検証と責任 - Human-AI協調開発入門 - はとはとプロジェクト

核心原則

AI生成コードの最終責任は、常に人間の開発者にある。

AIがコードを生成しても、そのコードを本番環境にデプロイする判断を下すのは人間です。したがって、品質、セキュリティ、保守性に関する責任は開発者が負います。

Simon Willisonの重要な定義

"If a LLM wrote every line of your code, but you reviewed it, tested it, and understood what it does... that's not vibe coding."

— Simon Willison, 2025年

この定義は極めて重要です。AI支援開発とVibe Codingの違いは、コードを誰が書いたかではなく、人間が理解・検証したかにあります。

なぜ検証が必要なのか

AIの限界

AIは強力なコード生成能力を持ちますが、以下の問題を起こす可能性があります：

古い情報：学習データのカットオフ以降の変更を知らない
エッジケースの見落とし：一般的でないシナリオへの対応漏れ
セキュリティ脆弱性：安全でないパターンの生成
コンテキスト不足：プロジェクト固有の制約を知らない
ハルシネーション：存在しないAPIやライブラリの使用

2025年の事例

⚠️ 実際に発生した問題

Lovable：1,645アプリ中170件（10.3%）にセキュリティ脆弱性が発見
Replit AI：SaaStr創業者のプロジェクトで、AIエージェントが指示なくDBを削除
認証情報露出：AI生成コードでAPIキーがハードコードされる事例が多発

76.4%

未レビューのAI生成コードに自信を持てない開発者の割合

検証プロセス

コードリーディング

生成されたコードを一行ずつ読み、動作を理解する

ロジック検証

要件を満たしているか、エッジケースは考慮されているか確認

セキュリティレビュー

入力検証、認証・認可、データ保護を確認

テスト作成・実行

ユニットテスト、統合テスト、エッジケーステストを実施

パフォーマンス確認

計算量、メモリ使用量、レスポンス時間を検証

承認・デプロイ

すべての検証をパスしたコードのみを採用

検証チェックリスト

基本検証

コードの動作を理解できているか
要件を正しく満たしているか
エラーハンドリングは適切か
エッジケースは考慮されているか
変数名・関数名は適切か
コメントは正確か

セキュリティ検証

入力値の検証（バリデーション）は行われているか
SQLインジェクション対策はあるか
XSS対策はあるか
認証・認可は適切に実装されているか
機密情報（APIキー等）がハードコードされていないか
依存ライブラリに既知の脆弱性はないか
ログに機密情報が含まれていないか

パフォーマンス検証

計算量は許容範囲か（O(n²)等の非効率なアルゴリズムはないか）
メモリ使用量は適切か
不要なAPI呼び出し、DBクエリはないか
キャッシュを活用すべき箇所はないか
N+1問題は発生していないか

具体例：認証コードの検証

AIが生成した問題のあるコード

def authenticate_user(username, password):
    user = database.get_user(username)
    if user and user.password == password:
        return create_session(user)
    return None

問題点の特定

パスワードが平文：ハッシュ化されていない
タイミング攻撃に脆弱：文字列比較のタイミングで情報漏洩
ブルートフォース対策なし：試行回数制限がない
ログ記録なし：認証試行の監査ができない

検証後の改善版

import bcrypt
import time
from datetime import datetime, timedelta

class AuthenticationService:
    def __init__(self):
        self.failed_attempts = {}
        self.lockout_duration = timedelta(minutes=15)
        self.max_attempts = 5
    
    def authenticate_user(self, username, password):
        # ブルートフォース対策
        if self._is_locked_out(username):
            self._log_attempt(username, False, "Account locked")
            return None
        
        # タイミング攻撃対策（一定時間を確保）
        start_time = time.time()
        
        try:
            user = self._get_user_secure(username)
            
            if user and self._verify_password(password, user.password_hash):
                self._reset_failed_attempts(username)
                self._log_attempt(username, True)
                return self._create_secure_session(user)
            else:
                self._record_failed_attempt(username)
                self._log_attempt(username, False)
        except Exception as e:
            self._log_error(f"Authentication error: {str(e)}")
        
        # 処理時間を一定に（タイミング攻撃対策）
        elapsed = time.time() - start_time
        if elapsed < 0.5:
            time.sleep(0.5 - elapsed)
        
        return None
    
    def _verify_password(self, password, password_hash):
        # bcryptによる安全なパスワード検証
        return bcrypt.checkpw(
            password.encode('utf-8'),
            password_hash.encode('utf-8')
        )