Gartner® Hype Cycle™ for Application Security 2026に選出

当社の SCW AI Trust Indexでは、16の主要なAIモデルを1,760のコードベースでテストした結果、コードベースあたり平均15件の脆弱性が確認されました。モデルの種類に関わらず、機密データのログ出力、インジェクション、ハードコードされた認証情報といった同じ種類の欠陥が繰り返し発生しています。Gartnerが2027年に予測しているリスクは、すでに現在進行形で発生しており、Secure Code Warriorはそのリスクを測定可能です。

エージェントによるコード生成のスピードは、多くのAppSecチームのレビュー能力を上回っています。このギャップを埋めるには、AIエージェントがコードベースのどこにアクセスできるかを制御することと、エージェントの誤りを検知・修正できるスキルを持つ開発者の育成という2点が必要です。これこそが、SCWがGartnerレポートで選出されたAgentic Coding SecurityとSecure Coding Trainingという2つのカテゴリーです
‍

CISOやAppSecリーダーにとってこれが重要な理由

AIコーディングツールを承認するか、それともツールが本番環境で何をしたかを証明するか。多くのプログラムでは、その両立ができていません。

エージェント型コーディングアシスタント、AIコードセキュリティアシスタント、MCP接続エージェントは、すでに本番環境のコードを記述・レビューしています。問題が発生した際、多くのセキュリティリーダーは問題の焦点を誤っています。問うべきは「そもそもAIツールの利用を許可すべきだったか」ではなく、「どのツールが影響を受けたコードに触れたか」「コミット時にセキュアコーディング基準を満たしていたか」「承認した開発者に適切な資格があったか」です。これを確認できないアプローチは、最初から欠陥があります。これこそが取締役会や規制当局、保険会社が問うギャップであり、Gartnerがここで「Agentic Coding Security」として定義している領域です。

到達可能性（Reachability）やポスチャ管理ツールは、すでに発生した問題のトリアージには役立ちますが、AIが新たな問題を導入することを防ぐことはできません。

ASPM、到達可能性分析、AIコードセキュリティアシスタントは、脆弱性のノイズを削減する上で非常に有用であるため、本レポートで同様に取り上げられています。しかし、これらは既存のコードに対する事後的な対策です。エージェントのアクセス範囲を管理し、開発者が不適切な出力を検知する能力を養うことは、より上流での対策となります。

そのループを繰り返すたびにトークンコストが発生しますが、根本的な原因は解決されません。

コード生成にはトークンコストがかかり、脆弱性スキャンにもコストがかかります。スキャンで指摘された箇所を修正するためにエージェントへ指示を出すと、さらにコストがかさみます。これは、訓練を受けた開発者や適切にガイドされたエージェントであれば最初から作り込まなかったはずの欠陥を修正するために、3回もトークンを消費していることになります。人間であれAI支援であれ、コミットの背後にあるスキルと判断力という根本原因を修正することこそが、同じミスに何度もコストを支払う事態を防ぐ唯一の方法です。

「Secure Coding Training」が独立した項目として挙げられたのには理由があります。スキルがツールの進化に追いついていないからです。

本レポートの調査データによると、ソフトウェアエンジニアリングリーダーの68%がアプリケーションセキュリティを非常に重要視している一方で、一般的なソフトウェアエンジニアリング教育においてセキュアコーディングスキルは依然として欠如しています。また、AI生成コードはチームのレビュー能力を上回る速度でリリースされています。トレーニングは、エージェントの導入に遅れをとることなく、共に拡張できる唯一のコントロール手段です。

だからこそSCWは、AIソフトウェアガバナンスとセキュアコーディングトレーニングを一つのプラットフォームとして提供しています。

11年にわたるセキュアコーディングデータの蓄積により、「AI生成コードをレビューする資格」とは何かを解明しました。AI主導の開発におけるガバナンス層（可視性、ポリシー、トレーサビリティ）は、このスキルデータに基づいて構築されています。そのため、開発者の能力を把握することで、何を管理し、次に何をトレーニングすべきかを直接的に決定できます。
‍

SCWが2つのカテゴリーで選出

‍

SCWが4つの問いにどう答えるか

‍

AI主導の開発を管理する準備はできていますか？

Secure Code Warriorが、エンジニアリングチームにどのような可視性、ガードレール、能力を提供し、AI開発を安全に導入できるかをご確認ください。変革のあらゆる段階でサポートします。
‍
お問い合わせ → securecodewarrior.com

‍_{Gartner, Hype Cycle for Application Security, Dionisio Zumerle, July 2026. Gartnerは、Gartnerリサーチの発行物に掲載された特定のベンダー、製品またはサービスを推奨するものではありません。また、最高の評価を得たベンダーのみを選択するようテクノロジの利用者に助言するものではありません。Gartnerリサーチの発行物は、Gartnerリサーチ組織の意見であり、事実の記述として解釈されるべきではありません。Gartnerは、明示または黙示を問わず、本リサーチの商品性や特定目的への適合性を含め、一切の保証を負うものではありません。GARTNERは、Gartner, Inc.および/またはその関連会社の米国および国際的な登録商標およびサービスマークです。}‍