「ChatGPT に書かせたコードで社内システムが作れた。開発費 0 円です」――2025-2026 年、中堅企業の経営者・情シスから増えている話です。 ChatGPT / Claude / Cursor / GitHub Copilot / Devin / Replit Agent の急速な性能向上で、専門エンジニアがいない部門でも「動くシステム」が作れる時代になりました。これは大きな進化です。
しかし、動くシステム と 本番稼働させて良いシステム は別物です。本記事は、バイブコーディング（vibe coding = AI に書かせて雰囲気で作る開発スタイル）で構築・運用された自社システムが引き起こす 7 つのトラブル類型を、公開報道済の実害事例とともに整理します。
本記事は連載「バイブコーディング危機」第 1 回（概論編）です。 第 2 回以降は各リスク類型を 1 記事ずつ深堀りする 全 20 回 の連載です。全話の一覧と各回への直リンクは本記事末尾「連載 全 20 回の歩き方」、または連載ハブ /feature/vibe-coding-crisis からアクセスできます。
目次
- バイブコーディングとは何か
- なぜ 2026 年に「危機」と呼ぶか
- 7 つのトラブル類型と公開事例
- 中堅企業向け 防衛チェックリスト 10 項目
- この連載は誰のためか / いつ専門家に相談すべきか
- 連載 全 20 回の歩き方（全話リンク）
バイブコーディングとは何か
バイブコーディング (vibe coding) は、AI 起業家 Andrej Karpathy が 2025 年初頭に X で広めた言葉で、「コードを 1 行ずつ書く」のではなく「AI に意図を伝えて雰囲気 (vibe) で作らせる」開発スタイルを指します。
具体例：
- 経営企画が「在庫の自動アラート Slack 通知が欲しい」と ChatGPT に依頼 → Python script 出力 → そのまま動かす
- 営業部が「顧客リストから契約期限が近い人を抽出するツール」と Cursor に頼む → Streamlit アプリ生成 → 部内サーバーで運用開始
- 経理が「請求書 PDF を読み取って会計ソフトに転記」と Claude に依頼 → 自動化スクリプト → 月次運用
便利です。しかも 専門家チェック ゼロでも「動きます」。
問題は、「動く」と「本番運用していい」の間に 専門家しか埋められない 7 つの溝 がある点です。
AI ASSESSMENT
PoC の前に「そもそも使えるか」を30分で見極めませんか？
情シス部門の稟議書作成をサポートする無料の30分壁打ち。ROI 試算シート・失敗要因チェックリストをその場で共有します。
なぜ 2026 年に「危機」と呼ぶか
3 つの構造変化
| 変化 | 2024 年までの状態 | 2026 年現在 |
|---|---|---|
| AI コード生成精度 | 「叩き台」レベル、専門家リライト前提 | 「ぱっと見動く」レベル、非エンジニアでもプロダクション投入 |
| 開発ツール民主化 | Cursor / Replit Agent / Devin など、ノンエンジニア対応 IDE 普及 | 経営企画 / 営業 / 経理が直接「コード」を生成 |
| 個情法 / 改正法令 | 漏洩 = 主要事故 | 漏洩 + 72 時間以内報告義務、本人通知義務、罰則強化 |
→ 「AI で動くものが作れる確率」が急上昇する一方、「動かしてはいけないものを動かす確率」も同時に上昇しています。後者が顕在化した瞬間がインシデントです。
普及スピードの数字（一次ソース）
- GitHub「Octoverse 2024」: オープンソース開発者の回答者の 73% が、GitHub Copilot などの AI ツールをコーディングやドキュメント作成に使用していると回答
- 総務省「令和 7 年版 情報通信白書」（2025 年 7 月公表）: 生成 AI を「活用・利用する方針を策定している」と回答した日本企業は 49.7%（前年度調査の 42.7% から上昇）。ただし 大企業が約 56% に対し中小企業は約 34% と、規模による差が大きい
