AIを活用した開発へのセキュアなパス (Japanese Edition)

章2 データに基づく 現実検証

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

本章では、データを活用してAIがソフトウェア開発をどう変えているかを評価する。様々なベンダアンケート、アナリストレポート、学術研究論文の発見が、AI導入とセキュリティの現状、そして実務者やリーダーのAIに対する姿勢について一致した見解を示していれば、誰にとっても都合が良かっただろう。しかしデータが示す物語は複雑で、時に矛盾している。

これには主に二つの理由があると考える。第一に、急速な変化の時代には混乱が生じやすい。チームが新しい働き方を導入すると同時にそのセキュリティ確保にも奔走するためだ。極端なプログラミングに端を発し、継続的インテグレーションと継続的デリバリ（CI/CD）へと発展した開発速度の変化が、その好例である。¹ CI/CDワークフローは開発者の課題を大幅に軽減し、数週間に及ぶ「統合地獄」を解消、迅速なプロトタイピングと進化を可能にした。しかし、成熟したDevOpsやDevSecOpsの実践が主流となるまでの遅れが、態度や行動のばらつきが激しい類似の期間を生んだ。

第二に、我々は経験的データと人間の楽観主義の混合に直面している。これらは（セキュリティ分野だけでなく）しばしば乖離する。AIコーディングアシスタントの魅力と認識されている課題は、対立するとは言わないまでも強力な動機を生み出し、興味深い結果をもたらしている。

では、データが何を語っているのか見ていこう。

AI導入は普遍的だ

開発者によるAIコーディングツールの採用が急増している。アンケートによると、開発者の82%が現在、毎日または毎週AIコーディングアシスタントを利用しており、大多数が複数のAIツールを併用している（59%が3つ以上を並列して使用）。² これは以前の統計から顕著な増加だ。例えば、Stack Overflowの2023年アンケートでは、開発者の44%が定期的にAIコードツールを利用していると発見された。³ また、500人以上のエンジニアリングおよびセキュリティ専門家を対象としたSnykのアンケートでは、96％のチームがAIコーディングツールを使用していると報告し、そのうち半数以上のチームがほとんど常に、あるいは常に使用していると回答した。⁴

今日、AIは実験段階から中核的なワークフローへと急速に移行しており、開発者の65%が、自身のコードの少なくとも4分の1が現在AIによって生成されたり、AIの影響を受けていることを認めている。⁵ 特筆すべきは、開発者の15％が自身のコードの80％以上がAIの影響を受けていると報告している点だ。このデータは「AI調整済み」コードが一部のチームでは人間が書いたコードと同等になりつつあることを示唆している。ただし、この統合の進展がコードのセキュリティ上の欠陥を解消するわけではない点は重要性がある。

このアンケートデータは、セキュリティスキャンププラットフォームからのテレメトリによって裏付けられている。Snykの内部データによると、過去数年間でAI生成コードのセキュリティスキャンは20倍に増加しており、開発者がAI共同作成者が生成したコードを積極的にチェックしていることが確認できる。 重要性に、このデータはまた、AI駆動ワークフローにセキュリティを早期に統合するチーム（例えばIDEスキャンやリアルタイム修正の実行）が、従来の事後セキュリティレビューを使用するチームよりも脆弱性を最大60%速く解決できることを示している。これは、セキュリティを「左にシフト」することが、開発を大幅に遅らせることなく、実際に平均修復時間を短縮することを実証している。 ...