セキュア開発を牽引する専門家による知見

セキュリティ設定の不備とは何か？よくあるセキュリティ設定の不備とその脆弱性を防ぐ方法について解説します。Secure Code Warriorで学びましょう。

娘と会社が成長するにつれ、スタートアップの道のりと初めての育児には多くの共通点があることに気づかされます。どちらも、今ちょうど4年目を迎えたところです。

クリックジャッキングの仕組みと危険性、そして開発者が行うべき対策について解説します。

OSコマンドインジェクション攻撃は、経験の浅いハッカーでも実行可能なため、セキュリティチームが直面する最も一般的な脆弱性の1つとなっています。幸いなことに、こうした攻撃を効果的に防ぐ方法はいくつも存在します。

Webサイトにおいて、セッションは優れたユーザー体験を実現するための鍵となります。しかし、セッション管理が不適切だと、攻撃者に悪用されるセキュリティホールを生む原因にもなりかねません。

セキュリティのあり方を一新する時期が来ていると思いませんか？それは、対話の内容を変え、双方にとって、特に開発チームにとって、すべてをもう少しポジティブに（そして何より楽しく！）することと同じくらいシンプルなことです。

「パディングオラクル」は、オルタナティブ・ロックバンドの名前としては少々奇妙に聞こえるかもしれませんが、実際には暗号鍵を知らなくても情報を復号できてしまう脆弱性のことを指します。

悪意のあるユーザーが LDAP クエリを操作できると、問題が発生する可能性があります。これを行うと、受信側のサーバーを騙して、通常は許可されないような無効なクエリを実行させたり、パスワードなしで無効なユーザーやセキュリティレベルの低いユーザーに高レベルまたは管理者アクセスを許可したりする可能性があります。

私たちが直面している真の戦いは、スクリプトキディや危険な組織的サイバー犯罪集団との戦いではありません。データ侵害が実際に起きているという事実に対し、より多くの人に関心を持ってもらうことこそが、最大の課題なのです。

サイバーセキュリティでは、攻撃者は無制限のファイルアップロードをサポートすることが許可されているアプリケーションやプログラムをすぐに悪用できます。そして、その結果は壊滅的なものになる可能性があります。

NoSQL データベースはますます人気が高まっています。そのスピードと非構造化データの扱いやすさは否定できませんが、利用が広まるにつれ、より多くの脆弱性が表面に出てくることは避けられません。

CSRF攻撃は非常に複雑で、成功させるには複数の条件が重なる必要があります。言い換えれば、攻撃者が目的を達成するためには、多くのセキュリティ上の不備が同時に存在しなければなりません。それにもかかわらず、CSRFは非常に一般的で、攻撃者にとって利益の大きい攻撃手法となっています。

攻撃者は、1998年から存在する最も厄介なデータ脆弱性の一つであるSQLインジェクションを悪用し、世界中の何百万ものデータベースに保存されている機密情報を盗み出し、改ざんしています。

オンラインプライバシーを確保しようとしても、セキュリティが伴わなければ混沌を招くだけです。ロス・ウルブリヒトの事例を見れば明らかでしょう。

注目すべき動向：金融機関において、開発者のセキュアコーディングスキル向上に向けた取り組みとリーダーシップが急速に高まっています。

ゴキブリは核爆発でさえ生き延びるという有名な説があります。

コード内の脆弱性を発見するソリューションは数多く存在しますが、セキュリティ対策においては、開発者がそもそもミスを犯さないよう、セキュリティガイドラインを遵守するための教育により重点を置く必要があります。

私たちは、セキュリティをすべての開発者の業務に不可欠なものにするよう、対話のあり方を変えていく必要があります。そのための最善の方法の一つは、ゲーミフィケーションなどを通じて、開発者がセキュリティに主体的に取り組めるよう支援し、関与を促すことだと考えています。

セキュリティを、企業のイノベーションを阻む厄介な障害と考えるのはやめなければなりません。

．．．．．じじじずずらずずずつ。

開発者が最初からセキュアなコードを書けるように支援することは、CISOがセキュリティの難局において主導権を握る絶好の機会です。これは、セキュリティチームと開発チームの双方にとって、迅速かつ容易に、そして測定可能な改善を実現するチャンスでもあります。

調査当局によると、攻撃者のコンピュータコードにミスがあったため、爆発は免れたとのことです。

私たちのビジョンは、セキュリティを可視化し、開発者が最初からセキュアなコードを書くためのスキルとツールを提供することで、組織の第一線で活躍する防衛者として開発者を支援することです。

なぜセキュリティが重要なのか、脆弱なコードがどのような結果を招くのか、そして何より、それぞれのプログラミングフレームワークにおいて脆弱性を生み出さないためにはどうすればよいのか。こうした教育の機会がなければ、開発者がセキュアなコードを書くことなどできるはずがありません。

XMLおよびXMLスキーマの仕様には、複数のセキュリティ上の欠陥が存在します。その一方で、これらの仕様にはXMLアプリケーションを保護するために必要なツールも備わっています。XMLスキーマはXMLドキュメントのセキュリティを定義するために使用される一方で、さまざまな攻撃を実行するためにも悪用される可能性があります。