- 同白書: 米国企業の方針策定率 84.8%、中国 92.8% に対し、日本は約半数にとどまる
これらは「現場での AI 活用が先行し、ガバナンスや専門人材の整備が後追いになりやすい」構造を示す指標でもあります。とくに情シスが 1〜3 名の中堅企業では、現場部門が生成 AI で作った "動くシステム" を、専門家のチェックを経ないまま本番に載せてしまう余地が大きくなります。
7 つのトラブル類型と公開事例
以下は 公開報道済の実例 と、各事例が示唆するリスク類型の対応表です。
重要な注記: 下記の公開事例は「バイブコーディングが直接の原因」と断定するものではありません。多くは大企業の専門開発体制下で起きた事故です。 しかし、専門家チェックが薄い環境（=バイブコーディング環境）で同種リスクが顕在化する確率は構造的に高いです。事例は「専門家不在の自社開発でも同じ類型が起きる」ことを示す警鐘として参照します。
類型 1: 個人情報漏洩（SQL Injection / 認可不備 / バリデーション不足）
| 観点 | 詳細 |
|---|---|
| 何が起きる | フォーム入力からの SQLi、URL 直叩きで他人のデータが見える、ファイルアップロード経由の権限昇格 |
| 公開事例 | 2023-2024 LINE Yahoo 約 51 万件の個人情報漏洩（業務委託先経由）、ベネッセ 約 3,504 万件流出（2014、内部犯行 + アクセス制御不備） |
| バイブコーディング起因の追加リスク | AI 生成コードは認可ロジックを書き忘れる頻度が高いです。if user.is_admin を入れ忘れた管理画面が社内 LAN だけで公開されていても、攻撃者からは VPN 越しに見えてしまいます |
| 法的影響 | 改正個情法（2022 年施行）で漏洩発生時 72 時間以内に個情委へ速報、本人通知も義務化 |
類型 2: サービス停止（メモリリーク / DB lock / 例外未処理）
| 観点 | 詳細 |
|---|---|
| 何が起きる | 1 ヶ月単位でメモリ消費が増え続けて OOM、深夜バッチで DB が長時間ロックされ翌朝業務不能、想定外 input で全クラッシュ |
| 公開事例 | 2024 江崎グリコ 基幹システム障害（チルド食品の出荷停止 約 4 ヶ月、業績下方修正 約 200 億円規模）、2022 KDDI 通信障害（約 3,915 万人 / 約 86 時間）。財務インパクトの試算は第 4 回で詳説 |
| バイブコーディング起因の追加リスク | AI 生成コードは負荷試験を書きません。Try/except で全部 swallow して silent failure を起こします。ローテーション無しのログ書き出しで disk 100% になります |
| 経営影響 | 自社業務停止 + 取引先への影響 + 監督官庁への報告 |
類型 3: 法令違反（電子帳簿保存法 / 電気通信事業法 / 特定電子メール法）
| 観点 | 詳細 |
|---|---|
| 何が起きる | 改ざん検知無しの電子帳簿、本人同意取得無しのメルマガ配信、保存期間不足の取引データ |
| 公開事例 | 国税庁「電子帳簿保存法に基づく不適合事案」（毎年公表）、特商法違反による特商法業務改善命令（毎年数十件） |
| バイブコーディング起因の追加リスク | AI は「動かす」コードは書きますが「法令準拠」のチェックリストは持ちません。電子帳簿の真実性（タイムスタンプ等）の実装漏れ、特商法ページ未配置のまま EC 公開、などが起こります |
| 罰則 | 是正命令 + 罰金 + 経営者責任 |
類型 4: データ消失（バックアップ無し / 不可逆操作 / 暗号化キー紛失）
| 観点 | 詳細 |
|---|---|
| 何が起きる | DELETE FROM テーブル WHERE 条件 → ENTER → 全件消える、バックアップが動いていない、暗号化したが鍵を .env に置いてサーバー紛失 |
