認証処理の不具合に対し、ノアが十行の修正コードを生成した。検証環境のテストはすべて通り、人が書くより早い。瀬名はメンテ枠へ載せようとした。
コードレビューで律は、追加されたライブラリの名前に見覚えがないことへ気づいた。公開リポジトリには同名パッケージがあるが、作成から一週間、利用者はほぼゼロ。よく使われる社内パッケージ名と一文字違いだった。
調べると、パッケージは環境変数を外部へ送る処理を隠していた。ノアが存在しない依存名を生成し、攻撃者が先回りして同名を公開した可能性がある。AIの幻覚が、供給網攻撃の入口になっていた。
二人は依存関係を許可リストへ限定し、生成コードでも通常と同じレビュー、静的解析、ライセンス確認、隔離環境の通信監視を必須にした。『AI生成』を品質保証の印にも、危険の決めつけにも使わない。
瀬名は外部ライブラリを使わない修正へ書き直した。少し長くなったが、何をしているか説明できる。
「速い十行より、分かる十五行ですね」と律が承認した。
「律さんが見ると思うと、AIに書かせた部分も雑に出せません」
それは監視される緊張ではなく、受け取る人を想像して仕事を整える安心だった。
人物紹介
瀬名悠真
- 男性、30代。サーバ運用・インフラ担当
- AIの有用性を率直に評価しながら、判断を預けすぎない運用を学ぶ
久坂律
- 女性、30代。監視、自動化、ログ解析、運用設計に強い
- 肩上のレイヤードボブ。AIを監査可能な仕組みへ変えていく
真壁紗英
- セキュリティ責任者。導入効果とリスクを同じ資料で扱う
ノア
- ログ要約、予兆検知、手順候補を担う運用支援AI
- 単一の人格ではなく、モデル、知識、ツール接続からなるシステム
