler対応により、従来のBabelプラグイン経由の処理に比べて最大10倍の高速化が実現されたという。 採用状況と評価 Tiptap、Dify、Hono、BlockNoteといったプロジェクトが既にVite+を採用しており、月間ダウンロード数は約200万件、2,600以上のGitHubリポジトリが依存するまでに広がっている。開発者コミュニティからは、Pythonのパッケージマネージャーかつツールチェーンであるuvに相当するJavaScript版という評価が出ており、複数の開発ツールを個別にインストール・管理する煩雑さを解消する存在として受け止められている。一方で、ファイルシステム階層の複雑さや、Vite本体の頻繁なメジャーバージョンアップへの追従が課題として指摘されている。 今後の展望 VoidZeroはリモートキャッシングやモノレポ向け診断機能の強化を今後の計画として挙げており、リリース作業を支援するvp releaseやドキュメント生成を担うvp docsコマンドの追加も予定している。Cloudflareの支援を受けたことで開発体制が強化された形であり、JavaScript/TypeScriptのビルドツールチェーンの標準化がさらに進むかどうか、今後のロードマップの実行が注目される。

概要 Microsoftは10月15日、.NET SDKおよびランタイムのインストールと管理を行う新ツール「dotnetup」のパブリックプレビューを公開した。Rust向けの「rustup」やNode.js向けの「nvm」に着想を得たツールチェーンマネージャーで、管理者権限を必要とせずユーザーディレクトリ内に複数バージョンの.NETを並行してインストール・切り替えできる点が特徴だ。現時点ではmacOSとLinuxに対応しており、Windowsのシステムレベルインストール管理は今後の対応となる。 従来、.NET環境の構築にはシステムのパッケージマネージャー、tarball展開、インストールスクリプト（dotnet-install.sh）など複数の手段が併存しており、権限まわりの制約やインストール済みファイルの散在が課題となっていた。dotnetupはこれらを単一のクロスプラットフォームCLIに統合し、OSを問わず共通の操作体験を提供することを目指している。 主な機能とインストール方法 dotnetupはmacOSではZsh経由でcurl -fsSL https://aka.ms/dotnetup/get-dotnetup.sh | zsh、Linuxでは同スクリプトをbashで実行、Windowsではirm https://aka.ms/dotnetup/get-dotnetup.ps1 | iexというPowerShellコマンドでそれぞれ導入し、dotnetup initで初期化する。導入後はdotnetup listでインストール済みのSDK・ランタイムを一覧表示し、dotnetup updateで追跡中のチャネルを最新版に更新できるほか、dotnetup sdk install previewやdotnetup runtime install dailyのようにプレビュー版や日次ビルドを個別に指定してインストールすることも可能だ。ツール自体のアップデートはdotnetup self updateで行う。 メジャーバージョン単位での追跡による自動更新や、プロジェクトのglobal.jsonで指定されたSDKバージョンを尊重する機能も備える。既存のdotnet-install.shと比べると、インストール済みSDK/ランタイムの管理機能に加えて署名・チェックサムによる検証、複数バージョンをまとめて導入する際の高速化など、単なる導入スクリプトではなくツールチェーン全体を管理するマネージャーとしての性格が強い。管理者権限なしでノンインタラクティブに実行できるため、コンテナ化されたCI/CDワーカーでの利用にも適している。 今後の展望 現在のプレビュー版はmacOSとLinuxが対象で、Windowsにおけるシステムレベルのインストール管理（管理者権限を用いたインストール)は今後のロードマップに位置付けられている。Microsoftは今後、GitHub ActionsやAzure DevOpsとの統合、ユーザー体験の改善、さらにAIエージェントとの連携強化も計画していると述べている。詳細な利用方法はMicrosoft Learnの公式ドキュメントで、フィードバックはGitHubの「dotnet/sdk」discussionsで受け付けている。rustupやnvmが各言語エコシステムで標準的なツールとして定着した経緯を踏まえると、dotnetupが.NET開発者の環境構築体験をどこまで簡素化できるか、プレビュー期間中の反応が注目される。