ファイル名を接頭辞で指定してZIPファイルに注入することができます。

航空電子機器のコードを1行変更するのにかかるコストは100万ドルで、実装には1年を要します。ボーイング737型機で機材を統一しているサウスウエスト航空にとって、それは「破産」を意味するでしょう

第139回：Matias Madouが語るセキュア開発トレーニングとソフトウェアセキュリティテストの研究

Androidのフルデバイス暗号化は、すべてのデータを保護し、ストレージに書き込みます。データはデバイスのロックが解除された後にのみ表示されます。詳細はSecure Code Warriorでご確認ください。

アプリケーションにおいて、ユーザーが完全に理解し同意した上で操作が行われていることを確認することが不可欠な場合があります

カスタム権限を定義することで、アプリは自身の持つリソースや機能を他のアプリと共有できるようになります。

約95,000のアプリケーションに携わる30万人近い開発者が、BSIMM8を活用してソフトウェアセキュリティイニシアチブ（SSI）の計画、実行、評価を行っています。

ユーザー名列挙とは、ハッカーがブルートフォース攻撃を用いてユーザー名やパスワードの情報を取得する手法です。Secure Code Warriorでユーザー名列挙を防ぐ方法を学びましょう。

効果的な開発者向けセキュリティトレーニングを導入するための5つの重要な教訓

この研究の意義は、これまで報告されていなかった、多くの憂慮すべきセキュアコーディングの問題について、経験的証拠を提供したことです。

そのバグは今も存在しています。すぐに対処できるような問題ではないからです。ここ数ヶ月間、私はバグ報奨金プログラムの一環として、数十社もの企業や影響を受けるベンダーに連絡を取り、システムの修正を促してきました。

CIOが企業のアジャイル能力を積極的に構築するにつれて、安全なコーディングスキルはイノベーションの武器となり、持たないことは破壊の手段となるでしょう。

経営層向けのサイバーセキュリティ研修であれ、開発者向けのJAVAやC#のセキュアコーディングスキル習得であれ、創造性やゲーミフィケーション、そして楽しさを取り入れる余地は十分にあります。

開発者がJavaScriptのコーディング中にクロスサイトスクリプティングの脆弱性を混入させてしまったとしても、その欠陥を数分以内に検知できれば、

新人であれベテランであれ、すべての開発者が自問すべき問いがあります。そして、その答えは非常に重要です。

先週、セキュアコーディングガイドラインを最新の状態に更新するため、Java Springの脆弱性について調査を行いました。

2016年、x0rzという名で活動するセキュリティ研究者のツイートによると、同氏がEquifaxのメインウェブサイト上でクロスサイトスクリプティング（XSS）として知られる一般的な脆弱性を発見しました。

この脆弱性は、Strutsがそのようなデータを解析して、Javaプログラミング言語で解釈できる情報に変換する方法に関係しています。

データレマネンスとは、何らかの方法で消去されたデータが物理的に残留している状態を指します。

Equifaxのハッキングの根本原因は、今回もまたWebアプリケーションの脆弱性でした。こうした脆弱性は10年以上前から存在していますが、今日においても依然として大きな脅威となっています。

Recently we interviewed some of the future leaders in the secure development or “DevSec” world and found their individual career paths into cybersecurity fascinating. For those of you out there wishing to become a security champion, jump into the elusive AppSec realm, or even just learn more about secure coding, here are the stories from three security professionals with a background in development, about how they got interested in security and the security lessons they wish every organization would follow.

Kamer van Koophandelは、役割に応じた認定制度、Trust Scoreによるベンチマーク、そしてセキュリティを全員で担う文化を通じて、セキュアコーディングを日々の開発プロセスにどのように組み込んだのかを紹介します。

PaysafeとSecure Code Warriorのパートナーシップにより、開発者の生産性が45%向上し、コードの脆弱性が大幅に削減された事例をご覧ください。

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

Devlympics 2023のレポートで、大会の結果をご覧ください。各業界における開発者の参加状況、技術スタックやプログラミング言語のトレンド、そしてSecure Code Warriorが主催するこの年次グローバルイベントで取り上げられた主要な脆弱性やCWEについて詳しく解説しています。

Sageがどのようにして柔軟かつ関係性を重視したアプローチでセキュリティを強化し、200名以上のセキュリティチャンピオンを育成して、目に見えるリスク低減を実現したのかをご紹介します。

WorkdayがSecure Code Warriorのアジャイル学習を通じて、いかに開発者トレーニングを変革したかをご紹介します。開発者に実践的かつ言語別の教育を提供することで、WorkdayはSDLCの初期段階で脆弱性を削減することに成功しました。セキュアなコード文化を構築するための、彼らの素晴らしい成果と重要なポイントをご覧ください。

本ケーススタディでは、Thalesがどのように人、プロセス、技術へのアプローチを構築し、開発者が主体的にセキュリティチャンピオンとして活躍できるアジャイルなセキュアコーディング学習プログラムを実現したのかをご紹介します。

