ADLCの監視と保護：AIを活用するCISOと開発チームのための4つの基本フレームワーク

業界の急速な変化に注目していれば、私たちが直面している現実はすでにお分かりでしょう。生成AIを使ってソフトウェアコードを作成すべきかどうか、あるいは生成AIによるコード生成の割合が近い将来増加するかどうか、といった議論はもはや過去のものです。私たちはすでに検討段階を過ぎています。今、私たちが答えを出さなければならない真の問いは、生成AIやAIエージェントがコードを生成し、変更をコミットする中で、いかにしてセキュリティとコンプライアンスを維持するかということです。ソフトウェア開発ライフサイクル（SDLC）は、私たちの目の前でエージェント型開発ライフサイクル（ADLC）へと変貌を遂げました。正直なところ、私たちはそれを安全に保つためのベストプラクティスにおいて後れを取っています。

開発チームが生成AIの計り知れないメリットを最大限に活用しようとする中、私たちはセキュリティリーダーがAIコーディングツールやエージェントを、より高度で適切なセキュリティベストプラクティスの基準で導入するための4つの基本フレームワークを提案します。これは、企業が現在、そしてエージェント型AIが将来さらに大きな役割を担うようになる中で、安全でセキュアなコード開発を確実にするために何ができるかを具体的に詳述したものです。

無視できないAI生成コードのリスク

2022年11月のChatGPT公開を皮切りに、他の大規模言語モデル（LLM）が急速に続いたことで、生成AIは誰もが簡単に利用できるツールとなりました。それ以来、コード生成への応用はテクノロジー業界で最も注目されるトピックの一つです。生産性の向上は劇的でしたが、AIという諸刃の剣の側面もすぐに明らかになりました。AI生成コードは人間が書いたコードと同等のセキュリティを確保できるという研究結果がある一方で、真のリスクは、AIが生成したエラーがどれほどの頻度で、どれほどの速さでソフトウェアエコシステム全体に拡散してしまうかという点にあります。

ガートナーの調査によると、ITリーダーの52%が、近い将来、自組織のソフトウェア開発に生成AIが使用されると予測しています。私たちは、のんびりと構えたり、より明確な法整備を待ったりしている余裕はありません。

よりセキュアなAIコードのための構成要素

Secure Code Warriorでは、AIコーディングツールを安全に利用するためのフレームワークを最終的な到達点ではなく、組織が今すぐ取り入れるべき重要な出発点と考えています。

1. ルールセットはありますか？ 何よりもまず、開発者にはAIコーディングツールを利用するための明確な指針が必要です。例えば、私たちがGitHubで無料リソースとして公開しているSCW AIセキュリティルールは、GitHub Copilot、Cline、Roo、Cursor、Aider、Windsurfといった一般的なツールを使用する開発者に構造化されたガイダンスを提供します。これらのルールは軽量に設計されており、網羅的なルールブックではなく、実践的な出発点として機能します。ドメイン（Webフロントエンド、バックエンド、モバイルなど）ごとに整理されており、インジェクションの欠陥、安全でない処理、脆弱な認証フロー、クロスサイトリクエストフォージェリ（CSRF）対策など、繰り返し発生する問題に重点を置いています。
2. 適切なAI技術スタックを備えていますか？ 重要なのはAIを使うことではなく、目的に合った正しいツールを使うことです。組織は使用するAIツールのセキュリティ有効性に焦点を当て、セキュアな環境の要求を満たすために特別に構築されたものかを確認する必要があります。単なるコード出力だけでなく、開発者主導のプロアクティブな脅威モデリングにもAIツールを活用できるべきです。適切なAIツールを正しく使用すれば、実際にセキュリティが強化され、パイプラインへのエラー混入を未然に防ぐことができます。
3. 精密なAIガバナンス： 可視性とガバナンスの欠如は、「シャドーAI」を助長し、組織全体にセキュアでないコードを拡散させる最も早い方法です。組織がAIツールの採用状況、使用中のMCP、エージェント技術によるコミットを効果的に管理できるよう、深い可視性を提供するツールが必要です。例えば、AIツールの使用状況と開発者のセキュアコーディングスキルを直接関連付けることで、リーダーは監視を維持できます。継続的な学習プログラムを通じて開発者のスキルアップを図ることで、ソフトウェア開発ライフサイクル（SDLC）の初期段階からAIの安全な利用を確保し、セキュリティを犠牲にすることなく組織のイノベーションを加速させることができます。これはSCW Trust Agent: AIで今すぐ実現可能です。素晴らしいですね！
4. 適応型学習パス： CISOは、実践的で現実的なセキュアコーディングのスキルアップを提供する教育プログラムを通じて、開発者を支援しなければなりません。新しいスキルの習得状況を測定し、開発者のコミットを観察して、それらのスキルが日常的にどれだけ適用されているか、特にAIツールの成果物をダブルチェックする能力を確認することが不可欠です。ベンチマークを使用して必要なスキルを確立し、教育の進捗を測定することで、組織はソフトウェア開発におけるAIの利用を効果的に管理できます。

学習パスとAIガバナンスの活用事例をご覧になりますか？ デモを予約する。

結論

開発者なら誰もが知っている通り、AIコーディングツールは非常に強力ですが、どのように使用するかによって、セキュリティとコンプライアンスをどれだけサポートできるかが決まります。このフレームワークに従い、開発サイクルの初期からAIコーディングツールを安全に活用するセキュリティスキルの高い開発者とそのマネージャーは、コードの品質とセキュリティを飛躍的に向上させることができます。

では、そうしない場合はどうなるでしょうか？残念ながら、リスクプロファイルは拡大し続け、セキュリティリーダーは同様のペースで拡大するサイバーセキュリティのスキルギャップと戦い続けることになるでしょう。