10の主要予測：2025年のAIとSecure-by-Designがもたらす影響（Secure Code Warrior）

刺激的でありながら困難も多かった1年を終え、2025年を見据える今、AIとソフトウェア開発の融合は、開発者コミュニティをより有意義な形で形成し続けるでしょう。

組織は、長期的な生産性、持続可能性、そしてセキュリティ投資収益率（ROI）を支えるAIの活用について、難しい決断を迫られています。ここ数年で、AIが開発者の役割を完全に置き換えることはないということが明らかになりました。AIと開発者のパートナーシップから、「Secure-by-Design（設計段階からのセキュリティ）」への期待に伴うプレッシャー（と混乱）の増大まで、来年何が予想されるのかを詳しく見ていきましょう：
‍

AIの方程式を書き換える：AIが開発者に取って代わるのではなく、AIと開発者が共存する

「2025年に企業が抜本的なコスト削減を迫られる中、開発者がAIツールに置き換えられることは驚くべきことではありません。しかし、生成AIが登場した当初と同様、そして数々のアップデートを経て現在に至るまで、AIは特にコード作成において、安全で自律的な生産性向上ツールとは言えません。AIは多くの素晴らしい応用事例を持つ破壊的な技術ですが、熟練した人間の開発者に代わる十分な存在ではありません。私は、2025年にAIが人間を置き換えるというこのシフトは失敗に終わる可能性が高いというForresterの予測に同意します。特に長期的な視点ではそうです。AI単体よりも、AIと開発者の組み合わせの方が、目標を達成できる可能性が高いと考えています。」

‍

AIがもたらすリスクと機会の混在

「2025年には、AIが生成したコードから新たなリスク事例が浮上するでしょう。これには、ハルシネーション・スクワッティング（幻覚によるなりすまし）、汚染されたライブラリ、ソフトウェアサプライチェーンに影響を与えるエクスプロイトといった既知の問題の悪影響が含まれます。さらに、GoogleのProject Zeroが実証したように、AIはコード内の欠陥を見つけるためだけでなく、エクスプロイトを作成するためにもより多く利用されるようになるでしょう。対照的に、エンタープライズ開発者がリスクを過度に増大させることなく、業務でこれらのツールを活用できるレベルの成熟度も一部で見られるようになるはずです。ただし、これは例外であり、ルールではありません。組織が開発者のリスクを積極的に測定し、それに応じてセキュリティプログラムを調整しているかどうかに依存します。2025年に確実に訪れる急速に進化する脅威環境において、より速くコードを作成できるのは、承認されたAIコーディングツールを使用する、セキュリティ意識の高い熟練した開発者でしょう。一方で、セキュリティ意識や一般的なスキルが低い開発者は、より速いスピードで問題を生み出すだけになるはずです。」

‍

「シャドーAI」の影から抜け出す

「AIを取り巻く法規制の状況は、技術の頻繁な進歩と採用率に追いつこうと急速に変化しています。2025年、セキュリティリーダーは潜在的な指令を遵守する準備を整える必要があります。以下の組み合わせ、つまり『シャドーAI』の性質を理解し、組織内で使用されていないことを確認すること、そして社内システムにインストールされた承認済みで検証済みのツールのみを厳格に使用することが、来年の組織にとって最も重要となるでしょう。これにより、開発チームに対する評価が高まり、彼らがセキュリティ能力を継続的に向上させ、それを業務のあらゆる側面に適用できるよう、どのようにサポートするのが最善かを理解することにつながります。」

‍

AIツールのセキュリティ基準が開発者の重要な評価指標に

「現在、LLMを活用したコーディングツール市場は無法地帯のような状態です。新しいツールが次々と登場し、それぞれがより優れた出力、セキュリティ、生産性を謳っています。2025年に向けて、私たちは各AIツールのセキュリティ基準をベンチマークし、評価するための標準を必要としています。これにはコーディング能力、つまり脅威アクターに悪用されない、安全で優れたコーディングパターンを持つコードを生成する能力が含まれます。」