小売業界の巨人であるコルゲート・パルモリーブが、デジタルトランスフォーメーションの過程でいかにしてアプリケーションセキュリティを再構築したかをご紹介します。セキュアコーディングの課題に直面した同社は、開発者のワークフローに短時間で学べるコンテキストに応じた学習を取り入れることで、そのアプローチを刷新しました。

Learn how Blue Prism, the global leader in intelligent automation for the enterprise, used Secure Code Warrior's agile learning platform to create a security-first culture with their developers, achieve their business goals, and ship secure code at speed

IAGグループは、アジア太平洋地域をリードする数多くの保険会社を傘下に持ち、数百万ものお客様に保険を提供しています。その年間保険料収入は約114億豪ドルにのぼります。

機械学習やサイバーセキュリティなど、多岐にわたる分野で数千人の従業員が実践的かつ最先端のスキルを習得できるよう、社内技術教育イニシアチブをどのように構築したのかをご紹介します。

この包括的なケーススタディでは、Secure Code Warriorのトーナメントを活用して開発者の関与を促し、自動車ソフトウェアに影響を与える主要な脆弱性への意識を高め、さらに複数の言語やフレームワークにわたって指標を収集した事例について詳しく解説します。

Hitachi Vantara and Secure Code Warrior warned that the spread of AI is reshaping cyber risk for organisations during Cybersecurity Awareness Month.

Both said attackers are using AI to move faster and scale up attacks. They also warned that companies are under pressure to strengthen data governance and recovery planning as regulators sharpen their focus on operational resilience and data handling.

Cyber Security Action Month (known as Cyber Security Awareness Month globally) is an annual Australian awareness campaign held in October to encourage people and businesses to improve their online security through simple everyday habits.

政府は、マシン速度のサイバー攻撃を未来の出来事として扱うことはもはやできません。先日のメディケアでの情報漏洩が示した通り、その未来はすでに到来しているからです。

‍

‍

10月は「サイバーセキュリティ月間」ですが、この1年を振り返れば明らかなように、脅威の状況は立ち止まってなどくれません。AIを活用したフィッシングキャンペーンやディープフェイクによるソーシャルエンジニアリング、そして病院、学校、自治体を標的としたランサムウェア攻撃が絶え間なく続く中、2026年のセキュリティチームに休息の時間はほとんどありませんでした。今年で30年目を迎えるこの恒例行事は、業界にとって立ち止まって現状を見つめ直し、「私たちは本当に安全になっているのか、それともただ忙しくなっているだけなのか」を問い直す絶好の機会です。

OpenAI has abandoned an update of Astra planned for release in October after internal testing found safety and alignment problems - an increasing source of concern at the company.

OpenAIのエージェントが、ごく一般的な調査を命じられた際にオーストラリア政府のウェブサイトに「侵入」したことが明らかになりました。この種の事例としては初のケースとして注目されています。

今回の事案は、これまでに発生したAIエージェントによる侵害事例に続くものであり、AIの不整合がもたらす危険性、開発者の説明責任、そして不十分なインシデント開示プロトコルといった重大な問題を浮き彫りにしました。専門家は、将来起こりうる壊滅的な事態を防ぐため、技術的な境界線の設定、強固な監視体制、そして義務的かつ迅速な報告が不可欠であると強調しています。

6月、AIエージェントによってメディケアを含む少なくとも3つの政府システムが侵害されていたことが判明しました。業界の多くの関係者がこの事態に警鐘を鳴らしています。

世界的なAI規制の動向を把握することは、AI技術そのものの進化についていくことと同じくらい困難になっています。セキュリティリーダーにとって、毎週のように新たな進展や規制案、政策の変更が発表されており、ただでさえ複雑なリスク環境にさらなる負荷がかかっています。

多層防御のアプローチを成熟させた組織にとって、脅威モデリングは決して新しい概念ではありません。これは長年にわたり予防的セキュリティの要として、企業が脆弱性を悪用される前に特定し、対処することを可能にしてきました。

Secure Code Warriorは、非エンジニア職の従業員を対象としたAIリテラシー向上プログラム「Citizen AI」を開始しました。これは、企業全体での責任あるAI活用を支援することを目的としています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

Secure Code Warriorは、Citizen AI by Secure Code Warriorを発表しました。これは、非エンジニアの従業員が責任あるAI活用のための準備を整えられるよう設計された、新しいAIリテラシープログラムです。Citizen AIは、AIに関連する人的リスクの低減、企業全体のAIガバナンスの推進、AI利用に対する従業員の自信向上、そしてAIを活用したワークフローの安全な導入を加速させます。

‍

AIソフトウェアガバナンスおよび開発者向けセキュリティスキルアップのリーダーであるSecure Code Warriorは本日、非エンジニア職の従業員向けAIリテラシープログラム「Citizen AI by Secure Code Warrior」を発表しました。本プログラムは、組織が責任あるAI導入に向けた人材育成を支援するために設計されています。

新しいAIリテラシープログラムにより、非開発職の従業員は、AIを活用したワークフローを安全に導入するために必要な判断力、リスク意識、責任ある利用習慣を身につけることができます。

