なぜ、私のセキュリティスキャナーは、AIアシスタントが最も頻繁に作成する脆弱性クラスを検出できないのでしょうか？
機会
Veracodeの「2026年 GenAIコードセキュリティレポート」によると、AIコーディングアシスタントは、言語によって異なるものの、生成タスクの44～72％においてセキュリティ上の脆弱性をもたらしている。 既存のSASTツールは、人間が記述したコードパターンに基づいて設計・調整されており、特定のAIツールが生み出す、反復的でモデル固有の脆弱性シグネチャをモデル化していない。 2026年7月にarXivで発表されたモデル横断的な比較研究によると、異なるLLMは、全く無関係なコードベースにおいても、予測可能で明確なCWEクラスにリスクを集中させており、現在のスキャナーにはこの規則性を活用するためのモデルを意識したプロファイルが存在しないことが判明した。 Endorlabsは2026年、固定パターンのスキャナーではファイル間のコンテキストに依存する欠陥を見逃してしまうことを確認しました。これはまさに、AI生成コードが最も頻繁に失敗する点です。現在、コードを生成したモデルに紐づいたプロファイルを備えた、本番環境向けのスキャナーは存在しません。
重要な理由
どのモデルがファイルを作成したかを把握しているスキャナーは、そのモデルが確実に過剰に生成しがちな脆弱性のクラスを予測・特定することができ、統計的な規則性を正確な検出の優位性へと転換することができる。
機会をどう評価するか
Opportunity Scoreは測定値ではなく、私自身の見解です。どれほど痛みを伴うか、どれほど頻繁に影響を与えるか、そして今日時点で解決策がいかに少ないか。スコアが高いほど、構築する価値が高いと私は考えています。
それが現れたときにどれほどの痛みをもたらすか。
実際にどれほど頻繁に人々がそれに直面するか。
今日時点で、それに対する優れたツールがいかに少ないか。