AI任せの「バイブコーディング」、9割に脆弱性

何があったの？

米Microsoftとシンガポール国立大学などの研究者らが発表した論文「Understanding the (In)Security of Vibe-Coded Applications」が、AIに自然言語で指示するだけでアプリ全体を自動生成する開発手法「バイブコーディング」の安全性を調査しました。

研究チームは、公開されているバイブコーディング製のWebアプリ8695件のうち、実際に稼働していた984件から200件を無作為に選び、詳しく調べました。その結果、91％のアプリから少なくとも1つの脆弱性（セキュリティ上の欠陥）が見つかり、見つかった欠陥1186件のうち65.77％が「致命的」または「高」レベルに分類されました。こうした欠陥は、第三者による不正アクセスやデータ漏えいにつながる可能性があります。

原因を分析したところ、AIが必要な知識を持っていなかったことによる「知識の欠陥」が63.4％と最も多く、安全性を意識した指示を具体的に加えることで欠陥の割合が下がる一方、技術的な指示を細かく書き込みすぎると、むしろ悪化するケースもあったとしています。

初心者にはどういう意味？

「バイブコーディング」とは、プログラミングの知識がなくても「こんなアプリを作って」とAIに言葉で指示するだけで、AIがコードを書いてアプリを完成させてくれる開発スタイルのことです。誰でも簡単にアプリを作れるようになった一方、今回の調査は「AIが作ったアプリの大半に、セキュリティ上の弱点が残っている」ことを示しました。

たとえるなら、工場で大量生産された家電製品の多くに、鍵のかかっていない裏口があるようなイメージです。自分で動かしているだけなら気づきにくくても、インターネットに公開して誰でもアクセスできる状態にすると、情報が漏れたり、勝手に操作されたりする危険につながります。AIに「作って」と頼むだけで公開まで進めるのは、まだリスクがあると知っておくことが大切です。

私はこう思う

知識なしでもプログラミングできるのですごく便利ですが、複数人で作るプログラムや複雑で大きいものを作るのはまだ安全とは言えないのですね。

未経験でバイブコーディングすると中身がブラックボックスになってしまうのである程度の知識は必要なのかもしれません・・・

私も個人でたまにバイブコーディングしますがコメントアウトされているものからどのような仕組みかを見るようにしています。

今日からできること

• AIで作ったアプリやサービスを公開する前に、「本番運用に耐える安全な作りにして」と具体的に指示を加える
• 個人情報やクレジットカード情報を扱うアプリは、AI任せで作ったものをそのまま公開しない
• 身の回りに「AIで作ったアプリ」を公開している人がいたら、セキュリティ面を確認したか聞いてみる