「vibe coding」で増える脆弱なコード ^{CEFR B2}

研究者らは「vibe coding」と呼ばれる手法が生成型AIツールを通じて脆弱なコードを大量に生んでいると警告しています。調査チームは公開のセキュリティアドバイザリを43,000件以上走査し、AIツールの関与が疑われる事例を多数確認しました。レーダーは脆弱性の原因を突き止め、コード履歴を遡ってバグを導入した箇所を特定します。

Vibe Security Radarは共同著者タグ、botのメール、既知のツール署名といったメタデータをたどりますが、これらが削除されている事例は検出できません。これまでに74件のツール関連事例を確認し、14件がCritical、25件がHighに分類されました。主な脆弱性にはコマンドインジェクション、認証バイパス、サーバー側リクエストフォージェリ（SSRF）があります。

チームはメタデータに頼らない検出へと移行し、変数名や関数構成、エラー処理などの特徴を基にAI生成コードを識別するモデルを開発中です。検証パイプラインの改善や走査対象の拡大も進められています。Zhao氏は、同じモデルを使う多数の開発者がいるため同じバグが別のプロジェクトに広がりやすいと指摘しました。

攻撃対象はAIエージェントの普及で広がっています。レーダーは2025年後半の7か月間で約18件、2026年の最初の3か月で56件、うち2026年3月だけで35件を検出し、検出数は増加傾向にあります。Claude CodeとCopilotが検出の大部分を占めており、チームは詳細なプロンプトと脆弱性検査ツールの併用を推奨しています。

• 出典: Georgia Tech