概要 Anthropicは10月15日、Claude CodeのPull Requestレビュー機能「Code Review」をリサーチプレビューから正式提供（GA）へ移行し、Team・Enterpriseプランの顧客に提供を開始した。最大の変化はレビュー時間の短縮で、プレビュー期間の約20分から6〜10分へと、およそ3倍の高速化を実現したとしている。併せて、誤検知の低減や指摘内容の質も改善されており、各指摘は「問題点・発生条件・修正方法」を明示する簡潔な形式で提示される。 レビュー強度の選択とアーキテクチャ 管理者はリポジトリ単位でレビューの強度を3段階から選択できるようになった。日常的なコードベース向けの「Quick」、標準的な審査を行う「Standard」（デフォルト）、そして最も重要なリポジトリ向けに徹底した検証を行う「Deep」である。処理は4段階のパイプラインで構成され、複数のエージェントが並行して問題を検出し、誤検知をフィルタリングした上で重複を排除・重大度でランク付けし、最終的にPull Requestへ結果を投稿する仕組みになっている。unite.aiの報道によれば、こうした改善を通じて実質的なコメント率は16%から54%へ増加したという。利用にはGitHubアプリのインストールとリポジトリごとの指定が必要で、対応はGitHub上のリポジトリ（GitHub Enterprise含む）に限られる。 Enterprise向けクレジットと適用除外 Claude Enterpriseの顧客は、GA移行を記念してアクティブシート数に応じ1万ドルから5万ドルのCode Reviewクレジットを申請できる。申請期限は2027年1月15日で、付与されたクレジットは申請から30日で失効する点に注意が必要だ。一方で、GitHub Enterprise Cloudでデータレジデンシー設定（.ghe.comアドレス）を利用している組織はこのプロモーションの対象外となる。The Next Webの報道では、該当設定を行った状態で接続すると、github.com上のレビュー分も含め組織全体のクレジットが停止すると指摘されている（レビュー機能自体は有償で引き続き利用できる）。また、HIPAA設定やゼロデータ保持を有効にしている組織では、Code Review自体が利用できない。 背景と今後の展望 Code Reviewは今年6月、Claude Code Action経由でのプロンプトインジェクション脆弱性が研究者から報告され、Anthropicは4日で対応し4,800ドルの報奨金を支払った経緯がある。GA移行はこうした安全性対応を経た上での一般提供拡大という位置づけだ。市場ではCodeRabbitが週200万件のレビュー・17,000の顧客基盤を背景に欧州展開を加速させるなど、AIによるコードレビュー領域の競争が激化している。The Next Webは、リサーチプレビュー期間のレビュー原価が1件あたり15〜25ドルだったと報じており、GA後の正式な価格体系がどうなるかは現時点では明らかにされていない。製品の注記にも「AIであり、バグを見落とす可能性がある」とある通り、自動レビューを過信せず人間によるレビューと組み合わせて運用することが推奨される。

概要 SQLiteのソースツリーに、公式のベクトル検索拡張「vec1」が統合された。2026年9月30日にext/vec1/ディレクトリが追加され、以来1月から進められてきた開発がSQLite本体のコードベースに合流した形になる。実装はvec1.c単体でおよそ1万3千行、加えて50ファイル・約6,700行のテストが付属するという大規模なものだ。これまでベクトル検索を使うにはAlex Garcia氏によるサードパーティ拡張「sqlite-vec」などを別途導入するのが定番だったが、vec1はSQLite開発チーム自身の手で書かれ本体ツリーに取り込まれた初めての公式実装であり、組み込みDBとしてのSQLiteの使われ方を大きく広げる可能性を持つ。 技術的な詳細 vec1は仮想テーブル機構を通じてベクトル検索機能を提供する。テーブルの作成とインデックス構築は次のように行う。 CREATE VIRTUAL TABLE v USING vec1; INSERT INTO v(cmd, vector) VALUES ('rebuild', '{index:"flat", distance:"l2"}'); INSERT INTO v(rowid, vector) VALUES (1, vec1_from_json('[0,0,0,0]')); SELECT rowid, distance FROM v(vec1_from_json('[0.9,1,1.1,1]'), '{K:2}'); 距離計算はL2(ユークリッド距離)とコサイン距離に対応する。近似最近傍探索のアルゴリズムにはIVFADCを採用し、事前にk-meansでベクトルをバケットに分割しておき、検索時には近そうなバケットだけを確認することで計算量を削減する。さらにOPQという量子化手法でベクトルを回転させてから小さなコードへ圧縮し、メモリ使用量と計算コストを大幅に抑えている。性能面ではx86向けにAVX2、ARM向けにNEONを使ったSIMD化が施され、実行環境に応じて動的に最適な実装へ切り替わるため、AVX2非対応のCPUでも問題なく動作する。