AI生成のプルリクエストは複数のPRにわたって悪意を隠せる

AI支援開発の普及に伴い、コードレビューに新たなセキュリティ課題が生じている。AI生成のプルリクエスト（PR）は、悪意ある機能を複数のPRに分散して徐々に構築できるため、個々のPRは無害に見える。従来のコードレビューは一度に一つのPRしか評価せず、複数PRにわたる長期的な悪意を検出できない。

典型的な攻撃シナリオ：最初のPRがロギングを追加し、次のPRがそのログにアクセスするバックグラウンドジョブを導入し、3番目のPRがアウトバウンドネットワークの処理を変更する。各PRは単独では静的チェックを通過するが、組み合わさると不正なデータ移動経路を形成する。

この脅威モデルの変化は、AIコード生成の特性に起因する。エージェントが妥協されたり、プロンプトインジェクションやメモリポイズニングが発生する可能性がある。レビュアーは通常、最終的なコード変更しか見えず、それを生成した完全なプロンプトチェーンや推論プロセスは見えない。さらにAIアシスタントが大量のコードを生成するため、レビュアーが個人やエージェントの長期的行動を把握するのは難しい。

既存のセキュリティツール、例えばSASTスキャナは既知の脆弱性パターンの検出に優れるが、意図や複数PRにわたる長期的目標を理解できない。Datadogのセキュリティエンジニアリングチームは、静的ツールは既知の不良パターンを捕捉するが、意図を理解しないと指摘する。

意図認識型ガバナンスには二つの層が必要。第一層は出力整合性：生成コードが要求を合理的に実装しているかの確認。第二層はより困難で、要求自体または複数の要求から現れるパターンが許容可能かどうかの判断。技術的には正確でも有害な要求を実装できる。

エンジニアリングリーダーは具体的な対策を取るべき：まず、IDEアシスタント、コーディングエージェント、自動化アカウントなど、AI生成コードがワークフローに入る経路を特定する。次に、CIで高リスクチェックを強制し、アドバイザリに留めない。第三に、誰が何を生成したかを把握するためのメタデータを保持し、ロギング、データエクスポート、バックグラウンドジョブ、認証フローに触れるPRには追加の精査を行う。

クロスPRの悪意検出は業界が向かう方向であり、完全な長期的検出を主張するツールには慎重であるべき。AI生成コードには、目の前の成果物、それを生成した指示、そして多くの変更にわたって初めて見えるパターンの三つを評価できるガバナンスが必要である。