Secure Code Warriorの調査により、AI生成コードにはコードベースあたり平均15件の脆弱性が含まれていることが判明

新しい「SCW AI Trust Index」により、AIが生成するコードの脆弱性リスクはランダムではなく、モデルやフレームワークごとに予測可能であることが判明しました。これにより、セキュリティリーダーはAIを活用した開発を安全に拡大するためのデータを手に入れることができます

‍シドニー/ボストン/ロンドン – 2026年7月21日 – Secure Code Warriorは、AIソフトウェアガバナンスおよび開発者のセキュリティスキル向上におけるリーダーとして、本日「SCW AI Trust Index」を発表しました。これは、新しいモデルが登場するたびに進化するAIコーディングセキュリティのライブベンチマークであり、AIが生成するコードに伴うセキュリティリスクを組織が把握し、管理することを支援します。オーストラリアのRMIT大学と共同開発した手法に基づき、Secure Code Warriorが拡張したこの調査では、主要なLLMがどの程度の頻度で安全でないコードを生成するかについての包括的なベンチマークを提示しており、AIを活用した開発を拡大するあらゆる企業にとって重要な意味を持ちます。

OpenAI、Anthropic、Google、Alibabaなどの最先端モデル16種によって生成された1,760件の完全なコードベースを評価した結果、AI生成コードにはコードベースあたり平均15件の脆弱性が確認され、そのうち4.3件は「深刻」と分類されることが明らかになりました。

開発者がコード生成を最先端のLLMに委ねるようになる中、セキュリティリーダーにとって、開発者がどのようなセキュリティリスクを引き継いでいるのか、またそのリスクがモデルやフレームワーク、あるいはその組み合わせによってどのように変化するのかを理解することは極めて重要です。SCW AI Trust Indexは、一度限りのスナップショットではなく、新しいモデルの登場に合わせて進化するライブベンチマークを提供し、AI生成コードのセキュリティを実証的に測定します。

本日より、組織はSCW AI Trust Indexを活用して、AI主導のソフトウェア開発におけるリスクを把握し、軽減することができます。

• 実際のセキュリティデータを用いたAIコーディングモデルの比較
• 繰り返し発生する脆弱性パターンの特定
• 実証データによるAI生成コードのリスク定量化
  ‍

「私たちがテストしたすべてのAIモデルには、予測可能で反復的なセキュリティ上の欠陥や弱点のパターンが存在します」と、Secure Code Warriorの共同創設者兼CEOであるPieter Danhieuxは述べています。「開発者もまた、セキュリティスコアを理由に好みのモデルを捨てることはないという点で予測可能です。SCW AI Trust Indexは、CISOやセキュリティリーダーが現在使用中のモデルを管理できるように特別に設計されました。特定の『勝者』は存在しませんが、このデータはAIツールを真に安全に管理するために必要な重要な洞察を提供します。固有のセキュリティ上の欠陥を考慮し、適切なガードレールと開発者の学習パスを現代的なセキュリティプログラムに組み込むことを可能にします。AIが生成したコードには、これまで人間が書いたコードに対して行ってきたのと同じ精査が必要であり、ようやくどこに注目すべきかを正確に知るためのデータが手に入りました。」

Secure Code Warriorの調査により、AI生成コードのセキュリティリスクはランダムではなく、測定可能かつ予測可能であり、AIモデル、フレームワーク、脆弱性の種類全体にわたって一貫したパターンで集中していることが明らかになりました。主な調査結果は以下の通りです。

• AI生成コードの脆弱性はランダムな失敗ではなく、予測可能なパターンに従う
  
  • 1,760件のAI生成コードベース全体で、Secure Code Warriorは86種類の固有のCWEを特定しました。最も一般的な弱点は、ログ出力の不備、インジェクション脆弱性、安全でない設計、アクセス制御の不備に集中しています。最も頻繁に見られたCWEは「CWE-532：ログファイルへの機密情報の挿入」で、8,543件の真陽性が確認されました。これらの繰り返し発生するパターンは、AI生成コードのセキュリティリスクが測定可能で反復的であり、予測可能であることを示しています。
• すべてのAIモデルには独自のセキュリティフィンガープリントがある
  
  • 評価したすべてのフレームワークにおいて、モデルはランダムな失敗ではなく、繰り返し発生する脆弱性パターンを一貫して示しました。SCW AI Trust Indexは、各モデルがOWASP脆弱性カテゴリの反復可能な組み合わせを生成することを示しており、組織はセキュリティ上の弱点がどこで発生しやすいかを予測できます。
• 最も安全なコードを一貫して生成する単一のAIモデルは存在しない
  
  • モデルのパフォーマンスは、使用するフレームワークによって大きく変化します。Java Enterprise APIではGPT-5.1、Java SpringではClaude Sonnet 4.5、Python DjangoではClaude Opus 4.8、C# (.NET)ではGPT-5.5、C言語ではClaude Fable 5がそれぞれ優れています。セキュリティの結果は、モデルと開発コンテキストの両方に依存します。また、
• セキュリティの結果はモデルのコストに依存しない
  
  • 調査の結果、APIコストとセキュアコーディングのパフォーマンスとの間に一貫した関係は見られませんでした。例えば、GPT-5.1は1回あたり5.60ドルで最高レベルのTrust Indexスコアを達成しましたが、それよりもはるかに高価なモデルの方がセキュリティ面で劣る結果となりました。組織は価格ではなく、測定可能なセキュリティパフォーマンスに基づいてAIモデルを評価すべきです。$5.60 per run、

SCW AI Trust Indexは、AI生成コードの挙動を理解し、リスクがどこで発生するかを特定し、開発者が最初からより安全なコードを作成できるように支援することで、Secure Code Warriorのミッションを拡張します。AIの可視化、ガバナンス、適応型学習を組み合わせることで、Secure Code Warriorは組織がセキュリティを犠牲にすることなく、AIを活用したソフトウェア開発を自信を持って拡大できるよう支援します。
‍
調査結果の詳細は、こちらをご覧ください：https://www.securecodewarrior.com/product/ai-trust-index

‍‍Secure Code Warriorについて
‍Secure Code Warriorは、AIソフトウェアガバナンスおよび開発者のセキュリティスキル向上におけるリーダーであり、企業がSDLC全体でAI主導のソフトウェア開発を制御できるように支援します。10年にわたる開発者セキュリティの専門知識に基づき、AIの可視化、ポリシーの強制、ターゲットを絞った学習を提供し、本番環境に移行する前に脆弱性を防ぎ、ソフトウェア品質を強化します。

お問い合わせ
‍Andrea Brusig
‍andrea.brusig@w2comm.com