非エンジニアが、AIを活用してソフトウェアを開発するときに、コードが読めなくても、例えばセキュリティのエージェントを作ってもらって、チェックさせればいいですか？

Question

酒井潤 · Accepted Answer

コードが読めない状態で、AIエージェントのチェックだけに頼るのは危ないと思います。

セキュリティ用のAIエージェントを使うこと自体は良いのですが、それはあくまで補助です。AIは見落としもしますし、逆に問題ないものを問題だと言うこともあります。特に認証、決済、個人情報、権限管理が絡むアプリは、コードが読めないまま公開するのはリスクが高いです。

非エンジニアがAIで開発するなら、まずは小さく作って、重要な処理をできるだけ外部サービスに任せるのが現実的です。ログインはAuth0やFirebase Auth、決済はStripe、インフラはマネージドサービス、というように、自分で危ない部分を実装しない方がいいです。

その上で、AIにチェックさせる、ツールで脆弱性診断する、最後に人間のエンジニアにレビューしてもらう。この流れが安全だと思います。

要するに、AIに作らせてAIにチェックさせればOK、ではなくて、AIは開発スピードを上げる道具であって、責任を肩代わりしてくれる存在ではないです。特に公開するサービスなら、最低限コードの意味を読めるようになるか、読める人に見てもらう前提で進めた方がいいと思います。