AI & CYBERSECURITY / OCTOBER 2026

AI開発ツールも狙われる。GTIG報告から見直す依存関係とクラウド権限

AIにコードを書かせる速さと、依存関係を採用する責任を分ける。

資料確認 2026-10-26 / 2026年10月特集

SONAEの提案 / 01

AIが提案した追加物にも、採用者を置く

SONAEの開発運用案では、追加したパッケージ、配布元、固定版、必要な理由、レビュー担当を変更記録に残します。名前が似ているだけの配布物や、用途の説明がない依存を自動で受け入れないようにします。コードレビューに合格したことと、取得物の出所やビルド経路を確認したことは別の証拠です。

SONAEの提案 / 02

架空の構成では、開発端末、CI、試験環境、本番を分け、それぞれが参照できる秘密と操作を一覧化します。AIの補助機能に必要だからという理由で、クラウド全体の管理権限を恒久的に持たせない設計を検討します。権限を変えるときは、業務の所有者と管理者が影響を確認し、元の状態と受入結果を残します。

SONAEの整理・受入の概念図。攻撃再現や実測の合格記録ではありません。

図の内容を文章で読む

依存の採用 → 限定権限でビルド → 成果物の受入。出所・固定版・承認を照合。AIの提案だけで本番へ入れない。概念図であり、実測ではありません。

SONAEの提案 / 03

請求額の増加は確認のきっかけですが、不正利用の確定ではありません。変更の予定、正規のバッチ処理、許可した実行主体と照合し、疑わしい場合は証拠を保全して専門担当へ渡します。予算通知が設定されていても強制停止とは限らないため、利用するサービスごとに通知と制限の働きを確認します。

SONAEの提案 / 04

固定した成果物、依存の更新方法、秘密の受渡し、CIの権限、撤去時の失効、障害時の連絡を発注書の確認事項へ入れます。SONAEの相談でも、既存の開発手順と責任分界を整理し、改善の担当と受入を明らかにする進め方が考えられます。新しいツールを入れることだけを改善の完了にはしません。

SONAEの提案 / 05

レビューしたコードの範囲と、ダウンロードした配布物の同一性は別の確認です。自動生成の説明を信じるだけでなく、固定した版と出所、ビルド成果物、必要権限をレビュー担当が照合します。未知の問題をすべて排除できるという基準ではなく、採用・更新・撤去の判断と証拠を引き継げる運用を目指します。

SONAEの未実行の計画例です。診断の合格実績ではありません。

記入例はすべて架空です。秘密鍵、認証コード、個人情報の値は記入しないでください。