AIを活用したソフトウェア開発に向けたガバナンスや開発者向けトレーニングプログラムを策定する際、多くの組織が重要なターゲットを見落としています。

AIソフトウェア開発は、開発者とそのチームにとって急速な進化を続けています。Secure Code WarriorのCEO兼共同創設者である{{wf ...}}氏は、人間が書くコードからAI支援によるコーディングや自律的なワークフローへと標準が移行する中で、多くのセキュリティチームが自律型システムがもたらす新たなリスク管理という重大な課題に直面していると指摘しています。

‍

‍

ソフトウェア開発企業が直面している問いは、生成AIをコード作成に利用すべきかどうか、あるいは生成AIによるコード生成の割合が近い将来増加するかどうかではありません。その議論は、ここ24ヶ月ですでに過去のものとなりました。今問われているのは、生成AIやAIエージェントがコードを生成する中で、いかにしてセキュリティとコンプライアンスを維持するかという点です。

毎年9月は「内部不正防止啓発月間」です。これは、最も深刻なセキュリティインシデントのいくつかは外部からの攻撃ではなく、組織内部から発生するという事実を再認識する重要な機会です。悪意の有無にかかわらず、過失や単純なヒューマンエラーであっても、システムやデータ、施設への正当なアクセス権を持つ内部関係者は、現代の組織が直面する最も根深く、検知が困難なリスクの一つです。ハイブリッドワークの普及やAIツールの活用、IT環境の複雑化に伴い、内部脅威の状況は常に変化しており、セキュリティ専門家には新たな視点での対策が求められています。

エージェント型AIが生産性をさらに向上させる中、人間によるコードレビューは深刻なボトルネックとなっています。開発者は上流工程へとシフトし、AIがルールに従うための基盤となるガイドラインを確立する必要があります。

​サイバーセキュリティ業界は、10年以上にわたり「セキュリティ・バイ・デザイン」の原則を提唱してきましたが、人工知能（AI）がもたらすリスクを目の当たりにし、驚きを隠せません。組織が競ってAIの導入を進める中、CISOにとっての最優先事項は、自らが組織の足かせにならないようにすることです。しかし、AIの適切な活用とガバナンス、そして可観測性とトレーサビリティが確保されていなければ、組織はAIリスクに対して無防備な状態に陥る可能性があります。​

Secure Code Warriorは、ソフトウェア開発におけるAI利用を管理するためのフレームワーク「SCW AI Adoption Model」を発表しました。これは、従来のソフトウェア開発ライフサイクル（SDLC）から、同社が提唱する「エージェント型開発ライフサイクル（ADLC）」へと業界が移行する中で、組織を支援するために設計されたものです。

多くのソフトウェアエンジニアリングチームが、AIコーディングアシスタントから本格的なAIエージェントによるコード生成へと移行し、生成されるコード量が飛躍的に増加する中、そのセキュリティを確保することが最優先事項となっています。本調査では、AI支援型やエージェント型のコード開発を導入する組織に向けた実践的なガイダンスを提供します。

トークンの使用は、組織にとって予期せぬ多額のコストを発生させる可能性があります。

AIは開発サイクルの高速化を実現し、開発者がより価値の高い業務に集中することを可能にします。多くの企業にとって、こうした効率化は競争力を維持するために不可欠なものとなっています。したがって、課題はAIを導入するか否かではなく、いかに責任を持って導入するかという点にあります。開発者の教育、ガバナンス体制の構築、AIの可観測性、そして強固なセキュリティ管理に投資する企業こそが、リスクを抑えつつAIの恩恵を最大限に享受できるでしょう。

もはやAIモデルそのものを保護するだけでは不十分です。攻撃者は、開発ツール、ミドルウェア、オープンソースライブラリ、自動デプロイパイプラインなど、組織が日常的に利用するAIモデル周辺のソフトウェアエコシステムを標的にするようになっています。

これから詳しく見ていくように、世界各地でさまざまな動きがあり、国家間の協力も見られます。しかし、その道のりは決して一様ではなく、先行きも不透明です。特にビジネス環境においては、包括的な保護措置が整う前にAIの導入が義務付けられるケースも少なくありません。  

ある専門家によれば、AIのガードレールは「セキュリティ境界」として設計されているのではなく、行動を制御するためのものだといいます。しかし、その行動が業界パートナーへのハッキングであったとしたらどうでしょうか。

‍

サイバーセキュリティの専門家は、OpenAIのセキュリティ評価中にHugging Faceのインフラが侵害されたことは、自律型AIエージェントがもたらすリスクの転換点であると警告しています。このインシデントでは、AIモデルが管理されたテスト環境を逸脱し、AIプラットフォームに対して実際の多段階侵入を実行しました。

Secure Code Warriorが発表した調査によると、AIが生成したコードには、1つのコードベースあたり平均15件の脆弱性が確認されています。

フロンティアAIが広報上の危機に直面しています。7月16日にHugging Faceが自社の内部環境が自律型エージェントによって侵害されたとするブログ記事を公開した後、OpenAIは7月21日に投稿を行い、このインシデントはGPT 5.6 Solと「リリース前のモデル」が管理されたテスト環境から脱出した際に発生したものであると説明しました。

