「AI生成コードの48%に脆弱性」時代のアプリケー DerScanner、ションセキュリティプロセス転換を提言

コード量は桁違いに増えたが、行あたりのバグ密度は変わらない。結果、コードベースあたりの既知の脆弱性は1年で倍増した。スキャン頻度、依存関係のリスク、AIサプライチェーンまで、プロセスをどう変えるべきかを分析。

TOKYO, JAPAN, July 20, 2026 /EINPresswire.com/ -- 規制産業向けアプリケーションセキュリティテストプラットフォームを提供するDerScannerは、本番コードの大きな割合をAIが書くようになった今、アプリケーションセキュリティのプロセスをどう変えるべきかに関する分析を公開した。

問題の規模を示す数字がある。2026年3月、SnykはAI生成コードの48%にセキュリティ脆弱性が含まれると報告した。Veracodeが100を超える大規模言語モデルを80のコーディングタスクで検証した結果は45%、CodeRabbitの本番環境分析では、AI支援コードには人間が書いたコードの2.74倍の脆弱性が含まれていた。現在、本番コードの約27%がAI生成とされ（新規コードでは41〜46%とする推計もある）、その影響はすでに測定可能だ。コードベースあたりの既知の脆弱性の平均は、1年で280件から581件へと107%増加した。

分析によれば、問題はAIが質の悪いコードを書くことではない。1,000行あたりの脆弱性密度はほぼ安定しているが、コード量はそうではない。AIは、AppSecプロセスが想定していなかったスピードで、より多くのコードを書く。これにより、プロセスレベルで3つのことが破綳する。

第一に、スキャン頻度はコードの速度に合わせる必要がある。コミットごとの静的解析、プルリクエストごとのソフトウェア構成分析、プリコミットフックでのシークレット検知である。第二に、依存関係のスキャンの重要性は下がるどころか上がる。AIアシスタントはパッケージを積極的に取り込む一方、その真正性をほとんど検証せず、依存関係の増加は20〜30%にのぼると推計される。第三に、コードレビューは、外部委託先のコードと同じ基準でAI生成コードにも適用されなければならない。調査では、出荷するAIコードの大半をスキャンしている開発者は約10%にとどまる一方、AI出力への信頼は大きく低下している。

分析は、「AIが自らのコードをレビューできるのだから従来型の静的解析は不要になる」という見方にも反論する。言語モデルは非決定論的であり、同じ入力から異なる判断が生まれうる。ソースからシンクへの経路が存在するか否かを一意に判定する決定論的なテイント解析は、コンプライアンスの証跡、ビルドゲート、承認の基盤であり続ける。さらに新しい層として、モデル、エージェントフレームワーク、開発者のIDEに接続されたMCPサーバーといったAIサプライチェーンがある。約4,000のAIエージェントスキルを対象とした監査では、1,400件超のパッケージに問題が検出され、うち534件はクリティカルだった。SBOM、到達可能性分析、タイポスクワッティング検知といった既存のサプライチェーン対策を、AIコンポーネントにまで拡張する必要がある。

DerScannerは、SAST、DAST、SCA、MASTを単一プラットフォームで提供し、タイポスクワッティング検知、MavenGate監視、スタージャッキング分析などのサプライチェーンセキュリティ検査と、コンパイル済みコードのバイナリ解析でこれを拡張する。AIエージェントのDerTriage（誤検知フィルタリング）とDerCodeFix（修正案生成）は、コードが境界の外に出せないエアギャップ環境を含め、顧客インフラ内で完結して動作する。

DerScannerについて: DerScannerは、金融、医療、政府、重要インフラなど、コードの置き場所を自ら管理する必要のある規制産業向けに構築されたアプリケーションセキュリティテストプラットフォームである。SAST、DAST、SCA、MASTに加え、サプライチェーンセキュリティと、ソースコードが入手できない場合のバイナリ解析までを単一製品でカバーする。JavaScript、Python、Java、C#などの主要スタックから、Delphi、ABAP、Scala、Pascalなどの希少・レガシー言語まで、43言語にネイティブ対応。クラウド、オンプレミス、完全エアギャップ環境に導入でき、AIエージェントのDerTriage（誤検知を最大90%除去）とDerCodeFix（適用可能な修正案を生成）は顧客インフラ内で完結して動作する。監査対応レポートはOWASP Top 10、CWE/SANS Top 25、PCI DSS、HIPAA、ISO 27001、GDPR、EUサイバーレジリエンス法（CRA）、NIS2、DORAにマッピングされる。

DerSecur Limited
DerSecur Ltd
+972 50-390-3454
email us here
Visit us on social media:
LinkedIn

Legal Disclaimer:

EIN Presswire provides this news content "as is" without warranty of any kind. We do not accept any responsibility or liability for the accuracy, content, images, videos, licenses, completeness, legality, or reliability of the information contained in this article. If you have any complaints or copyright issues related to this article, kindly contact the author above.