100を超えるモデルを対象としたVeracodeの調査によれば、AIが生成するコードの約45%がOWASP Top 10のセキュリティ脆弱性を持ち込む。セキュリティのレビュー層なしで「バイブコーディング」を行うことは現実のリスクであり、すでに複数のプラットフォームが高い代償を払っている。
「バイブコーディング（vibe coding）」は、ソフトウェア作りに起きた一番愉快な出来事だ。欲しいものを言葉で説明すれば、AIがそれを組み立ててくれる。あなたはコードを一行も触らない。まさに魔法だ。だが、どんな魔法にも小さな注意書きがつきもので、ここでの注意書きは少しばかり怖い。その魔法のコードの多くは、セキュリティの穴が最初から空いた状態でやってくるのだ。
熱狂を冷ます数字
セキュリティ企業のVeracodeは、本気でこの実験をやってみせた。100を超えるAIモデルにコードを生成させ、それを監査したのだ。結果は？そのコードのおよそ45%が、OWASP Top 10 の脆弱性を持ち込んでいた。ウェブでもっとも古典的で危険なセキュリティ欠陥のリストだ。ほぼ半分である。デリバリーで料理を頼んだら、2件に1件は傷んだ食材が入っている、というようなものだ。毎回具合が悪くなるわけではないが、無視するには確率が高すぎる。
なぜAIは（悪気なく）安全でないコードを書くのか
AIが邪悪だというわけではない。インターネット上の何百万もの例から学んだのだが、そのインターネットには良質なコードもあれば、安全でないコードもたっぷりある。おまけに、AIが組み立てるときは「楽観モード」にある。その機能が動くことは考えても、攻撃者がそれをどう悪用しうるかは考えていない。超高速の鍵屋のようなものだ。完璧なドアを取り付けるが……鍵をつけ忘れることがある。ドアの開け閉めは実に快適だ。問題は、ほかに誰がそれを開けられるかである。
机上の空論ではない：すでに現実の被害者がいる
これは報告書の中だけの話では終わらなかった。バイブコーディングのプラットフォームで、認証情報が露出し、見る目のある者なら誰でもアクセスできるデータが晒されていた事例が明るみに出ている。全速力で生成し、誰もレビューしないとき、ちょっとした不注意はあなたの画面にとどまらない。本番環境へと流れ出て、そこで世界中に見つかってしまう。セーフティネットなしのスピードは、スピードではない。スローモーションの転落だ。
治療法はAIを使うのをやめることではない――見張り番を置くことだ
答えは、すべてを手作業でプログラミングに戻すことではない（もはやそれには意味がない）。答えは、AIが組み立てたものを本番に届く前にレビューする「第二の頭脳」を加えることだ。露出した秘密情報、データを漏らすクエリ、保護されていないエンドポイントを捕まえてくれる頭脳を。その文化――速く作りつつ、セキュリティの見張り番を頭上に置くこと――こそが、真剣なプロジェクトと、起きるのを待つばかりの事故とを分けるものだ。
私たちの考え方
NeuralOSでは、ひとつの信念から出発している。セキュリティの規律は専門家だけの贅沢品であってはならず、標準装備であるべきだ、と。AIで作ることは速くて「かつ」安全でなければならない。一方を犠牲にしてもう一方を得るようなものであってはならない。実際、その考えが私たちを、オープンソースのコード・セキュリティ見張り番を作って無償で提供する道へと導いた。バグを捕まえて修正を持ってくることは、セキュリティチームを雇える者だけでなく、AIで作るすべての人の手が届くところにあるべきだと信じているからだ。