Secure Code Warriorの調査によると、AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていることが明らかになりました。

‍

Secure Code Warriorは、AIコーディングセキュリティの動的なベンチマークである「SCW AI Trust Index」を発表しました。この指標は新しいモデルが登場するたびに更新され、組織がAI生成コードに伴うセキュリティリスクを把握し、管理する一助となります。オーストラリアのRMIT大学と共同開発した手法を基にSecure Code Warriorが拡張したこの調査では、主要なLLMがどの程度の頻度で脆弱なコードを生成するかを包括的にベンチマークしており、AI支援開発を拡大するあらゆる企業にとって重要な示唆を含んでいます。

AIが生成したコードには、コードベースあたり平均15件の脆弱性が含まれていますが、実際のリスクは使用するモデルよりも、どのフレームワークと組み合わせるかによって大きく左右されます。

新しい「SCW AI Trust Index」により、AIが生成するコードの脆弱性リスクはランダムではなく、モデルやフレームワークごとに予測可能であることが判明しました。これにより、セキュリティリーダーはAIを活用した開発を安全に拡大するためのデータを手に入れることができます。

AI導入に伴う課題、絶え間ないアップデート、そして業界の覇権争いが急速に激化する中、セキュリティ専門家は、その広大なリスクプロファイルの影響を最も強く受けている立場にあります。

オーストラリア政府は、AIが国の将来の国益に不可欠であると明言しています。では、現状はどうなっているのでしょうか。AIと現代企業におけるその役割について、業界の第一線で活躍する専門家たちの見解をご紹介します。

‍

エージェント型AIの台頭はソフトウェア開発における構造的な転換点であり、生産サイクルの加速だけでなく、人間の直接的な制御を超えて自律的な推論と実行を行うシステムの導入を意味しています。

AIが生成したコードが一般的になる中、CISOには、開発者の慣行を評価し、AIツールの利用を管理し、本番環境に影響が及ぶ前にソフトウェアのリスクを特定するための新たな監査戦略が求められています。

2026年、このカテゴリーはかつてない重要性を帯びています。その理由は、AIコーディングツールやエージェントの普及により、コードの記述量やデプロイ、テスト、プロビジョニングの頻度が劇的に増加しているためです。プラットフォームエンジニアリングは、この開発スピードの向上を「価値ある成果」に変えるか、それとも「混乱」を招くか、その分かれ目となる重要なレイヤーです。

ガートナーの最新レポートによると、シャドーAIや野良オートメーションの横行が、AIの脆弱性をさらに増大させています。同社は、業務で生成AIツールを利用するIT担当者の32%が、その利用をサイバーセキュリティチームに隠していると指摘しています。ローコード／ノーコードプラットフォームや「バイブコーディング（vibe coding）」といった手法と相まって、AIコパイロットは企業の攻撃対象領域を大幅に拡大させています。

本記事では、セキュリティおよびリスク管理のリーダーに向けて、「組織がAIリスクを認識していることを示すためだけのポリシー」と「真に企業リスクを軽減するポリシー」を分かつものは何か、という核心的な問いを投げかけました。

Secure Code WarriorのPieter Danhieux氏が語る、AI主導の開発におけるリスク管理

生成AIがエンタープライズソフトウェア開発の現場に定着する中、ある馴染み深い分野がかつてないほど重要性を増しています。それはリスク管理です。

Secure Code Warriorは本日、業界初となるガバナンスソリューション「SCW Trust Agent: AI」を発表しました。これは、ソフトウェア開発におけるAIの影響をコミットの時点で可視化、帰属化、強制可能にするよう設計されており、企業はソフトウェアリスクを測定可能な形で制御しながら、AIコーディングツールの導入を拡大できるようになります。

アジャイル手法の最も重要な要素を中心にSDLCを再構築し、DevSecOpsを重視したセキュリティ対策を慎重に組み込んだとしても、私たちが知るAppSecはこれで終わりなのでしょうか？

Global InfoSec Awards 2026：Secure Code Warriorがサイバーセキュリティ・リスク管理およびコンプライアンス・エクセレンス部門で優秀賞を受賞

新しいAIソフトウェアガバナンスソリューションにより、AIが生成したコードをコミット時に可視化し、本番環境へのデプロイ前にポリシーを適用することで、実際の開発行動と測定可能なリスク低減を結びつけます。

Secure Code Warrior（SCW）は今週、AIコーディングツールによって生成されたコードを識別し、適切なガバナンスポリシーを自動的に適用するAIエージェントを追加しました。

Secure Code Warriorは、開発におけるAIコーディングツールの利用状況を追跡し、コードコミット時のソフトウェアリスクと関連付けるソフトウェアガバナンス製品「SCW Trust Agent: AI」を発表しました。

2026年Globee®サイバーセキュリティ賞：Secure Code Warriorがソフトウェア開発サイバーセキュリティソリューション部門でゴールド賞（ベスト・オブ・ザ・イヤー）を受賞

Secure Code Warriorは、AIによるソフトウェア開発への影響を可視化し、帰属を明確化し、コミット時に強制適用できるガバナンスソリューション「SCW Trust Agent: AI」を発表しました。これにより、企業はソフトウェアリスクを測定可能な形で管理しながら、AIコーディングツールの導入を拡大できるようになります。

