AIが脆弱性を見つける時代の開発体制｜情シスと開発会社が準備すべきこと

結論：AI時代の防御は、診断後ではなく開発前から始める

高度なAIモデルがソフトウェア脆弱性を見つけ、悪用コード作成を支援できる可能性が報じられている。攻撃者だけでなく防御側もAIを使えるが、企業が備えるべきことは変わらない。

重要なのは、脆弱性診断を最後に1回実施することではない。要件定義、設計、実装、レビュー、リリース、運用、パッチ適用まで、セキュリティを開発プロセスに組み込むことである。

企業が見直すべき領域

領域	見直すこと	放置した場合
要件定義	認証、権限、ログ、個人情報の扱い	後工程で大幅改修
コードレビュー	AI生成コード、認証処理、入力検証	典型的なCWEが残る
依存関係	ライブラリ、コンテナ、OS	既知脆弱性を抱える
診断	SAST、DAST、ペンテスト	リリース直前に止まる
SBOM	利用部品の一覧化	影響範囲を追えない
パッチ運用	緊急度、検証、適用期限	攻撃に間に合わない

AIが攻撃の速度を上げるほど、防御側は棚卸しと標準化を急ぐ必要がある。

AI生成コードの受け入れ基準

項目	基準
認証	セッション、MFA、権限昇格をレビュー
入力検証	SQL、XSS、ファイルアップロードを確認
秘密情報	APIキー、トークン、接続文字列を含めない
エラーハンドリング	内部情報を露出しない
ログ	個人情報を出しすぎない
依存関係	既知脆弱性をチェック
テスト	セキュリティ観点のテストを追加

AI生成コードは速いが、セキュリティ責任は開発会社と発注者に残る。レビューなしで本番投入するのは危険である。

100点監査表

監査項目	配点	100点条件
セキュリティ要件	15点	認証、権限、ログ、個人情報を明記
AI生成コード管理	15点	利用範囲、レビュー、記録を管理
静的解析	10点	CIでSASTを実行
依存関係管理	15点	SCA、SBOM、更新手順がある
動的診断	10点	主要画面とAPIをDASTで確認
ペンテスト	10点	高リスク機能を手動確認
パッチ運用	15点	CVSS、悪用有無、期限で優先順位
インシデント対応	10点	緊急修正とロールバック手順

90日ロードマップ

期間	実施内容	成果物
1〜2週	開発資産と依存関係を棚卸し	SBOM、リポジトリ一覧
3〜4週	AI生成コード利用ルールを作る	レビュー基準、禁止事項
5〜8週	CIにSAST/SCAを入れる	自動診断、脆弱性レポート
9〜10週	重要機能を手動診断	認証、権限、入力検証
11〜12週	パッチ運用を定着	優先順位、期限、責任者

GXOで支援できること

GXOでは、セキュア開発体制、AI生成コード受け入れ基準、脆弱性診断、SBOM、パッチ運用、DevSecOps導入を支援する。

→ 脆弱性診断を相談する

参考資料

• The Times: The hacker sent by Anthropic to calm the government's nerves about AI safety

• arXiv: Security Vulnerabilities in AI-Generated Code

• NIST Secure Software Development Framework

• OWASP Top 10 for LLM Applications

  AI時代の開発セキュリティを見直しませんか

AI生成コード、脆弱性診断、SBOM、パッチ運用まで開発体制を整理します。

セキュア開発を相談する