おなじみのSASTでトークン消費の暴走を防ぐ

AI支援開発ワークフローでは、コードレビューが新たなコストボトルネックとなりつつあります。AIコーディングエージェントが迅速にコード変更を生成する一方で、レビュー負荷は急増。従来の人間のレビュアーは大きな差分に直面し、AIエージェントのループ機構はトークン消費を指数関数的に増加させます。各呼び出しで以前のツール出力や会話履歴が蓄積され、コストが予想を超えて膨らむのです。

決定的静的解析は効率的な解決策を提供します。シークレットスキャナやSASTルールは意図を推論する必要がなく、既知のパターンを直接検出し、構造化された結果を返します。これにより、モデルは毎回完全なルールセットを読み込む必要がなくなります。さらに、決定的解析の結果は予測可能であるため、CI/CDでのハードゲートとして使用でき、単なるアドバイス以上の信頼性を持ちます。

LLMの真の価値は、コード変更とチケットの比較や複数の発見間の関連性の説明など、総合判断が必要なタスクにあります。既知の脆弱性パターンを毎回検証させるのは、LLMの能力の無駄遣いです。正しいアプローチは、決定的チェックを最初のフィルターとし、真に曖昧な問題だけをモデルに委ねることです。

決定的優先パイプラインの設計では、IDEやCLIのローカルチェックが最初にトリガーされ、開発者が入力中にフォーマット、シークレット、基本的なSAST問題を発見します。これらの問題はPRに到達する前に解決され、後続のステップの負荷を軽減します。エージェントが呼び出される際には、決定的発見の要約を受け取り、すべての既知問題を再発見する必要がなくなります。

GitやPRの段階では、決定的発見とAI生成の要約を組み合わせることでレビューを効率化します。CI/CDではチェックの実行証明と結果の保存が重要です。プロセス全体の鍵はフィードバックループであり、繰り返し拒否されるパターンは永続的なルールに変換され、毎回のプロンプトで再議論されることを防ぎます。

エンジニアリングリーダーにとって最も重要な指標は、トークン消費が真の曖昧さに比例しているかどうかです。PRごとのトークン消費とコード量の比率を追跡することで、決定的プレチェックが効果的に機能しているかがわかります。また、レビューサイクルタイムの短縮が品質の維持・向上と同時に見られる場合、自動化が適切な作業を排除したことを示しています。

結論として、決定的静的解析とAI推論の組み合わせは、LLMを置き換えるのではなく、その活用場面を最適化するものです。ルールで低価値の問題を先にクリーンアップすることで、モデルは高価値の意思決定に集中でき、コスト削減とレビュー品質の向上を同時に実現します。このアプローチは、大規模チームだけでなく、予算に制約のあるスタートアップにも特に有効です。