AIを活用した開発へのセキュアなパス (Japanese Edition)

章3 AI開発信頼の構築 と運用

この作品はAIを使って翻訳されている。ご意見、ご感想をお待ちしている：[e-mail]

これまでの2章では、AIコーディングアシスタントや自律型エージェントをアプリケーション構築・運用に活用する際のリスクと機会について概要を示した。さらに実世界の統計データと、AIに対して相反する考えを同時に抱きがちな理由についても考察した。

本章では、AIコーディングアシスタントとセキュリティサービスが約束する生産性と革新性を組織が享受しつつ、関連するリスクを最小限に抑えるために役立つ、重要な原則、実装手法、成功の指標について、概要を示す。

成功の鍵は、AIを利用してコードを作成・保護する開発者と、セキュリティリスクを最小化するためのポリシーや制御を開発するセキュリティチームとの双方との信頼構築にある。 信頼とは、セキュリティ統制が運用上の摩擦を生じさせたり、デリバリーを遅らせたりすることなく（ひいてはビジネスに存続に関わる競争上のリスクを追加することなく）、リスクを低減すると信頼性があると確信できる状態を指す。成功するAI信頼プラットフォームは、いくつかの核心的な基盤の上にアーキテクトされ、ユーザ体験とポリシー施行のバランスを取り、部門横断的に管理され、新たな機会への迅速な適応が期待されるものである。

その結果は？制御性、可視性、セキュリティを損なうことなく、AIを活用してソフトウェア開発とデプロイを加速できる。

コードの共同作成を超えて、組織は内部でのAI導入、サプライヤー（ソフトウェア、サービス、資材）との連携、顧客間での活用というより広範な機会に向き合っている。コーディングアシスタントは早期導入の候補となってきたため、ここで採用される実践や原則の一部は、より企業全体にわたる取り組みの堅固な基盤を形成しうる。

まず、中核となる基盤を検証しよう。

アーキテクチャの基盤

チーム、ビジネス、運用モデルの多様性と、AI分野の急速な発展が相まって、信頼できるAI導入のための規範的な計画を作成することは複雑さを伴う課題となる。しかし、いくつかの核心的な原則、プラクティスが、独自の信頼プラットフォームを構築し、頼りになる技術やパートナーを選択するための指針となる。これらの指針は一般的に「3つのE」と呼ばれる：早期対応（early）、説明可能性（explainable）、経験（experience）である。次にこれらを見ていこう。

初期段階

「シフトレフト」の概念は時代と共に意味を変えたが、ソフトウェア開発ライフサイクルの早期段階でセキュリティを組み込むという原則は依然として重要だ。コードの提案やアプリケーションモジュール全体がAIコーディングパートナーによって書かれるようになった今、それらを可能な限り早期にスキャンするのは理にかなっている。静的アプリケーションセキュリティテスト（SAST）やソフトウェア構成分析（SCA）といったツールを活用し、開発プロセスの早い段階でコードをテストすべきだ。

良い知らせは、第2章のデータが示す通り、AIコーディングアシスタントが犯すセキュリティエラーは、人間の開発者が犯しがちなルーチン的で容易に検出可能なミスと同一であることが多い点だ。AIコーダーが（しばしば未整理の）人間のコードでトレーニングされていることを考えれば、これは驚くべきことではない。第2章で概説した主要な制御ポイントと緊密に統合する新世代のセキュリティツールは、コーディングエラーを検出できるだけでなく、特別にトレーニングされたAIモデルを用いてこれらの誤りを修正できるようになった。 ...