AIが書いたコードのセキュリティー検証で見つかった弱点
質の低いコードは、保守の手間を増やすだけでなく、サイバー攻撃につながる脆弱性を生む恐れもある。アプリケーションのセキュリティーリスク管理を手がけるVeracodeが2026年7月に公表した「2026年生成AIコードセキュリティー報告書」に注目してほしい。CodexやOpus 4.8を含む、100種類超のAIモデルが生成したコードのセキュリティーテスト合格率は、平均56％だった。
コードが大量に生成されれば、開発者が把握しなければならない変更も複雑になる。アプリケーションのセキュリティー対策を手がけるSemgrepの共同創業者兼最高技術責任者（CTO）、ドリュー・デニソンは、ビデオ取材で次のように例えた。「数千人のインターンを開発中のコードに自由に手を加えられる状態で送り込み、監督も、安全のための歯止めも、管理もほとんどないとしたらどうなるか。大問題だ」。
Semgrepは人の検査を残し、攻撃者のAI悪用にも警鐘を鳴らす
危険性が指摘されているが、AIコーディングツールの利用はソフトウェア開発の現場で広がっている。デニソンの推計では、Semgrepが社内で作成するコードの約80％をAIが書いている。2026年2月には社内でAIコーディングツールを使う人が「ほとんどいなかった」という。Semgrepでは、AIが生成したコードに人間のエンジニアを追加の確認担当者として加える「プラスワン」を義務付け、自動チェック用のボットでも不具合を探している。
デニソンは、攻撃者側もAIを活用することで、脅威がさらに複雑になると警告する。2026年10月時点から半年以内には、サイバー犯罪者だけでなく、技術の未熟な攻撃者やネット上で悪事を働こうとする人々まで、AIモデルとそれを動かす仕組みを使い、あらゆる組織への攻撃を「際限なく試せる」ようになるという予測だ。
AIが大量生成するコードに追いつかない、「人間」によるレビュー
質の低いコードを減らす最も直接的な方法は、人間の開発者がコードを確認することだ。しかし、AIが生成するコードの量が増えれば、すべてを人間だけで検査するのは現実的ではなくなる。
アドル＝タバタバイは、コードの変更件数がAI導入によって大きく増えたと指摘する。「AI導入前なら、優秀なチームの開発者が行うコード変更は週4〜5件ほどだった。今では週7〜10件に増え、自分たちの場合は週約30件だ」と語った。「優れた開発工程を作るには、あるAIエージェントが生成したコードを、別のAIエージェントにチェックさせる必要がある」。
別のAIにコードを検査させ、現実に近い条件でテストする
AIエージェントをソフトウェアの作成、検査、テストといった各工程に導入すると、生産性は上がるが、予想していなかった作業の滞りや不具合が別の工程で発生することもある。それでもアドル＝タバタバイは「品質の確認とコードレビューでは、AIエージェントが人間より優れた成果を出せる段階に達したと思う」と述べた。
フリードマンは、開発チームがどのようにソフトウェアを作り、システムを構成する各部分がどうつながっているかを把握することが重要だと考える。つながりを理解した上でコードを調べれば、質の低いコードを利用者に提供する前に発見できるという。
さらに、コードレビュー、セキュリティーチェック、動作テストを開発工程に組み込むよう勧める。「コードの変更が動作速度などに影響する可能性があるなら、実際の利用に近い通信量やデータ量でテストすべきだ。デモで機能が動いたというだけでは、数千人が利用する時の動作はほとんど分からない」。
