AIが書いたコードの請求書

通過したコード、通過させた責任

釜山のある中堅SI企業の開発チームで最近よく見られる光景がある。ジュニア開発者がCopilot類のツールで関数一つを30秒で受け取る。動作する。テストも通過する。だからマージされる。そのコードがどこから来たのか、どんな入力で壊れるのか、誰のライセンスを持ってきたのかは誰も問わない。

問題は動作しないコードではなく動作するコードだ。壊れたコードはビルドで引っかかる。しかし普段は問題なく特定の条件でのみ崩れるコード、出所がGPLリポジトリのコード、3年前にパッチされた脆弱性パターンをそのまま再生産したコードは通過する。GitHubの2023年分析でCopilotで作成したコードのかなりの割合が既知の脆弱パターンを含んでいたという報告が出て以降、このシグナルは弱まっていない。スタンフォード研究チームはAI支援を受けた開発者がかえって自分のコードをより安全だと過信する傾向を観察した。生産性は測定されるが、その生産性が引き込んだ負債は測定されない。

速く追いかければいいという錯覚

韓国ソフトウェア産業の基本は追撃だった。他人が作ったフレームワークを素早く吸収し、検証されたアーキテクチャを移植し、リファレンスを正確に複製する能力。申し分ない力量であり、実際に我々をここまで導いてきた。

生成型コーディングはこの追撃本能を極限まで増幅させる。今や複製する対象すら直接探す必要がない。モデルが統計的にもっともらしいコードを即座に吐き出すからだ。追撃の最終段階、すなわち答えを速く見つける段階がほぼ0秒に圧縮されたわけだ。

ところがフロンティア技術の本質は正解がないということにある。どのライブラリの組み合わせが5年後にサプライチェーン攻撃の通路になるか、どの自動生成パターンが規制変化でライセンス爆弾になるかは、速く検索してもわかる情報ではない。数多くの失敗を経験しながら組織内に沈殿させて初めてわかることだ。速い追撃モデルは答えがすでに存在すると前提する。しかしAIコード責任問題にはまだ答えがない。我々が作らなければならない。

負債は静かに複利で積み重なる

反論は明確だ。ツールが良くなれば検証も自動化され、結局AIがAIコードを監査すればいいのではないかということだ。半分は正しい。静的解析とSCAツールは急速に発展している。しかし検証を自動化することと責任を自動化することは別の問題だ。脆弱性がプロダクションで爆発したとき、ライセンス紛争が訴訟に来たとき、責任を取る主体はツールではなくそのコードを出荷した会社だ。自動監査は発見のコストを下げるだけで、責任の所在を移すことはできない。

米国と欧州はこの責任の所在を制度で固定している最中だ。米国は行政命令とNISTのSSDFを通じてソフトウェア部品表、すなわちSBOMを政府調達要件に引き上げた。欧州のサイバーレジリエンス法は出荷されたソフトウェアの欠陥にメーカー責任を課す。これらはコードを速く作る競争ではなく、コードの出所と責任を追跡するシステムを産業インフラとして蓄積している。10年かかることを10年かけてやっている最中だ。

韓国はどうか。SW振興法とセキュリティ脆弱性診断制度があるが、AI生成コードの出所追跡と責任帰属を扱う構造は空白だ。我々の強みである速い出荷がここでは弱点になる。速く出荷するほど追跡されない負債も速く積み重なる。成果は四半期で測定され、負債は年単位で複利で膨らむ。

何を蓄積するのか

蓄積すべきものはより賢いコード生成ツールではない。それは買えばいい。蓄積すべきものは出所を最後まで追跡するサプライチェーン責任構造だ。具体的には三つだ。

一つ、すべての出荷ソフトウェアにSBOMを義務化しAI生成コードの出所メタデータをその中に含める制度。二つ、脆弱性とライセンス事故が起きたときにその失敗が廃棄されず産業共通のデータベースとして残るシステム。今はある会社が経験した失敗が次の会社に伝達されない。失敗が経験として蓄積されなければ同じ負債を12社が12回新たに負う。三つ、コードを作成する能力ではなくコードに責任を持ち検証し出所を判断する能力をシニアの核心力量として再定義すること。生成はツールがする。判断は人間が蓄積する。

これは規制を増やそうという話ではない。責任の所在を明確にすることが信頼できるソフトウェアを作る産業の基盤だという話だ。

追撃の時代には正解を速く見つける国が勝った。統計的にもっともらしいコードを0秒で受け取る今、答えを速く得る能力はもはや希少ではない。フロンティアの時代には質問を先に作った国が勝つ。AIが作ったコード、誰が責任を取るのか。この質問を制度で先に立てた国が次の10年のソフトウェアサプライチェーンを信頼の名のもとに手に入れる。我々は他人が出した問題を速く解くのか、それとも問題そのものを作るのか。