AI生成でコード量が最大50倍に急増する中、セキュリティのボトルネック化を防ぐ新モデルの必要性が示される

要点

• AIの導入により開発チームのコード生成量が10〜50倍に急増する一方、セキュリティ側の対応速度との乖離が課題となっている。

• セキュリティメディアのThe Hacker NewsとChainguardの専門家が、AI時代の開発リスクを解説するウェビナーを公開した。

• 従来の脆弱性検知・修正モデルでは、コードや依存関係の急増に伴いバックログが膨らみ対応が追いつかなくなると指摘されている。

• 開発者だけでなく攻撃者側もAIモデルを活用できるため、防御側の負荷が二重に高まっているという。

• 開発速度を抑制するのではなく、現在の開発手法に合わせた安全設計やガバナンス体制の再構築が求められている。

• AIを活用したソフトウェア開発の急速な普及に伴い、セキュリティ管理が開発プロセスのボトルネックになりかねない現状が浮き彫りになった。セキュリティ情報メディアのThe Hacker Newsは2026年8月10日、セキュリティ企業Chainguardの専門家と共同で制作したウェビナー「The True Cost of Building at Machine Speed（機械の速度で開発を進める真のコスト）」を公開した。AIによってコードの生成量が飛躍的に増大する環境において、セキュリティを担保しながら開発速度を維持するためのアプローチが提示されている。

コード生成量の急増とセキュリティ対応のギャップ

現在、AIツールの活用によって開発チームのソフトウェア出力は従来の10倍から50倍規模にまで拡大しているという。しかし、生成されたコードに含まれる脆弱（ぜいじゃく）性のレビューや、利用する外部ライブラリなどの依存関係の管理、修正対応の優先順位付け、全体的なリスク制御といった作業は、依然として人間の処理能力に依存した速度で行われているのが実情だ。

この結果、問題の本質は単に脆弱性を発見できるかどうかという点から、セキュリティ対応が開発全体の遅延要因（ボトルネック）となることや、本番環境へ出荷される成果物の把握・統制が失われるリスクへと変化していると説明されている。

従来の脆弱性管理モデルが直面する限界

これまで長年にわたり、アプリケーションのセキュリティは一定の運用サイクルを踏襲してきた。開発者がコードを記述し、専用のスキャナーで問題を検知し、セキュリティチームが重要度を判断した上で、エンジニアが優先度の高い不具合から修正するという手順である。

しかし、AIによって生成されるコード量が劇的に増加したことで、この運用モデルへの負荷が限界に達しつつあるという。ソフトウェアの生産量が増えれば、それに比例して管理すべき構成要素や依存関係、検知される指摘事項、修正タスクの件数も膨大になる。単にスキャンの回数や規模を増やすだけでは根本的な解決にはならず、未対応の課題（バックログ）をさらに増大させる結果につながると指摘されている。

また、公開されたセッションでは、従来のCVE（共通脆弱性識別子：個別の脆弱性に割り振られる識別番号）を基準とした個別対応の手法がどのような場面で破綻し始めるかについても掘り下げられている。

開発と攻撃の双方がAIで加速する二重の圧力

セキュリティチームが直面している課題は、自社開発の高速化に伴う防御側の問題だけにとどまらない。

開発者がソフトウェアの記述や理解のために利用している強力なAIモデルは、攻撃者側にとっても同様に利用可能なツールとなっている。ソフトウェアの作成スピードが加速する一方で、攻撃者側の手法や攻撃能力も同じく高度化・高速化しており、セキュリティ組織は開発量の増大と攻撃の進化という双方からの圧力にさらされている状況だという。こうした背景から、AIのスピードを享受しつつ、それに伴うリスクをいかに制御するかという問いが重要性を増している。

組織的なガバナンスと経営層への説明責任

ウェビナーでは技術的な側面に加え、組織におけるガバナンスの課題についても言及されている。AI支援開発の導入は、単なるエンジニアリング部門の技術選定にとどまらない経営課題になりつつあるという。

セキュリティ部門の責任者には、増大するリスクの最終的な責任者は誰なのか、組織全体としてどの程度のリスクを許容しているのかを明確にし、それらの判断基準や現状について経営幹部や取締役会へ論理的に説明することが求められている。

開発速度を落とさずに統制を維持するアプローチ

こうした課題に対し、開発者の作業を減速させることは適切な解決策ではないとされている。多くの企業がAIを導入する本来の目的は、ソフトウェアの構築スピードを向上させることにあるためだ。

そのため、開発を抑制するのではなく、5年前の古い開発手法を前提とした管理策から脱却し、現代のAI駆動型開発に即したセキュリティ制御を設計する必要があると強調されている。最初から安全な状態を前提とする設計（Secure-by-Default）や、コードが本番環境に到達する前に確実なガードレールを構築することが、開発速度とリスク統制のギャップを埋めるための現実的な枠組みとして挙げられている。