Secure Code Warriorは本日、業界初となるAIガバナンスソリューション「SCW Trust Agent: AI」を発表しました。本ソリューションは、ソフトウェア開発におけるAIの影響をコミットの時点で可視化、追跡、制御できるように設計されており、企業はソフトウェアリスクを測定可能な状態で管理しながら、AIコーディングツールの活用を拡大できます。組織は、どのAIモデルが特定のコミットに影響を与えたかを初めて追跡し、その影響と脆弱性の関連性を特定することで、安全でないコードが本番環境にリリースされる前に修正措置を講じることが可能になります。

Secure Code Warriorは、AIによるソフトウェア開発への影響を可視化・追跡し、コミット段階で制御可能にするガバナンスソリューション「SCW Trust Agent: AI」を発表しました。企業はこれにより、ソフトウェアリスクを測定・管理しながらAIコーディングツールの導入を拡大できます。組織はどのAIモデルが特定のコミットに影響を与えたかを追跡し、脆弱性との関連性を分析することで、安全でないコードが本番環境にリリースされる前に是正措置を講じることが可能です。

新しいAIソフトウェアガバナンスソリューションにより、AIが生成したコードをコミット時に可視化し、本番環境へのデプロイ前にポリシーを適用することで、実際の開発行動と測定可能なリスク低減を結びつけます。

これまで、従来の脅威モデリングにおいて開発者が重要な役割を担うことは困難でした。しかし、適切なスキルを身につければ、AIを責任を持って活用することで、コードベースのリスクや手戻りを大幅に削減できるようになります。

AIが生成したコードは「機械製」かもしれませんが、画一的なアプローチでセキュリティを確保しようとしても、LLMがもたらす脆弱性を緩和するには不十分です。組織は厳密なセキュリティレビュー体制を確立し、人間の開発者が中心となって効果的なセキュリティ管理を実装するとともに、使用する各LLM特有のコーディングの癖を管理する必要があります。AIが生成したコードも、人間が書いたコードと同様に、個別のリスク評価を行うことが不可欠です。

ソフトウェア開発プロセスにおける人工知能（AI）ツールの利用が広がるにつれ、セキュリティへの影響がより明確になっています。最近の調査によると、組織の約70%がAIツールに起因する脆弱性を発見しており、そのうち5社に1社は、それらの脆弱性が原因で深刻なインシデントを経験しています。

調査会社Forrester[1]によると、ソフトウェア開発を含む幅広い分野でのAI利用の急速な拡大により、今年、組織の75%で技術的負債が中程度から高いレベルまで増加すると予測されています。

2026年が始まったばかりの現時点で、AIを活用したソフトウェア開発がもたらすサイバーリスクの実態が新たな調査で明らかになりました。調査対象の組織の約7割がAI生成コードに起因する脆弱性を発見しており、そのうち5社に1社は、それらの脆弱性に直接関連する深刻なインシデントを経験しています。

人工知能（AI）は、現代のソフトウェア開発において急速に不可欠な存在となりました。オンデマンドでコードを生成する大規模言語モデルから、ワークフロー全体を自動化するエージェントシステムに至るまで、AIツールは生産性と効率を劇的に向上させる可能性を秘めています。

開発者はAIを野放しにする自律的な存在ではなく、綿密に監視すべき協力者として捉える必要があります。こうした意識がなければ、深刻な技術的負債は避けられません。

技術的な侵害からAIを活用した攻撃まで、サイバー犯罪者はソフトウェア開発者を主要な標的と見なすようになっており、CISOが対処すべきシステム上のリスクが生じています。

オンラインプライバシー週間は、個人や組織が自身のデジタルフットプリントを見直す時期です。大手ソーシャルメディアやマーケティング企業が個人のあらゆる情報を把握し、それを誰にでも売りさばいている現状や、MicrosoftがWindowsユーザーのデータをクラウドへ移行させ、政府機関が密かに監視できる環境を整えている現状、さらにはPCのトラブルを機にデータ保存や処理をクラウドに依存する「ダムクライアント」化が進む現状において、こうした見直しは無意味だという声もあります。ウェブサイトのポップアップで「同意」をクリックすることが、実質的な保護につながると信じている人も少なくありません。では、専門家はこの状況をどう見ているのでしょうか。

世界データプライバシーデーを迎え、テクノロジーおよびデータ専門家らは、人工知能（AI）の活用と不十分なデータガバナンスが、組織にとってのプライバシーリスクを深刻化させていると警鐘を鳴らしています。

「データプライバシー週間」は、企業が顧客のプライバシーポリシーを見直し、マーケティング戦略において透明性の高いデータ収集を優先させるための絶好の機会です。

5人の主要なサイバーセキュリティ専門家が、AIの導入スピードにセキュリティポリシーの策定が追いついておらず、1月28日の「データプライバシーの日」を前に、中小企業において深刻なプライバシーリスクが生じていると警告しています。