| 公開事例 | 2017 GitLab.com の 6 時間データロス（運用者の typo + バックアップ 5 系統すべて非稼働）、2024 全国銀行データ通信システム障害（モアタイム停止） |
| バイブコーディング起因の追加リスク | AI 生成スクリプトは「dry-run」「confirm」「rollback」を実装しません。一発で全消しになります |
| 復旧コスト | 数日 〜 数週間、データによっては 復旧不能 |
類型 5: 不正アクセス放置（脆弱性スキャン無し / ログ無し / 侵入検知無し）
| 観点 | 詳細 |
|---|---|
| 何が起きる | 侵入されてから半年気付かない、ランサムウェアで暗号化されてから初めて分かる、認証ログが無くて誰がいつ入ったか追えない |
| 公開事例 | 2022 大阪急性期総合医療センター ランサムウェア（電子カルテ 2 ヶ月停止）、2023 名古屋港 ランサムウェア（コンテナ搬入搬出 3 日停止） |
| バイブコーディング起因の追加リスク | AI 生成サーバー設定は WAF・IDS なし、SSH 22 番ポート全世界開放、ログ rotate なしで disk full、を default で出力します |
| 早期検知の欠落 | 検知が遅れるほど被害範囲は等比級数的に拡大 |
類型 6: アカウント乗っ取り（脆弱認証 / 多要素未実装 / セッション固定）
| 観点 | 詳細 |
|---|---|
| 何が起きる | password=admin/admin、MFA 無し、Cookie の HttpOnly/Secure 無し、ログイン試行回数制限無し |
| 公開事例 | 2024 セブン銀行 不正送金（パスワードリスト型攻撃）、2023 全銀協 不正引き出し多発（フィッシング + 弱認証） |
| バイブコーディング起因の追加リスク | AI は「とりあえずログインフォーム作って」に対して、bcrypt も rate-limit も MFA も書きません。明示要件があって初めて入ります |
| 影響 | 1 アカウント侵害 → ラテラルムーブメント → 全社侵害 |
類型 7: ベンダーロックイン / 技術負債で更新不能
| 観点 | 詳細 |
|---|---|
| 何が起きる | AI が生成した独自実装でドキュメント無し、書いた本人退職で誰も触れない、ライブラリ依存版が古いまま脆弱性 fix も入れられない |
| 公開事例 | みずほ銀行 旧勘定系（COBOL + 独自実装）の現代化失敗（2002 統合以降の障害連鎖）、JAL システム障害（保守人材不足の連鎖） |
| バイブコーディング起因の追加リスク | AI は「動けば良い」コードを書くので、構造化・テスト・型注釈・ドキュメントが薄くなります。3 ヶ月後の自分すら読めません |
| 経営影響 | 「動いてるからいい」が経営判断を遅延させる、刷新コストは初期構築の 5-10 倍 |
FREE DOWNLOAD
AI導入チェックリスト（PoC 失敗要因 10項目）
情シス部門が PoC 前に押さえるべき失敗要因を10項目に整理した無料チェックリスト。
中堅企業向け 防衛チェックリスト 10 項目
バイブコーディングは やめましょう ではありません。ガバナンスを入れて使いましょう が正解です。中堅企業（年商 30-300 億・情シス 1-3 名）が今日から取れる 10 項目を整理します。
| # | チェック項目 | 取れる対策（30 分以内） |
|---|---|---|
| 1 | 本番投入前のセキュリティスキャン | OWASP ZAP / Trivy を CI に組み込む（OSS 無料） |
| 2 | 個人情報の入出力箇所マッピング | Excel 1 枚に「どの画面 → どの DB カラム」を列挙 |
| 3 | 認可ロジックのレビュー | 全 endpoint に対し「権限チェックは何処にある？」を 1 行コメント記入 |
| 4 | バックアップ・リストア演習 | 月 1 回、本物のバックアップから別環境にリストアできるか試す |
