意外と変わらない？ 生成AI時代の開発とセキュリティの関係──松岡正人氏が2024年の調査結果から読み解く課題と対策

　ブラック・ダックは、11月27日にソフトウェア・セキュリティに関する調査レポート「世界のDevSecOps の現状 2024」を発表した。この調査結果からも、生成AIの導入によって要件定義からデプロイまでの開発プロセスが変化していることが明らかになった。本記事では、この調査結果の中から注目すべきポイントについて、同社 シニア・テクニカル・マーケティング・マネージャの松岡正人氏が解説してくれた記者発表会の様子をレポートする。

今回解説を担当した松岡 正人氏

2024年、生成AIの登場でアプリケーション開発とセキュリティはどう変わったのか

　今回の調査では、ソフトウェア開発者、アプリケーションセキュリティ専門家、CISO、DevOpsエンジニアなどを含む世界中のITプロフェッショナル1000人以上を対象に実施された。IT以外にも金融や教育、ヘルスケア、輸送など多岐にわたる業界の現状を反映している。

　まず特筆すべきは、回答者の91%以上がコード作成にAIツールを使用している点だろう。この結果を地域別に見ると、最も多かったのが米国と中国で97%。日本は60%にとどまり、突出して低い。松岡氏はその理由として「石橋をたたいても渡らない人が多い、文化的な側面が強く出ているのでは」と考察した。

日本はまだAIツールの使用率が低い

　生成AIの活用は、業務効率を大幅に高める一方で、セキュリティへの懸念も浮上している。今回の調査でも、67%の回答者がAI生成コードのセキュリティ確保に懸念を示し、85%が何らかの対策を講じていると答えたものの、「強い自信がある」と述べた回答者はわずか24%にとどまった。

　この24%の回答者の自信はどこから来るものなのだろう？ この点に関して、松岡氏は生成AIが提案するコードの多くがOSSを基にしていることを指摘した。これまでは開発者がOSSから必要なコードを参照し、改変してアプリケーションに組み込んできた。それをAIによって効率的に行う時代になったということだ。よって、AIによるコード生成のセキュリティリスクは、OSSのものをそのまま引き継いでいると考えることができる。

AIによって生成されたコードとOSSの類似点

　「この24%の方たちは、既に自社のツールやプロセスにOSSを組み込んだときに十分な対処ができており、これがAIになっても変わらないと強く思ってらっしゃるということ。AIが生成するコードと世の中で広く使われているOSSのコードの接続点が数字として表れていると思いました」（松岡氏）