答え公開済み3 時間前Last edited 3 時間前17 ソース

AIで増えるコードと脆弱性報告、問われる保守担当者の対応力

AIはコード作成や不具合の発見を速めますが、報告やコードが妥当かどうかを判断するには、人による確認が欠かせません。 Linux Foundationの調査では、届いたプルリクエストの25％が低品質と評価され、大規模プロジェクトでは31％に上りました。

公開者GPT-6 Luna で編集GPT Image 2 で画像を生成

Studio Global AIで検索して事実確認さらにトレンドページを見る

研究の答え

重要なポイント

AIはコード作成や不具合の発見を速めますが、報告やコードが妥当かどうかを判断するには、人による確認が欠かせません。
Linux Foundationの調査では、届いたプルリクエストの25％が低品質と評価され、大規模プロジェクトでは31％に上りました。

Illustration representing AI-generated code and security findings awaiting open-source maintainer review — How is AI accelerating open-source development while overwhelming maintainers with low-quality contributions and vulnerability reports, as iAI can accelerate code and bug discovery, but maintainers still need to verify contributions and security reports.
AI プロンプト
Create a landscape editorial hero image for this Studio Global article: How is AI accelerating open-source development while overwhelming maintainers with low-quality contributions and vulnerability reports, as i. Article summary: AI is making code and potential bug reports faster to produce, but that does not make them faster to validate: the bottleneck is shifting toward maintainers’ review and security judgment. OpenSSL’s report surge and the L. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com

AIはコードを書いたり、不具合の可能性を見つけたりする作業を速めています。一方、投稿されたコードやセキュリティ報告が本当に有効かを確かめる作業まで、自動的に速くなるわけではありません。OpenSSLでの報告増加と、Linux Foundationの調査結果は、開発の加速とレビュー負担が同時に進む現状を示しています。1 21

OpenSSLに届く報告は急増、確認は人の手に

OpenSSLは、インターネット通信の安全を支えるソフトウェアです。そのため、報告された問題を適切に見極めることは、プロジェクトの利用者だけでなく、広くネット上のサービスにとっても重要です。1 5

OpenSSL Foundationのエグゼクティブディレクター、Matt Caswell氏は、プラハで開かれた年次会議で、2026年5〜7月に届いたセキュリティ報告と問い合わせは月平均71件だったと説明しました。前年の同じ時期は月平均9件で、8月には問い合わせが108件に達しました。1

ただし、これらは届いた報告や問い合わせの数であり、確認済みの脆弱性の数ではありません。過去1年間にOpenSSLが受け取った脆弱性報告は約500件でしたが、脆弱性として公表されたのは63件でした。重複した報告や軽微な不具合、セキュリティ勧告を出すほどではない問題も多く含まれていました。AIツールが発見した問題も、大半は重大な欠陥ではなく、深刻度の低いものでした。それでも、内容を確かめるには人の手が必要です。1 3

この負担はOpenSSLに限りません。会議では、Bouncy Castleとcryptlibの保守担当者も、確認する報告が増えていると話しました。また、Bouncy CastleのMegan Woods氏は、AIが生成した暗号関連コードのリスクについて警鐘を鳴らしています。2 3

AIは確認作業を助けても、判断を代替しない

OpenSSLの最高技術責任者によると、AIはコードレビューや報告された脆弱性の調査、テスト作成などを支援できます。3 ただし、ツールが問題の可能性を示したからといって、それが確認済みの脆弱性になるわけではありません。何が起きているのかを判断し、対応を決める作業は残ります。1 3

問題の発見と、その検証は別の工程です。AIが疑わしいコードや一見もっともらしい報告を示しても、保守担当者は実際に問題があるのか、影響があるのかを見極めなければなりません。報道によると、調査から修正パッチの作成、安全勧告の公表までには6〜8週間かかることがあります。3

開発時間の短縮と、レビュー対象の増加

Red HatがスポンサーとなったLinux Foundation Researchの調査は、オープンソース開発における同様の課題を示しています。All Things Openで発表された調査では、保守担当者は届いたプルリクエストの25％を、低品質な「AI slop（AIが生成した質の低い投稿）」と評価しました。大規模プロジェクトでは、この割合は31％でした。調査対象は、オープンソースの開発者や保守担当者234人です。20 21

一方で、プロジェクトの保守担当者の59％は、投稿される貢献が増えていると回答しました。21 投稿が増えれば有用な修正や新しい参加者につながる可能性がありますが、内容を確認する側の負担も増えます。特に、問題のある投稿では、何が不足しているのかを見つけ、説明する作業が必要になります。

なお、これらは調査回答者による推定であり、すべてのオープンソースプロジェクトのプルリクエストを数えた結果ではありません。それでも、AIが投稿を作る手間を減らしても、採用できる品質かどうかを判断する手間は減らない、という課題が浮かび上がります。20 21

投稿の質とレビュー体制が問われる

投稿の増加がセキュリティ報奨金プログラムに影響した例もあります。Googleは10月1日、Open Source Software Vulnerability Reward Program（オープンソースソフトウェアの脆弱性報奨金プログラム）で、新たな製品脆弱性の報告受付を一時停止しました。自動化された投稿が増え、その大半が無効だったことを理由に挙げています。Googleは2027年第1四半期に状況を更新するとしました。停止の対象はこのプログラムへの製品脆弱性の報告であり、Googleのすべての脆弱性報奨金プログラムではありません。18

一連の事例から見えるのは、AIによる投稿を一律に排除することではなく、確認しやすい形で届けてもらい、適切に仕分ける必要性です。投稿ルールを明確にし、必要に応じて再現手順やテストを求めること、重複を見分ける作業に自動化を活用することなどが、現実的な対応策として考えられます。ただし、自動化は人によるレビューの代わりではありません。1 18 21

AIはコードを書くことも、不具合の可能性を見つけることも速めます。しかし、信頼できるソフトウェアを届けるには、届いたものを確かめる保守担当者の時間と支援が欠かせません。

Studio Global AI

研究を続けてください

このページにはソースに裏付けされた回答が含まれており、Studio Global 内で続行できます。

Studio Global AIで検索して事実確認

人々も尋ねます