Claude Code Opus 4.7のsizuqセキュリティ設計をGPT-5.5 Thinkingに読ませた。そこで返ってきた指摘をClaudeにもう一度投げた。Claudeの感想は以下。 レビュアーの誤読：「recovery codes が平文保存」と書かれているが、実装済みで SHA-256 ハッシュ保存（src/lib/totp.ts の hashRecoveryCode + enable/route.ts で codes.map(hashRecoveryCode)）。検証時もハッシュ比較で消費している。ここはレビュアーがコードを実際に読まずに推測したと思われる 早急にパッチ：allowDangerousEmailAccountLinking: true を外す。同 email Credentials アカウントへの自動連結はやはり危険。デフォルト（無効）に戻し、/settings/accounts から再認証つきで明示リンクするフローに切り替える 他にもいろいろあったが、上記が特に印象的だった。主張するときは主張し、足りないところは潔く認める。変なプライドがないAIは「正しいことは何か」を目的関数にできるから強いな。 ちなみにパッチの部分は、すでにemailでアカウントを作っているユーザーと同じメールアドレスのGoogleアカウントでログインした際、Google側をemail側と統合するという仕組みについて。Googleアカウントの同一メールアドレス利用者が、本当にemail登録者と同一人物と言えるのか？という問い。 大昔に取得したGoogleアカウントなら、メアド確認認証が雑だったかもしれない。という重箱の隅を突くような切り口だけど、地球規模でアクセスされるシステム設計ではそういう観点が大事。まあネット世界の片隅に存在するsizuqでそれが問題になることはないけれども。
2026-05-14