AI生成コードによるオープンソース依存の急増とセキュリティ負債の実態、ActiveStateが300社調査を公表

要点

• 開発現場でAIコーディングツールの活用が進む一方、生成コードによってオープンソースパッケージの導入ペースが急激に加速している実態が明らかになった。

• パッケージ追加に伴う安全性やライセンスの検証が追いつかず、未対応のセキュリティ作業が累積する「修正負債」が企業で深刻化している。

• ソフトウェア基盤を手掛けるActiveStateが、テクノロジーや金融、政府機関など5大分野のリーダー300人を対象とした調査結果を公表した。

• 調査では修正負債と監査の不合格やインシデント頻度との関連が分析されており、有効なガバナンス手法を解説するウェビナーが実施されている。

• AIを活用したコード生成の普及に伴い、オープンソースパッケージの急速な流入とセキュリティ検証の遅れによる「修正負債」が企業で拡大していることが明らかになった。ソフトウェア開発基盤を提供するActiveStateが、テクノロジー、金融、製造、ヘルスケア、政府機関のセキュリティおよびエンジニアリング責任者300人を対象に実施した調査結果をまとめ、専門家による解説ウェビナーを通じて実態を公表した。AIツールによって開発作業が高速化する一方で、セキュリティ部門の検証能力を超える依存関係の増加が組織的な課題として浮き彫りになっている。

AIコード生成の普及とオープンソース依存関係の急増

ソフトウェア開発の現場では、AIコーディングツールの導入によって開発プロセスの高速化やコード生成量の増加、日常的な定型作業の削減といった効果が確認されている。

しかしその一方で、AIによって生成されたコードが、開発環境へ新たなオープンソースコンポーネント（外部の公開プログラム部品）をかつてない速度で持ち込む状況が発生しているという。開発者はわずか数分で新たな依存関係（プログラムの動作に必要な外部パッケージ）をプロジェクトに追加できるようになったが、これに伴って安全性を確認すべき対象が急増していると指摘されている。

セキュリティ検証の滞留と「修正負債」の蓄積

外部のオープンソースパッケージが追加された場合、セキュリティチーム側では多岐にわたる安全性の確認作業が必要となる。具体的には、既知の脆弱性の有無をはじめ、ソフトウェアライセンスの適合性、開発元によるメンテナンスの継続性、パッケージ所有者の信頼性、そしてそもそもそのパッケージを導入することが妥当であるかどうかの精査などが含まれる。

AIツールによってコードが短時間で生成されたとしても、これらのセキュリティ検証や修正作業が自動的に解消されるわけではない。その結果、セキュリティチームが対応できる処理能力を超えて未解決の作業が積み上がっていく「修正負債（Remediation Debt）」が発生しているという。元記事では、AIツールがより自律的にコードを生成・適用するようになるにつれて、セキュリティ対応とのギャップが今後さらに拡大する可能性があると説明している。

5大分野・300人のリーダーを対象にした実態調査

こうした課題を背景に、ActiveStateはセキュリティおよびエンジニアリング部門のリーダー300人を対象とした実態調査を実施した。調査対象は、テクノロジー業界、金融サービス、ヘルスケア、製造業、政府機関と幅広い分野にわたっている。

調査では、各組織がAI主導によるオープンソースのリスクにどのように対処しているかや、セキュリティ修正プログラムがどの段階で滞っているかを分析している。さらに、未対応のまま蓄積された修正負債が、コンプライアンス監査の不合格やセキュリティ侵害（不正侵入や情報漏洩などのインシデント）の発生頻度、さらには開発全体の生産性低下とどのように結びついているかについて詳細なデータ収集が行われた。

ウェビナーにおけるベンチマーク公開と統制モデルの検証

ActiveStateは、これらの調査結果をもとに「AI Coding and Open Source Risk」と題したウェビナーを公開している。セッションでは同社のレベッカ・バンクス（Rebecca Banks）氏とモリス・チェン（Moris Chen）氏が登壇し、具体的な調査データの解説を行っている。

ウェビナー内では、AIコーディングがオープンソースの修正負荷をどのように変化させているかや、300社の調査結果に基づいたベンチマーク（自社の管理体制と比較するための基準指標）が提示されている。また、修正負債の蓄積がセキュリティ体制や事業成果へ悪影響を及ぼし始める具体的な分岐点についても解説されている。

あわせて、現在有効に機能しているガバナンス（管理・統制）モデルの実例に加え、一見有効に見えてもかえって問題を増やしてしまう可能性のあるアプローチについても言及されている。単にAIの危険性を指摘するにとどまらず、AI生成コードの利用規模がさらに拡大する前に既存の管理プロセスをどう見直すべきかについて、他社データに基づいた現状分析と対応策が紹介されている。