| 5 | ログ保存・監査体制 | アクセスログを 1 年保存、検索可能化、月 1 で異常検知 |
| 6 | MFA 全社強制 | Google Workspace / Microsoft 365 で MFA 必須化（既存機能、追加コスト 0） |
| 7 | 退職者の権限剥奪手順 | チェックリスト化、退職当日完了を SLA に |
| 8 | インシデント対応フロー文書化 | 「漏洩疑い 72h で誰が何する」を A4 1 枚に |
| 9 | AI 生成コードのレビュアー設定 | 社外でも良いから 1 人「コードレビュー責任者」を契約ベースで確保 |
| 10 | システム棚卸し（年 1） | 全自社開発システムの「いつ作った / 誰が作った / 何のため」を Excel 1 枚に |
→ この 10 項目は外部費用 0 円〜数万円 / 月で導入可能です。「専門家がいないから無理」ではなく「外部の専門家を 1 人だけ顧問契約」する方がはるかに安く済みます。
もう少し踏み込んで体制を整えたい場合は、用途に応じて次の入口があります。AI 生成コードの脆弱性を機械的に洗い出したいなら脆弱性診断や、開発フローに検査を組み込むDevSecOpsの整備が起点になります。「そもそも自社開発を続けるべきか、外部に出すべきか」を判断したいならLLM セキュリティ成熟度診断や開発会社選びの比較軸づくりが有効です。月額の顧問契約から始めたい場合はセキュリティ顧問の相談窓口もあります。
この連載は誰のためか / いつ専門家に相談すべきか
この連載が役立つ読者
- 現場部門（経営企画 / 営業 / 経理など）が生成 AI で作った "動くツール" が、すでに社内で本番運用されている中堅企業
- 情シスが 1〜3 名で、すべての自社開発システムをレビューしきれていない経営者・管理者
- 「AI 開発を止めたくはないが、何が危ないのか・何から守ればいいのか」を整理したい意思決定層
今すぐ専門家に相談すべきサイン（1 つでも当てはまれば要注意）
- 個人情報・決済情報・顧客リストを扱う画面を、専門家のレビューなしで本番公開している
- そのシステムを作った担当者が異動・退職した、または退職予定がある
- バックアップを取っている "つもり" だが、リストア（復元）を一度も試したことがない
- アクセスログ・監査ログが残っていない、または誰も見ていない
- 多要素認証（MFA）を「あとで入れる」と言ったまま数ヶ月が経っている
これらは本連載の各回（第 3 回 認可漏れ / 第 8 回 退職者ブラックボックス / 第 9 回 バックアップ検証 / 第 10 回 MFA）で深掘りしています。判断に迷う段階であれば、LLM セキュリティ成熟度診断やバイブコーディング × セキュリティ診断の無料相談で、自社の状況を棚卸しするところから始められます。
連載 全 20 回の歩き方（全話リンク）
本連載「バイブコーディング危機」は、第 1 回（本記事）の概論に続き、各リスク類型を 1 回 1 テーマで深掘りする 全 20 回 です。第 1 回から順に読むと検討の流れに沿って確認できますが、気になる類型から読んでも構いません。全話一覧は連載ハブ /feature/vibe-coding-crisis からもアクセスできます。
| 回 | テーマ | 主な対象リスク |
|---|---|---|
| 第 1 回 | 本記事（概論 + 7 類型 + 防衛チェックリスト 10 項目） | 全体像 |
| 第 2 回 | SQL Injection の現実：AI が書き忘れる 5 パターン | 個人情報漏洩 |
| 第 3 回 | 認可漏れ：管理画面が VPN 越しに見える日 | 不正閲覧 |
| 第 4 回 | サービス停止の財務影響：江崎グリコ 4 ヶ月の教訓 | 事業停止 / BCP |
| 第 5 回 | データ消失：DELETE FROM ENTER の朝 | データ消失 |
| 第 6 回 | ランサムウェアに気づかない 6 ヶ月 | 侵入検知 |
| 第 7 回 | 法令違反の罠：電子帳簿保存法 + 特商法 | コンプライアンス |