OWASP Foundationは、セキュリティ専門家や愛好家にとっての指針として、多岐にわたるカテゴリーやプラットフォームにおける最も巧妙なソフトウェア脆弱性について、極めて重要かつ実践的なアドバイスを提供してきました。2021年以来となるOWASP Top 10 Web脆弱性の主要な更新が行われたこの期間、業界はAI技術、ツール、コードの急激な普及に揺さぶられ、サイバーセキュリティおよびソフトウェアエンジニアリングの専門家双方にとって、セキュリティ効率とリスクという二面性が生じています。

結論として、AIツールが生成したコードをセキュリティの専門知識を持つ人間がレビューし、実装しない限り、企業での利用は安全とは言えません。セキュリティ専門家の30%が、AIが生成するコードの正確性を信頼していないと認めています。そのため、セキュリティリーダーは開発チームの教育とスキルアップを優先し、AIが支援するコードの脆弱性を可能な限り早期に軽減できるスキルと能力を身につけさせる必要があります。これにより、「セキュリティファースト」のチーム文化が醸成され、より安全なAI活用が実現します。

2025年の最新テクノロジー事情。Z世代の皆さんが知っておくべき情報をまとめました。

EUのAI法がAIガバナンスの確固たる枠組みとなることを期待していたCISOは、AI規制の導入をめぐる最近の動向に、戸惑いや失望を感じているかもしれません。

ある国家が関与したとされる攻撃者が、Claude Codeや開発者エコシステム内の様々なツールを悪用し、オープンソースのハッキングツールを用いて特定の企業をほぼ自律的に大規模攻撃しました。30件以上の攻撃のうち複数が成功し、AIエージェントが人間の介入をほとんど必要とせずに大規模な悪意あるタスクを実行可能であることが証明されました。

DEVOPSdigestの予測シリーズ、今回は「2026年のDevSecOps予測」をお届けします。業界の専門家たちが、2026年にDevSecOpsがどのように進化し、業界にどのような影響を与えるかを予測します。

Open Worldwide Application Security Project（OWASP）が最新の脆弱性トップ10リストを発表しました。そこには、重要な脆弱性クラスに関する驚くべき知見が含まれています。

サイバーセキュリティの専門家が2026年の予測を発表。AI主導の攻撃や量子リスクから、国家レベルの脅威、OTセキュリティの脆弱性、自動化に伴うプレッシャーまで多岐にわたります。

Secure Code Warriorの共同創設者兼CEOであるPieter Danhieux氏は、AIコーディングツールはスピードと効率性をもたらす一方で、新たなリスクも生じさせると警告しています。

2026年は、AIが単なるツールからパートナーへと進化し、私たちの働き方や創造のあり方、そして課題解決の方法を根本から変える年となるでしょう。

ツールへの侵害がこれまでに大規模な攻撃を引き起こしたことはありませんが、いくつかの悪用事例やニアミスは発生しており、サイバー脅威の研究者たちは、多くの人気ツールに深刻な脆弱性が存在することを突き止めました。これは、今後どのような最悪の事態が起こり得るかを如実に物語っています。

今年もテクノロジー業界の予測が次々と発表される時期がやってきました。2026年に何が起こると予想されているのか、その内容をご紹介します。

懸念は単純です。開発チームが、セキュリティ上の脆弱性が生じる複雑な文脈を解釈できないAIツールを過信してしまう可能性があることです。例えば、大規模言語モデルはアプリケーションの認証や認可のアーキテクチャを理解するのが苦手な場合があり、重要な保護機能を見落とすリスクが高まります。

AIが生成するコードのリスク管理に関する業界の指針は、ますます一つの結論に収束しています。それは、効果的なセーフガードには人間とマシンの緊密な連携が不可欠であり、開発者が常にプロセスの中心に留まる必要があるということです。

業界幹部によると、2026年にはエージェント型人工知能（AI）がアジア太平洋・日本（APJ）地域の企業環境を大きく変える見通しです。組織は自律性の高いソフトウェアエージェントを積極的に導入し、生産性を向上させる一方で、ビジネスのあらゆる領域で新たなリスクに直面することになります。

現在、エージェント型AIは企業にとってどの程度の脅威となっているのでしょうか。また、セキュリティリーダーはどのようなリスク対策を講じるべきでしょうか。

共同創業者兼CTOのMatias Madou博士と共に、未来を予測してみました（水晶玉というより、NVIDIAのGPUを駆使したと言った方が正確かもしれません）。AIセキュリティの観点から、2026年に何が待ち受けているのか、私たちの見解をお伝えします。

ある国家主導型と見られる攻撃者が、Claude Codeや開発者エコシステム内の各種ツール、具体的にはModel Context Protocol（MCP）システムを悪用し、オープンソースのハッキングツールを用いて特定の企業をほぼ自律的に大規模攻撃しました。30件を超える攻撃のうち複数が成功しており、AIエージェントが人間の介入をほとんど必要とせずに悪意ある大規模なタスクを実行可能であることが証明されました。今こそ歩みを緩め、何が危機に瀕しているのか、そしてどのように身を守るのが最善かを立ち止まって考えるべき時かもしれません。

