今週の注目OSS

model、tool、session、sandboxを同じplugin treeへ分解。0.1.0-rc.7は機能追加と復旧性改善を含むがdeveloper preview。
Agent HarnessPlugin ArchitectureTypeScript

DeepSeek Harness — agent基盤全体をplugin treeとして交換可能に

これは何?DeepSeek AIが公開した、model・tool・session・実行policyを構成可能なopen-source agent harnessです。

新規公開されたMITのdeveloper previewで、Cordisのplugin treeにmodel adapter、tool registry、session log、agent loop、sandboxを載せ、profileとpatchで構成します。0.1.0-rc.7はsubagent Job Panel、MCP/ACPの永続画像添付、長い履歴やtoken切断後のsession修正を含みますが、互換性を壊す変更が予告されています。

なぜ重要か

agent製品の差分をcore改造ではなく、明示されたservice境界と構成差として扱えます。同時に、第三者pluginがtool・credential・sandboxへ触れる範囲を監査する責任も利用側へ移ります。

読むべき人
agent基盤開発者、platform engineer、AI toolのsecurity reviewer
GitHub
149630 stars / 15323 forks
二重assertionやunknown contractなどを、team所有のlint sourceとして検査。0.1.0でrelease未作成。
TypeScriptOxlintStatic Analysis

anti-slop — TypeScriptの型根拠を失う書き方をOxlintで拒否

これは何?型の根拠が薄いTypeScript・JavaScript patternを検出する、vendor前提のOxlint pluginです。

新規公開されたMITの0.1.0で、二重assertion、unknown contract、既知keyのwidening、ad hocなruntime typeof、module mockなどを規則化します。固定npm dependencyではなくsourceをrepositoryへcopyしてteam基準へ変更する設計で、GitHub releaseはなく、規則は強く意見を持つため段階導入が必要です。

なぜ重要か

AI生成codeの表面的な型整合より、値を知っている場所からcontractまで証拠を保持する設計をreviewできます。反面、teamのtest戦略やboundary parsing方針と合わない規則はfork側で責任を持って調整する必要があります。

読むべき人
TypeScript maintainer、lint基盤担当、AI coding workflow設計者
GitHub
2333 stars / 40 forks
DRAM controllerの変換を変え、Family 16hの保護領域へ別addressから到達。root必須の初期研究実装。
Hardware SecurityDRAMAMD

skitter-creek-bath-salts — DRAM address変換から保護領域へ到達

これは何?AMD Family 16hのDRAM controllerを研究し、kernelから見えないmemory領域へのaliasを実証するsecurity toolchainです。

新規公開されたMIT研究で、DRAM変換registerを変更し、PSP、SMM、C6保存領域、microcodeのread・write経路をFamily 16h上で示します。rootとkernel moduleを要する破壊的な実験で、公開実装の実証範囲は対象世代に限られ、release・CVE・vendor advisoryはありません。

なぜ重要か

TEEやfirmware保護より下にあるmemory controllerの変換も、security boundaryの一部として検証する必要を示します。対象外CPUへ影響を一般化せず、hardware固有の証拠とvendor情報を分けて扱うことが重要です。

読むべき人
firmware engineer、hardware security researcher、platform security担当
GitHub
1776 stars / 143 forks
invoiceやreportのReact sourceをregistryからcopyし、TakumiまたはFormeでPDF化。release前の初期段階。
PDFReactDocument Generation

pdfcn — Reactで所有できるPDF componentと帳票block

これは何?TakumiまたはFormeをrendererに使い、React componentからPDFを構成するcopy-and-own型の部品集です。

新規公開されたMIT repositoryで、shadcn UI互換registryからtable、form、chart、invoice、reportのsourceをprojectへ取り込み、themeとpropsを変更できます。二つのrendererとlive previewを備えますが、GitHub releaseはまだなく、日本語font、改page、accessibility、出力再現性は用途ごとの検証が必要です。

なぜ重要か

帳票の構造とdesignを外部packageの固定APIではなく、自分のcode review対象へ移せます。その代わり、rendererやregistry更新の追従、fontとlayoutの回帰testを利用側が持つ必要があります。

読むべき人
React開発者、帳票基盤担当、design system maintainer
GitHub
695 stars / 30 forks
device claim、stale owner回収、captureとrecordingの修正で、並行agentの実機検証を証跡中心に改善。
Mobile TestingAgent ToolsE2E

agent-device 0.20.9 — 並行agentのdevice所有権と検証証跡を強化

これは何?coding agentがmobile・desktop・web appをCLI、MCP、Node APIから操作して検証するautomation toolです。

継続開発中のMIT projectで、accessibility snapshotをselectorに使い、操作差分・screenshot・recordingを証跡にします。8月17日の0.20.9はlocal device claimとstale owner回収、Android overlay、iOS実機capture、fault後のrecording evidenceを修正し、Node 22.12以上、webはNode 24以上を要します。

なぜ重要か

agent E2Eをclick成功だけでなく、deviceの排他所有と回復可能な証跡として設計できます。複数platformを同じworkflowで扱えても、platform別driverとaccessibility品質の差はtest matrixに残ります。

読むべき人
mobile開発者、E2E基盤担当、coding agent運用者
GitHub
4112 stars / 256 forks