| 第 8 回 | 退職者がブラックボックスを残す日 | 属人化 / 継承 |
| 第 9 回 | バックアップが動いてない、を発見する方法 | 復旧不能 |
| 第 10 回 | 多要素認証を「あとで入れる」と言って入れない | アカウント乗っ取り |
| 第 11 回 | セキュリティスキャン：SAST / DAST / SCA を CI に組む | 脆弱性検査 |
| 第 12 回 | ノーコード / ローコードの裏に残る技術的負債 | 技術的負債 |
| 第 13 回 | ライセンス・OSS 混入リスクと SBOM | ライセンス |
| 第 14 回 | 「動くけど誰も直せない」引き継ぎ問題 | 保守不能 |
| 第 15 回 | API キー漏洩：AI が .env を Git にコミットする日 | 認証情報漏洩 |
| 第 16 回 | クラウド従量課金の暴走（Denial of Wallet） | コスト暴走 |
| 第 17 回 | AI が存在しないパッケージ名を提案する罠 | サプライチェーン |
| 第 18 回 | 生成 AI に顧客リストを貼った日：個情法と委託先管理 | 個人情報保護法 |
| 第 19 回 | テストを書かない AI コードとリグレッション | 品質 / 本番障害 |
| 第 20 回 | ログも監視もないシステムの末路（可観測性） | 監視 / 原因究明 |
まとめ
バイブコーディングは中堅企業に開発の民主化をもたらしました。同時に、専門家不在のまま本番投入することで以下 7 類型のリスクが顕在化しています。
- 個人情報漏洩、2. サービス停止、3. 法令違反、4. データ消失、5. 不正アクセス放置、6. アカウント乗っ取り、7. ベンダーロックイン
防衛策の核心は「AI 開発を止めず、ガバナンスを入れましょう」です。外部顧問契約 + 10 項目のセルフチェック + 月 1 の演習で大半のリスクは封じ込められます。
次回（第 2 回）は SQL Injection の現実を、AI 生成コードのアンチパターン 5 件と公開事例とともに深堀りします。
参考一次ソース
- 総務省「令和 7 年版 情報通信白書」企業における AI 利用の現状（2025 年 7 月公表）: https://www.soumu.go.jp/johotsusintokei/whitepaper/ja/r07/html/nd112220.html ／ 概要 PDF: https://www.soumu.go.jp/main_content/001019264.pdf
- GitHub「Octoverse 2024」（オープンソース開発者の AI ツール利用 73%）: https://github.blog/news-insights/octoverse/octoverse-2024/
- 個人情報保護委員会「漏えい等の報告・本人への通知の義務化について」（改正個人情報保護法）: https://www.ppc.go.jp/
- 国税庁「電子帳簿保存法一問一答」: https://www.nta.go.jp/law/joho-zeikaishaku/sonota/jirei/
- LINE ヤフー / 江崎グリコ / KDDI / 大阪急性期・総合医療センター / 名古屋港 など、本文で参照した公開事故は各社・各団体の公式発表および報道に基づきます（各回の本文で出典を明示）。
統計・法令は公開官公庁データで検証可能なものを優先して掲載しています。公開事故の事例は「バイブコーディングが直接の原因」と断定するものではなく、専門家チェックが薄い環境で同種リスクが顕在化しやすいことを示す警鐘として参照しています。
「自社開発したシステム、誰が守っているか分からない」と感じたら
GXO は中堅企業（年商 30300 億・情シス 13 名）向けに、外部 CTO / セキュリティ顧問の月額顧問契約から、既存 AI 開発システムの脆弱性スキャン、運用ルール整備まで段階的に支援します。
※ 営業電話はしません | オンライン対応可 | 相談だけでもOK