実際のAI利用状況を反映したセキュアコーディング学習

実際のAI利用状況、開発者ワークフロー、および現代のソフトウェア開発プラクティスに適合したセキュアコーディング学習。
AI支援による開発は、すでにエンジニアリング業務の日常の一部となりつつあります。
開発者は、午前中にアプリケーションのコアロジックを手動で記述し、午後にはAIを使ってテストカバレッジを生成し、一日の終わりにはAIが支援したプルリクエストをレビューするかもしれません。ワークフローは流動的であり、ツールも急速に変化します。利用パターンは週ごとに、時にはチームごとに進化しています。
これまで、セキュアコーディング学習は、オンボーディング、年次課題、広範な役割別トレーニング、定期的な意識向上キャンペーンなど、比較的固定されたサイクルで運用されてきました。開発ツールが緩やかに進化し、学習要件が長期間安定していた時代には、それらのモデルは理にかなっていました。
AI支援による開発は、これまでとは異なる動きを見せています。セキュリティチームには今、開発者が実際に作業しているその瞬間に合わせて、セキュアコーディングのガイダンスを維持するための、より柔軟な対応が求められています。
アダプティブ・ラーニングは、組織がセキュアコーディング学習を、実際のソフトウェア開発アクティビティやSDLC全体にわたるソフトウェアリスクのシグナルに適合させることを支援するために設計されています。
これには、AI支援による開発アクティビティ、脆弱性の発見、そしてソフトウェアが実際にどのように構築されているかに結びついた開発者の行動の変化が含まれます。
本稿では、Trust Agent: AIを活用した「AIシグナル付きアダプティブ・ラーニング」に焦点を当てます。これは、AI支援開発の検知機能を利用して、日々の開発業務でAIコーディングツールを積極的に使用している開発者に対し、セキュアコーディングのガイダンスを動的に適合させる仕組みです。
実際のAI利用を反映した学習
セキュアコーディング学習は、開発者が実際に働く方法を反映しているときに最も効果を発揮します。組織はすでに、エンジニアリングチーム全体でトレーニングの関連性を高めるために、役割、プログラミング言語、技術スタック、脆弱性の重点分野ごとに学習を調整しています。
AI支援による開発は、さらなるコンテキストの層をもたらします。
今日AI生成のPythonコードを試しているエンジニアが、来月にはTerraformでInfrastructure as Codeをレビューしたり、AIを使ってフロントエンドのテストワークフローを加速させたりするかもしれません。AIコーディングアシスタントを多用する開発者もいれば、ほとんど触れない開発者もいます。
アダプティブ・ラーニングは、組織がAIの可視化情報を、ターゲットを絞ったセキュアコーディングのガイダンスへと変換するのを支援します。Trust Agent: AIがAI支援による開発アクティビティを特定すると、組織はそのワークフローに合わせた学習を自動的に割り当てることができます。

つまり、AIコーディングアシスタントを積極的に使用している開発者は、環境内で実際に発生している作業に結びついたターゲット学習を受け取ることができます。セキュリティチームが個々の開発者を特定し、AIの利用がエンジニアリングチーム全体に広がるたびに繰り返し学習を再割り当てする必要はありません。
実践におけるアダプティブ・ラーニング
Trust Agent: AIを活用したアダプティブ・ラーニングは、既存のソフトウェア開発ワークフローに自然にフィットするように設計されています。
セキュリティチームは、安全なAI支援開発プラクティスに合わせたターゲット学習を作成し、Trust Agent: AIの検知機能を使用して、日々のワークフローでAIコーディングツールを積極的に使用している開発者にその学習を動的に割り当てることができます。開発者がAI支援開発環境と対話を開始すると、そのアクティビティに基づいて関連するセキュアコーディングのガイダンスが自動的に割り当てられます。
上記のウォークスルーでは、Trust Agent検知の設定、アダプティブ・クエストの作成、学習の動的な割り当て、参加状況と完了状況の追跡など、AIシグナル付きアダプティブ・ラーニングが実際にどのように機能するかを実演しています。
セットアップの手順や設定の詳細については、「Trust Agent: AIを活用したアダプティブラーニング」のナレッジベース記事をご覧ください。
開発者の実務に即したセキュアコーディングガイダンスのあり方
AIを活用した開発は、今やエンジニアの日常的なワークフローの一部となっています。開発者は日々、AIが生成した提案、手書きのコード、自動テスト、プルリクエストのレビューの間を迅速に行き来しています。
こうしたワークフローが進化し続ける中で、セキュアコーディングのガイダンスも、実際のソフトウェア開発の現場に即したものである必要があります。
Trust Agent: AIを搭載したアダプティブラーニングは、まさにその実現を支援します。AIを活用した実際の開発活動に合わせて学習を最適化することで、開発者にとって最も関連性が高く、実践的なガイダンスを提供します。
その結果、AIツールの進化に合わせて常に最新のセキュアコーディングガイダンスを提供できるようになります。しかも、プログラムを運用するセキュリティチームに余計な負担をかけることはありません。
AI主導の開発をリリース前にガバナンスする
AIを活用したリスク測定、コミット時のセキュアコーディングポリシーの強制、そしてSDLC全体を通じたセキュアなデリバリーの加速を実現します。
他のブログ記事を見る
セキュアコーディング、AIガバナンス、ソフトウェアリスク管理に関する専門的なコンテンツをご覧ください。
%252520%252520(3).avif)
Supercharged Security Awareness: How Tournaments are Inspiring Developers at Erste Group
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.

Security as culture: How Blue Prism cultivates world-class secure developers
Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed
AIを活用した開発をリリース前にセキュアに
開発者のリスクを可視化し、ポリシーを適用することで、ソフトウェア開発ライフサイクル全体における脆弱性を未然に防ぎます。



.avif)