Snyk 組織の AI 対応状況レポート

Snykの「2023年AIコードセキュリティレポート」によると、コーダーの96%が業務で生成AIツールを使用しています。ソフトウェアを開発する組織は、競争力を維持し、人材を惹きつけて定着させるために、こうしたツールを導入する必要があると理解しています。AIコーディングツールをソフトウェア開発ライフサイクルに取り入れると、さまざまなセキュリティ上および運用上の課題が生じます。テクノロジー分野のリーダーとそのチームは、AIコーディングツールの新時代にどの程度備えているのでしょうか。また、ソフトウェアの書き方を大きく変えるこの変化に、どのように対応しようとしているのでしょうか？

Snykは400人を超えるテクノロジー関係者に幅広い質問を行い、それぞれの組織におけるAIへの準備状況と、AIコーディングツールに対する認識を調査しました。対象者は、Cスイートのテクノロジー担当役員、アプリケーションセキュリティチーム、開発者／エンジニアの3つのグループです。これらのグループは、AIコーディングツールとAI生成コードのセキュリティ、AIコードセキュリティポリシーの有効性、AIコーディングに対する組織の備えについて、それぞれ異なる見解を示しました。本レポートでは、調査で明らかになった特に注目すべき知見をご紹介します。

多くの組織は、AIを導入する準備が整っていると感じています。AI導入の準備状況を直接的または間接的に問う質問への回答を見ると、大半の組織がAI導入を急いでおり、導入前の標準的なユースケース分析や製品テストを省略するケースもあります。一方、経営幹部は、自社がAIを導入する準備ができていることにも、AIツールの安全性にも、より強い確信を持っています。

3つの職種すべてで、回答者の過半数が、自社はAIコーディングツールの導入に「非常に準備ができている」または「十分に準備ができている」と回答しました。準備ができていないと回答した人は4%未満でした。しかし、AIコーディングツールの導入・活用に向けて自社の準備が整っているという確信は、C-suite層のほうが他のグループより強い傾向にあります。このグループでは40.3%が自社を「非常に準備ができている」と評価した一方、AppSecチームのメンバーでは26%、開発者では22.4%にとどまりました。

CISOとCTOの間に有意な差はありませんでした。CISOがセキュリティとリスクを重視することを考えると、これは直感に反するように見えます。テクノロジー部門のリーダーに対し、AIコーディングツールを迅速に展開し、ソフトウェア開発プロセスを加速するよう強い圧力がかかっていることが背景にあるのかもしれません。他のグループが慎重な姿勢を示すのは、セキュリティ、トレーニング、コード品質など、実装段階で直面する具体的な準備課題への懸念を反映していると考えられます。

組織の準備状況、セキュリティポリシー、AIコードの品質、リスクについては肯定的な回答が多かった一方で、回答者は依然として、AIコーディングツールの導入における最大の障壁としてセキュリティを挙げています。しかし、この懸念とは裏腹に、POCの実施やAIコーディングツールに関する開発者トレーニングなど、リスクを最小限に抑え、組織の準備を整えるための基本的な取り組みもできていません。

準備はできているのでしょうか。回答者は概して、自組織におけるAIコーディングツールへの対応準備状況を肯定的に捉えています。セキュリティポリシーは十分で、AIが生成したコードも安全だと考える傾向にあり、総じてAI導入の準備は整っていると見ています。しかし、AIコーディングツールのセキュリティについては、依然として意見が分かれています。職種を問わず、セキュリティへの懸念がAIコーディングツール導入の最大の障壁と見なされています。実践的な準備プロセスについて見ると、新しいテクノロジーの導入に不可欠な基本的な取り組みであるPoCを実施したと答えた回答者は5分の1未満でした。また、開発者の大半がAIコーディングツールのトレーニングを受けたと答えた回答者も半数に届きませんでした。こうした矛盾は、AI導入に関する計画や戦略、体制が不足している可能性を示しています。

さらに詳しく見ると、回答者の職種によって、コードの品質、ツールの安全性、組織全体の準備状況に対する認識に一貫した違いが見られました。経営幹部は、コードやセキュリティのプロセス、ポリシーにより近い立場の回答者よりも、AIコーディングツールとその導入準備状況を肯定的に捉えていました。特にセキュリティチームのメンバーは、AIコーディングツールのセキュリティに対する見方がより厳しく、この影響力の大きいグループがAIによるコーディングで生じる問題に多く直面し、それに応じた反応を示していることがうかがえます。

こうした矛盾からは、AIコーディングツールの導入に関する計画や一貫した戦略が不十分であることに加え、必要な前提条件を定めて満たすための体制も整っていないことがうかがえます。その背景には、組織を横断した可視性が一貫して確保されていないことも考えられます。スマートフォンや一部のコンシューマー向けソフトウェア製品と同様に、当初は急速かつ無秩序に普及し、その後IT部門によって正式な導入プロセスに組み込まれたためかもしれません。その結果、初期の導入が混乱し、後から統制するのが難しくなった可能性があります。しかし、重要なのは、組織がAIコーディングツールの導入とセキュリティに、他の種類のエンタープライズソフトウェアと同様、より体系的に取り組むことです。このアプローチは、より適切なチェックとバランスを整え、ソフトウェア開発プロセスの根本的な変革に対し、全体を見渡した計画的かつ組織的な導入方法を提供することで、セキュリティへの懸念を和らげ、開発者やセキュリティチームの過度な不安にも対処できます。

このレポートの作成にあたり、世界各地のITプロフェッショナル406人を対象に調査を実施しました。Snykは、役職を「CTO」「CISO」「開発者」「エンジニア」「セキュリティ担当者」「アプリケーションセキュリティ担当者」と回答した方に対象を限定しました。Snykは、2024年を通じてオンラインおよびオフラインのイベントでこの調査のデータ収集を継続し、企業のAI対応状況や、AIのリスク、準備状況、課題に対する認識の違いをさらに幅広く把握する予定です。