外部依存のないポータブルなC実装である点も特徴で、サーバーを必要としないSQLiteの設計思想をそのまま継承している。 現状と今後の展望 vec1は現時点でバージョン0.8にあたり、1.0に必要な機能は揃ったものの正式リリース前の段階にある。配布形態としてはamalgamationには含まれておらず、利用するにはローダブル拡張としてmake vec1.soを実行し明示的にビルドする必要がある。テストはまだ十分とは言えない状態だが、MSVC対応や細かな修正が日々コミットされており開発は活発に進んでいる。元記事の著者は、埋め込みモデルを使わず音の近さだけから日本語単語を検索するツール「yomivec」でvec1を実際に試し、22万語の取り込み(インデックスへの登録)が2秒で完了したことを報告している。SQLiteはサーバー不要でファイル1つで動作するため、スマートフォンアプリやブラウザなど様々な環境に組み込まれてきた経緯がある。そこに公式のベクトル検索機能が加わることで、外部サービスに依存せずに意味検索を実現できる場面が広がることが期待されており、正式リリースへの注目が高まっている。

概要 Canonicalは10月15日、Ubuntu 26.10「Stonking Stingray」を正式リリースした。GNOME 51デスクトップとLinuxカーネル7.3を搭載する非LTS版で、サポート期間は2027年7月までの9か月間。次期バージョンのUbuntu 27.04は2027年4月に登場する予定で、安定性を重視するユーザーにはLTS版のUbuntu 26.04が引き続き推奨される。今回の最大の目玉は、GNU coreutilsからRust実装のuutilsへの移行が完了したことで、cp、mv、rmなど残っていたコマンド群もRust版に置き換えられ、基盤システムのメモリ安全性が大きく向上した。Ubuntuのエンジニアリング担当VPであるJon Seagerは「Ubuntu 26.10はRustベースのcoreutilsへの移行を完了し、TPMベースのフルディスク暗号化のデバイス対応も拡大した」とコメントしている。 セキュリティとエンタープライズ機能の強化 セキュリティ面では、OpenSSL 4の採用によりEncrypted Client Hello(ECH)やQUIC機能の拡張、ポスト量子暗号への対応が進んだ。パッケージ署名はGnuPGからRust実装のSequoia PGPに置き換えられ、ポスト量子対応の署名方式へ移行している。さらにopenCryptokiを通じてML-DSAやML-KEMといった量子耐性トークンにも対応した。TPMを活用したフルディスク暗号化は、Hardware Root of Trustを持たないハードウェアにも対応範囲が拡大し、Secure Bootの保護強化も図られている。エンタープライズ向けには、authdサービスを介したMicrosoft Entra ID統合が深化し、パスワード・多要素認証に加えパスキーによるパスワードレスログインが可能になった。システム基盤では、D-Busの実装が従来のdbus-daemonからdbus-brokerに置き換わり信頼性とリソース管理が改善、systemdはバージョン261となり古いSystem Vサービススクリプトのサポートが廃止された。 デスクトップ体験とAI機能 GNOME 51では、フレームスケジューリングの改善によりアニメーションがより滑らかになり、複数モニター環境の取り扱いも強化された。モニターの輝度設定が再起動後も保持されるようになり(HDR対応含む)、加速度センサー搭載デバイスでの自動画面回転、外部マウス接続時のタッチパッド無効化オプションなどが追加された。FilesアプリやCalendarアプリも応答性が向上し、Papers文書ビューアはPDFの視覚的署名に対応した。Remote Desktopはスマートカードおよびケルベロス認証をサポートする。App CenterはSnapとDEBパッケージの詳細表示を統一し、バージョン・権限・公開者情報・スクリーンショット・パッケージサイズなどを一括確認できるほか、NVIDIAドライバのバージョン選択も専用セクションから行えるようになった。AI関連では、オンデバイスで音声をテキスト化するエージェント「Myna」がオプトイン機能として初登場した。クラウドに音声データを送信せずローカルモデルで処理する仕組みで、デスクトップとの自然な対話操作を目指すものであり、Ubuntu 28.04 LTSではデフォルト機能となる予定だ。 ハードウェア対応と開発者向け更新 Linuxカーネル7.3(初期パッケージは7.3-rc6ベース)では、Snapdragon X EliteおよびX2 Elite、Intel Xe3P、AMD Zen 6、NVIDIA 615向けのサポートが強化され、Lustreファイルシステムにも対応した。