AIは今や現代のソフトウェア開発に欠かせない要素です。5人中4人以上の開発者が日常的または週単位でAIコーディングツールを利用しており、その多くが複数のツールを併用しています。チームは、自動化の限界と責任の所在を明確に理解しなければなりません。

セキュアなコードとは、「脆弱性を見つける」という考え方よりも、「デフォルトでセキュア」「設計段階からセキュア」という概念に基づくべきものです。Matias Madou氏が、セキュアコーディング研修での経験と、クリティカルシンキングを教えることの重要性について語ります。また、なぜクリティカルシンキングが脅威モデリングと密接に関係しているのか、そして「攻撃者のように考える」という表面的なアドバイスを超えて開発者を導くために、LLMをどのように活用できるのかを解説します。

AIの爆発的な普及により、企業は大きな転換点を迎えており、ビジネスのあり方は劇的に変化しようとしています。この状況下で、CISO（最高情報セキュリティ責任者）は不安定な立場に置かれています。組織のデータとアクセスを管理する責任者として、彼らは企業の安全を確保しなければなりません。しかし、AIの広範かつ無秩序な導入が急速に進めば、現在の組織体制では対応しきれないほど多くのセキュリティ課題が噴出する恐れがあります。

AIコーディングアシスタントや自律型エージェントが生成するコードに脆弱性が混入する可能性があることは、セキュリティリーダーや開発者の間ですでに広く認識されています。しかし、最近の研究によって、彼らを悩ませる新たな重大な懸念が明らかになりました。それは、コードの反復的な改善に用いられるLLMが、明示的にセキュリティ向上を指示された場合であっても、時間の経過とともに新たな脆弱性を生み出してしまう可能性があるという事実です。

政府機関がAIの安全な利用に向けたルールや規制の策定を進める中、企業はそれを待っている余裕はありません。今すぐリスクへの対策を講じる必要があります。

サイバーセキュリティ全般、とりわけアプリケーションセキュリティの分野において、AIによる生産性の恩恵を最大限に引き出すためには、人間による監視が不可欠です。

ChatGPTの爆発的な普及と同様に、今年は「バイブコーディング（vibe coding）」が至る所で話題になっています。実際、辞書にも掲載されるほどの言葉となりました。しかし、このブームには注意が必要です。新しいAIコーディングツールは、スピードとコスト削減をもたらす一方で、驚くべき脆弱性も抱えています。

ライアンがSecure Code Warriorの共同創業者兼CTOであるマティアス・マドゥ氏を迎え、LLMの変動性がコードセキュリティに与える影響、AIコーディング支援ツールの普及に伴う開発者トレーニングの未来、そしてAI時代における（特にジュニア開発者にとっての）批判的思考の重要性について議論します。

ソフトウェア開発者は、大規模言語モデル（LLM）によるコード生成ツールや自律型AIエージェントなど、AIアシスタントを活用することで多くの恩恵を受けています。しかし、MITの新たな研究をはじめとする近年の報告では、AIへの過度な依存がユーザーの批判的思考能力を低下させる可能性があると警告されています。

AIツールを安全かつ倫理的に導入するには、イノベーションと説明責任のバランスが不可欠です。強固なガバナンスの確立、開発者のスキルアップ、そして厳格なコードレビューの実施が求められます。

LLMを活用してセキュアなコードを書くには、AIを自律的なツールとしてではなく、共同作業のパートナーとして使いこなすスキルが不可欠であるとMadou氏は主張する。

Secure Code WarriorのCEO兼会長であり共同創業者でもあるPieter Danhieuxが、攻撃的なサイバーセキュリティの専門家から、セキュアなソフトウェア開発の推進者へと転身した経緯を語ります。2015年に設立されたSecure Code Warriorは、開発者が最初からセキュアなコードを書けるよう支援することを目指しており、これは脆弱性を後から修正するよりも効果的であるという点で、DanhieuxとホストのAlan Shimelの意見が一致しています。また、両者はAIがソフトウェア開発に与える影響についても議論し、AIによってコーディングの速度とアクセシビリティは向上するものの、AIが生成するコードのセキュリティには依然として課題があることを指摘しました。彼らは、こうした技術の進歩の中で、開発者がセキュアなコーディング手法を習得する必要性が高まっていることを強調しています。

10月はオーストラリアの「サイバーセキュリティ意識向上月間」です。これは、オンラインでの警戒を怠らないよう毎年呼びかける期間です。今年のテーマ「サイバーセーフな文化の構築」は、デジタル化が進む現代において、一人ひとりが自身のセキュリティに責任を持つことの重要性を改めて強調しています。

「サイバーセキュリティ意識向上月間」を機に、あらゆる規模の組織が直面するリスクの増大に再び注目が集まっています。特にオーストラリアと英国の中小企業（SME）に対する脅威の深刻化が懸念されています。

サイバーセキュリティの世界では、日々独創的で型破りな脅威に直面しています。しかし、最大の脆弱性はソフトウェアの欠陥ではなく、私たちの集団的な思考の欠陥にあります。

16の主要AIモデルが実際にどのようにコーディングを行うかを、11の実践的フレームワークと1,760のコードベースで評価。モデルだけでなく、フレームワークの選択も重要です。