‍

AIによってジュニア開発者の参入がより困難に

「開発者の参入障壁はかつてないほど高まっています。ハイブリッドワークや分散型労働環境、そしてエントリーレベルの役割に求められるスキルセットのレベルにより、ジュニア開発者に対するハードルは年々高まり続けています。2025年には、雇用主はジュニア開発者に対し、入社時にOJT（職場内訓練）に時間を割くのではなく、AIツールを安全に統合・最適化するスキルと知識をすでに備えていることを期待し始めるでしょう。来年中に、開発ワークフローでAIツールを活用する方法を学べない開発者は、自身のキャリア成長に重大な影響を及ぼし、就職の機会を得る上で困難に直面することになります。彼らは『コードを書くライセンス』を危うくし、より複雑なプロジェクトへの参加を妨げられるリスクがあります。最終的には、安全なAI習熟度が鍵となるからです。」

‍

時間が「Secure by Design」の実現を阻む

「開発者が『Secure by Design』を実現するための適切なツールや実践方法を習得するには、十分な時間とリソースが必要です。組織がセキュリティおよびエンジニアリングのリーダーから賛同を得られない限り、その進歩は妨げられるか、完全に停滞してしまうでしょう。組織がコスト削減やリソース制限を試みる際、長期的な解決策よりも即時的な修正作業を優先しがちです。その結果、一部の機能は『そこそこ』こなすが、それ以外は『平凡』という多面的な修正ツールに注力してしまいます。2025年には、この不均衡が、セキュアなソフトウェア開発を優先する組織と、変化する状況に対応するために手っ取り早い解決策を求める組織との間で、より大きな格差を生むことになるでしょう。」

‍

サプライチェーンのセキュリティ監査がグローバルリスクの軽減に重要な役割を果たす

「すべてのアウトソーシングやサードパーティベンダーに対する監視が強化され始めるでしょう。社内で最高のセキュリティプログラムを構築していても、委託先企業が『Secure by Design』を実践していなければ、セキュリティフレームワーク全体が侵害される可能性があります。その結果、組織はアウトソーシングの取り組みを厳格に監査し、ビジネスリーダーに対して厳格なセキュリティおよび業界コンプライアンスガイドラインに従うよう圧力をかけるようになるでしょう。最終的に、セキュリティチームの成功は、組織全体および外部パートナー全体にわたる統一されたアプローチを含む、包括的で360度の視点にかかっています。」

‍

AIは「ノイズを排除する」ための重要な鍵となる

“開発チームは、コード脆弱性スキャナーの誤検知率に頭を悩ませています。割り当てられた脆弱性が本当にセキュリティリスクなのか、どうすれば確信を持てるのでしょうか？ 2025年、AIはコード修正における「ノイズを排除」し、コードそのものへの深い理解を促す不可欠なツールとなります。機械学習を活用することで、AIはコンテキストに基づいて真の脅威をより適切に優先順位付けし、セキュリティアラートの精度向上に費やす時間を削減します。これにより、チームは真のリスクとなる脆弱性に集中できるようになり、全体的な効率化と、より迅速で安全な開発サイクルが実現します。”

‍

組織がSecure-by-Designの目標を達成するための解決策はベンチマークにある

“2025年、セキュリティベンチマークの欠如は組織にとって致命的となるでしょう。Secure by Design基準の達成に向けた進捗を測定するための明確な基準が存在しないためです。チームがセキュアコーディングの実践にどの程度準拠しているかを評価するベンチマークシステムがなければ、組織は意図せず脆弱性を混入させ、重大な侵害を招くリスクを抱えることになります。万が一侵害が発生した場合、ベンチマークシステムを導入する余裕はなく、開発チームのセキュリティ成熟度を評価しないままSBDイニシアチブを加速せざるを得なくなり、結果として組織をさらなるリスクにさらすことになるでしょう。”

‍

AI生成コードがもたらす技術的負債の代償

“業界がすでに膨大な技術的負債という問題を抱えていることは周知の事実であり、それは既存のコードだけでも同様です。開発者が本質的に安全でないAI生成コードを盲目的に信頼する傾向が強まり、経営層の監視も不十分な現状では、事態は悪化の一途をたどるでしょう。この力学により、来年は報告されるCVEが10倍に増加する可能性も十分にあります。”

‍

2025年を成功させるためには、組織はAIを責任を持って安全に導入し、開発チームへの適切なトレーニングやリスク軽減への投資を行う必要があります。CISAのSecure-by-Design誓約から1年を迎える来年、競争優位性を維持できるのは、AIやサードパーティのセキュリティ懸念、その他の新たな脅威に関連するリスクを排除するために、セキュアな開発アプローチを優先する企業です。