【もう無理】人間がコードレビューする時代は終わったかもしれない

概要

AIが生成する大量のコードを人間が目視でレビューし脆弱性を見つけるのは、もう限界に来ているという主張の動画。解決策として、隔離されたテスト環境でダミーデータを使い、攻撃エージェントと防御エージェントを戦わせて脆弱性を潰していく「バイブセキュリティ」を提案している。

主なポイント

• AIによるコード生成(バイブコーディング)が当たり前になり、コード量が増えて人間のレビューが追いつかなくなっている
• 脆弱性レビューは高度な知識とコストが必要で、セキュリティのプロでも全体を網羅するのは難しい
• 人間のレビューは、サーバー側の認可・バリデーションや共通関数など優先順位をつけて部分的に見るのが実態
• 攻撃側もオープンウェイトモデル(悪意ある指示も通る)などAIを使うため、防御側もAIを使わないと対抗できない
• 提案する手法は、本番と同じ構造でデータだけ置き換えた隔離環境に対し、攻撃エージェントが攻撃し、防御エージェントが穴を塞ぐ工程を繰り返すこと
• 100%安全な構成は存在しないため、攻撃者と同じ手口で先に自分のサービスを攻撃して守る発想が有効
• 人間のレビューをゼロにするのではなく、AIが絞り込んだ必要箇所だけを人間が確認し、負担を減らす形を推奨
• 国内ではGMOなどがこうした攻撃・防御型のセキュリティサービスを提供しているとのこと
• 責任は、サービスを作る代表やプロジェクトリーダーが負うことになる
• 投稿者は、AIのレビュー精度と速度は人間を上回りつつあるという個人的な見解を示している

実践に使えること

• Claude Codeなどでサブエージェントを「攻撃用」「防御用」の2つ作り、3〜5ラウンド戦わせて脆弱性を潰す
• 検証は本番データではなく、構造だけ同じダミーデータの隔離環境で行う
• Claudeモデルではガードがかかる場合があるため、攻撃側にはオープンウェイトモデルの利用を検討する
• 人間のレビューは、AIが挙げた重要箇所(認可チェック、入力検証、共通関数など)に絞って行う
• 自前で構築が難しければ、既存のAI脆弱性診断サービスの利用を検討する