徹底解説：AIコーディング支援ツールが引き起こす脆弱性への対策

今やあらゆる業界で、AI技術への注目が止まりません。ソフトウェア開発における迅速な機能実装の切り札として称賛される一方で、そのスピードには代償が伴います。AIツール自体が文脈を十分に理解していないことや、生産性向上や回答生成のためにAIに頼る開発者のセキュリティスキルが不足していることにより、深刻なセキュリティバグがコードベースに混入するリスクがあるのです。

大規模言語モデル（LLM）技術は、支援ツールにおける劇的な転換点であり、安全に使用すれば、多くのソフトウェアエンジニアが待ち望んでいたペアプログラミングの相棒になり得ます。しかし、AI開発ツールを無防備に使用することが悪影響を及ぼすことはすぐに明らかになりました。スタンフォード大学による2023年の研究では、AIアシスタントへの依存は、コードのバグや脆弱性を増やすだけでなく、出力されたコードが安全であるという根拠のない自信を強めてしまう可能性が高いことが示されています。

LLM技術の完成を目指す競争が続く中で、ツールが今後改善されていくと考えるのは妥当ですが、バイデン政権による新しい大統領令やEUの人工知能法（AI Act）など、一連の勧告により、その利用は依然として難しい舵取りを迫られています。開発者は、コードレベルのセキュリティスキルを磨き、AIツールの出力に対する意識と批判的思考を高めることで、より高い基準を備えたエンジニアへと成長し、先手を打つことができます。

AIコーディング支援ツールはどのように脆弱性を引き起こすのでしょうか？新しいパブリックミッションをプレイして、その目で確かめてみてください！

‍

例：「ChatterGPT」におけるクロスサイトスクリプティング（XSS）

私たちの新しいパブリックミッションでは、おなじみのLLMインターフェースを再現し、2023年11月下旬に生成された実際のコードスニペットを使用しています。ユーザーはこのスニペットを解釈し、本来の目的で使用された場合にどのようなセキュリティ上の落とし穴があるかを調査できます。

「p HTML要素の内容を変更するJavaScript関数を書いて。内容は関数経由で渡すこと」というプロンプトに対し、AIアシスタントは忠実にコードブロックを生成しますが、すべてが見た目通りとは限りません。

まだチャレンジをプレイしていませんか？もしそうなら、読み進める前に今すぐ試してみてください。

…さて、完了した方ならお分かりでしょうが、該当のコードにはクロスサイトスクリプティング（XSS）の脆弱性が存在します。

XSSは、Webブラウザのコア機能を悪用することで発生します。信頼できない入力がページ上で出力としてレンダリングされる際、それが実行可能で安全なコードであると誤認されることで起こります。攻撃者は入力パラメータ内に悪意のあるスニペット（HTMLタグやJavaScriptなど）を仕込み、それがブラウザに返されると、データとして表示されるのではなく実行されてしまうのです。

ソフトウェア開発におけるAIコーディング支援ツールの安全な利用

現役の開発チームを対象とした最近の調査によると、ほぼ全員（96%）がワークフローでAIアシスタントを使い始めており、80%はセキュリティポリシーを回避してまでツールキットに組み込んでいることが明らかになりました。さらに、半数以上が生成AIツールはしばしば安全でないコードを作成することを認識していますが、それでも導入の勢いは衰えていません。

ソフトウェア開発プロセスの新しい時代において、これらのツールの使用を禁止したり抑制したりすることは、おそらく効果がありません。組織は、セキュリティやコードの品質を犠牲にすることなく、効率性と生産性の向上を享受できるよう開発チームを支援する必要があります。そのためには、セキュアコーディングのベストプラクティスに関する的確なトレーニングを行い、批判的思考スキルを伸ばす機会を提供することが不可欠です。特にAIアシスタントが出力したコードの潜在的な脅威を評価する際には、セキュリティを最優先するマインドセットで行動できるようにしなければなりません。

関連資料

XSS全般については、私たちの包括的なガイドをご覧ください。

セキュアなコードの書き方やリスク軽減について詳しく学びませんか？XSSインジェクション・チャレンジを無料で体験いただけます。

コーディングに関する無料ガイドラインをご希望の方は、Secure Code Coachをぜひチェックしてください。セキュアコーディングのベストプラクティスを常に把握するのに役立ちます。

‍