AIを使う側にもセキュリティー知識が必要だった
最近は、現場でも生成AIを活用することが当たり前の風景になってきました。プログラミングのコードを書いてもらったり、エラーの解決策を相談したりと、エンジニアにとってAIは手放せない相棒になりつつあります。しかし、便利さの裏側には大きな落とし穴が潜んでいることを忘れてはいけません。今日、私は現場で「AIを使う側にもセキュリティー知識が必要だった」と痛感する出来事に遭遇しました。単にツールを使いこなすだけでなく、出力された内容の安全性を判断できるセキュリティー知識がなければ、プロとして仕事を完遂することは難しいと感じたのです。この記事では、私が経験したヒヤリとする事例をもとに、初心者のエンジニアやSESで働く皆さんが、AI時代を生き抜くために必要なセキュリティー知識の大切さについてお伝えします。AIは魔法の杖ではなく、あくまで道具です。その道具を安全に使いこなすためのセキュリティー知識を、一緒に見直していきましょう。
現場で起きたAIの提案とセキュリティー知識の不足による失敗
結論から申し上げますと、AIが生成したコードをそのまま信頼して、システムに脆弱性が入り込みそうになるというトラブルを経験しました。
その日、私はあるWebシステムのユーザー登録機能を担当していました。入力フォームから送られてくるデータのバリデーション（妥当性チェック）の実装を効率化しようと考え、AIにコードの作成を依頼したのです。AIは数秒で「完璧に見える」きれいなコードを返してくれました。
しかし、そのコードをよく確認してみると、重要なセキュリティー知識が欠落していることが分かりました。具体的には、以下のような問題が含まれていたのです。
- 特定の記号に対するエスケープ処理が不十分だった
- SQLインジェクションの対策が古い手法で書かれていた
- パスワードのハッシュ化におけるソルトの扱いが甘かった
もし私がこれを見逃してそのまま本番環境に反映させていたら、重大な情報漏洩や不正アクセスを招いていたかもしれません。AIが提示する回答は「もっともらしい文章」や「動きそうなコード」であって、必ずしも「安全なコード」ではないという事実を、身をもって知ることとなりました。エンジニア側に確かなセキュリティー知識が備わっていなければ、AIが生成したリスクを素通りさせてしまうのです。
なぜAIを扱う側にも高度なセキュリティー知識が求められるのか
結論として、AIは学習データに基づいた確率的な回答をしているに過ぎず、最新の脅威や現場固有のセキュリティー要件までを完全に理解しているわけではないからです。
AIが非常に優秀なのは間違いありませんが、彼らが学習しているデータの中には、過去の脆弱なコードや、現在は推奨されていない古い技術も含まれています。そのため、出力されたコードが「動く」からといって「安全」である保証はどこにもありません。以下の理由から、使い手側のセキュリティー知識が重要視されています。
1. 責任の所在は常に人間にある
どんなにAIを使って作業を効率化したとしても、納品した成果物の責任を負うのは開発者である人間です。「AIが書いたから」という言い訳は、お客様には一切通用しません。セキュリティー知識を持って成果物を検品することは、プロとしての最低限の義務といえます。
2. 状況に応じた判断が必要
システムによって求められるセキュリティーレベルは異なります。社内向けのツールと、一般公開する決済システムでは対策の強度が変わりますが、AIはその文脈を完璧に汲み取ることはできません。エンジニアがセキュリティー知識を駆使して、その場に適した判断を下す必要があります。
3. プロンプト（指示文）による情報漏洩のリスク
AIを使う際に、機密情報や顧客データをプロンプトに入力してしまうことも大きなリスクです。これもセキュリティー知識の一環として、何を入力してはいけないのかという境界線を正しく理解しておく必要があります。
現場のトラブルで再認識したAI活用におけるセキュリティー知識の役割
結論、セキュリティー知識は、AIが生成したものを「フィルタリング」するための守護神のような役割を果たします。
今回の件で私が学んだのは、AIを「上司」としてではなく「新人アシスタント」として扱うべきだということです。新人アシスタントが持ってきた資料に間違いがないか、ベテランエンジニアがチェックするように、AIの出力も常に疑いの目を持つことが欠かせません。この「疑いの目」の根拠となるのが、日々の学習で培ったセキュリティー知識なのです。
実際に、私が現場で意識している確認ポイントをいくつか挙げます。
- 出力されたコードにハードコードされたパスワードやAPIキーが含まれていないか
- 外部からの入力を受け取る部分で、適切なサニタイズ（無害化）が行われているか
- 使用されているライブラリが最新のもので、脆弱性が報告されていないか
これらをチェックするためには、OWASP Top 10などの標準的なセキュリティー指針を頭に入れておく必要があります。セキュリティー知識があるからこそ、AIが出した「惜しい回答」のどこを修正すれば実戦投入できるのかが判断できるのです。AIを使いこなすエンジニアの価値は、単にプロンプトを打つことではなく、セキュリティー知識に基づいた「最終的な品質保証」ができるかどうかにかかっています。
明日から実践！AIとセキュリティー知識を両立させる習慣
結論として、AIを使う時間を短縮できた分、その余った時間で徹底的なコードレビューとセキュリティー知識のアップデートを行うべきです。
AIによって私たちの作業スピードは劇的に上がりました。しかし、そのスピード感に溺れて、確認作業を疎かにしては本末転倒です。明日から実践できる、セキュリティー知識を活かしたAIとの付き合い方をまとめました。
まずは公式ドキュメントを並行して確認する
AIが提案したライブラリや関数の使い方が正しいか、必ず公式のリファレンスで裏取りをしましょう。AIの回答は「もっともらしい嘘」をつくこともあります。セキュリティー知識を裏付けるのは、常に一次情報です。
セキュリティーに特化したプロンプトを意識する
AIに依頼する際、「セキュリティーを考慮したコードを書いてください」や「OWASPの指針に基づいた対策を施してください」といった条件を付け加えるだけでも、出力の質は向上します。ただし、それが出てきた後に、本当に反映されているかを自分のセキュリティー知識で照合することがセットです。
定期的なセキュリティー学習をルーティン化する
技術の進化は早いため、一度身につけたセキュリティー知識もすぐに古くなります。週に一度はIPA（情報処理推進機構）のサイトを確認したり、最新の脆弱性ニュースに目を通したりする習慣をつけましょう。自分自身のセキュリティー知識を最新に保つことが、AIを安全に使いこなす唯一の方法です。
まとめ
いかがでしたでしょうか。AIの普及によってエンジニアの働き方は大きく変わりましたが、結局のところ「最後は人間が判断する」という本質は変わっていません。むしろ、AIが誰でもそれなりの成果物を出せてしまう時代だからこそ、安全性を見極められるセキュリティー知識の有無が、エンジニアとしての格差を生むことになります。
今日の出来事は、私にとって大きな警鐘となりました。「AIが言っているから大丈夫だろう」という慢心は、プロとしてもっとも危険な考え方です。セキュリティー知識を武器に、AIという強力な相棒を正しくコントロールできるよう、これからも日々精進していきたいと思います。皆さんも、AIを活用する際はぜひ一度立ち止まって、その出力に潜むリスクがないか、自身のセキュリティー知識で確認してみてください。それが、自分自身とお客様を守る唯一の道なのです。