グラフィックス面ではMesa 26.2がGPUサポートとVulkan機能を拡張し、AMD GPU向けにはROCm 10.0が提供される。新たに最新のx86-64プロセッサに最適化したamd64v3インストーラが用意されたほか、RVA23に対応する初のRISC-V向けデスクトップイメージ(SpacemiT K3ハードウェア対応含む)が登場した。RISC-V InternationalのCEOであるAndrea Galloは「2026年はRVA23シリコンの年であり、RISC-V向けデスクトップイメージのサポートが実現したことを嬉しく思う」と述べている。開発者向けには、Rust 1.97.1、OpenJDK 27、LLVM 22.1.6、GCC 15.2.0、Python 3.14.7、Go 1.27といったツールチェーンが更新され、AIワークロードの高速化にも対応が進んでいる。

概要 Node.jsプロジェクトは10月14日、Current系列の最新版v26.12.0と、LTS系列（コードネームKrypton）の最新版v24.22.0を公開した。いずれもマイナーアップデートだが、WebSocket通信やSQLiteモジュールの安全性・堅牢性を高める変更が多数取り込まれており、今後年1回のメジャーリリースサイクルへ移行するというリリーススケジュール変更を控えた節目のアップデートと位置づけられる。 WebSocketとAPIまわりの拡張 v26.12.0ではhttpモジュールにwebsocketMask()とwebsocketUnmask()が新たに追加された。これによりWebSocketフレームのマスキング／アンマスキング処理をアプリケーション側から直接制御できるようになり、WebSocketサーバーやプロキシの実装者にとって低レベルの処理を自前で組み立てやすくなる。また、WebAssemblyまたは正規表現（RegExp）サポートが欠けた環境ではエラーをスローするよう変更され、実行環境間での挙動の一貫性が向上した。 一方のv24.22.0ではcrypto関連の拡張が目立つ。PKCS#12形式を解析するcrypto.parsePKCS12()、汎用メッセージ認証コードを扱うGeneric MAC API、SIV/GCM-SIVモードのCipher/Decipher対応などが加わったほか、OpenSSLプロバイダーから利用可能な暗号・ハッシュアルゴリズムを動的に検出できるようになった。このほかパフォーマンス計測用のperformance hooksにSlidingWindowHistogramや信頼区間を算出するmeanCI、ヒストグラムのCBORエクスポート／インポートが加わり、ユーティリティ関数にはutil.debounce()やutil.throttle()が新設されるなど、アプリケーション開発者向けの地味だが実用的な機能追加が多い。 SQLiteモジュールの安全性強化 両バージョンに共通するテーマの一つがSQLiteモジュールの堅牢化だ。v26.12.0では、サイズ超過の文字列を扱った際にプロセスを中止（abort）するのではなくエラー（ERR_STRING_TOO_LONG）をスローするよう変更され、予測可能なエラーハンドリングが可能になった。またenableDefensive()で有効化した防御的モードの設定がデータベースの再オープン後も保持されるようになったほか、集約関数（aggregate）の名前やオプションの検証も強化され、不正な値の使用を防ぐ。v24.22.0側でもStatementSync.prototype.close()とSymbol.disposeによるdispose protocol対応が加わり、ステートメントのリソース管理がしやすくなっている。 その他の改善と依存関係の更新 v26.12.0ではStream/Iterator関連の改善としてdump()/dumpSync()が追加されたほか、閉じたストリームへの書き込みでTypeErrorをスローするようエラーハンドリングが強化された。また不要なミューテックスやロック機構を削除することでcrypto処理のパフォーマンスが向上している。依存関係ではacornが8.19.0、sqliteが3.54.0、simdjsonが5.0.3にそれぞれ更新された。 v24.22.0ではHTTP/HTTP2のソケット破棄やチャンク書き込みの最適化、TLSのSNICallback・OCSPRequestまわりの改善、Windows環境での読み取り専用ファイル削除対応など、幅広い修正が入っている。セキュリティ面ではFIPSモードの改善とFIPS indicator diagnostics channelの追加、WebCryptoでの非FIPSパスの無効化が行われた。依存関係はnpmが11.19.1、simdjsonが4.6.11、zlibが1.3.2.1-motleyに更新されている。 今回のリリースは単体の目玉機能よりも、WebSocketやSQLiteまわりの安全性・一貫性を底上げする地道な改善が中心であり、Node.jsが年1回のメジャーリリースサイクルへ移行する前段階として、既存機能の安定性を固める意図がうかがえる。

