SDLCにおけるAI：誇大広告とセキュリティの現実を切り分ける

自律型AIの開発はもはや未来の話ではなく、多くの企業セキュリティリーダーが現在直面している喫緊の課題です。マッキンゼーのデータによると、企業の31%がすでに少なくとも1つのAIエージェントを本番環境で運用しており、その多くは銀行、金融サービス、ヘルスケアといった、規制が厳しくリスクの高い分野の先行導入企業です。

この技術の導入スピードは規制をはるかに上回っており、リスクの兆候は深刻です。Secure Code WarriorとRMIT大学の研究によると、普遍的に安全なモデルは存在せず、AIが生成したコードにはコードベースあたり平均15件の脆弱性が含まれていることが判明しました。これは増大しつつある強力な脅威ベクトルであり、すべての開発者、さらには「市民開発者」であっても、コードが本番環境に投入される前に理解し、防御しなければならないものです。

今年初め、KnowBe4とSecure Code Warriorは戦略的パートナーシップを締結し、KnowBe4の攻撃シミュレーションおよびトレーニングライブラリに、技術職を擁する組織向けの基礎的なセキュリティ意識向上を目的とした専門的なセキュアコーディングコンテンツを提供することを発表しました。今回、両社はKnowBe4のCISOアドバイザーであるKawin Boonyapredeeto氏と、Secure Code WarriorのCEO兼共同創設者であるPieter Danhieux氏という2名の著名なセキュリティ専門家を迎え、AIを活用した開発と導入に関する最新のソートリーダーシップを提供します。組織内でこれらのツールを安全かつ効果的に活用するために知っておくべき情報をお届けします。

以下の主要な講演が行われます：

自律型開発者：ソフトウェアデリバリーの未来を設計する
‍Kawin Boonyapredee, CISOアドバイザー

‍ソフトウェアおよびアプリケーション開発は、1950年代の硬直的なパンチカードから、高度にスケーラブルで抽象化が進んだ現代のプログラミングフレームワークへと、根本的な進化を遂げてきました。そして今、業界はこれまでで最も破壊的なパラダイムシフトの瀬戸際に立たされています。それは、自律的なソフトウェア開発者としての人工知能の台頭です。

本エグゼクティブ向けプレゼンテーションでは、コンパイラや継続的インテグレーションの発明から、目標駆動型のAIエージェントや生成AIスワームが活躍する現代に至るまで、開発手法の軌跡を紐解きます。大規模言語モデル（LLM）や高度なエージェントアーキテクチャが、いかにしてルーチンワークやボイラープレートコードの生成、基本的なデバッグを自動化しているかを分析します。重要なのは、この変化がコーディングの民主化を促進すると同時に、組織が取り組むべき抽象化のレベルを一段と引き上げているという点です。

‍経営層やエンジニアリングリーダーにとって、この変化を理解することは極めて重要です。エンジニアはもはや、すべてのコードを自ら記述する個々の作業者ではありません。彼らは急速にAIオーケストレーターへと進化しています。この役割には、手作業による実装から、より高度なシステム思考への転換が求められます。具体的には、仕様の定義、アーキテクチャ上のガードレールの構築、AIエージェントのためのコンテキスト設定、そして生成されたシステムの厳格な検証といった業務が中心となります。

すべてのLLMは、セキュアなコードを作成する能力において同等（あるいは同程度に不十分）なのでしょうか？

Pieter Danhieux, Secure Code Warrior CEO兼共同創業者

本プレゼンテーションでは、業界初となる「SCW AI Trust Index」の調査結果を公開します。これは、複数のベンダーが提供する主要なAIコーディングモデルのセキュリティ挙動を評価する大規模な調査およびベンチマークであり、一般的なソフトウェア開発シナリオにおいて、それらのモデルがどの程度の頻度で脆弱なコードを生成するかを測定したものです。

調査の結果、驚くべき事実が明らかになりました。それは、万能で安全なモデルは存在せず、AIが生成するコードにはコードベースあたり平均15件の脆弱性が含まれているということです。

本セッションでは、AI生成コードに起因する再現可能かつ予測可能な脆弱性パターンを分析し、AIをソフトウェアサプライチェーンに統合する組織への影響を探ります。参加者の皆様には、AI生成コードがSDLC（ソフトウェア開発ライフサイクル）内に新たな「シャドウレイヤー」をどのように作り出すのか、開発パイプラインにおけるAIやMCPの影響をどう検知すべきか、そしてセキュリティチームがAIコーディングツールやエージェントを大規模に導入する際のリスクをいかに低減できるかについて解説します。

このベンチマークでは、以下を含む開発タスク全体でモデルが生成したコードを評価します。

• 認証フロー
• 入力バリデーション
• データベース操作
• API連携
• 暗号技術の利用

本調査では、現代のソフトウェア開発パイプラインにおいて、これまで測定されてこなかった新たなリスク層が浮上していることを明らかにします。それは、可視性やセキュリティ検証が不十分なまま本番環境に組み込まれる可能性がある「AI生成コード」です。本プレゼンテーションでは、ベンチマーク手法、各モデルにおける脆弱性分析、そしてAI支援型開発環境におけるリスクを低減するための実践的な手法について解説します。

AIツールを技術スタックに統合する際、より安全で費用対効果が高く、文脈に即した選択を行いたいとお考えであれば、このウェビナーは必見です。