まとめ
AIの提案を鵜呑みにすることで、脆弱なコンポーネント（A06）が持ち込まれ、サプライチェーン攻撃（A08）の経路が作られてしまうリスクを解説しました。
しかし、ここで重要な視点があります。どちらの問題も今に始まったことではなく、従来から開発者が気をつけるべき基本的なことです。 誰でもコードが書ける時代になったからこそ、改めてこれらの基本原則が問われているのです。
AIは、こうした人間側やプロセスの脆弱性を、そのスピードと利便性によって見えにくくし、増幅させてしまう「増幅器（アンプ）」にすぎません。根本的な原因は、AIに対する人間の過信にあります。
コーディングエージェントの提案は、「信頼できる完成品」ではなく、「インターネットのどこかからコピーしてきた、安全性が未検証のコードスニペット」と同等に扱わなければなりません。
さらに言えば、AIが生成したコードは「信頼できない外部からの入力」とみなし、受け入れ時にはすべてサニタイズ（無害化）するくらいの慎重な姿勢が求められます。開発者の責任は、AIが提案したコードのロジックをレビューするだけでなく、AIが提案した「依存関係」とその「整合性」まで含めて検証することにあるのです。
次回予告
依存関係の管理やサプライチェーン攻撃手法は日々変化しており、アップデートされる脅威情報をキャッチし、自分のプロジェクトに適用していく継続的な取り組みが必要です。
最終回となる第4回では、これまでの内容を踏まえ、AI時代の開発者に求められる新しいマインドセット「コーダーから監督者へ」という視点で、具体的な対策と心構えをお伝えします。
開発現場で遭遇した落とし穴や、記事では伝えきれない実践的なTipsはSNSで共有しています。ぜひフォローしてください。
YouTube：https://www.youtube.com/@kyohei_dev
AIという強力なツールを安全に活用しながら、より価値のあるソフトウェアを世に送り出していきましょう。
.png)