概要 PostgreSQLコミュニティは10月15日、メジャーバージョン19の最初のリリース候補(RC1)を公開した。正式リリース(GA)は11月19日に予定されており、その前に11月12日には定例の更新リリースに合わせてRC2もリリースされる計画だ。同日、Amazon RDSの「Database Preview Environment」でもPostgreSQL 19 RC1が利用可能になり、ユーザーは本番導入前にUS East (Ohio)リージョンで新バージョンの動作を事前検証できるようになった。世界で広く使われるオープンソースデータベースの次期メジャーリリースが、着実に最終段階へと進んでいることを示す節目といえる。 RC1での主な修正点 Beta 4以降、RC1では複数の不具合修正が加えられている。テーブルやインデックスを再構築するREPACK (CONCURRENTLY)、クエリ実行計画のヒント機能であるpg_plan_adviceに関する修正のほか、NULL式の扱いに関するクエリプランナの最適化も行われた。論理レプリケーションでは、wal_levelがreplicaに設定されている場合の自動有効化に関する修正が入っている。また、postgres_fdwの統計情報収集が、従来のANALYZE実行ユーザーではなく外部テーブルの所有者権限で実行されるよう変更された。並列autovacuumについても複数の修正が加えられ、AWSの発表でも「複雑なテキスト検索式のエラー処理の改善」「並列autovacuumの堅牢化」「GINインデックスメンテナンスの信頼性向上」が安定性強化のポイントとして挙げられている。細かな変更点として、COPY (query) TO ... (FORMAT json)でJSON出力する際のキー名が、テーブルの列名ではなくクエリ側の列名・エイリアスを使用するようになった点も実務上の影響が大きい。 検証方法とAmazon RDSでの提供 PostgreSQLコミュニティはRC1の実機検証を呼びかけており、公式ダウンロードページから入手できるほか、不具合はバグ報告フォームから報告できる。リリース告知自体への訂正提案はpgsql-wwwメーリングリストで受け付けている。未解決の課題は「PostgreSQL 19 Open Items」のWikiページで追跡されている。アップグレードにはpg_upgradeまたはpg_dump/pg_restoreによるメジャーバージョンアップグレード手順を用いる。 一方、AWSはAmazon RDS Database Preview Environment経由でRC1を提供し、通常のRDS for PostgreSQLと同料金で試用できるようにした。ただしプレビュー環境のDBインスタンスは最大60日間で自動削除され、作成したスナップショットもプレビュー環境内でのみ利用可能という制約がある。データを環境外に持ち出す場合はPostgreSQLのダンプ・ロード機能を使う必要がある。 今後の見通し RC2が11月12日、GAが11月19日とスケジュールが明示されたことで、PostgreSQL 19は最終準備段階に入ったことが明確になった。クラウド各社がGA前からプレビュー環境を用意し始めている点は、ユーザー企業にとって本番移行前の検証期間を確保しやすくなるという意味で歓迎される動きだ。今後RC2までに追加の修正が入る可能性もあるため、本番導入を検討しているユーザーはOpen Itemsページや公式アナウンスを継続的にチェックしておくとよいだろう。

概要 JavaScript向けパッケージマネージャーpnpmの開発チームは10月13日、新バージョン「12.13.0」をリリースした。今回の更新では、レジストリ操作を担う新コマンドの追加に加え、Python依存関係の解決処理やネットワークファイルシステム上でのインストールにまつわる性能改善が盛り込まれている。既存設定との後方互換性は保たれており、破壊的変更は報告されていない。 新コマンドと設定オプション 新たに追加されたpnpm profileコマンドは、npmレジストリなどのユーザープロフィール設定を閲覧・更新できる。またpnpm tokenコマンドでは、レジストリの認証トークンの一覧表示、新規作成、失効がCLIから直接行えるようになった。 設定面では、ストアのインデックス管理方式としてstoreIndexFormat: filesが追加された。従来のSQLiteベースのindex.dbでは、ネットワークファイルシステム上で複数マシンが同時にインストールを実行するとロックが機能せずindex.dbが破損するおそれがあったが、パッケージごとに1ファイルでインデックスを管理する方式に切り替えることでこの問題を回避できる。あわせて、パッケージマップ設定をグループ化するnodePackageMapも導入され、mode: write-onlyやmode: load、typeパラメータによる細かい制御が可能になった。 