人間が書いたコードかAIが生成したコードかを問わず、コードに潜む真のリスクを開発者に教育しましょう。

アダプティブ・ラーニングは、実際のソフトウェアリスクに合わせた超高精度なトレーニングを通じて、繰り返される脆弱性の削減を支援します。

開発チームのコードリリース速度はかつてないほど向上していますが、多くの組織では、同じ脆弱性が繰り返し混入する問題の防止に依然として苦慮しています。

多くのセキュリティトレーニングプログラムは、開発者が日々生み出しているリスクと乖離したままです。学習は一律に割り当てられ、脆弱性は再発し続け、組織は不適切なコードが開発ワークフローの先へ進んだ後に、後工程で同じ問題に対処せざるを得ない状況にあります。

アダプティブ・ラーニングは、AIを活用した開発活動、脆弱性の検出結果、変化する開発者の行動など、実際のソフトウェア開発活動やリスクシグナルにセキュアコーディング学習を適合させることを可能にします。

本稿では、特に「Vulnerability Signalsを活用したアダプティブ・ラーニング」に焦点を当て、リスクを生み出している開発者に対して、ターゲットを絞った脆弱性トレーニングを自動的に割り当てる仕組みについて解説します。

アダプティブ・ラーニングの実践

Vulnerability Signalsを活用したアダプティブ・ラーニングは、脆弱性の検出結果と「Trust Agent: Commits」の活動を連携させ、どの開発者がリスクの高いリポジトリに積極的に貢献しているかを特定します。その上で、開発者が実際に混入させている脆弱性のパターンに基づいてターゲットを絞ったトレーニングが自動的に割り当てられるため、使用言語や貢献しているリポジトリ、日々の業務に伴う実際のソフトウェアリスクに即した学習が可能になります。

開発者が直面している具体的なリスクに合わせて学習内容が調整されるため、トレーニングはより関連性が高く、タイムリーなものとなり、日々のエンジニアリングワークフローにも適用しやすくなります。

完了メトリクスから、真のリスクの可視化へ

アダプティブ・ラーニングは、セキュアコーディングの学習と実際のエンジニアリング活動との結びつきを強化します。

開発者に学習が割り当てられると、対象リポジトリへのコミット時に、割り当てられた脆弱性トレーニングが完了しているかどうかがスコアリングされます。これにより、セキュリティリーダーは従来のトレーニングメトリクスでは見えにくかった、「実際にコードを書いている開発者が、環境内に存在する特定のリスクに対処する能力を備えているか」という点を可視化できるようになります。

これにより、議論の焦点は以下のように変わります。

「開発者はトレーニングを完了したか？」

から、

「高リスクなリポジトリに貢献している開発者は、自身がリリースするコードに関連する脆弱性を特定し、防止する準備ができているか？」

組織は、単なる完了報告に頼るのではなく、実際のソフトウェアリスクやコミット活動と並行して、開発者の能力を継続的に測定できるようになります。

これは、セキュアコーディングプログラムを、後工程での修正ワークフローに完全に依存するのではなく、脆弱性が本番環境に到達する前にセキュアな開発習慣を強化する「根本的な予防能力の構築」へと進化させる助けとなります。

予防的なセキュア開発プラクティスの構築

「Vulnerability Signals」を活用したアダプティブラーニングは、脆弱性の検出、コミット履歴、開発者の特定、セキュアコーディング学習、コミットスコアリングを単一のワークフローに統合します。

実際のソフトウェアリスクに合わせた学習を提供することで、組織は脆弱性の再発防止、開発者のスキル向上、そしてエンジニアリングチーム全体における予防的なセキュア開発文化の定着を実現できます。