現代の開発環境における AI コード、セキュリティ、信頼性

大半の組織では、AI ツールの使用をある程度まで許可するポリシーが存在する一方で、圧倒的多数が、開発者はそれらのポリシーを回避していると回答しています。言い換えれば、コードや提案を提供する AI への信頼は、AI に関する会社のポリシーへの信頼よりも大きいということです。

これは、非常に大きなリスクを生み出しています。企業が急速に AI を導入しているにもかかわらず、コードを保護するセキュリティプロセスを自動化していないためです。AI ツールを使用している開発者は、コードの生成がより高速化しているにもかかわらず、チームがセキュリティスキャンの 75% 以上を自動化していると回答したのはわずか 9.7% でした。こうしたポリシー遵守の不徹底に加え、コードの生成速度が増しているため、セキュリティスキャンの自動化がこれまで以上に重要になっています。

回答者の 55.1% は、AI によるコード補完をソフトウェアサプライチェーンの一部だと考えています。しかし、こうした見解があっても、AI を活用したアプリケーションセキュリティプロセスに大きな変化は見られません。回答者の大多数が、AI コード補完ツールの導入により、自社チームがソフトウェアセキュリティ対策に少なくとも 1 つの変更を加えたと回答していますが、この多肢選択式項目における全体的な回答の割合は低くなりました。

対策の変更について最も回答率が高かったのは、セキュリティスキャンの増加で、回答者の 18.4% を占めました。これほど変更が行われていないという実態は、AI のコード提案は人間が作成したコードよりも安全だという誤った認識が原因となっている可能性があります。通常は、仕事の進め方が大きく変われば、新しい方法がもたらす新たなリスクやリスクの増加に対処するために、リスク管理の見直しとそれに応じた変更が必要になります。

回答者の大多数は、AI コード補完ツールの使用によるセキュリティへの影響について、懸念を示しています。これは、AI コーディングツールが安全なコードを生成し、セキュリティを向上させるコード提案を行える機能に強い信頼を寄せているという回答とは対照的です。

こうした認識の齟齬は、群集心理が引き起こした可能性もあります。開発者は、他の開発者も AI コーディングツールを使用しているのだから信頼できるに違いないと考えており、それが行動の動機になっているのです。しかし、冷静な観点からは、開発者はリスクを理解し、包括的なセキュリティ対策を講じなければ、自分たちが認識している以上に、あるいは実際に確認できる以上に、AI が安全でないコードを注入する可能性があることを認識しています。

一般的に挙げられる懸念事項は、AI を使用する開発者がコーディングツールに過度に依存するようになり、自分自身でコードを記述する能力や、AI を常用している基本的なコーディング作業を行う能力が失われることです。ある研究では、強力な AI に過度に依存する知識労働者は、適切な解決策が典型的なものでない場合や、パターンから外れている場合には認識しにくくなることが指摘されています。本調査では、この調査項目に対して、45% が「やや懸念している」、40% が「非常に懸念している」と回答しています。つまり、回答者は AI に仕事を任せすぎることにはリスクがあると認識しているのです。