性能改善とバグ修正 今回の更新で最も目立つのが、Python依存関係解決の高速化だ。10件の依存関係を持つプロジェクトで--lockfile-onlyを実行した場合、処理時間が約40秒から約4秒へと大幅に短縮された。レジストリメタデータの不要な読み込みを削減し、PEP 658に対応したホイールのみを選択的にダウンロードする仕組みが高速化の背景にある。なお別の改善として、enableModulesDir: falseでのインストール時にはパッケージ検証が並列化された。ネットワークファイルシステム上で5,100パッケージをインストールする検証では、依存関係の解決とフェッチの間に生じていた19秒の停止時間も削減されたという。 バグ修正では、macOSのvirtiofsやSMB共有環境でのファイルシステム関連の不具合、pnpmfile読み込み時にプロセスがハングする問題、MinGW環境でのRustツールチェーン選択の誤り、link:依存関係削除時のシンボリックリンク処理、スコープ付きレジストリ使用時のロックファイル記録の不整合など、多岐にわたる修正が加えられている。大規模モノレポやクロスプラットフォーム開発での運用上の細かな摩擦を解消する内容が中心で、日常的な開発体験の安定性向上に寄与する更新と言える。

概要 Microsoftは10月14日、Visual Studio Codeの最新版「1.142」をリリースした。今回の目玉は、AIエージェントとユーザーが同じ成果物を並行して編集・検査できる新機能「Canvases」のプレビュー追加で、チャットパネルの横にKanbanボードやタスク管理といった形式のインタラクティブなインターフェースを表示し、エージェントとの協業をチャットのテキストだけに頼らず視覚的に進められるようにする。これに加えて、進行中のチャットセッションをGit Worktreeなど別のローカルフォルダへ会話履歴ごと移動できる機能や、Copilotチャットハーネスの既定化など、エージェント体験まわりの強化が目立つリリースとなった。 Canvasesプレビュー Canvasesは設定chat.canvases.enabledを有効にし、Copilotハーネスを使った新規セッションで利用できるプレビュー機能。チャットで/create-canvasコマンドを実行することで新規キャンバスを作成できるほか、GitHub Copilotアプリから既存のキャンバス用プラグインをインストールして呼び出すこともできる。生成されたキャンバスはVS Codeのエディタ領域とエージェントウィンドウの両方に表示でき、ユーザーとエージェントが同一のアーティファクトをリアルタイムに検査・更新できる点が特徴だ。従来のチャットベースのやり取りでは進捗や構造を把握しづらかったタスク管理やプランニングのような作業を、より構造化された形で共同編集できるようにする狙いとみられる。 チャット履歴を保持したワークツリー移動 もう一つの注目機能が、進行中の会話をそのままGit Worktreeなど別のフォルダへ移せる仕組みだ。この移動はCodexハーネス(またはCodexのInteractiveモード)を使い、1つのチャットが1つのローカルフォルダに紐づくセッションに限って利用できる。ユーザーが「Continue this task in a new Git worktree of the current repository before implementing it.」のような自然言語の指示を出すだけで、エージェントが新しいワークツリーを用意し、チャット履歴を保持したまま作業を引き継ぐ。移動先のワークツリーで編集やコマンド実行を行っても元のチェックアウトには影響しないため、実験的な変更を本流のブランチから隔離しつつ、同じ文脈でエージェントとのやり取りを継続できる。 Copilotハーネスの既定化とその他の変更 Copilot SDKベースのチャットハーネスは、新規セッションの既定として段階的な展開が始まり、ハーネス選択UIにも「Copilot」の表示が追加される。これまで提供されていた読み取り専用の「Ask」エージェントは、ユーザーからのフィードバックを受けてCopilotハーネス内に再導入された。このほか、モデルピッカーがCopilotとBYOK(Bring Your Own Key)のモデルをタブで分離するインターフェースに刷新され、ホバー操作で思考レベルやコンテキストサイズを設定できるようになったほか、実行中のバックグラウンドシェルを表示して不要な処理を「Stop Shell」で中断できる機能、uvで管理されたPython環境の自動検出、Markdownエディタでの画像貼り付けやファイルリンクのリネーム(F2)対応など、エディタ・開発体験の細かな改善も多数含まれている。企業向けにはポリシー設定時にローカル実行からCopilot Agent Hostへ自動移行する管理機能も追加された。