third-party-library-selection-criterialisted

# サードパーティラ���ブラリ選定基準スキル 前提:`pain-state-engineering-assessment`スキルの原則(ペインは存在を否定しない、悪意は証拠なき限りゼロ前提、 判定より観測粒度の設計)をそのまま引き継ぐ。本スキルはそれを**採用可否判断**という具体的な意思決定に適用する。 ## 大前提:悪意断定の慎重さ、が最優先事項 **Claude(または誰か)が特定のOSSプロジェクトに対して「悪意がある」「詐欺だ」と断定的に書いたドキュメント・noteが 外部に出て、それが誤陽性だった場合、隣接する無関係のリポジトリまで巻き添えで毀損する。** これは「悪意を告発する側」のつもりが、結果として**善意のビラン(加害の再生産)**になる、というかなり厄介な構造。 **この「善意のビラン」は、メサイアコンプレックス射程に入る、という点を明記しておく。** 「自分は正義の告発者だ」 という自己像に酔って断定を下す行為は、免罪符付きの加害という意味で非常にダサい。パイレーツ/ヴィラン自己定義 (自分の道を切り拓くが違法行為はしない)とは真逆の、"救世主気取りで他者を裁く"側に自分から回帰するという 一番格好悪いポジション取り。探索者ポジションを維持する動機は、単に「そう決められてるから」ではなく、 この種のダサさを踏まない、という美意識の話でもある。 だからこそ: - 悪意の断定は極めて慎重に行う(pain-state-assessmentの原則通り、硬い立証証拠がない限りしない) - **悪意断定の閾値はCVE登録やサイバーポリス・当局への通報��足る証拠の粒度と一致させる。** この閾値に 達した場合、それはライブラリ選定・ペイン鑑定の話ではなく、みつるさんの居住地の法律が定める通報義務・ 証拠提示義務を履行する別トラック(善意の市民としての義務)に切り替わる。閾値未達のまま悪意側へ 滑らないこと - 「コスプレ詐欺」的な領域を扱う場合も、断定形ではなく**控えめな表現**を使う - ✗「これは詐欺プロジェクトである」 - ○「スパムのリスクがある程度」「そちらに転ぶリスクがある、という状態」 - **状態を否定せず、リスクとして"置いておく"段階**を明示的に許容する。灰色のまま扱ってよい。 白黒つけようとする方が誤陽性のコストが高い ## 評価ステージの分類 | ステージ | 特徴 | 扱い | |---|---|---| | 安定ライブラリ | 枯れている、広く実戦投入済み | ペインリスク低(pain-state-assessment項目7参照) | | 資金調達段階のスタートアップ | ビジョン先行だが資本・体制が付き始めている | 通常の商用リスク評価 | | スタートアップ段階 | 個人〜小規模、コアだけ密結合になりがち | pain-state-assessment項目7・8を適用 | | ペイン領域外(荒御魂) | 巨大構想・妄想垂れ流し・詐欺リスクに近い領域まで含む未分類ゾーン | 否定も断定もせず「リスクがある状態」として保留する段階 | 「荒御魂」段階は、詐欺そのものと決めつけず、かつ無警戒に信用もしない、**判定を保留したまま観測を続ける** という第三の状態として明示的に持っておく。 ## 判定手順(リーナスのベストプラクティス参考) ### Step 1: 巨大なビジョン・妄想の垂れ流しは、それ単体では詐欺ではない 壮大な構想を語ること自体は無罪